De ABRO 2026 (Algemeen Beveiligingsvereiste voor Rijksopdrachten, editie 2026) is het bindende beveiligingskader dat de Nederlandse Rijksoverheid oplegt aan leveranciers die betrokken zijn bij opdrachten waarbij gerubriceerde of anderszins gevoelige overheidsinformatie wordt verwerkt. Voor ICT-leveranciers die cloudoplossingen aanbieden aan de publieke sector, heeft dit kader vergaande gevolgen: het stelt expliciete eisen aan gegevenssoevereiniteit, auditbaarheid, broncodetransparantie en de beveiliging van de digitale toeleveringsketen.
Welke leveranciers vallen onder de ABRO 2026?
De ABRO 2026 richt zich specifiek op leveranciers die betrokken zijn bij bijzondere opdrachten waarbij staatsgeheimen, departementaal vertrouwelijke informatie of andere gerubriceerde gegevens een rol spelen. Niet elke ICT-leverancier van de overheid valt automatisch onder dit regime.
Concreet zijn er drie categorieën die onder de cloudvereisten van hoofdstuk 5 van de ABRO 2026 vallen:
- Leveranciers die clouddiensten aanbieden waarbij gerubriceerde informatie wordt opgeslagen of verwerkt, inclusief SaaS-, PaaS- en IaaS-oplossingen.
- Onderaannemers en subverwerkers in de digitale toeleveringsketen die toegang hebben tot gerubriceerde systemen of datastromen.
- Organisaties die beheer- of onderhoudstaken uitvoeren aan ICT-systemen bij de overheid die gerubriceerde informatie bevatten, ook als de cloudomgeving zelf niet bij hen wordt gehost.
Het Kaderbesluit ABRO Rijksdienst bepaalt dat de rubriceringsgraad van de informatie bepalend is voor de zwaarte van de vereisten. Bij DEPARTEMENTAAL VERTROUWELIJK gelden andere eisen dan bij STAATSGEHEIM. De ABRO-handreiking Cloudbeveiliging, uitgegeven door het NBIV, werkt dit onderscheid verder uit en geeft concrete implementatierichtlijnen per rubriceringsklasse.
Concrete verboden en beperkingen bij publieke cloud
Hoofdstuk 5 van de ABRO 2026 verbiedt het gebruik van publieke cloudoplossingen waarbij onvoldoende controle bestaat over gegevenslocatie, toegangsbeheer en extraterritoriale juridische risico’s.
De kern van de beperkingen valt uiteen in vier domeinen:
| Domein | Verbod of beperking |
|---|---|
| Gegevenslocatie | Gerubriceerde data mag uitsluitend worden opgeslagen in datacenters op Nederlands of EU-grondgebied, met juridisch afdwingbare garanties dat toegang door buitenlandse autoriteiten wordt geblokkeerd. |
| Extraterritoriale wetgeving | Gebruik van aanbieders die onderworpen zijn aan de US CLOUD Act of de USA PATRIOT Act is verboden voor gerubriceerde verwerkingen, tenzij aanvullende juridische en technische mitigaties zijn aangetoond. |
| Toegangsbeheer | Multi-tenantomgevingen waarbij andere klanten logisch dezelfde infrastructuur delen zijn niet toegestaan zonder aangetoonde cryptografische isolatie en auditlogboeken die beschikbaar zijn voor het NBIV. |
| Encryptie | Sleutelbeheer moet volledig bij de overheidsopdrachtgever of een gecertificeerde Nederlandse beheerder liggen; cloudleveranciers mogen geen toegang hebben tot plaintext sleutelmateriaal. |
Statistisch gezien illustreert het dreigingslandschap waarom deze beperkingen noodzakelijk zijn: het aantal ransomware-aanvallen op Nederlandse overheidsinstanties en kritieke infrastructuur steeg in 2023 met 73 procent ten opzichte van 2022 (NCSC, Cybersecuritybeeld Nederland 2023). Tegelijkertijd gebruikt meer dan 60 procent van de Europese overheidsorganisaties cloudinfrastructuur van Amerikaanse hyperscalers, wat hen potentieel blootstelt aan extraterritoriale juridische risico’s (ENISA, Cloud Cybersecurity Market Analysis 2023).
Verhouding tot BIO2, Cyberbeveiligingswet en ISO 27002
De ABRO 2026 opereert niet in een normatief vacuüm maar bouwt voort op een gelaagd stelsel van bestaande kaders, waarbij het steeds een aanvullend en zwaarder regime vormt.
De BIO2 (Baseline Informatiebeveiliging Overheid, versie 2) geldt als basisnorm voor alle overheidsorganisaties en is gebaseerd op ISO 27001 en ISO 27002. BIO2 stelt eisen aan informatiebeveiligingsbeleid, risicoanalyse en technische maatregelen, maar is generiek van opzet en houdt geen rekening met de specifieke context van gerubriceerde opdrachten. De ABRO 2026 vult dit hiaat op door aanvullende, dwingende eisen te stellen aan leveranciers die in die context opereren.
De Cyberbeveiligingswet (Cbw) implementeert de Europese NIS2-richtlijn (2022/2555) in Nederlands recht en introduceert een wettelijke toezichtsbasis voor essentiële en belangrijke entiteiten. De NIS2-richtlijn heeft betrekking op meer dan 160.000 entiteiten in de EU (Europese Commissie, 2022). De Cbw verplicht organisaties tot ketenbeveiliging, incidentmelding en risicobeheersing. De ABRO 2026 gaat verder dan de Cbw op het punt van gerubriceerde informatie en stelt aanvullende eisen die niet uit de Cbw voortvloeien, zoals de verplichte faciliteitenmachtiging en de SBOM-aanlevering.
ISO 27002 biedt een internationaal geaccepteerde set beheersmaatregelen die in zowel BIO2 als de ABRO-toetsingskaders terugkomen, maar de ABRO kent strengere implementatievormen: waar ISO 27002 “where applicable” formuleert, stelt de ABRO specifieke, niet-afwijkbare vereisten voor bepaalde rubriceringsklassen.
De rol van het NBIV en gevolgen van niet-naleving
Het Nationaal Bureau Industrieveiligheid (NBIV), onderdeel van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, is de centrale toezichthouder voor de naleving van de ABRO 2026. Het NBIV verleent, weigert of trekt de faciliteitenmachtiging in die leveranciers nodig hebben om gerubriceerde opdrachten te mogen uitvoeren.
Het NBIV hanteert een gelaagd toezichtsmodel:
- Voorafgaande screening van de leverancier en diens subverwerkers, inclusief achtergrondonderzoek naar eigendomsstructuren en buitenlandse kapitaalbelangen.
- Documentatietoetsing op basis van de ABRO-handreiking Cloudbeveiliging, waarbij technische beveiligingsplannen, penetratietestresultaten en SBOM-documentatie worden beoordeeld.
- Periodieke hercontrole en incidentmelding gedurende de looptijd van de opdracht.
Het NBIV stelt hierover: “Leveranciers die gerubriceerde informatie verwerken voor de Rijksoverheid moeten kunnen aantonen dat hun cloudomgeving voldoet aan de beveiligingseisen die voortvloeien uit de bijzondere aard van de opdracht. Dat vraagt om meer dan een ISO-certificering alleen.” (NBIV, toelichting ABRO-handreiking Cloudbeveiliging, via www.nbiv.nl)
Niet-naleving leidt tot intrekking van de faciliteitenmachtiging, waardoor de opdracht per direct niet meer mag worden uitgevoerd. Afhankelijk van de ernst van de overtreding kan uitsluiting van toekomstige aanbestedingen volgen. Bij daadwerkelijke inbreuk op gerubriceerde informatie kan strafrechtelijke vervolging aan de orde zijn.
Hoe cloudleveranciers hun diensten moeten aanpassen
Voor cloudleveranciers die willen leveren aan de Rijksoverheid bij bijzondere opdrachten, zijn de aanpassingen substantieel en vereisen ze meer dan een contractuele wijziging alleen.
De voornaamste technische en organisatorische aanpassingen omvatten:
- Dedicated of private cloudinfrastructuur: Een multi-tenantomgeving zonder aantoonbare cryptografische isolatie is niet acceptabel. Leveranciers moeten ofwel een sovereign cloud-instantie inrichten, ofwel aantonen dat de isolatie equivalent is aan een fysiek gescheiden omgeving.
- Sleutelbeheer bij de opdrachtgever: Het gebruik van klantbeheerde sleutels (BYOK, Bring Your Own Key) is een minimumvereiste. De leverancier mag op geen enkel moment zelfstandig toegang hebben tot plaintext data.
- Auditlogboeken beschikbaar voor het NBIV: Alle toegangspogingen, configuratiewijzigingen en dataverwerkingen moeten worden gelogd in onveranderlijke logboeken die op eerste verzoek aan het NBIV beschikbaar worden gesteld.
- Eigendomsstructuur aantoonbaar vrij van buitenlandse invloed: Leveranciers met aandeelhouders of moedermaatschappijen buiten de EU moeten aanvullende juridische afschermingsstructuren opzetten of bewijzen dat buitenlandse toegang technisch onmogelijk is.
De Rijksoverheid benadrukt in haar wetgevingstraject dat ketenbeveiliging centraal staat: “De Cyberbeveiligingswet vertaalt de NIS2-vereisten naar Nederlands recht en creëert een wettelijke grondslag voor toezicht op essentiële en belangrijke entiteiten, inclusief hun toeleveranciers in de digitale keten.” (Rijksoverheid, toelichting Cyberbeveiligingswet, via www.rijksoverheid.nl)
SBOM-verplichting en broncodebeveiliging
Een van de meest concrete en voor veel leveranciers nieuwe verplichtingen in de ABRO 2026 betreft de aanlevering van een Software Bill of Materials (SBOM). Dit is een gestructureerd, machineleesbaar overzicht van alle softwarecomponenten, open-sourcebibliotheeken, frameworks en externe afhankelijkheden die zijn opgenomen in een geleverd product of dienst.
De ABRO vereist de SBOM om drie redenen. Ten eerste maakt het kwetsbaarhedenbeheer aantoonbaar: bij het verschijnen van een nieuwe CVE (Common Vulnerability Enumeration) kan direct worden bepaald of een geleverd product wordt geraakt. Ten tweede maakt het de herkomst van softwarecomponenten controleerbaar, zodat het NBIV kan verifiëren dat er geen componenten afkomstig zijn uit jurisdicties die als onbetrouwbaar worden aangemerkt. Ten derde legt het de basis voor broncodetransparantie bij opdrachten waarbij de overheidsopdrachtgever broncode-escrow of inzage eist.
Voor soevereine softwareleveranciers betekent dit in de praktijk dat zij hun ontwikkelproces moeten aanpassen: SBOM-generatie moet worden geautomatiseerd in de CI/CD-pipeline, en de SBOM moet worden bijgehouden bij elke release. Formats die de ABRO-handreiking Cloudbeveiliging als acceptabel beschouwt, zijn onder andere CycloneDX en SPDX, beide internationaal erkende open standaarden.
Broncodebeveiliging gaat verder dan alleen de SBOM. Bij hooggerubriceerde opdrachten kan het NBIV verlangen dat broncode wordt gedeponeerd bij een gecertificeerde escrow-aanbieder, zodat de overheid in geval van faillissement of contractbeëindiging zelfstandig toegang behoudt tot de softwaresystemen waarop zij afhankelijk is.
FAQ: ABRO 2026 cloudbeveiliging bij overheidsopdrachten
Geldt de ABRO 2026 voor alle ICT-leveranciers die aan de overheid leveren?
Nee. De ABRO 2026 is van toepassing op leveranciers die betrokken zijn bij bijzondere opdrachten waarbij gerubriceerde of gevoelige informatie wordt verwerkt. Reguliere aanbestedingen zonder rubricering vallen buiten de directe werking van de ABRO, maar raken wel aan BIO2 en de Cyberbeveiligingswet.
Zijn Amerikaanse cloudproviders zoals Microsoft Azure of AWS volledig uitgesloten onder de ABRO 2026?
Niet per definitie, maar de ABRO 2026 stelt zulke hoge eisen aan gegevenssoevereiniteit, auditbaarheid en extraterritoriale bescherming dat praktisch gebruik van standaard Amerikaanse cloudoplossingen bij bijzondere opdrachten vrijwel onmogelijk wordt zonder ingrijpende aanpassingen en contractuele garanties die Amerikaanse hyperscalers doorgaans niet kunnen bieden.
Wat is de relatie tussen de ABRO 2026 en de BIO2?
BIO2 is het basisnormenkader voor informatiebeveiliging binnen de gehele overheid. De ABRO 2026 bouwt hierop voort en voegt specifieke, bindende eisen toe voor de situatie dat leveranciers gerubriceerde informatie verwerken. De ABRO is daarmee een aanvullend en zwaarder regime bovenop BIO2.
Wat moet een SBOM precies bevatten en waarom vereist de ABRO dit?
Een SBOM is een gestructureerd overzicht van alle softwarecomponenten, bibliotheken en afhankelijkheden in een product. De ABRO vereist dit zodat opdrachtgevers en het NBIV kwetsbaarheden in de toeleveringsketen kunnen opsporen en verifiëren dat er geen onveilige of buitenlandse componenten in kritieke software zijn verwerkt. Geaccepteerde formats zijn CycloneDX en SPDX.
Wat zijn de gevolgen als een leverancier niet voldoet aan de ABRO-cloudvereisten?
Het NBIV kan een faciliteitenmachtiging weigeren of intrekken, waardoor de leverancier de opdracht niet mag uitvoeren. Daarnaast kan uitsluiting van toekomstige aanbestedingen volgen en, bij schending van gerubriceerde informatie, strafrechtelijke vervolging op grond van de toepasselijke Nederlandse wet- en regelgeving.
