Vier kaders raken aan dezelfde inkoop: ARBIT-2022 als algemene voorwaarden voor IT-opdrachten, BIO2 en de Inkoopeisen Cybersecurity Overheid (ICO) als normenkader voor beveiligingseisen, ABRO voor opdrachten die de nationale veiligheid raken, en VIR-BI 2025 voor de opdrachtgever die bijzondere informatie buiten de Rijksdienst brengt. Ze vullen elkaar deels aan, maar ze zijn niet op elkaar afgestemd. Bij VIR-BI 2025 blijven de beveiligingseisen en het toezicht volledig van kracht als informatie buiten de Rijksdienst komt en blijft de uitbestedende partij verantwoordelijk. Volgens bio-overheid blijft ook bij BIO2 de overheidsorganisatie aansprakelijk voor de leverancier.
Het botst op vier punten. Meldtermijn: ARBIT zegt zo snel mogelijk, VIR-BI vraagt elke ambtenaar een inbreuk direct te melden bij de beveiligingsautoriteit, en de Cyberbeveiligingswet stelt 24 en 72 uur. Onderaannemers: ARBIT vraagt toestemming vooraf, ABRO vraagt de melding bij het NBIV vóór inzet. Audit: ARBIT kent een audit bij concrete aanleiding, ABRO een onderzoek door het NBIV en BIO2 verwacht dat een leverancier via onafhankelijke audits aantoont dat hij voldoet. Cloud: ABRO staat bij TBB 1 tot en met 3 geen publieke cloud toe, terwijl BIO2 risicogebaseerd werkt.
Wat betekent dit? Wie de kaders combineert, moet per opdracht kiezen welke eis voorgaat en dat vastleggen, anders ontstaat discussie op het moment dat het misgaat. Een praktische volgorde is: bepaal eerst of ABRO geldt, leg dan de hoogste eisen per onderwerp vast (meldtermijn, onderaannemers, audit, cloud) en toets daarna de naleving periodiek. Onze dienst Beheersen leveranciers- en ketenrisico’s / Supply chain risk helpt om die combinatie per opdracht en per leverancier te vertalen naar een eenduidige set contract- en toetsafspraken.