ABDO 2019 ABRO 2026
Wat is er veranderd? Vergelijking en impact voor leveranciers
Terug naar home
Terug naar home

Samenvatting belangrijkste wijzigingen

De ABRO 2026 is de opvolger van de ABDO 2019. Hieronder de zes belangrijkste veranderingen:

Verbreed

Van Defensie naar hele Rijksoverheid

ABDO gold alleen voor opdrachten van het Ministerie van Defensie. ABRO geldt voor de gehele Rijksoverheid en politie.

Nieuw

Hoofdstuk 5: Cloud

ABDO kende geen apart hoofdstuk voor cloud. ABRO heeft een volledig nieuw hoofdstuk met 20 eisen voor cloudcomputing.

Gewijzigd

NBIV vervangt BIV/MIVD

Het NBIV is nu het centrale aanspreekpunt voor beveiligingsvraagstukken, niet meer per dienst verdeeld.

Gewijzigd

Supply chain & onderaannemers

Strengere eisen rond de inzet van onderaannemers en ketenbeheer. Verplichte doorgifte van beveiligingseisen.

Uitgebreid

Cyber-eisen gemoderniseerd

Hoofdstuk 4 is sterk uitgebreid met moderne eisen rond zero trust, EDR, SIEM, en threat intelligence.

Nieuw

Datasoevereiniteit

Expliciete eisen over waar data mag worden opgeslagen en verwerkt, en door wie — met focus op EU-jurisdictie.

Hoofdstukstructuur vergelijking

De onderstaande tabel vergelijkt de hoofdstukindeling van ABDO 2019 met ABRO 2026.

ABDO 2019 ABRO 2026 Status Toelichting
H1 — Bestuur
Organisatie, BVA, incidenten		 H1 — Bestuur & Organisatie
63 eisen		 UITGEBREID Uitgebreid met eisen rond onderaannemers, supply chain, zeggenschap bij buitenlandse aandeelhouders
H2 — Personeel
Screening, VGB, training		 H2 — Personeel
28 eisen		 GROTENDEELS GELIJK Kernstructuur behouden. Kleine aanpassingen in screeningseisen en bewustzijnstraining
H3 — Fysiek
Bouwkundig, elektronisch, opslag		 H3 — Fysiek
117 eisen		 UITGEBREID Meer gedetailleerde eisen per TBB-niveau. Nieuwe eisen rond vernietiging en transport
H4 — Cyber
IT, netwerk, crypto		 H4 — Cyber
217 eisen		 STERK UITGEBREID Van ~80 eisen naar 217. Nieuwe secties voor zero trust, EDR/XDR, SIEM, threat intelligence, secure development
Geen equivalent H5 — Cloud
20 eisen		 NIEUW Volledig nieuw hoofdstuk. Datasoevereiniteit, leveranciersmanagement, classificatie in cloud

Wijzigingen per hoofdstuk

H1 — Bestuur & Organisatie

  • Nieuw: Explicite eisen rond zeggenschap en invloed van buitenlandse entiteiten op de leverancier
  • Nieuw: Verplichte doorgifte van beveiligingseisen naar onderaannemers in de gehele keten
  • Nieuw: Eisen rond bedrijfscontinuiteit specifiek voor gerubriceerde opdrachten
  • Uitgebreid: Rol beveiligingsfunctionaris verduidelijkt en verzwaard
  • Uitgebreid: Incidentmanagement met verplichte meldtermijnen
  • Gelijk: Basisstructuur beveiligingsorganisatie

H2 — Personeel

  • Gelijk: VGB-structuur en screeningsniveaus grotendeels ongewijzigd
  • Gelijk: Geheimhoudingsverklaring en gedragscode
  • Uitgebreid: Bewustzijnstraining nu met specifieke frequentie- en inhoudseisen
  • Uitgebreid: Eisen rond buitenlandse reizen van gescreend personeel
  • Nieuw: Explicite eisen voor remote werkend personeel

H3 — Fysieke beveiliging

  • Uitgebreid: Meer gedetailleerde eisen per TBB-niveau (was meer generiek in ABDO)
  • Uitgebreid: Elektronische beveiliging (IDS, CCTV) met specifiekere technische eisen
  • Nieuw: Eisen rond vernietiging van informatiedragers per TBB-niveau
  • Nieuw: Transport van gerubriceerd materiaal gedetailleerder beschreven
  • Gelijk: Basisprincipes bouwkundige beveiliging en zonering

H4 — Cyber (grootste wijzigingen)

  • Nieuw: Zero trust architectuurprincipes als uitgangspunt
  • Nieuw: Eisen voor Endpoint Detection & Response (EDR/XDR)
  • Nieuw: Verplicht Security Information & Event Management (SIEM)
  • Nieuw: Threat intelligence als input voor beveiligingsmaatregelen
  • Nieuw: Secure software development lifecycle (SSDLC) eisen
  • Nieuw: Vulnerability management met specifieke patchtermijnen
  • Uitgebreid: Cryptografie-eisen gemoderniseerd (aandacht post-quantum)
  • Uitgebreid: Logging-eisen nu met verwijzing naar JSCU Logging Essentials
  • Uitgebreid: Netwerksegmentatie en -monitoring veel gedetailleerder
  • Gelijk: Basisprincipes toegangsbeheer en authenticatie

H5 — Cloud (volledig nieuw)

  • Nieuw: Datasoevereiniteit — waar data mag worden opgeslagen en verwerkt
  • Nieuw: Classificatie van cloudservices per TBB-niveau
  • Nieuw: Leveranciersmanagement specifiek voor cloudproviders
  • Nieuw: Eisen rond exit-strategie en data-portabiliteit
  • Nieuw: Monitoring en logging in cloudomgevingen
  • Nieuw: Beperkingen per TBB-niveau (TBB-1: geen cloud; TBB-2: onder voorwaarden)

Praktische impact voor leveranciers

Wat betekenen deze wijzigingen concreet voor uw organisatie?

Als u al ABDO-gecertificeerd bent:
Uw bestaande maatregelen voor H1-H3 vormen een goede basis, maar u moet deze toetsen aan de nieuwe ABRO-eisen. De grootste inspanning zit in H4 (Cyber) dat sterk is uitgebreid, en H5 (Cloud) dat volledig nieuw is. Plan een gap-analyse met de FNC Tool Eisen tool.
Als u nieuw bent met gerubriceerde opdrachten:
Dit bepaalt welke eisen op u van toepassing zijn. Wijs direct een beveiligingsfunctionaris aan en neem contact op met het NBIV voor het VGB-traject. De doorlooptijd voor veiligheidsonderzoeken is 3-6 maanden.
Concrete stappen:
1. Voer een gap-analyse uit tegen de ABRO 2026 eisen
2. Prioriteer H4 (Cyber) — hier zijn de meeste nieuwe eisen
3. Beoordeel of u cloudservices gebruikt en toets deze tegen H5
4. Controleer uw supply chain — onderaannemers moeten ook voldoen
5. Update uw beveiligingsplan en leg dit voor aan het NBIV/MIVD

Tijdlijn

ABDO 2019
Publicatie & inwerkingtreding
2019 — 2025
ABDO van kracht
2025 — 2026
Overgangsperiode
ABRO 2026
Inwerkingtreding
Let op: Bestaande contracten die onder ABDO 2019 zijn afgesloten, blijven onder ABDO vallen tot het contract afloopt of wordt verlengd. Bij verlenging of nieuwe contracten geldt ABRO 2026. Het is aan te raden om alvast te anticiperen op de ABRO-eisen, ook als uw huidige contract nog onder ABDO valt.