Wat is TBB?
Te Beschermen Belangen (TBB) is het stelsel waarmee de Rijksoverheid bepaalt welke informatie, systemen en processen extra bescherming nodig hebben. Het gaat om belangen waarvan compromittering (onbevoegde kennisneming, wijziging of verstoring) schade kan toebrengen aan de Staat, bondgenoten of individuele ministeries.
Als leverancier die werkt met TBB-informatie of -systemen bent u gebonden aan de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten (ABRO) 2026. Het TBB-niveau van uw opdracht bepaalt welke beveiligingseisen precies op u van toepassing zijn.
De 4 TBB-niveaus
Het TBB-stelsel kent vier niveaus, oplopend in zwaarte. Elk niveau correspondeert met een rubricering en bepaalt de minimale beveiligingsmaatregelen.
TBB-4
Dep. VERTROUWELIJKKennisname door niet-gerechtigden kan nadeel toebrengen aan het belang van één of meer ministeries.
- Beleidsvoorbereiding, interne analyses, gevoelige maar niet-staatsgeheime informatie
- Verklaring Omtrent het Gedrag (VOG) vereist — geen VGB
- Standaard fysieke en cyber maatregelen conform ABRO
- NAVO equivalent: NAVO RESTRICTED / EU RESTRICTED
TBB-3
Stg. CONFIDENTIEELKennisname door niet-gerechtigden kan schade toebrengen aan de belangen van de Staat of zijn bondgenoten.
- Vertrouwelijke operationele informatie, diplomatieke berichten
- Verklaring van Geen Bezwaar (VGB) niveau C vereist
- Verscherpte fysieke beveiliging, versleutelde opslag en communicatie
- NAVO equivalent: NATO CONFIDENTIAL / EU CONFIDENTIAL
TBB-2
Stg. GEHEIMKennisname door niet-gerechtigden kan ernstige schade toebrengen aan de belangen van de Staat of zijn bondgenoten.
- Inlichtingenrapporten, militaire operatieplannen, gevoelige technische informatie
- Verklaring van Geen Bezwaar (VGB) niveau B vereist
- Beveiligde ruimtes, gescheiden netwerken, goedgekeurde crypto
- NAVO equivalent: NATO SECRET / EU SECRET
TBB-1
Stg. ZEER GEHEIMKennisname door niet-gerechtigden kan zeer ernstige schade toebrengen aan de belangen van de Staat of zijn bondgenoten.
- Bronbescherming inlichtingendiensten, vitale staatsbelangen
- Verklaring van Geen Bezwaar (VGB) niveau A vereist — zwaarste onderzoek
- Geaccrediteerde beveiligde ruimtes, need-to-know strikt gehandhaafd
- NAVO equivalent: COSMIC TOP SECRET / EU TOP SECRET
Rubriceringen
Rubriceringen zijn de formele aanduidingen die op documenten en informatiedragers worden aangebracht. Ze geven aan welk beschermingsniveau van toepassing is.
| Rubricering | Afkorting | TBB | VGB | NAVO equivalent | EU equivalent | Schadeniveau |
|---|---|---|---|---|---|---|
| Departementaal VERTROUWELIJK | Dep.V | TBB-4 | Geen VGB — VOG | NATO RESTRICTED | EU RESTRICTED | Nadeel voor ministerie(s) |
| Stg. CONFIDENTIEEL | Stg.C | TBB-3 | VGB niveau C | NATO CONFIDENTIAL | EU CONFIDENTIAL | Schade aan Staat/bondgenoten |
| Stg. GEHEIM | Stg.G | TBB-2 | VGB niveau B | NATO SECRET | EU SECRET | Ernstige schade aan Staat/bondgenoten |
| Stg. ZEER GEHEIM | Stg.ZG | TBB-1 | VGB niveau A | COSMIC TOP SECRET | EU TOP SECRET | Zeer ernstige schade aan Staat/bondgenoten |
Let op: rubricering is geen automatisch proces. De opsteller van informatie bepaalt de rubricering op basis van het potentiele schadeniveau. Onjuiste rubricering (te hoog of te laag) leidt tot inefficientie of onvoldoende bescherming.
Merkingen
Naast rubriceringen kunnen aanvullende merkingen worden aangebracht die de verspreiding verder beperken of specifieke behandelingsvoorschriften geven.
| Merking | Betekenis | Voorbeeld |
|---|---|---|
| Persoonlijk | Alleen bestemd voor de geadresseerde(n) | Brieven aan individuele bewindspersonen |
| Exclusief | Beperkte verspreiding binnen aangegeven kring | Stg. GEHEIM Exclusief — alleen voor projectteam X |
| Atomal | Informatie over kernwapens (NAVO-merking) | Nucleaire procedures bondgenoten |
| Cosmic | Hoogste NAVO-rubricering | NAVO Top Secret informatie |
| Releasable to (REL TO) | Vrijgave aan specifieke landen/organisaties | Stg. GEHEIM REL TO NLD, USA, GBR |
ABRO-hoofdstukken per TBB-niveau
Niet alle ABRO-hoofdstukken zijn bij elk TBB-niveau even relevant. De onderstaande tabel toont welke hoofdstukken verplicht zijn per niveau.
| ABRO Hoofdstuk | TBB-4 Dep.V |
TBB-3 Stg.C |
TBB-2 Stg.G |
TBB-1 Stg.ZG |
|---|---|---|---|---|
| H1 — Bestuur & Organisatie Beveiligingsorganisatie, functionaris, incidenten |
✓ | ✓ | ✓ | ✓ |
| H2 — Personeel Screening, VGB, geheimhouding, bewustzijn |
✓ | ✓ | ✓ | ✓ |
| H3 — Fysieke beveiliging Bouwkundig, elektronisch, transport, opslag |
✓ | ✓ | ✓ | ✓ |
| H4 — Cyber IT-beveiliging, netwerk, crypto, logging, monitoring |
✓ | ✓ | ✓ | ✓ |
| H5 — Cloud Cloudservices, datasoevereiniteit, leveranciersbeheer |
✓ | ✗ | ✗ | ✗ |
✓ = Verplicht ✗ = Niet toegestaan
Hoofdstuk 5 (Cloud) is alleen van toepassing als type toepassing een clouddienst is — en dat is onder de ABRO uitsluitend toegestaan op TBB 4. Voor TBB 1, 2 of 3 is publieke cloud niet toegestaan.
Belangrijk: Hoewel alle hoofdstukken bij elk niveau relevant zijn, worden de eisen binnen elk hoofdstuk strenger naarmate het TBB-niveau hoger is. Zo vereist TBB-1 bijvoorbeeld gecertificeerde crypto-apparatuur, terwijl TBB-4 met softwarematige encryptie kan volstaan.
Rollen & Instanties
Nationaal Bureau voor Verbindingsbeveiliging (NBV/NBIV)
Het NBIV (voorheen NBV, onderdeel van de AIVD) is het centrale aanspreekpunt voor beveiligingsvraagstukken bij gerubriceerde opdrachten. Het NBIV:
- Verstrekt en beheert Verklaringen van Geen Bezwaar (VGB)
- Accrediteert beveiligde ruimtes en IT-systemen
- Adviseert over beveiligingsmaatregelen en crypto-middelen
- Voert inspecties uit bij leveranciers
Militaire Inlichtingen- en Veiligheidsdienst (MIVD)
Bij opdrachten voor het Ministerie van Defensie is de MIVD het aanspreekpunt voor veiligheidsonderzoeken en beveiligingsaccreditatie. De MIVD werkt nauw samen met het NBIV.
Beveiligingsfunctionaris (BVA)
Elke organisatie die werkt met TBB-informatie moet een Beveiligingsfunctionaris aanwijzen. Deze persoon:
- Is het interne aanspreekpunt voor alle beveiligingszaken
- Zorgt voor naleving van de ABRO-eisen binnen de organisatie
- Onderhoudt contact met het NBIV/MIVD
- Meldt beveiligingsincidenten
- Organiseert beveiligingsbewustzijntrainingen
- Moet zelf een VGB hebben op het vereiste niveau
Bijzondere Opdracht
Een Bijzondere Opdracht is een opdracht van de Rijksoverheid waarbij de leverancier toegang krijgt tot Te Beschermen Belangen. Het proces verloopt als volgt:
- 1. Vaststelling TBB-niveau: De opdrachtgever bepaalt het TBB-niveau van de opdracht op basis van de informatie en systemen waarmee gewerkt wordt.
- 2. Beveiligingsovereenkomst: Er wordt een beveiligingsovereenkomst gesloten tussen opdrachtgever en leverancier, gebaseerd op de ABRO-eisen voor het vastgestelde TBB-niveau.
- 3. VGB-aanvraag: Het NBIV/MIVD voert veiligheidsonderzoeken uit voor betrokken personeel. De zwaarte van het onderzoek hangt af van het TBB-niveau.
- 4. Beveiligingsplan: De leverancier stelt een beveiligingsplan op dat beschrijft hoe aan de ABRO-eisen wordt voldaan.
- 5. Accreditatie: Ruimtes en systemen worden geaccrediteerd door het NBIV/MIVD.
- 6. Uitvoering & controle: Tijdens de opdracht vinden periodieke inspecties plaats. De beveiligingsfunctionaris rapporteert over naleving.
- 7. Afsluiting: Na afloop worden gerubriceerde materialen geretourneerd of vernietigd, en wordt de overeenkomst formeel afgesloten.
Typen toepassingen — Welke eisen gelden voor uw situatie?
De ABRO kent 4 typen toepassingen. Afhankelijk van hoe uw organisatie in aanraking komt met het TBB zijn verschillende hoofdstukken van toepassing. De opdrachtgever stelt vooraf vast welk type van toepassing is (eventueel met advies van het NBIV).
| HOOFDSTUK | ACCESS-TO-SITE | FYSIEKE OPSLAG | DIGITALE OPSLAG | CLOUDDIENST |
|---|---|---|---|---|
| H1 Bestuur & Organisatie | ✓ | ✓ | ✓ | ✓ |
| H2 Personeel | ✓ | ✓ | ✓ | ✓ |
| H3 Fysiek | — | ✓ | ✓ | — |
| H4 Cyber | — | — | ✓ | ✓ |
| H5 Cloud | — | — | — | ✓ |
✓ = van toepassing · — = niet standaard van toepassing. De opdrachtgever bepaalt uiteindelijk welke eisen voor uw specifieke situatie gelden (NBIV adviseert).
VGB-aanvraag via UVO — Het veiligheidsonderzoek
De Unit Veiligheidsonderzoeken (UVO) is de gezamenlijke uitvoeringseenheid van AIVD en MIVD die veiligheidsonderzoeken uitvoert voor de Verklaring van Geen Bezwaar (VGB). Een VGB is verplicht voor vertrouwensfuncties waarbij toegang tot gerubriceerde informatie (TBB-1 t/m TBB-3) vereist is.
De 5 stappen
Doorlooptijden
| VGB NIVEAU | TBB | GEMIDDELDE DOORLOOPTIJD | WETTELIJKE TERMIJN | BIJZONDERHEDEN |
|---|---|---|---|---|
| VGB-C | TBB-3 | 6-8 weken | 8 weken | Standaard onderzoek |
| VGB-B | TBB-2 | 3-6 maanden | Geen harde termijn | Uitgebreider onderzoek, soms gesprek |
| VGB-A | TBB-1 | 6-12 maanden | Geen harde termijn | Zwaarste onderzoek, persoonlijk gesprek, partner wordt ook onderzocht |
Verblijf in het buitenland (kandidaat of partner) verlengt het onderzoek met 4-12 weken per land.
Waar moet u aan denken
- Start de VGB-aanvraag minstens 3-6 maanden voor de beoogde functiedatum
- Controleer of de functie daadwerkelijk een vertrouwensfunctie is
- Zorg dat het VGB-niveau past bij het TBB-niveau van de werkzaamheden
- Vul het AV-formulier volledig en correct in
- Houd de kandidaat op de hoogte van de voortgang
- Na 6 weken mag u navragen bij de UVO
- Meld wijzigingen in persoonlijke omstandigheden (huwelijk, verhuizing naar buitenland, etc.)
- Na afgifte: hernieuwing tijdig aanvragen (VGB-A: 5 jaar, VGB-B/C: 10 jaar)
- Vul het formulier volledig en eerlijk in — leugens leiden tot weigering
- Verzamel documenten die buitenlandse verblijven onderbouwen (verblijfsverklaringen, uittreksels)
- Vraag buitenlandse verklaringen direct bij aanvang op — dit spaart 4+ weken
- Wees voorbereid op vragen over financiën, relaties, buitenlandse contacten
- Schulden, verslavingen of chantabelheid zijn risicofactoren
- Werk mee aan eventuele gesprekken of aanvullende verzoeken
- Meld tussentijdse wijzigingen aan de werkgever (bv. nieuwe partner, verhuizing)
- Een negatieve beoordeling is bezwaar/beroep mogelijk
Hernieuwing en wijzigingen
Een VGB is niet permanent. Er gelden termijnen en meldplichten:
- VGB-A: geldig voor 5 jaar, daarna hernieuwingsonderzoek
- VGB-B en VGB-C: geldig voor 10 jaar
- Meldplicht: significante wijzigingen in persoonlijke omstandigheden moeten direct worden gemeld (huwelijk, scheiding, verhuizing naar buitenland, nieuwe werkgever, strafrechtelijke zaken)
- Ontheffing: bij einde dienstverband of bij twijfel aan geschiktheid kan een VGB worden ingetrokken
- Crypto-functies: aanvullende eisen en aparte verklaring vereist
Plan het VGB-onderzoek ruim voor de beoogde startdatum. Voor een TBB-2 opdracht met VGB-B-medewerkers betekent dit dat u minstens 6 maanden voor projectstart moet beginnen met aanvragen. Voor TBB-1 opdrachten met VGB-A rekent u op 12 maanden. Houd hier rekening mee in uw projectplanning en offertetrajecten — dit is een veelvoorkomende vertragingsfactor bij Bijzondere Opdrachten.
Bronnen: AIVD Veiligheidsonderzoek · MIVD Veiligheidsonderzoek
Praktijkvoorbeelden
Als uw bedrijf software ontwikkelt voor Defensie en toegang krijgt tot Stg. GEHEIM informatie, dan geldt TBB-2. Uw ontwikkelaars hebben een VGB niveau B nodig. De ontwikkelomgeving moet in een geaccrediteerde ruimte staan, op een gescheiden netwerk. Broncode die gerubriceerde logica bevat is zelf ook gerubriceerd. Cloud-hosting is alleen mogelijk met expliciete goedkeuring en aanvullende maatregelen (zie ABRO H5). Alle 5 ABRO-hoofdstukken zijn van toepassing.
Uw organisatie verzorgt het IT-beheer voor een ministerie en heeft daarbij toegang tot Dep. VERTROUWELIJK informatie. Dit valt onder TBB-4. Medewerkers hebben een VOG nodig en ondertekenen een geheimhoudingsverklaring. Standaard fysieke beveiliging en cyberhygiene zijn vereist. Cloud mag gebruikt worden mits aan de eisen uit ABRO H5 wordt voldaan. Een beveiligingsfunctionaris moet worden aangewezen.
Een bouwbedrijf voert werkzaamheden uit op een defensieterrein waar Stg. CONFIDENTIEEL informatie aanwezig is. Alle bouwvakkers worden gescreend (VGB niveau C). Er gelden strikte toegangsregels en begeleiding op het terrein. Het bouwbedrijf moet een beveiligingsplan opstellen en een beveiligingsfunctionaris aanwijzen. ABRO H1, H2 en H3 zijn primair van toepassing.
TBB's in kaart brengen — NCSC methode
Het NCSC beschrijft een praktische methode om te beschermen belangen ("kroonjuwelen") te inventariseren. De aanpak werkt op 3 abstractieniveaus:
De 4 stappen
- Definieer wat TBB betekent voor uw organisatie
- Concretiseer organisatiedoelen
- Identificeer essentiële processen
- Bepaal waarderingsmethode (5-puntsschaal: zeer groot → geen belang)
- Breng stakeholders in kaart
- Maak een eerste inventarisatie van bestaande informatie
- Bespreek met bestuur waarom TBB-inventarisatie nodig is
- Bepaal samen de organisatiedoelen en kritieke zaken
- Bespreek sturingsmechanismen en organisatiewaarden
- Betrek de juiste stakeholders:
- Informatie-eigenaren
- Lijnmanagement / proceseigenaren
- Chief Information Officer (CIO)
- Externe partners en toeleveranciers
- Organiseer workshops met 5-8 personen per sessie
- Stel een referentietabel op:
- Y-as: 5-punts waarderingsschaal
- X-as: belangencategorieën (financieel, reputatie, juridisch, veiligheid)
- Laat deelnemers eerst individueel nadenken
- Bevindingen toelichten en clusteren
- Groepsbrede dialoog voeren
- Processen waarderen en invullen in tabel
- Presenteer resultaten aan bestuur ter validatie
- Verdieping: werk uit naar netwerk- en informatiesystemen (niveau 3). Begin met de zeer grote belangen.
- Eigenaarschap: wijs aan alle informatie een eigenaar toe. Dit helpt bij risicobeheer.
- Actualisering: dit is geen eenmalige exercitie. Richt een periodiek herzieningsproces in. Stem de frequentie af met het bestuur.
- Risicoanalyse: gebruik de TBB's als input. Identificeer specifieke dreigingen per belang. Evalueer huidige maatregelen en bepaal aanvullende maatregelen.
Referentietabel (voorbeeld)
De referentietabel is het centrale instrument. De Y-as toont de waardering, de X-as de belangencategorieën. Per cel vult u in welke informatie, processen of systemen in die combinatie vallen.
| WAARDERING | FINANCIEEL | REPUTATIE | JURIDISCH | VEILIGHEID | TBB-NIVEAU |
|---|---|---|---|---|---|
| Zeer groot belang | Kernprocessen financiële admin | Klantvertrouwen, mediacrisis | Staatsgeheimen | Levensbedreigend | TBB-1 / TBB-2 |
| Groot belang | Belangrijke contracten, IP | Partnerrelaties | Persoonsgegevens, vertrouwelijk | Fysieke veiligheid | TBB-2 / TBB-3 |
| Matig belang | Operationele processen | Interne communicatie | Compliance, dep. vertrouwelijk | Bedrijfscontinuïteit | TBB-3 / TBB-4 |
| Beperkt belang | Ondersteunende processen | Interne documenten | Algemene bedrijfsinformatie | Comfort, efficiency | TBB-4 |
| Geen belang | Openbare informatie | Publieke informatie | Geen restricties | Geen impact | Geen TBB |
Praktische tips
- Begin breed, verfijn later — "perfect is the enemy of good enough"
- Betrek het bestuur vroeg voor mandaat en draagvlak
- Gebruik workshops voor dialoog, niet alleen vragenlijsten
- Documenteer aannames en beslissingen
- Plan periodieke herziening in (minimaal jaarlijks)
- Koppel TBB's direct aan eigenaren
- Maak het geen eenmalige exercitie — TBB's veranderen
- Rubriceer niet te hoog (leidt tot inefficiëntie) of te laag (leidt tot onvoldoende bescherming)
- Laat de inventarisatie niet alleen door IT doen — het is een bedrijfsbrede exercitie
- Ga niet direct naar systemen (niveau 3) zonder eerst doelen en processen te begrijpen
- Vergeet externe partners en toeleveranciers niet
Bron: NCSC — Hoe breng ik mijn te beschermen belangen in kaart?