Veiligheid in aanbestedingen: van eis tot uitvoering

Veiligheid hoort vanaf het begin thuis in een aanbesteding. Organisaties die producten of diensten inkopen, kunnen te maken krijgen met risico’s rond informatiebeveiliging, privacy, fysieke veiligheid en de continuïteit van hun dienstverlening. Door deze risico’s tijdig in kaart te brengen en passende eisen te stellen, wordt veiligheid niet iets wat achteraf moet worden toegevoegd, maar een vast onderdeel van de opdracht.

Begin met een risicoanalyse

Niet elke opdracht brengt dezelfde risico’s met zich mee. Een leverancier die toegang krijgt tot persoonsgegevens of interne systemen vraagt om andere maatregelen dan een leverancier die kantoorbenodigdheden levert. Breng daarom vóór de aanbesteding in kaart:

• welke informatie, systemen, gebouwen of processen toegankelijk zijn;
• welke gevolgen een datalek, storing of veiligheidsincident kan hebben;
• welke wettelijke en organisatorische verplichtingen van toepassing zijn;
• hoe afhankelijk de organisatie wordt van de leverancier en diens onderaannemers.

Een duidelijke risicoanalyse helpt om eisen te formuleren die aansluiten bij de opdracht. Zo voorkomt de aanbestedende organisatie zowel onvoldoende beveiliging als onnodig zware voorwaarden.

Formuleer concrete en proportionele eisen

Veiligheidseisen moeten helder, relevant en controleerbaar zijn. Een algemene eis als “de leverancier moet veilig werken” biedt weinig houvast. Beschrijf liever welke maatregelen nodig zijn, op welke onderdelen van de opdracht ze betrekking hebben en hoe de naleving wordt aangetoond.

Denk bijvoorbeeld aan eisen voor toegangsbeheer, versleuteling, beveiligingsupdates, back-ups, incidentmelding, screening van medewerkers of veilige verwijdering van gegevens. Vraag alleen om certificeringen of bewijsstukken wanneer die passend en noodzakelijk zijn. Eisen moeten bovendien proportioneel zijn: ze mogen niet verder gaan dan nodig is om de risico’s van de opdracht te beheersen.

Neem privacy en informatiebeveiliging mee

Wanneer een leverancier persoonsgegevens verwerkt, is het belangrijk om de privacyverplichtingen al in de aanbestedingsstukken mee te nemen. Leg vast welke gegevens worden verwerkt, voor welk doel en onder welke voorwaarden. Maak ook afspraken over bewaartermijnen, beveiliging, het inschakelen van subverwerkers en het melden van datalekken.

Bij opdrachten met toegang tot vertrouwelijke informatie of digitale systemen kan het nodig zijn om aanvullende beveiligingsmaatregelen te verlangen. Denk aan meerfactorauthenticatie, beperkte toegangsrechten, logging en periodieke controles. De maatregelen moeten passen bij de gevoeligheid van de informatie en de impact van mogelijke incidenten.

Beoordeel niet alleen de prijs

Een lage inschrijfprijs zegt niet automatisch iets over de veiligheid of betrouwbaarheid van een oplossing. Neem daarom relevante veiligheidsaspecten mee in de beoordeling van inschrijvingen. Maak vooraf duidelijk waarop wordt beoordeeld en hoe zwaar de verschillende criteria meewegen.

Beoordeel bijvoorbeeld de voorgestelde beveiligingsaanpak, de werkwijze bij incidenten, de continuïteitsmaatregelen en de manier waarop de leverancier risico’s in de keten beheerst. Beoordelingscriteria moeten objectief en transparant zijn, zodat inschrijvers weten waarop zij hun aanbieding moeten afstemmen.

Leg afspraken vast in het contract

Veiligheid stopt niet wanneer de opdracht is gegund. Neem daarom concrete afspraken op in het contract, zoals:

• welke beveiligingsmaatregelen de leverancier moet uitvoeren;
• hoe en binnen welke termijn incidenten moeten worden gemeld;
• welke controle- of auditmogelijkheden de opdrachtgever heeft;
• hoe wijzigingen, kwetsbaarheden en beveiligingsupdates worden behandeld;
• wat er gebeurt met gegevens en toegangsrechten bij het einde van de opdracht;
• welke verplichtingen ook gelden voor onderaannemers.

Maak afspraken zo concreet mogelijk. Formuleringen als “de leverancier neemt passende maatregelen” kunnen nuttig zijn als aanvulling, maar zijn vaak onvoldoende zonder verdere uitleg over de verwachte maatregelen en de manier waarop naleving wordt getoetst.

Blijf veiligheid tijdens de opdracht volgen

Ook na de start van de dienstverlening kunnen risico’s veranderen. Nieuwe software, gewijzigde processen of andere onderaannemers kunnen gevolgen hebben voor de veiligheid. Bespreek beveiliging daarom regelmatig met de leverancier en controleer of gemaakte afspraken worden nageleefd.

Een duidelijk proces voor incidenten en escalaties helpt om snel en zorgvuldig te handelen. Leg vast wie contactpersonen zijn, welke informatie bij een melding nodig is en wie beslissingen neemt. Evalueer na afloop van de opdracht wat goed ging en welke lessen kunnen worden meegenomen in volgende aanbestedingen.

Veiligheid als onderdeel van goed inkopen

Een veilige aanbesteding begint met inzicht in de risico’s, vertaalt die naar passende en toetsbare eisen en houdt ook tijdens de uitvoering aandacht voor naleving. Door veiligheid op die manier structureel mee te nemen, kunnen organisaties leveranciers zorgvuldig vergelijken, kwetsbaarheden beperken en de continuïteit van hun dienstverlening beter beschermen.

 

Zeven Tips voor Verbeterde Veiligheid in Aanbestedingsprocessen

1. Neem veiligheidsrisico’s op in de aanbestedingsstukken.
2. Stel duidelijke eisen aan veiligheidsbeleid en certificering.
3. Vraag inschrijvers om een concreet veiligheidsplan.
4. Controleer referenties en incidentregistraties.
5. Beoordeel veiligheid naast prijs en kwaliteit.
6. Leg verantwoordelijkheden en meldplichten contractueel vast.
7. Monitor de veiligheidsafspraken tijdens de uitvoering.

Neem veiligheidsrisico’s op in de aanbestedingsstukken.

Neem veiligheidsrisico’s expliciet op in de aanbestedingsstukken, zodat inschrijvers vanaf het begin weten welke risico’s zij moeten beheersen en welke maatregelen worden verwacht. Beschrijf bijvoorbeeld eisen voor informatiebeveiliging, privacy, toegangsbeheer en het melden van incidenten. Stem de eisen af op de aard en impact van de opdracht en maak ze zo concreet en controleerbaar mogelijk. Zo kunnen inschrijvingen eerlijk worden beoordeeld en ontstaan er tijdens de uitvoering minder misverstanden over de verantwoordelijkheden.

Stel duidelijke eisen aan veiligheidsbeleid en certificering.

Stel bij een aanbesteding duidelijke, concrete eisen aan het veiligheidsbeleid en eventuele certificeringen van inschrijvers. Beschrijf welke maatregelen nodig zijn, bijvoorbeeld voor toegangsbeheer, gegevensbescherming en het melden van incidenten, en hoe de leverancier kan aantonen dat hieraan wordt voldaan. Vraag alleen om certificeringen die relevant en proportioneel zijn voor de opdracht, zodat de eisen de veiligheid versterken zonder onnodige drempels op te werpen.

Vraag inschrijvers om een concreet veiligheidsplan.

Vraag inschrijvers om een concreet veiligheidsplan dat aansluit op de risico’s en eisen van de opdracht. Laat daarin beschrijven welke maatregelen zij nemen om bijvoorbeeld gegevens, systemen, medewerkers en processen te beschermen, hoe zij incidenten melden en aanpakken en hoe zij de veiligheid van eventuele onderaannemers bewaken. Vraag ook hoe de maatregelen tijdens de uitvoering worden gecontroleerd en bijgewerkt. Zo kunt u aanbiedingen beter vergelijken en beoordelen of de voorgestelde aanpak niet alleen overtuigend klinkt, maar ook praktisch uitvoerbaar is.

Controleer referenties en incidentregistraties.

Controleer bij een aanbesteding de referenties van inschrijvers en vraag hoe zij vergelijkbare opdrachten hebben uitgevoerd. Informeer ook naar relevante beveiligingsincidenten, de manier waarop deze zijn geregistreerd en welke verbetermaatregelen daarna zijn genomen. Beoordeel de antwoorden zorgvuldig en proportioneel, met respect voor vertrouwelijkheid en toepasselijke privacyregels. Zo krijgt u een beter beeld van de ervaring, openheid en aanpak van een leverancier op het gebied van veiligheid.

Beoordeel veiligheid naast prijs en kwaliteit.

Beoordeel veiligheid naast prijs en kwaliteit, zodat een lage inschrijfprijs niet ten koste gaat van de bescherming van informatie, systemen of dienstverlening. Neem vooraf duidelijke en objectieve veiligheidscriteria op, zoals maatregelen voor toegangsbeheer, incidentmelding en bedrijfscontinuïteit. Zo kunnen inschrijvingen eerlijk worden vergeleken en wordt zichtbaar welke leverancier de risico’s van de opdracht het beste beheerst.

Leg verantwoordelijkheden en meldplichten contractueel vast.

Leg in het contract duidelijk vast wie verantwoordelijk is voor welke beveiligingsmaatregelen en wat er van de leverancier wordt verwacht bij een incident. Beschrijf ook hoe snel en via welke kanalen de leverancier een incident moet melden, welke informatie daarbij moet worden verstrekt en wie binnen uw organisatie het aanspreekpunt is. Heldere afspraken over verantwoordelijkheden en meldplichten helpen om snel te reageren, schade te beperken en aan wettelijke verplichtingen te voldoen.

Monitor de veiligheidsafspraken tijdens de uitvoering.

Veiligheidsafspraken zijn pas effectief als ze tijdens de uitvoering worden nageleefd. Plan daarom regelmatige evaluaties met de leverancier en controleer of afgesproken maatregelen, zoals toegangsbeheer, updates en incidentmeldingen, daadwerkelijk worden toegepast. Leg ook vast wie verantwoordelijk is voor de opvolging en hoe afwijkingen worden aangepakt. Zo kunnen nieuwe risico’s tijdig worden gesignaleerd en blijft de beveiliging gedurende de hele opdracht op peil.