Bij aanbestedingen moet je als inschrijver aantonen dat informatiebeveiliging binnen jouw organisatie aantoonbaar en structureel is geregeld. Dat betekent in de praktijk: voldoen aan specifieke beveiligingseisen die de aanbesteder stelt, ondersteund door bewijs zoals een certificaat, een ISMS of een ondertekende verklaring. Welke eisen je tegenkomt en hoe je daarop inspeelt, hangt af van de sector, de gevoeligheid van de opdracht en de omvang van de aanbesteder. Dit artikel beantwoordt de meest gestelde vragen over beveiligingseisen in het offertetraject.
Welke beveiligingseisen komen het vaakst voor bij aanbestedingen?
De meest voorkomende beveiligingseisen bij aanbestedingen zijn een geldig ISO 27001-certificaat, aantoonbaar beleid rondom informatiebeveiliging en privacy, een beschrijving van technische en organisatorische maatregelen, en naleving van de AVG. Overheidsaanbestedingen verwijzen daarnaast regelmatig naar de BIO (Baseline Informatiebeveiliging Overheid) of NIS2-gerelateerde eisen.
In de praktijk zie je de volgende eisen het vaakst terugkomen:
- ISO 27001-certificering: het meest gevraagde certificaat bij zowel private als publieke aanbestedingen
- AVG-compliance: aantoonbaar beleid voor de verwerking van persoonsgegevens, vaak inclusief een verwerkersovereenkomst
- Risicoanalyse en beveiligingsmaatregelen: een beschrijving van hoe je omgaat met informatiebeveiligingsrisico’s
- Incidentbeheer: een gedocumenteerde procedure voor het melden en afhandelen van beveiligingsincidenten
- Leveranciersbeheer: bewijs dat ook onderaannemers en leveranciers aan beveiligingseisen voldoen
- BIO of NEN 7510: specifiek bij overheids- of zorgopdrachten
Organisaties die werken voor NIS2-plichtige opdrachtgevers krijgen steeds vaker ook indirecte eisen voorgelegd: de opdrachtgever is zelf verplicht zijn keten te beveiligen en legt die verantwoordelijkheid contractueel door aan leveranciers. Dat maakt NIS2-gerelateerde eisen in aanbestedingen een groeiend aandachtspunt in 2026.
Wat is het verschil tussen een knock-outeis en een gunningscriterium?
Een knock-outeis (ook wel geschiktheidseis of uitsluitingsgrond) is een harde voorwaarde waaraan je verplicht moet voldoen om überhaupt mee te mogen doen aan een aanbesteding. Voldoe je niet, dan word je uitgesloten. Een gunningscriterium bepaalt niet of je mag inschrijven, maar hoe goed jouw inschrijving scoort ten opzichte van andere aanbieders.
In de context van informatiebeveiliging werkt dit onderscheid als volgt:
- Knock-outeis: “Inschrijver dient een geldig ISO 27001-certificaat te overleggen.” Heb je dat niet, dan wordt je inschrijving terzijde gelegd.
- Gunningscriterium: “Inschrijvers die beschikken over aanvullende certificeringen of een aantoonbaar volwassen ISMS ontvangen extra punten.” Hier kun je onderscheid maken ten opzichte van concurrenten.
Het is dus cruciaal om bij elke aanbesteding goed te lezen welke beveiligingseisen als knock-out zijn geformuleerd en welke je kunt inzetten om beter te scoren. Organisaties die een ISO 27001-certificaat hebben, voldoen automatisch aan de meest voorkomende knock-outeisen én kunnen gunningscriteria sterker invullen door de diepte van hun ISMS toe te lichten.
Hoe toon je aan dat je voldoet aan de beveiligingseisen?
Je toont aan dat je voldoet aan beveiligingseisen in een aanbesteding door geaccepteerd bewijs te overleggen: een geldig certificaat van een geaccrediteerde certificerende instelling, een auditrapport, een ingevulde vragenlijst of een eigen verklaring ondersteund door documentatie. Welk bewijs wordt geaccepteerd, staat beschreven in de aanbestedingsdocumenten.
De meest voorkomende bewijsmiddelen zijn:
- ISO 27001-certificaat: uitgegeven door een geaccrediteerde instelling, maximaal drie jaar geldig met jaarlijkse controle-audits
- Auditrapport van een interne of externe audit: toont aan dat het ISMS actief wordt onderhouden en gecontroleerd
- Eigen verklaring (self-assessment): soms geaccepteerd bij kleinere opdrachten of als aanvulling op een certificaat
- Verwerkersovereenkomst en privacybeleid: als bewijs van AVG-compliance
- Beschrijving van maatregelen: een overzicht van technische, fysieke en organisatorische beveiligingsmaatregelen
Een certificaat is het sterkste bewijs, omdat het onafhankelijk is getoetst. Een interne audit kan dienen als aanvullend bewijs dat het systeem ook in de praktijk werkt, niet alleen op papier. Sommige aanbesteders vragen expliciet om een recent auditrapport naast het certificaat zelf.
Wat als je nog geen certificering hebt maar toch wil inschrijven?
Als je nog geen ISO 27001-certificaat hebt maar toch wil inschrijven op een aanbesteding, hangt het af van hoe de beveiligingseis is geformuleerd. Is het een harde knock-outeis, dan kun je zonder certificaat niet meedoen. Is de eis zachter of gaat het om een gunningscriterium, dan kun je inschrijven op basis van aantoonbare maatregelen, een eigen verklaring of een lopend implementatietraject.
In situaties waar het certificaat geen harde eis is, zijn er alternatieven:
- Een gedetailleerde beschrijving van je huidige beveiligingsmaatregelen en beleid
- Een verklaring dat je bezig bent met certificering, inclusief een planning
- Een recente risicoanalyse of nulmeting als bewijs van een gestructureerde aanpak
- Referenties of contractuele afspraken die informatiebeveiliging borgen
Wees hierin realistisch: aanbesteders die ISO 27001 als knock-outeis stellen, doen dat bewust. Het inhalen van die achterstand vergt tijd. Een implementatietraject voor ISO 27001 duurt gemiddeld enkele maanden tot een jaar, afhankelijk van de omvang en complexiteit van de organisatie. Wie structureel aan aanbestedingen wil deelnemen waarbij beveiligingseisen een rol spelen, doet er verstandig aan dit traject ruim van tevoren te starten.
Wanneer is een ISMS voldoende bewijs voor een aanbesteder?
Een Information Security Management System (ISMS) is voldoende bewijs wanneer de aanbesteder geen certificaat als harde eis stelt, maar vraagt om aantoonbaar beleid en maatregelen rondom informatiebeveiliging. In dat geval kun je met gedocumenteerde processen, een risicoanalyse en een beschrijving van je beheersmaatregelen aantonen dat je informatiebeveiliging structureel hebt ingericht.
Een ISMS is in feite de inhoud waarop een ISO 27001-certificaat is gebaseerd. Het bevat beleid, risicoanalyses, maatregelen, verantwoordelijkheden en controles. Zonder certificaat heb je geen onafhankelijke toetsing, maar de onderliggende structuur kan op zichzelf al overtuigend zijn als de aanbesteder ruimte laat voor eigen verklaringen.
Let op de volgende situaties waarin een ISMS als bewijs wel of niet volstaat:
- Wel voldoende: de aanbesteder vraagt om een “beschrijving van beveiligingsmaatregelen” of een “verklaring omtrent informatiebeveiliging”
- Niet voldoende: de aanbesteder eist een certificaat van een geaccrediteerde instelling of een auditrapport van een onafhankelijke partij
- Grijs gebied: de aanbesteder vraagt om “aantoonbare naleving van ISO 27001” zonder expliciet een certificaat te eisen; hier is overleg of een toelichting aan te raden
Een goed ingericht en actief onderhouden ISMS versterkt in alle gevallen je positie, ook wanneer je al gecertificeerd bent. Het laat zien dat informatiebeveiliging geen papieren exercitie is, maar daadwerkelijk leeft binnen de organisatie.
Hoe bereid je je structureel voor op terugkerende beveiligingseisen?
Structureel voorbereid zijn op beveiligingseisen bij aanbestedingen betekent dat je informatiebeveiliging niet per offertetraject regelt, maar continu op orde houdt. Dat doe je door een erkende norm te implementeren, je documentatie actueel te houden en regelmatig te toetsen of je maatregelen nog werken. Zo kun je bij elke aanbesteding snel en overtuigend bewijs aanleveren.
Praktische stappen om structureel klaar te zijn:
- Implementeer een erkende norm: ISO 27001 is de meest gevraagde standaard en dekt de meeste beveiligingseisen bij aanbestedingen af
- Houd je ISMS actief onderhouden: een certificaat is drie jaar geldig, maar jaarlijkse controle-audits zijn verplicht; zorg dat je documentatie en maatregelen actueel blijven
- Voer regelmatig interne audits uit: dit geeft inzicht in verbeterpunten en bereidt je voor op externe toetsing
- Bouw een dossier op: bewaar certificaten, auditrapportages, risicoanalyses en beleidsdocumenten zodat je bij elke aanbesteding snel kunt reageren
- Train medewerkers: aanbesteders vragen soms naar bewustwording en gedrag; aantoonbare trainingen versterken je positie
- Volg ontwikkelingen: wet- en regelgeving zoals de Cyberbeveiligingswet (NIS2) beïnvloedt wat aanbesteders van leveranciers verlangen
Organisaties die informatiebeveiliging structureel inrichten, hoeven bij een nieuw offertetraject niet van nul te beginnen. Ze kunnen snel de gevraagde documentatie aanleveren en onderscheiden zich van concurrenten die beveiliging pas regelen als een aanbesteding dat vraagt.
Hoe Kwinzo helpt bij beveiligingseisen in aanbestedingen
Wij helpen organisaties om informatiebeveiliging structureel en aantoonbaar op orde te krijgen, zodat je bij aanbestedingen niet achter de feiten aanloopt. Onze aanpak is concreet en gericht op wat jouw organisatie nodig heeft:
- ISO 27001-implementatie: van nulmeting tot certificeringsaudit, begeleid door een vaste consultant met een compleet team erachter
- Onderhoud van je ISMS: zodat je certificaat geldig blijft en je documentatie altijd actueel is voor aanbestedingen
- Interne audits: uitgevoerd door een onafhankelijke consultant, als voorbereiding op externe toetsing én als bewijs richting aanbesteders
- GAP-analyse voor NIS2: als jouw opdrachtgevers NIS2-plichtig zijn, brengen we in kaart wat er aanvullend nodig is
- Trainingen en bewustwordingsprogramma’s: voor medewerkers en security officers, als aantoonbaar onderdeel van je beveiligingsaanpak
Of je nu voor het eerst wilt certificeren of je bestaande ISMS wilt versterken voor een aankomend offertetraject: wij stemmen de begeleiding af op jouw situatie en ervaring. Bekijk onze diensten of neem direct contact op via ons contactformulier voor een vrijblijvend adviesgesprek.