Wat de ABRO en Cbw (NIS2) van een organisatie vragen

Twee regimes met een verschillende logica

Organisaties noemen de ABRO en de Cyberbeveiligingswet soms in één adem. Dat is begrijpelijk omdat beide aan de bestuurlijke verantwoordelijkheid voor beveiliging raken. Toch werken ze vanuit een andere logica, en dat verschil bepaalt wat er concreet van een organisatie wordt gevraagd.

De ABRO is opdrachtgebonden. De regeling is van toepassing op opdrachten van de Rijksoverheid of de politie die risico’s voor de nationale veiligheid raken. Is voor de uitvoering toegang tot een formeel Te Beschermen Belang (TBB) noodzakelijk, dan is sprake van een Bijzondere Opdracht en is een ABRO-verklaring vereist. De Cyberbeveiligingswet ziet daarentegen op de organisatie zelf. Daardoor kan een organisatie onder beide regimes vallen, onder één ervan, of onder geen van beide.

De ABRO geldt per opdracht

De ABRO 2026 wordt sinds 1 januari 2026 gefaseerd ingevoerd binnen de Rijksoverheid en politie. Voor een Bijzondere Opdracht moet de opdrachtnemer vóór aanvang beschikken over een ABRO-verklaring. Het Nationaal Bureau Industrieveiligheid (NBIV) is daarbij aanspreekpunt en onderzoekt of de opdrachtnemer aan de relevante ABRO-eisen voldoet.

De zwaarte van de maatregelen hangt af van het TBB-niveau. De ABRO onderscheidt TBB 4 tot en met TBB 1, waarbij TBB 1 het zwaarst te beveiligen niveau is. Voor gerubriceerde informatie corresponderen deze onder meer met Departementaal Vertrouwelijk (Dep-V), Staatsgeheim Confidentieel (Stg. C), Staatsgeheim Geheim (Stg. G) en Staatsgeheim Zeer Geheim (Stg. ZG). Een TBB hoeft niet altijd gerubriceerde informatie te betreffen; ook systemen, materieel, goederen en objecten kunnen een TBB vormen. De opdrachtgever stelt vóór het inkoopproces vast of er sprake is van een TBB en welk beveiligingsniveau vereist is.

Naast technische maatregelen stelt de ABRO eisen aan de inrichting van de beveiligingsorganisatie. De opdrachtnemer draagt een beveiligingsfunctionaris voor, stelt een beveiligingsplan op en voert jaarlijks een zelfinspectie uit. Het beveiligingsplan moet door het hoogste bestuursorgaan zijn goedgekeurd en door het NBIV zijn geaccordeerd. De jaarlijkse beoordeling van het plan en maatregelen wordt schriftelijk gerapporteerd met afschrift aan het NBIV. Wijzigingen die de beveiligingsmaatregelen raken, vereisen goedkeuring van het NBIV.

Waar de ABRO het elektronisch veiligheidsonderzoek noemt

Hoofdstuk 3 van de ABRO bevat de eisen voor fysieke beveiliging. Een Compartiment is daarin een aangewezen, beveiligde en afsluitbare fysieke omgeving waarin een of meerdere TBB’s worden verwerkt of opgeslagen. Dat kan een kamer zijn, een etage, gebouw, fabriekshal of buitenterrein.

Voor elektronische apparatuur gelden concrete beperkingen. Alleen apparatuur die strikt noodzakelijk is voor de werkzaamheden mag in een compartiment aanwezig zijn, de toelating daarvan moet zijn gebaseerd op een risicoanalyse. Niet-noodzakelijke elektronica wordt buiten het compartiment gehouden. Camera’s, smart devices, microfoons en andere apparatuur met opname- of communicatiefuncties zijn niet toegestaan.

Daarna volgt de eis die voor het elektronisch veiligheidsonderzoek relevant is. ABRO-eis 3.3.31 bepaalt dat vóór ingebruikname van een compartiment en bij toevoeging of wijziging van middelen, in afstemming met NBIV, een Elektronisch Veiligheidsonderzoek (EVO) en geluidsdempingsmeting moeten zijn uitgevoerd. Eventuele maatregelen worden vóór implementatie met NBIV afgestemd. Deze eis geldt volgens de ABRO-tabel voor TBB 2 en TBB 1.

De ABRO definieert een EVO als onderzoek naar de potentiële aanwezigheid van ongewenste apparatuur in een compartiment. De ABRO koppelt het onderzoek aan gebeurtenissen, niet aan een standaard periodiek interval: ingebruikname en toevoeging of wijziging van middelen.

Wat dat betekent voor het moment waarop u ons inschakelt

Onze sweep is geen formele accreditatie. Wij zitten eerder in het traject: voordat een ruimte formeel wordt beoordeeld, brengen we in kaart wat er aanwezig is, welke technische risico’s relevant zijn en wat aan bekabeling, apparatuur en inrichting moet kunnen worden verklaard.

Dat geeft u tijd om bevindingen op te lossen, maatregelen te treffen of keuzes te onderbouwen vóórdat ze onderdeel worden van een formeel traject. U gaat de beoordeling daarmee niet blind in.

Wij doen geen uitspraken voor het NBIV. Wat we wél leveren is een methodisch onderbouwd beeld, met een vooraf vastgesteld dreigingsprofiel en scope, expliciete onderzoekscriteria en een duidelijke beschrijving van bevindingen, beperkingen en restrisico. Daarmee nemen we veel onzekerheid weg in een traject dat vaak complex en spannend is. We maken knelpunten vroegtijdig zichtbaar en helpen de accreditatie efficiënter en beter voorbereid te doorlopen.

De Cyberbeveiligingswet stelt een andere vraag

De Cyberbeveiligingswet is sinds 15 augustus 2026 van kracht en implementeert de Europese NIS2-richtlijn in Nederland. Voor organisaties die onder de wet vallen gelden onder meer een registratieplicht, zorgplicht en meldplicht voor significante incidenten.

Voor onze praktijk is vooral de zorgplicht relevant. Die vraagt organisaties om passende en evenredige maatregelen te nemen tegen risico’s voor hun netwerk- en informatiesystemen. Daarbij telt niet alleen de digitale beveiliging: ook de fysieke omgeving waarin die systemen zich bevinden maakt deel uit van de risicoafweging.

Anders dan de ABRO schrijft de Cyberbeveiligingswet geen EVO of sweep voor. De organisatie moet zelf onderbouwen welke risico’s relevant zijn, welke maatregelen daarbij passen en hoe de effectiviteit daarvan wordt beoordeeld. In de praktijk laten organisaties hun fysieke weerbaarheid bijvoorbeeld door red teams onderzoeken; de Cyberbeveiligingswet verplicht zo’n test niet, maar vraagt organisaties zelf hun risico’s in kaart te brengen en passende maatregelen te nemen.

Diezelfde risicogestuurde gedachte kan worden toegepast op contraspionage en uitstraling van gevoelige informatie anderszins. Als het dreigingsbeeld daar aanleiding toe geeft, is het logisch om niet alleen te onderzoeken of iemand een gebouw kan binnendringen, maar ook of gevoelige informatie vanuit de beveiligde omgeving kan worden onderschept. Precies daar kan technisch contraspionage-onderzoek waarde toevoegen.

Wat de Cyberbeveiligingswet niet voorschrijft

De Cbw verplicht u niet om periodiek een ruimte op afluistermiddelen te laten onderzoeken, maar vraagt wél om risico’s aantoonbaar te beheersen.

Als gevoelige informatie over kritieke systemen, incidenten, kwetsbaarheden of bedrijfsvoering structureel in een bepaalde ruimte wordt besproken, kan ook die ruimte onderdeel worden van uw risicobeeld. Een technisch onderzoek kan dan onderbouwen welke risico’s daar feitelijk zijn onderzocht en welke onzekerheden resteren. Dat is het verschil tussen een maatregel kunnen noemen en kunnen uitleggen waarom u hem heeft genomen.

Waar ABRO en Cyberbeveiligingswet elkaar raken

Voor organisaties die met beide kaders te maken hebben, komen de twee lijnen uiteindelijk samen bij dezelfde vraag: kunt u onderbouwen waarom uw beveiligingsmaatregelen passend zijn en waarop dat oordeel is gebaseerd?

Een goed onderzoeksrapport helpt daarbij. Het legt niet alleen een uitkomst vast, maar ook het dreigingsprofiel, de scope, de toegepaste methodiek, de bevindingen en de grenzen van het onderzoek.

Zo’n rapport kan daardoor bruikbaar zijn in meerdere verantwoordingslijnen: als technische onderbouwing binnen een ABRO-traject én als vastlegging van een risicogestuurde beveiligingsmaatregel onder de Cyberbeveiligingswet.

Een rapport waarin alleen staat dat een ruimte ‘schoon’ is, biedt die onderbouwing niet. Daarom leggen wij vooraf vast waartegen wordt onderzocht en laten we die uitgangspunten in de rapportage terugkomen.

Geen vinkje, maar onderbouwing

De overeenkomst tussen beide regimes is uiteindelijk belangrijker dan het verschil: beveiligingsmaatregelen moeten verdedigbaar zijn.

De ABRO doet dat op onderdelen met concrete eisen en beschermingsniveaus. De Cyberbeveiligingswet legt meer verantwoordelijkheid bij de organisatie om vanuit risico’s passende en evenredige maatregelen te kiezen.

Ons werk zit precies tussen die twee: zichtbaar maken welke technische risico’s relevant zijn, onderzoeken wat aantoonbaar kan worden vastgesteld en vastleggen waarop uw beveiligingskeuzes zijn gebaseerd.

Wat u hier niet uit kunt afleiden

Deze pagina beschrijft hoe wij de twee kaders lezen. Het is geen juridisch advies. Of de ABRO op uw opdracht van toepassing is en op welk niveau, stelt de opdrachtgever vast; het NBIV is het aanspreekpunt voor wat dat concreet betekent. Of uw organisatie onder de Cyberbeveiligingswet valt en welke maatregelen in uw geval passend en evenredig zijn, bepaalt u zelf, in overleg met uw eigen adviseurs en de toezichthouder voor uw sector.