Tenders in de ICT

Wat opdrachtgevers vragen

• De BIOOverheidsorganisaties werken met de Baseline Informatiebeveiliging Overheid. De vernieuwde BIO2 is in september 2025 gepubliceerd en gebaseerd op ISO/IEC 27001:2022 en 27002:2022. Leveranciers van producten en diensten aan de overheid moeten, afhankelijk van het risico en de soort dienst, voldoen aan eisen uit de BIO.
• ISO 27001Een ISO 27001-certificaat is de gangbare manier om te laten zien dat je informatiebeveiliging op orde is. Kijk naar de scope: dekt je certificaat de dienst die de opdracht vraagt? En staat er alleen “ISO 27001” zonder “of gelijkwaardig”, stel er dan een vraag over. Lees geschiktheidseisen en knock-outs.
• AVG en verwerkersovereenkomstVerwerk je persoonsgegevens voor de opdrachtgever, dan sluit die met jou een verwerkersovereenkomst. De opdrachtgever blijft verantwoordelijk voor wat hij uitbesteedt, en vraagt dus naar je beveiligingsmaatregelen, je subverwerkers en de plek waar de gegevens staan.
• InkoopvoorwaardenVoor IT-overeenkomsten bestaan eigen algemene voorwaarden, zoals de Algemene Rijksvoorwaarden bij IT-overeenkomsten (ARBIT), sinds september 2022 in de versie ARBIT-2022. Lees de voorwaarden vóór je besluit. Aansprakelijkheid en intellectueel eigendom kunnen reden zijn voor een vraag, of voor een no-bid.

Bij een private tender

Bij een bedrijf begint een ICT-traject vaak met een RFI of een demo. De gebruikers willen zien dat het werkt, de IT-afdeling wil weten hoe het aansluit op wat er al is, en inkoop wil de kosten over de hele looptijd. Lees RFI, RFP en RFQ en de DMU.

Lees hoe Atvalio helpt bij private tenders

Hoe Atvalio helpt

Atvalio leest de stukken, kent je bedrijf en schrijft mee. Jij beslist en dient in. Zo ziet dat er in deze sector uit:

1. 1BegrijpenBeveiligingseisen, certificaten met hun scope, privacy-eisen en de voorwaarden op een rij, met de pagina erbij.
2. 2BesluitenEen advies dat de eisen en de voorwaarden naast je certificaten en je risico’s legt.
3. 3VragenEen vraag voor de nota van inlichtingen over “of gelijkwaardig”, over de scope van een certificaat of over de aansprakelijkheid.
4. 4SchrijvenJe antwoorden per gunningscriterium vanuit je profiel: je architectuur, je beveiliging en je implementaties.
5. 5ControlerenEen gesimuleerde commissie leest mee, en Atvalio controleert of elk gevraagd bewijs, zoals een verklaring of certificaat, erbij zit.

Wat er vaak misgaat

• Fictief voorbeeldEen certificaat met de verkeerde scopeEen softwarebedrijf heeft een ISO 27001-certificaat, maar de scope dekt alleen de ontwikkelafdeling en niet de hosting die de opdracht vraagt. De opdrachtgever vraagt het certificaat inclusief scope op, en het bedrijf voldoet niet aan de eis. Atvalio legt de scope uit je profiel naast wat de opdracht vraagt en meldt het verschil.

Verder lezen

• Geschiktheidseisen en knock-outs: lezen, aanvechten of samenwerken
• Leidraad, programma van eisen en nota van inlichtingen: zo heb je invloed op een aanbesteding
• RFI, RFP en RFQ: wat is het verschil, en wat doe je ermee?
• Bid of no-bid: wanneer schrijf je in, en wanneer niet?
• Rekenhulp prijs en kwaliteit