BIO2 regelt uw risico's. Niet uw leverancierskeuze.
Waarom een BIO2-conforme organisatie toch vastzit aan een leverancier in een lopend contract, en welke twee overheidsinstrumenten dat gat wel kunnen dichten.
BIO2 verplicht een risicogestuurd stelsel voor vertrouwelijkheid, integriteit en beschikbaarheid. Sinds versie 1.3 eist de norm zelfs een expliciete exitstrategie bij nieuwe contracten. Wat ontbreekt: een eis voor lopende contracten, financiële onderbouwingen, en maatregelen tegen leveranciersconcentraties binnen de overheid. Compliant zijn en toch vastzitten kan allebei waar zijn.
Praktijkvoorbeelden
Rijkswaterstaat moet naar de rechter, niet naar een toezichthouder
Na de overname van VMware door Broadcom verving een duurder abonnement de eeuwigdurende licenties. RWS zag de nieuwe voorwaarden te laat om tijdig over te stappen. De rechtbank Den Haag oordeelde dat de IT-zorgplicht was geschonden en legde twee jaar exit-ondersteuning op, tegen circa 1,7 miljoen euro per jaar. Geen aanval, geen storing, dus geen meldplicht die dit vooraf op de agenda van een toezichthouder had gezet.
321 van de 342 gemeenten bereiden een vervolg voor, geen marktverkenning
Aan het GT Microsoft 2-raamcontract, dat afloopt in 2027, nemen 321 van de 342 gemeenten deel. De VNG-gesprekken over een vervolg gaan over voorwaarden en soevereiniteit, niet over een brede aanbesteding. Een raamovereenkomst mag meestal maximaal vier jaar lopen. Een vervolg zonder nieuwe procedure is een risico, geen formaliteit.
Verder dan de norm
Leveranciersrisico per contract is verplicht, marktconcentratie niet
Voor overheidsorganisaties geeft de BIO2 invulling aan de Cbw. Maatregelen 5.21 en 5.22 verplichten u de keten van elke leverancier te beoordelen en jaarlijks te herbeoordelen. Geen maatregel verplicht u te wegen hoeveel organisaties hetzelfde raamcontract delen, zoals bij GT Microsoft 2 hierboven. Toezichthouder Rijksinspectie Digitale Infrastructuur toetst dat evenmin. Zij ziet toe op naleving, niet op vertrekmogelijkheden.
Een exitstrategie is verplicht bij nieuwe contracten, cijfers zijn dat niet
Maatregel 5.20.06 eist dat u vóór het sluiten van een contract beoordeelt of leveranciersafhankelijkheid beheersbaar is, met een exitstrategie als vast onderdeel. De maatregel schrijft geen doorlooptijd of kostenraming voor en werkt niet terug. Maatregel 5.30.01 test uw continuïteitsplannen, niet of een leverancierswissel praktisch uitvoerbaar is.
Aanbesteden is verplicht bij een nieuwe opdracht, een andere leverancier niet
Een raamovereenkomst kent een maximale looptijd van vier jaar; bij afloop is in beginsel een nieuwe procedure vereist. Het Hof van Justitie oordeelde in C-578/23 dat zelf gecreëerde exclusiviteit niet mag worden gebruikt om buiten mededinging te gunnen. Die toets gaat over mededinging, niet over uw uitkomst: een correct doorlopen aanbesteding kan eindigen bij dezelfde leverancier, en dan is procedureel niets misgegaan terwijl uw afhankelijkheid ongewijzigd blijft.
Veelvoorkomende misvattingen
Overstappen kost meer dan het oplevert.
Dat is de uitkomst van een berekening die niemand heeft gemaakt: blijven staat in geen enkele businesscase.
We hebben net getekend, dit speelt pas over vier jaar..
Exitvoorwaarden legt u vast bij het tekenen, niet bij het vertrekken; over vier jaar onderhandelt u zonder positie.
Bij de volgende aanbesteding kiezen we gewoon opnieuw.
Een aanbesteding waarin alleen de zittende partij aan uw eisen kan voldoen is geen keuze. De vraag is of uw programma van eisen is geschreven vanuit uw functie of vanuit uw huidige systeem.
Aan de slag
Aanbevelingen
- Vraag binnen de eigen organisatie de exitstrategie op die maatregel 5.20.06 vereist, inclusief kosten, doorlooptijd en dataformaat.
- Onderscheid leveranciersrisico per contract (wat BIO2 toetst) van marktbrede concentratie (wat BIO2 niet toetst).
- Gebruik en test bij gemeentelijke IT-inkoop de exitregeling en dataportabiliteitsnorm uit GIBIT (art. 22 en 21, 2025). Rijksorganisaties vinden hetzelfde aanknopingspunt in ARBIT, de IT-inkoopvoorwaarden van het Rijk, naast de ARVODI voor overige dienstverlening.
- Betrek inkoop vroeg bij de eerstvolgende contractverlenging, zodat een marktverkenning nog realistisch is.
- Vraag bij uw eigen inkoopafdeling per kritiek contract op via welke procedure het tot stand kwam en, bij een onderhandse gunning, op welke grondslag. Kwam die grondslag neer op exclusiviteit van de leverancier, toets dan: was die exclusiviteit vermijdbaar bij aanvang, en heeft u sindsdien redelijke economische mogelijkheden gehad om haar te beëindigen? Dat bepaalt of uw volgende verlenging houdbaar is.
Vragen aan uw leverancier
- Welke onderdelen van onze data en configuratie zijn overdraagbaar, in welk formaat, en welke niet? Een ontwijkend antwoord betekent dat u vandaag niet weet wat een overstap praktisch kost.
- Wat verandert er contractueel als u fuseert, wordt overgenomen, of stopt met dit product?
- Welke exportformaten en welke doorlooptijd garandeert u contractueel bij beëindiging, en tegen welk tarief? Geen concreet antwoord betekent dat uw exit nergens contractueel vaststaat.
Klaar om dit voor uw organisatie te vertalen naar actie?
Krijg binnen 2 á 3 minuten uw eerste inzichten in de digitale soevereiniteitrisico's van uw organisatie middels onze gratis Quick Scan. Of neem contact op voor een vrijblijvend gesprek over uw specifieke situatie.