Cyberincident en aanbesteding: wat ondernemers moeten weten

Wat bedoelen we met “cyberincident” in aanbestedingscontext?

Een cyberincident is een verstoring van digitale processen of systemen door bijvoorbeeld ongeautoriseerde toegang, malware of datalekken. In aanbestedingscontext gaat het er niet alleen om dat er “iets” is gebeurd, maar om de gevolgen voor de uitvoering: wat was de impact op diensten, processen, gegevens en planning, en wat is aantoonbaar hersteld of beheerst.

Belangrijk is de afbakening. Een cyberincident is niet automatisch hetzelfde als het niet kunnen voldoen aan een contract, en het is ook niet automatisch gelijk aan een juridische grond voor uitsluiting. Of er problemen ontstaan, hangt meestal af van de vraag of de incidentgevolgen relevant zijn voor de opdracht en of de inschrijver/contractant laat zien dat hij risico’s beheerst en herstel heeft gerealiseerd.

Hoe kan een cyberincident doorwerken in een aanbesteding?

Een aanbestedingssituatie kent verschillende beoordelingsmomenten, zoals de inschrijving, de gunning en tijdens uitvoering. Een cyberincident kan in elk van die fasen “doorwerken” via verschillende sporen:

1. Betrouwbaarheid en continuïteit: als kernsystemen niet beschikbaar zijn of leveranciersprocessen stilvallen, kan dat impact hebben op de beloofde dienstverlening.
2. Informatie en bewijs: opdrachtgevers kunnen vragen om onderbouwing van beheersmaatregelen, herstel en werkwijze. Slordige of onvolledige documentatie vergroot het risico op misverstanden.
3. Gegevensverwerking: als klant- of opdrachtdata is geraakt, spelen vragen over wat er is gebeurd, wat er is beschermd en welke maatregelen zijn genomen om herhaling te voorkomen.
4. Communicatie en samenwerking: tijdige, feitelijke informatievoorziening beïnvloedt hoe de opdrachtgever de situatie inschat.

Let op: “alleen” een incident melden zonder impactanalyse helpt doorgaans niet. Het relevante punt is welke onderdelen van de opdracht geraakt zijn en welke beheersing er sindsdien is ingericht.

Verschillen en uitzonderingen: wat verandert het antwoord?

De kernvraag is steeds: wat was de relatie tussen het incident en de opdracht? Hieronder staan factoren die vaak bepalen of er meer of minder risico ontstaat.

• Scope van impact: raakten alleen interne systemen ondersteunend aan de opdracht, of ook systemen die direct nodig zijn voor levering of uitvoering?
• Timing: speelde het incident vóór of tijdens de relevante opdrachtfase, en is er sprake van een afgerond herstel met aantoonbare opvolging?
• Effect op verplichtingen: leidde het incident tot uitval, vertraging, of het niet kunnen produceren van deliverables?
• Herhaling en preventie: is er aantoonbare verbetering doorgevoerd, en is duidelijk hoe dezelfde zwakke plek is aangepakt?
• Mate van onzekerheid: bij vroege incidentverkenning kan nog niet alles bekend zijn. Dat betekent dat antwoorden kunnen evolueren; het is dan extra belangrijk om te werken met duidelijke “nu-bekend” versus “later te verifiëren” informatie.

Omdat er geen uniforme, universele regel bestaat die elk incident automatisch op dezelfde manier behandelt, is het verstandig om het incident te beoordelen aan de hand van de concrete opdrachtvereisten en de beschikbare feiten.

Controlepunten voor ondernemers: hoe je de situatie zorgvuldig onderbouwt

Gebruik bij een cyberincident in relatie tot aanbestedingen een gestructureerde aanpak. Doel is geen “verweer op gevoel”, maar controleerbare informatie.

1. Leg incidentfeiten vast: tijdlijn (wanneer ontdekt, wanneer vastgesteld), betrokken systemen, vermoedelijke oorzaak (voor zover bekend) en impact op processen.
2. Maak impact inzichtelijk: welke onderdelen van je dienstverlening voor de opdracht konden worden geraakt, en welke uitzonderingen of beperkingen golden (als die er waren).
3. Beschrijf herstel en beheersing: welke maatregelen zijn genomen om systemen weer stabiel te maken en om herhaling te voorkomen.
4. Documenteer communicatie: wat is wanneer gecommuniceerd richting interne stakeholders en opdrachtgever, en op basis waarvan.
5. Bewaar bewijsstukken: incidentrapportages, logs (voor zover passend en bewaartermijn-technisch verantwoord), herstelrapporten en projectrelevante communicatie.

Als je merkt dat informatie nog onzeker is, formuleer dat expliciet. Een aanbestedingscontext vraagt juist om transparantie over wat bekend is, wat nog onderzocht wordt en welke vervolgstappen zijn gepland.

Vergelijking in scenario’s: wat is het verschil tussen risico’s en uitsluiting?

Veel verwarring ontstaat doordat ondernemers alles onder één noemer zetten. In de praktijk helpt het om drie scenario’s uit elkaar te houden:

• Beperkte impact met herstel: het incident raakt niet of nauwelijks de opdrachtuitvoering, en je kunt aantonen dat de dienstverlening weer op niveau is.
• Tijdelijke verstoring: er is wel uitval of vertraging geweest, maar je kunt aantoonbaar uitleggen wat de oorzaak was, hoe lang het duurde en hoe je de opdracht vervolgens hebt geborgd.
• Structurele belemmering: als de incidentgevolgen de kernverplichtingen langdurig raken of als essentiële controles niet aantoonbaar zijn, neemt het risico toe dat de opdrachtgever twijfelt aan uitvoerbaarheid.

Door deze scenario’s te vergelijken, kun je gerichter uitleggen wat relevant is voor de opdracht en wat niet. Dat is doorgaans effectiever dan een algemene beschrijving van het incident.

Optioneel: waar je ondersteuning kunt zoeken

Afhankelijk van je situatie kan het helpen om deskundigen te betrekken voor incidentanalyse, juridische beoordeling van communicatie en gegevensbescherming, en het opstellen van een samenhangende incidentonderbouwing. Dat is vooral nuttig als je te maken krijgt met onduidelijke impact, meerdere betrokken partijen of lopende contractuele verplichtingen.

Wanneer je de informatie zorgvuldig onderbouwt met feiten, impact en herstel, kun je de aanbestedingsdiscussie beter structureren en misverstanden verminderen.