Tien inkoopadviezen voor compliance

Als bestuurder ben jij verantwoordelijk voor wat je organisatie inkoopt. Niet je inkoper, niet je leverancier, jij.

Volgens de Autoriteit Persoonsgegevens kunnen bestuurders persoonlijk worden beboet als ze weten dat de AVG wordt overtreden, het kunnen stoppen en het toch laten gebeuren (Security Management).

Sinds 15 augustus maakt de Cyberbeveiligingswet cyberveiligheid expliciet tot bestuurstaak, ook bij overheden (Houthoff).

Wie bewust een overtreding laat voortduren, hoeft doorgaans niet op zijn verzekering te rekenen. Na het lezen van dit blog weet je het. Vanaf nu is niets doen een keuze :)

Wat er op het spel staat

• Boetes. De AVG kent boetes tot €20 miljoen of 4 procent van de wereldwijde jaaromzet. Daarbovenop komen claims van betrokkenen en toezicht onder de Cyberbeveiligingswet.
• Imagoschade. Neem de livestream van je raadsvergadering of uitzending. Veel streams zoals die van de rijksoverheid, provincies, gemeenten en publieke omroepen draaien via Amerikaanse platforms en analyticsdiensten. Elke kijker laat daar zijn IP-adres en kijkgedrag achter, en een IP-adres is een persoonsgegeven. Die gegevens belanden bij partijen die ze ook voor eigen doeleinden gebruiken, vaak zonder grondslag of toestemming. Dat is in veel gevallen gewoon een overtreding. Leg dat maar eens uit aan de krant of aan de Autoriteit Persoonsgegevens.
• Juridische zandgrond. Doorgifte naar de VS leunt op het Data Privacy Framework. De Amerikaanse toezichthouder waar dat framework op rust, de PCLOB, is ontmanteld (CDT). Het framework rust verder op een presidentieel decreet dat met één handtekening kan worden ingetrokken, het ligt opnieuw bij het Europese Hof (WilmerHale), en beide voorgangers sneuvelden al bij dat Hof.
• Uitval. Eén DNS-storing bij AWS in Virginia legde in oktober 2025 wereldwijd diensten plat, met schade vanaf $650 miljoen (The Insurer). Servicecredits dekken jouw schade niet.
• Uitschakeling. De hoofdaanklager van het Internationaal Strafhof raakte zijn Microsoft-mail kwijt door Amerikaanse sancties. Het hele ICC staat nu op de sanctielijst. Een ander land kan zo met één besluit jouw dienstverlening uitzetten, wellicht voor altijd.

Wat je wint

Compliant en Europees inkopen is geen kostenpost, het levert geld op. Sleeswijk-Holstein bespaart ruim €15 miljoen per jaar na een eenmalige investering van €9 miljoen (heise). Amerikaanse cloud- en softwareprijzen stegen de afgelopen jaren met bijna 9 procent per jaar, met uitschieters tot 51 procent bij verlenging (Asterès/Cigref). Wie niet vastzit, kan onderhandelen. Met Jet-Stream tonen we al jaren aan dat soevereiniteit en privacy samengaan met lagere inkoopkosten. Elke euro die bij een Europese aanbieder landt, wordt bovendien banen en belastinginkomsten hier.

Wat er al kan

Je hebt meer ruimte dan je denkt. De ACM liet onlangs zien dat je digitale autonomie als eis mag opnemen in aanbestedingen, open standaarden mag eisen, als launching customer mag optreden en gezamenlijk mag inkopen (ACM). Forum Standaardisatie geeft in het boek Grip op digitale afhankelijkheid van Mathieu Paapst een complete gereedschapskist om afhankelijkheden af te bouwen (Forum Standaardisatie).

Maar weten wat mag is iets anders dan weten hoe je het doet. Op basis van zeven jaar volledige focus op en praktische implementatie van privacybescherming en digitale onafhankelijkheid heb ik tien inkoopadviezen opgesteld. De eerste drie deel ik hier, omdat ze nu al urgent zijn:

De eerste drie adviezen

1. 1Controleer je leveranciers nu, en ook lang na de gunning. Dit is het meest urgente advies, want je risico’s lopen nu al. Eisen worden na de gunning vaak niet meer gecontroleerd. Voldoet je leverancier en zijn hele keten werkelijk aan de wet, en komt hij de beloften uit de aanbesteding werkelijk na? Maak een juridische en technische analyse. Begin bij je webpagina’s, de livestreams en je video’s, de player, het CDN, het CMS en de trackers. Jij bent immers aansprakelijk, en jij riskeert de boetes.
2. 2Je moet aan de wet voldoen, dus zijn er knock-outs. Compliance is geen gunningscriterium waar je punten voor kunt inleveren, het is een verplichting bij wet. Wat voor jou geldt, geldt dus ook voor je leverancier en hun toeleveranciers. Een leverancier die niet aantoonbaar voldoet, hoort niet door de eerste ronde te komen.
3. 3Maak SEAL-1 en SEAL-2 een knock-out, en beloon SEAL-3 en SEAL-4. Het Cloud Sovereignty Framework van de Europese Commissie (Europese Commissie) maakt soevereiniteit meetbaar. Gebruik het als harde ondergrens, en beloon wie verder gaat.

En dan de andere zeven

De volgende zeven adviezen gaan over de plekken waar het in de praktijk misgaat. Waarom een EU-datacenter nog lang geen Europese keten betekent. Waarom een mooie complianceverklaring weinig zegt over wat een dienst werkelijk doet, en hoe je het verschil ziet. Hoe je ervoor zorgt dat je recht om te vertrekken ook echt iets waard is. Waarom de goedkoopste offerte over tien jaar vaak de duurste blijkt. Hoe technische misconfiguraties nu jou later met enorme kosten opzadelen. En hoe je de innovatieve kleinere spelers binnenhaalt in plaats van buitensluit, want die gaan het verschil maken.

Die adviezen deel ik niet in een blog, want daar is een goede reden voor. Ze werken alleen als je ze goed toepast, afgestemd op jouw organisatie, jouw contracten en jouw leveranciers. Welke eisen houden stand bij een bezwaarprocedure? Hoe herken je een leverancier die op papier compliant is, maar in de praktijk niet? Hoe toets je een lopend contract zonder dat het je organisatie maanden kost? Dat is geen kennis uit een handreiking. Die komt uit jaren van zelf bouwen, zelf toetsen en zelf de keten doorlichten, tot op het niveau van de techniek. Wij hebben al onze leveranciers juridisch en technisch doorgelicht, en waar nodig vervangen. Dat klinkt heftig, maar valt wel mee, als je weet wat je doet.

Begin morgen

Elke aanbesteding die je openzet voor compliante Europese aanbieders, verlaagt je risico, je kosten en je afhankelijkheid, en investeert bovendien in de eigen economie. Elke aanbesteding die je laat zoals hij is, is een risico op jouw naam, persoonlijk. Het tij keert al, dus zorg dat jij niet degene bent die het laatst omdraait, want daarmee kom jij sneller in de spotlight te staan.

Wil je alle tien de adviezen, toegepast op jouw organisatie? Ik help bestuurders, directies en inkoopteams om dit concreet te maken: met een briefing voor je bestuur, een doorlichting van je huidige leveranciers en contracten, of het opstellen van eisen voor je volgende aanbesteding. Neem contact op voor een kennismaking.