ABDO staat voor Algemene Beveiligingseisen voor Defensieopdrachten, uitgegeven door het Ministerie van Defensie. Lever je aan Defensie en verwerk je daarbij gerubriceerde informatie, dan is ABDO de norm waaraan je wordt gehouden. De geldende versie is ABDO 2019.
De vier domeinen
ABDO 2019 bevat ruim 600 eisen, wat minder afschrikwekkend is dan het klinkt omdat er maar een deel op jou van toepassing is. Ze vallen uiteen in vier gebieden, en die breedte is precies het punt: dit is geen IT-norm.
| Domein | Waar het over gaat |
|---|---|
| Bestuur en organisatie | Verantwoordelijkheid, een aangewezen beveiligingsfunctionaris, beleid, en hoe je incidenten en afwijkingen afhandelt. |
| Personeel | Screening en het vereiste onderzoek voor iedereen met toegang, plus bewustwording en de regels bij vertrek. |
| Fysieke beveiliging | Zonering van het pand, opslag van gerubriceerd materiaal, toegang tot ruimtes en kasten. |
| Cybersecurity | Systemen die gerubriceerde informatie verwerken: scheiding, versleuteling, logging en goedgekeurde apparatuur. |
De rubriceringslijst bepaalt je scope
Welke eisen gelden, bepaal je niet zelf. De opdrachtgever vult per opdracht een Rubriceringsaanduidingslijst (RAL) in met de rubricering die aan de orde is, en daaruit volgt welke eisen van toepassing zijn.
De eerste vraag in een ABDO-traject is dus niet "wat moeten we invoeren" maar "welke rubricering verwerken we". Vraag de RAL vroeg op. Scopen op het hoogste niveau dat je kunt bedenken kost onnodig geld, en te laag scopen levert herstelwerk op waar je niet omheen kunt.
Het loopt door de keten
ABDO-verplichtingen gaan door naar je onderaannemers. Schakel je een hostingpartij, een koerier of een onderhoudsbedrijf in dat gerubriceerde informatie raakt, dan komen die in scope en ben jij degene die dat moet aantonen.
Behandel dat als onderdeel van leveranciersbeheer en niet als losse exercitie. Het bewijs dat een beoordelaar wil zien, heeft dezelfde vorm als bij elke leveranciersrisicobeoordeling: wie in scope zit, wat is afgesproken, en wat je controleert.
Hoe het zich verhoudt tot ISO 27001
Een ISO 27001-certificaat maakt je niet ABDO-compliant. De twee overlappen sterk op managementsysteem- en personeelseisen, dus bestaande certificering geeft je een echte voorsprong, maar ABDO voegt regels toe voor fysieke beveiliging en voor de omgang met gerubriceerd materiaal die ISO 27001 niet kent.
In de praktijk houd je één set maatregelen aan en koppel je die aan beide, in plaats van twee programma's te draaien. Wat niet werkt, is het certificaat overleggen en verwachten dat de ABDO-eisen daarmee zijn afgedekt.