Gemeente als klant: wat zet je klaar voor GIBIT 2025?
GIBIT zijn de inkoopvoorwaarden voor IT van de Vereniging van Nederlandse Gemeenten (VNG). Volgens de VNG gebruiken alle 342 gemeenten GIBIT als uitgangspunt bij ICT-inkoop. GIBIT 2025 is in maart 2026 gepubliceerd en heeft nieuwe onderwerpen zoals AI, data, open source en cloud. Zet bewijs klaar over beveiliging, data, AI en je softwareketen, en laat de uitleg van het contract over aan je jurist.
Verkoop je software of een SaaS-dienst aan een gemeente, dan kom je GIBIT tegen in de aanbesteding en in het contract. Dit is wat je als leverancier moet weten en klaar moet hebben.
Wat GIBIT is
GIBIT staat voor Gemeentelijke Inkoopvoorwaarden bij IT. De VNG beheert ze. Volgens de VNG hanteren alle 342 gemeenten GIBIT als uitgangspunt bij ICT-inkoop. GIBIT is geen kant-en-klaar contract: de VNG noemt het een set inkoopvoorwaarden die een gemeente proportioneel toepast op de specifieke situatie, vaak met de Overeenkomstengenerator van de VNG (VNG, GIBIT). Elk contract kan dus anders uitvallen. Lees altijd de voorwaarden van jouw opdracht.
Wat er nieuw is in GIBIT 2025
GIBIT 2025 vervangt GIBIT 2023 voor nieuwe contracten. Bestaande contracten op basis van GIBIT 2023 blijven geldig. De VNG noemt deze vernieuwde thema’s (VNG, wijzigingen GIBIT 2025):
- algoritmische toepassingen (AI)
- digitale grondrechten en ethiek
- data en datagebruik
- open source software
- cloud
- sanctiebeleid
Twee punten die voor leveranciers direct uitmaken:
- Certificaat of TPM-verklaring. Heb je een ISO-certificaat of een TPM-verklaring (een verklaring van een onafhankelijke auditor), dan zijn preventieve tests niet nodig.
- Centraal in plaats van per gemeente. Audits en incidentrespons kunnen centraal via de Informatiebeveiligingsdienst (IBD) lopen, in plaats van per gemeente apart.
Wat je klaarzet
| Onderwerp | Wat de gemeente kan vragen | Wat je klaarzet |
|---|---|---|
| Beveiliging | Hoe is je informatiebeveiliging ingericht? | ISO-certificaat met scope of TPM-verklaring; zie ook BIO2 |
| Persoonsgegevens | Ben je verwerker, en hoe is dat geregeld? | Verwerkersovereenkomst, subverwerkerslijst, locaties |
| AI en algoritmes | Gebruikt je dienst AI, en met welke data? | Beschrijving van de AI-functies, data en menselijk toezicht |
| Softwareketen | Welke componenten en open source zitten erin? | Overzicht van componenten en afhankelijkheden |
| Incidenten | Hoe en hoe snel meld je incidenten? | Incidentprocedure en meldtermijnen |
| Einde contract | Hoe krijgt de gemeente haar gegevens terug? | Exit- en dataretourprocedure |
Zo pak je het aan
- Vraag welke GIBIT-onderdelen in de opdracht zitten. Gemeenten passen GIBIT per opdracht toe. Vraag om de concept-overeenkomst en de bijlagen.
- Zet je bewijs vooraf klaar. Certificaat of TPM-verklaring, subverwerkers, AI-beschrijving en componentenoverzicht.
- Houd één verhaal. Je antwoorden, je verwerkersovereenkomst en je privacyverklaring moeten hetzelfde zeggen. Zie de privacy-vragenlijst als verwerker.
- Laat het contract toetsen. Over aansprakelijkheid en de uitleg van contractbepalingen beslist je jurist, niet de vragenlijst.
Hoe Holdvero helpt
Bij Questionnaire Rescue beantwoorden we de security- en privacyvragen van de gemeente op basis van je eigen documentatie, met een bron bij elk antwoord. Holdvero geeft geen juridisch advies over het contract. Meer over Nederlandse klanten op de pagina Nederland.
Veelgestelde vragen
Is GIBIT verplicht voor gemeenten?
Het is geen wet. Volgens de VNG hanteren alle 342 gemeenten GIBIT als uitgangspunt bij ICT-inkoop, en de VNG adviseert om voor nieuwe contracten GIBIT 2025 te gebruiken.
Wat is een TPM-verklaring?
Een Third Party Mededeling: een verklaring van een onafhankelijke auditor over je maatregelen. Volgens GIBIT 2025 zijn preventieve tests niet nodig als je zo’n verklaring of een ISO-certificaat hebt.
Moet ik een verwerkersovereenkomst tekenen?
Als je namens de gemeente persoonsgegevens verwerkt, ben je meestal verwerker en is een verwerkersovereenkomst nodig volgens artikel 28 AVG. Laat de inhoud toetsen door je jurist.
Gelden oude GIBIT 2023-contracten nog?
Ja. Bestaande contracten op basis van GIBIT 2023 blijven geldig. Voor nieuwe contracten adviseert de VNG GIBIT 2025.
Een vragenlijst van een gemeente ontvangen?
Je hoort binnen 1 werkdag wat het kost en wanneer je hem terugkrijgt. Je betaalt pas na akkoord op de prijs.
Vraag een vaste prijs aan