Aanbestedingsadvies bedrijfsleven

"Eerst scherpstellen, dan aanbesteden"

Wet- en regelgeving worden strakker, de kijk op digitale soevereiniteit is de laatste jaren flink veranderd en organisaties krijgen te maken met toenemende cyberdreigingen en een grote afhankelijkheid van een beperkt aantal IT- en cloudleveranciers.

Concrete ontwikkelingen zijn onder andere:
  • ISO 27001/27002 stelt steeds hogere eisen aan aantoonbare informatiebeveiliging, risicoanalyses, beheersmaatregelen, monitoring en continue verbetering.
  • De Cyberbeveiligingswet implementeert NIS2 in Nederland en brengt voor veel organisaties verplichtingen met zich mee op het gebied van zorgplicht, meldplicht en registratie.
  • De AVG blijft eisen stellen aan de verwerking, opslag en bescherming van persoonsgegevens.
  • De NEN 7510 is eind 2024 herzien en stuurt binnen de zorgsector sterker op risicogestuurd werken, aantoonbare beheersing en ketenverantwoordelijkheid.
  • Afhankelijk van de sector kunnen aanvullende wettelijke en sectorale kaders van toepassing zijn.

Specifieke triggers kunnen zijn:

  • vervanging of vernieuwing van bestaande IT-contracten;
  • afloop van datacenter-, storage-, backup-, cloud- of hostingcontracten;
  • behoefte aan betere ransomwareweerbaarheid;
  • strengere eisen aan informatiebeveiliging, privacy en bedrijfscontinuïteit;
  • toepassing van AVG, NIS2, ISO 27001 of sectorspecifieke kaders zoals NEN 7510;
  • toenemende aandacht voor data- en leverancierssoevereiniteit;
  • noodzaak om vendor lock-in en onduidelijke exit-afspraken te voorkomen;
  • cloudtransities of consolidatie van bestaande IT-dienstverlening.

Juist vóór een leveranciersselectie of RFP-traject is bijsturen door middel van een marktconsultatie nog goed mogelijk. Zodra het selectietraject loopt en leveranciers al offertes en oplossingen uitwerken, leiden fundamentele aanpassingen vaak tot extra kosten, vertraging of zelfs het opnieuw moeten uitvoeren van delen van het traject.

Wat doe ik voor jou?

Een marktconsultatie voorkomt dat een organisatie met onrealistische of onvolledige uitgangspunten de markt op gaat. De investering in een adviestraject voor een marktconsultatie is relatief beperkt ten opzichte van de totale contractwaarde van het uiteindelijke inkoop- of selectietraject en kan helpen om:

  • Eisen realistischer en beter toetsbaar te maken.
  • Onnodige of kostprijsverhogende eisen te schrappen. Niet alle datasets hoeven bijvoorbeeld iedere vier uur te worden veiliggesteld; dit resulteert al snel in vijf extra backups per dag.
  • Marktconforme oplossingsrichtingen te identificeren.
  • Risico’s rondom continuïteit, data, exit-scenario’s en digitale soevereiniteit zichtbaar te maken.
  • Het aantal vragen en wijzigingen tijdens het selectie- of offertetraject te beperken.
  • De kans op een passende aanbieding en leverancier te vergroten.

Mijn toegevoegde waarde

Ik combineer marktconsultatie- en leveranciersselectie-ervaring met diepgaande inhoudelijke kennis van kritieke IT-infrastructuur, waardoor de juiste inhoudelijke diepgang wordt bereikt.

Ik begeleid marktconsultaties niet alleen procesmatig, maar kan ze ook inhoudelijk doorgronden. Ik kom uit de techniek, heb meer dan 25 jaar gewerkt met storage- en backupomgevingen, datacenter- en uitwijkconcepten, cloudoplossingen en archiveringsplatformen en weet daardoor welke vragen er echt gesteld moeten worden.<

Met deze technische expertise heb ik meer dan 15 jaar consultancy- en architectuurwerk gedaan in de vorm van ontwerp, realisatie, beheer, dienstontwikkeling en leveranciersgesprekken. Daardoor herken ik vage of ontwijkende antwoorden, commerciële framing en technische aannames sneller. Ik vraag door op zaken als schaalbaarheid, datalocatie, exit-scenario’s, beheerbaarheid, ransomwarebescherming en afhankelijkheden.

In concreto

Gemiddeld ontstaat er binnen 2 tot 4 weken een scherper beeld van de vraag, de risico’s en de haalbaarheid van het voorgenomen inkoop- of selectietraject. Er ontstaat concreet inzicht in wat men specifiek aan de markt wil vragen en waar nog onduidelijkheden zitten.

  • De scope wordt scherper.
  • Niet-toetsbare of te vage eisen worden zichtbaar.
  • Risico’s rondom continuïteit, data, exit-scenario’s, lock-in en beheer worden expliciet gemaakt.
  • Interne stakeholders komen beter op één lijn.
  • Er ontstaat beter inzicht in wat leveranciers daadwerkelijk kunnen leveren.
  • De marktconsultatie levert direct bruikbare input op voor het pakket van eisen en het leveranciersselectietraject.

Diensten bedrijfsleven

Veiligheidsregio Fryslân

Bij Veiligheidsregio Fryslân heeft Durk als adviseur meegewerkt aan een marktconsultatie voor de backupdienstverlening. Hij heeft gestuurd op het stellen van specifieke vragen op het gebied van informatiebeveiliging en compliance, backupkopieën en opslagretentie, betere ransomwarebescherming en het ‘opruimen’ van de bestaande omgeving, waardoor de benodigde opslagcapaciteit fors kon worden verminderd.

Leveranciers hebben veel bruikbare input geleverd, waarmee een slim pakket van eisen is opgesteld. Hierdoor wordt de backupomgeving kleiner qua omvang - alleen veiligstellen wat daadwerkelijk noodzakelijk is - en slimmer qua functionaliteit, bijvoorbeeld door ransomwarebescherming in de vorm van immutable backups toe te voegen. Dit zorgt ervoor dat de backupomgeving compacter en krachtiger wordt en verkleint tegelijkertijd de lock-in bij een specifieke leverancier.

Resultaat: de historie die moet worden meegenomen, is teruggebracht naar maximaal één jaar, waar dit voorheen zeven jaar was.

Pieter Wierenga

Manager Informatiemanagement bij Veiligheidsregio Fryslân

KPN

Bij KPN heeft Durk als IT Architect Datamanagement een sturende rol gehad in het opstellen van KPN’s visie op toekomstige dataopslag, waarna we een marktconsultatie hebben uitgevoerd. De input daarvan heeft geleid tot het succesvol ontwikkelen van meerdere opslagdiensten, waaronder KPN Businessbox en Archiving Online.

Resultaat: na de introductie van deze diensten zijn tientallen klanten aangesloten.

ODC-Noord

Durk heeft bij ODC-Noord in de rol van product owner en kwartiermaker de BaaS-dienst (Backup as a Service) onder zijn hoede genomen. Door versterkt eigenaarschap, een analyseperiode en het opstellen van een productroadmap is de dienst vervolgens strategisch gepositioneerd, met het advies het beheer van de BaaS-dienst intern in te richten. Hiervoor is een intern beheerteam opgezet. Voor het beheer van de BaaS-dienst is een inkooptraject uitgevoerd voor het opnieuw beleggen van het externe beheer.

Durk heeft hierbij gericht gestuurd op samenwerking met het intern opgerichte beheerteam, waarbij het interne team de eerstelijnsafhandeling uitvoerde en de externe beheerpartij de tweede- en derdelijns beheeractiviteiten voor zijn rekening nam. Samen met contractmanagement en inkoop is gestuurd op flexibele inzet van uren, kennisoverdracht en de mogelijkheid deze externe inzet gedurende de looptijd van het contract af te bouwen. Hierdoor kon het externe beheer op een schuivende schaal worden teruggebracht terwijl intern expertise werd opgebouwd. Vanuit de nieuwe productroadmap is de dienst voorzien van nieuwe ransomwarefunctionaliteit en is de beveiliging sterk verbeterd.

Resultaat: de nieuwe strategie heeft er mede toe geleid dat nieuwe klanten konden worden aangesloten, waardoor de dienst in twee jaar tijd tweemaal zo groot is geworden.

Arjan Venekamp

Product Owner ODC-Noord