Kort antwoord. Een ontbrekend ISO 27001-certificaat leidde in deze zaak niet automatisch tot uitsluiting. De aanbestedingsstukken gaven expliciet een alternatief informatiebeveiligingsdocument als mogelijkheid. De rechter oordeelde niet dat elk alternatief inhoudelijk voldoende was. Zie ECLI:NL:RBNHO:2026:1794, vooral r.o. 2.4–2.10, 5.2–5.10.
Wat speelde er?
Stadswerk072 besteedde slimme afvalbakken aan. Een concurrent wilde dat de inschrijving van TWS werd uitgesloten wegens het ontbreken van ISO 27001. De stukken bevatten twee moeilijk te verenigen passages: een uitgewerkte bewijsroute in het aanbestedingsdocument en een ‘knock-out’-aanduiding in het programma van eisen (r.o. 2.4–2.10 en 5.2).
Welke eis stond in de aanbestedingsstukken?
Paragraaf 6.2.2 van het aanbestedingsdocument liet bij ontbreken van een certificaat bij gunning een Beschrijving Informatiebeveiliging toe. In een andere tabel werd het certificaat als knock-out aangeduid. De vraag was welke betekenis een redelijk oplettende inschrijver aan het geheel mocht geven (r.o. 5.2–5.5).
Wat oordeelde de rechter?
De voorzieningenrechter gaf bij de objectieve uitleg meer gewicht aan de uitgewerkte regeling dan aan het losse label in de bijlage. Er was geen ondubbelzinnige uitsluitingsgrond voor het ontbreken van het certificaat. De eis om TWS om die reden uit te sluiten werd afgewezen (r.o. 5.3–5.6 en 5.10). Lees de genoemde rechtsoverwegingen in de officiële uitspraak.
Wat betekent dit praktisch voor jou?
Lees hoofdtekst, bijlagen en nota’s van inlichtingen samen. Staat ergens een certificaat verplicht en elders een alternatieve bewijsroute, stel dan vóór inschrijving een gerichte vraag. Documenteer hoe jouw informatiebeveiliging aan de uitgevraagde eisen voldoet.
Meer achtergrond vind je bij ISO 27001 en ISO-certificaten zonder accreditatie.
Wat kun je niet uit deze uitspraak afleiden?
De rechter heeft niet vastgesteld dat de door TWS verstrekte beschrijving inhoudelijk gelijkwaardig was aan ISO 27001. Deze uitspraak maakt van een ‘knock-out’-eis geen vrijblijvende wens; de concrete tekst en samenhang van de stukken waren doorslaggevend (r.o. 5.4–5.6). Controleer het vonnis zelf.
Controlelijst voor deze situatie
- Leg tegenstrijdige passages naast elkaar en stel vóór de sluitingsdatum vragen.
- Bepaal welke alternatieve stukken uitdrukkelijk zijn toegestaan en wanneer ze nodig zijn.
- Onderbouw in je beschrijving de feitelijk uitgevoerde informatiebeveiligingsmaatregelen.
Bron en broncontrole
Rechtbank Noord-Holland, kort geding, eerste aanleg, uitspraak 2026-02-26, gepubliceerd 2026-02-26. ECLI:NL:RBNHO:2026:1794, r.o. 2.4–2.10, 5.2–5.10. Volledige officiële uitspraak op Rechtspraak.nl. Laatste inhoudelijke broncontrole: 26 september 2026.