Niet als doel op zich, maar als weerslag van hoe grondig we ons in de organisatie hebben verdiept:
- Een IAM-aanbesteding bij een publieke instelling is de formele uitvraag waarmee je een nieuw Identity & Access Management-platform in de markt zet en die is maar zo sterk als de documentatie eronder.
- Onze aanpak was daarbij net zo menselijk als technisch: achter elke autorisatie zit een medewerker die zijn werk moet kunnen doen en dat namen we mee in elke stap van het traject.
- Wij combineerden interviews met 13 proces- en systeemeigenaren, bestaande documentatie en externe referenties tot één complete requirementsset.
- Elk requirement kreeg vervolgens een classificatie én een beoordeling (eis, wens, optie of niet van toepassing). Zo werd de uitvraag transparant en herleidbaar.
- Het resultaat: een samenhangend dossier van zeven documenten dat klaar is voor publicatie.
IAM-aanbesteding bij een publieke instelling: een aanbesteding is maar zo sterk als de documentatie eronder. Een bestaand IAM-platform dat tegen zijn end-of-life aanloopt, laat een organisatie geen keuze: er moet een toekomstbestendige vervanger komen. Voor een publieke instelling betekende dat bovendien niet alleen een selectie van een nieuw IAM-platform, maar ook een aanbestedingstraject. Daarmee de uitdaging om de eigen behoefte zo scherp te formuleren dat de markt precies begrijpt wat er gevraagd wordt. Daarom ondersteunden wij de organisatie bij de voorbereiding van deze IAM-aanbesteding bij een publieke instelling.
De aanleiding: een IAM-platform aan het einde van zijn levensduur
Het identiteits- en toegangsbeheer van de klant draaide op een oplossing die het einde van zijn levensduur naderde. Het wegvallen van leveranciersondersteuning vergroot de kans op onbeheersbare autorisaties, beperkt daarnaast het inzicht in toegangsrechten en zorgt bovendien voor een groeiende afstand tot de eisen die de AVG en het informatiebeveiligingsbeleid stellen. Een modern IAM-platform helpt deze risico's structureel te beheersen.
Voor de klant was dit geen abstracte technische kwestie. Medewerkers moesten dagelijks kunnen vertrouwen op snelle en juiste toegang om hun werk te kunnen doen — en elke vertraging of onduidelijkheid in autorisaties raakte direct de dienstverlening waar de organisatie voor staat. Die dagelijkse praktijk, niet alleen de technische end-of-life-status, vormde het vertrekpunt van ons onderzoek.
Een vervangend platform selecteren mocht bovendien niet zomaar: als publieke organisatie was de klant namelijk verplicht een nieuwe uitvraag in de markt neer te zetten. En een aanbesteding is uiteindelijk maar zo sterk als de documentatie eronder.
Een IAM-aanbesteding is de formele uitvraag waarmee een organisatie een nieuw Identity & Access Management-platform in de markt zet. De kern zit dan ook niet in de techniek, maar in de documentatie: het programma van eisen en wensen bepaalt namelijk of leveranciers begrijpen wat er precies gevraagd wordt.
De spelregels: wanneer moet je Europees aanbesteden?
Publieke organisaties werken binnen de Aanbestedingswet 2012. Die schrijft voor dat een opdracht Europees moet worden aanbesteed zodra de geraamde waarde gelijk is aan of hoger dan het Europese drempelbedrag. Vervolgens publiceer je de opdracht op TenderNed, het platform waar alle Nederlandse aanbestedingen samenkomen.
Drempelbedragen 2026–2027 (leveringen en diensten, exclusief btw): voor decentrale overheden en publiekrechtelijke instellingen ligt de drempel op € 216.000, voor de centrale overheid op € 140.000. Deze bedragen gelden van 1 januari 2026 tot en met 31 december 2027 en zijn licht verlaagd ten opzichte van de vorige periode. Reken daarom altijd met de totale opdrachtwaarde over de volledige looptijd — inclusief verlengingsopties en beheerjaren. Een IAM-platform komt daarmee vrijwel altijd boven de drempel uit.
Bron: PIANOo, Expertisecentrum Aanbesteden van het ministerie van Economische Zaken.
Praktisch betekent dit twee dingen. Ten eerste ligt de planning grotendeels vast: een Europese procedure kent namelijk verplichte termijnen voor vragen, inschrijving en bezwaar. Ten tweede kun je de uitvraag na publicatie nauwelijks meer bijstellen. Precies daarom is de voorbereiding bepalend en niet de fase erna.
De opdracht: van organisatiebehoefte naar de IAM-aanbesteding bij een publieke instelling
Wij vertaalden de organisatiebehoefte van de klant vervolgens naar een aanbesteding helder, volledig en klaar voor de markt:
Review bestaande stukken
Allereerst de aanwezige documentatie kritisch beoordeeld op bruikbaarheid en kwaliteit.
Aanbestedingsdocumentatie
Vervolgens volledige, consistente documentatie opgesteld waarmee de markt aan de slag kan.
Leidraad geborgd
Daarnaast de volledigheid en kwaliteit van de aanbestedingsleidraad geborgd.
IAM- en aanbestedingskennis
Tot slot inhoudelijke IAM-expertise én aanbestedingservaring ingebracht.
De uitdagingen in dit aanbestedingstraject
Geen enkel aanbestedingstraject verloopt immers onder ideale omstandigheden. Daarom brachten we de belangrijkste risico's en aandachtspunten vooraf in kaart, zodat we hier samen met de klant tijdig op konden sturen:
Niet-getoetste documentatie
Bestaande stukken waren namelijk nog niet gevalideerd met het risico dat aannames rechtstreeks in de uitvraag terecht zouden komen;
Korte doorlooptijd
Bovendien gold een strakke deadline: te weinig marge om fouten later nog te herstellen;
Beperkte beschikbaarheid
Daarnaast waren sleutelrollen tijdelijk afwezig of beperkt beschikbaar, juist op de momenten dat hun kennis het hardst nodig was.
Onze methode: zo bouw je een requirementsset op
De kracht van een goede aanbesteding zit namelijk niet in een vast format, maar in hoe goed je begrijpt wat déze organisatie nodig heeft. Door input van stakeholders, bestaande documentatie en praktijkervaring te combineren, ontstaat vervolgens een consistente, complete en onderbouwde requirementsset waarop leveranciers gericht kunnen inschrijven.
Van losse input naar één requirementsset
Stap voor stap ziet die aanpak er als volgt uit:
Allereerst spraken we de proces- en systeemeigenaren om de werkelijke behoefte boven tafel te krijgen — dus niet alleen wat er op papier stond.
Vervolgens ontsloten we aanwezige stukken en eerdere aanbestedingen, zodat waardevolle kennis niet verloren ging.
Daarnaast namen we best practices en bewezen kennis uit vergelijkbare trajecten mee.
Daarna werden alle requirements gestructureerd én gekwalificeerd op basis van ons eigen framework — geordend langs de herkenbare IAM-thema's, zodat er niets tussen wal en schip valt.
Vervolgens zetten we abstracte behoeften om in concrete, toetsbare eisen en wensen — en dat per onderwerp binnen de thema's.
Tot slot brachten we alle input samen tot één set die de klant kan verdedigen én die de markt begrijpt — opgebouwd vanuit wat we in de stappen hiervoor over hún organisatie hadden geleerd, niet vanuit een standaardsjabloon.
Het IAM-framework in beeld
Waarom een thema-gedreven aanpak werkt
Door de requirements langs herkenbare IAM-thema's te leggen, houd je namelijk gedurende het hele traject overzicht. Zo voorkom je overvraging en dubbelingen in de requirementsset, bovendien maakt het scherp classificeren mogelijk — is iets een eis, een wens of optioneel — en daarnaast ondersteunt het de opzet van use-case-scenario's die je later aan een leverancier voorlegt. Als bonus wordt tot slot zichtbaar wélke kennis binnen de organisatie nog ontbreekt, nog vóór de eerste offerte binnenkomt.
Elk requirement kreeg daarom een classificatie (technisch, functioneel, governance, implementatie & proces of security/juridisch/commercieel) en daarnaast een beoordeling (eis, wens, optie of niet van toepassing). Zo ontstond uiteindelijk een samenhangende, transparante en herleidbare uitvraag waarop leveranciers een aanbieding kunnen maken.
Waarom IAM in control
Wij zijn een organisatie die zich volledig toelegt op IAM en dat merk je aan hoe we naar een organisatie kijken. Met ons vijflagenmodel overzien we alle onderdelen tegelijk: van de theoretische onderbouwing tot de praktijk zoals die dagelijks bij een klant werkt.
Die twee werelden verbinden we bewust met elkaar. Zo onderbouwen we het volwassenheidsniveau van een organisatie niet op aannames, maar feitelijk en herleidbaar. En we stoppen niet bij die diagnose: we vertalen 'm direct door naar een praktisch plan waarmee IAM stap voor stap naar een hoger volwassenheidsniveau groeit.
Daarin onderscheiden we ons van partijen die zich richten op één schakel van IAM: procesoptimalisatie, de implementatie van wet- en regelgeving, de inrichting van IAM-systemen, of rolbeheer en role mining. Stuk voor stuk waardevolle specialismen, maar elk belicht maar één laag. Wij overzien ze allemaal tegelijk.
Die blik is nadrukkelijk ook menselijk, niet alleen technisch. Achter elke autorisatie zit een medewerker die zijn werk moet kunnen doen, niet meer en niet minder. Daarom kijken wij verder dan systemen en autorisatiematrices alleen: naar hoe een organisatie daadwerkelijk functioneert, en wat de mensen erin nodig hebben.
Die brede, menselijke blik, gecombineerd met diepgaande kennis en ervaring, is precies wat ons in staat stelt om aan te sluiten bij de behoefte van elke klant passend bij het volwassenheidsniveau waar de organisatie op dat moment staat.
Ook in dit traject was dat het uitgangspunt: niet onze standaardaanpak opleggen, maar precies aansluiten bij wat déze organisatie, met haar eigen mensen en processen, op dat moment nodig had.
Resultaat: een compleet aanbestedingsdossier
Aan het eind van het traject — acht weken na de start, ondanks niet-getoetste documentatie, een strakke deadline en beperkte beschikbaarheid van sleutelrollen — lag er dan ook geen losse verzameling documenten, maar een samenhangend dossier dat klaar is voor publicatie:
- Aanbestedingsleidraad
- Programma van eisen & wensen
- Eisen- en wensenblad
- Use-case-scenario's
- Kwaliteitscases
- Prijzenblad
- Vooraankondiging
Bij oplevering lag er kortom een vrijwel complete aanbestedingsdocumentatie. De klant beschikte namelijk over een goed onderbouwde uitvraag en kan de laatste stap naar publicatie daardoor zelfstandig afronden.
‘Een samengestelde organisatie behoefte zonder omkijken; transparant en volledig’
— Marc van Hamersveld, IAM-consultant bij IAM in controlVan IAM-aanbesteding bij een publieke instelling naar implementatie
Een goede aanbesteding legt namelijk de basis voor een succesvolle implementatie. Met een zorgvuldig uitgewerkte uitvraag en een helder beeld van de organisatiebehoeften kan de volgende fase daarom met vertrouwen worden gestart, ongeacht wie deze uitvoert. Denk hierbij aan:
Implementatie & adoptie
Begeleiding bij het in gebruik nemen en laten landen van het gekozen IAM-platform.
Processen & governance
Inrichten en optimaliseren van IAM-processen en werkwijzen op basis van ons framework.
Specialistische ondersteuning
Advies, coaching en kwaliteitsborging via een flexibele strippenkaart.
Doorlopende grip
Van selectie tot beheer: aantoonbaar voldoen aan wet- en regelgeving, veiliger én efficiënter.
Lees ook
Veelgestelde vragen over de IAM-aanbesteding bij een publieke instelling
Een IAM-aanbesteding is de formele uitvraag waarmee een organisatie een nieuw Identity & Access Management-platform in de markt zet. Publieke organisaties zijn hiertoe verplicht zodra de geraamde opdrachtwaarde boven de Europese drempel uitkomt. De kern van zo'n traject is bovendien de documentatie: een aanbesteding is namelijk maar zo sterk als het programma van eisen en wensen eronder.
Zodra de geraamde waarde van de opdracht gelijk is aan of hoger dan het Europese drempelbedrag. Voor leveringen en diensten geldt in 2026 en 2027 een drempel van € 216.000 voor decentrale overheden en € 140.000 voor de centrale overheid, exclusief btw. De opdracht wordt vervolgens gepubliceerd via TenderNed, volgens de Aanbestedingswet 2012.
Zodra leveranciersondersteuning wegvalt, groeit namelijk de kans op onbeheersbare autorisaties en neemt het inzicht in toegangsrechten af. Bovendien ontstaat er een groeiende afstand tot de eisen die de AVG en het informatiebeveiligingsbeleid stellen. Een modern IAM-platform helpt die risico's daarentegen structureel te beheersen.
Een compleet dossier bestaat uit een aanbestedingsleidraad, een programma van eisen en wensen, een eisen- en wensenblad, use-case-scenario's, kwaliteitscases, een prijzenblad en tot slot een vooraankondiging. Samen vormen ze een samenhangend geheel dat klaar is voor publicatie.
Combineer allereerst interviews met proces- en systeemeigenaren, een analyse van bestaande documentatie en externe referenties. Orden en kwalificeer die input vervolgens langs herkenbare IAM-thema's en vertaal ze daarna naar concrete, toetsbare eisen en wensen. Zo ontstaat uiteindelijk één complete requirementsset waarop leveranciers gericht kunnen inschrijven.
Een eis is een harde voorwaarde waaraan een leverancier moet voldoen; een wens telt daarentegen mee in de beoordeling, maar is niet verplicht. Daarnaast bestaan er opties en requirements die niet van toepassing zijn. Door elk requirement zo te beoordelen, wordt de uitvraag bovendien transparant en herleidbaar.
Sta jij voor een IAM-selectie of aanbesteding?
Wij zien IAM niet als losse onderdelen, maar als één samenhangend geheel. Die blik vertalen we naar een dossier dat is afgestemd op wat jouw organisatie specifiek nodig heeft, waarmee je met vertrouwen de markt op gaat en daarna helpen we je verder richting een werkende IAM-oplossing.
Neem contact op via sales@iamincontrol.nl