Houd uw RFP-response vertrouwelijk, onderdeel per onderdeel

De vertrouwelijkheid van een bid blijft gewaarborgd wanneer u die per onderdeel bepaalt. Markeer alleen de delen van uw response waarvoor een koper kan verantwoorden dat hij ze niet openbaar maakt, geef voor elk deel een reden die de koper kan vastleggen en registreer elke persoon, partner en tool die toegang kreeg tot het dossier van de koper. Een algemene vertrouwelijkheidsvermelding en een ondertekende NDA dekken elk hoogstens de helft van het probleem. Deze gids volgt de volgorde van de werkzaamheden tijdens een RFP-response: de voorwaarden lezen, ze uitbreiden naar partners, tools goedkeuren, de response markeren met het oog op publicatie en de bid afsluiten.

Voor u begint: verantwoordelijken, input en beleid

Verzamel vier inputs voordat het aanbestedingsdossier binnenkomt en wijs een verantwoordelijke aan voor elke beslissing waarvoor ze input leveren. Vink deze af:

• De NDA of vertrouwelijkheidsvoorwaarden van de koper, als afzonderlijke overeenkomst of als bepalingen in de aanbestedingsinstructies.
• De instructies in de aanbesteding voor het markeren van vertrouwelijke informatie, zoals een verplichte bijlage of een verplicht formulier.
• Het beleid van uw bedrijf voor AI en informatieverwerking, met de lijst van goedgekeurde tools.
• De partners, onderaannemers en consultants die waarschijnlijk het volledige dossier of een deel ervan nodig hebben.

Wijs vervolgens de verantwoordelijken aan. De juridische dienst beoordeelt elke bepaling die het bedrijf ook buiten deze bid bindt. De verantwoordelijke voor uw informatiebeleid, IT of informatiebeveiliging bevestigt bijvoorbeeld in welke tools en op welke schijven het aanbestedingsdossier mag worden opgeslagen. De bidmanager bepaalt welke informatie in de response als vertrouwelijk wordt aangemerkt en draagt daarvoor de verantwoordelijkheid, net als voor al het andere in de response.

BSI's PAS 360:2023, de praktijkcode voor bid- en proposalmanagement, beschouwt rollen en verantwoordelijkheden als onderdeel van een goede werkwijze. Bij vertrouwelijkheid wordt het snelst duidelijk dat er geen verantwoordelijke is. Een beslissing waarvoor niemand verantwoordelijk is, wordt genomen door degene die het aanbestedingsdossier als eerste downloadt. Tegen de tijd dat u het merkt, staan de bestanden al op drie laptops en in iemands chatgeschiedenis.

Lees de geheimhoudingsovereenkomst bij de RFP voordat iemand het aanbestedingsdossier opent

Stuur de geheimhoudingsovereenkomst van de koper naar de persoon die ze ondertekent voordat iemand het aanbestedingsdossier downloadt, want aanvaarding van de voorwaarden is doorgaans een voorwaarde voor toegang. Wat u daarin overeenkomt, bepaalt elke volgende stap.

Lees het in twee delen. Het eerste deel regelt de bid zelf: wat als vertrouwelijke informatie geldt, wie die mag ontvangen, waarvoor die mag worden gebruikt (uitsluitend om uw response voor te bereiden), waar die mag worden opgeslagen en wat er uiteindelijk mee moet gebeuren, namelijk teruggave, vernietiging of een schriftelijke bevestiging daarvan. De bidmanager kan met deze voorwaarden aan de slag. Ze bepalen de regels voor de stappen rond partners, tools en afsluiting hieronder.

De tweede helft gaat verder dan de bid en is bestemd voor de juridische dienst. Let op bepalingen over exclusiviteit of een concurrentiebeding, een verbod om personeel van de koper te benaderen, eventuele aanspraken op intellectuele eigendom in uw response of in ideeën die u tijdens de verduidelijkingsfase deelt, vrijwaringen of onbeperkte aansprakelijkheid bij een inbreuk, en verplichtingen die nog jaren na de gunning doorlopen. Een verbod om personeel te benaderen kan bijvoorbeeld uw hele onderneming binden in plaats van alleen het bidteam. De aanvaarding daarvan moet worden beslist door iemand met een ruimere bevoegdheid dan voor de bid. Als u niet zeker weet welke documenten van de koper u vóór de gunning binden, zet deze gids over de vraag of een RFP juridisch bindend is het onderscheid uiteen.

Lees de voorwaarden voor opslag en verwerking nog eens na. Een clausule die beperkt waar documenten mogen worden bewaard, of die openbaarmaking aan derden zonder toestemming verbiedt, bepaalt later of een clouddrive of AI-tool geldt als een toegestane locatie dan wel als een niet-gemachtigde derde. Als een voorwaarde onduidelijk is, kaart die dan aan bij de koper voordat u ondertekent. Een verduidelijkingsvraag over een vertrouwelijkheidsvoorwaarde kost weinig vóór ondertekening en is lastig zodra het aanbestedingsdossier is gedeeld.

Laat de voorwaarden gelden voor elke partner die het aanbestedingsdossier inziet

Controleer voordat u hun iets toestuurt of de definitie van toegestane ontvangers in de NDA ook uw onderaannemers, consultants en consortiumpartners omvat. U bent immers gebonden aan de voorwaarden van de koper, zij niet.

Overeenkomsten staan doorgaans toe dat u informatie op need-to-knowbasis deelt met “vertegenwoordigers”, maar de definities verschillen. Sommige omvatten alleen werknemers, professionele adviseurs en verbonden ondernemingen. Andere vereisen de schriftelijke toestemming van de koper voor elke derde partij. Soms bent u aansprakelijk voor alles wat een vertegenwoordiger met de informatie doet. Toets de clausule aan uw werkelijke lijst van partners, naam voor naam.

Als de voorwaarden delen toestaan, legt u ze aan de partners op voordat u de bestanden doorstuurt. Dat betekent een gelijkluidende geheimhoudingsovereenkomst of een ondertekende verbintenis van elke partner die aansluit bij de voorwaarden van de koper voor gebruik, opslag en teruggave, in plaats van uw standaard-NDA voor samenwerking, die minder strikt kan zijn dan wat u net hebt aanvaard. Als de voorwaarden toestemming vereisen, vraagt u die aan de koper en vermeldt u de partners.

Houd vervolgens vanaf de eerste keer dat u iets deelt een ontvangerslogboek bij. Neem daarin deze velden op:

• Naam en organisatie
• Rol in de bid
• Ontvangen bestanden of secties, met versienummer
• Datum van delen en wijze van delen (portaal, link naar drive, e-mail)
• Voorwaarden waaraan ze gebonden zijn: de NDA van de koper, een gelijkluidende overeenkomst of een verwijzing naar de toestemming
• Datum van teruggave of vernietiging, en datum waarop de bevestiging is ontvangen

Hetzelfde logboek bewijst bij de afsluiting zijn nut wanneer de voorwaarden van de koper vereisen dat elk exemplaar wordt terugbezorgd of vernietigd. Zonder dat logboek bent u aangewezen op uw geheugen. Deel waar mogelijk ook per onderdeel: een onderaannemer die een prijs voor één perceel opstelt, heeft mogelijk niet het volledige aanbestedingsdossier nodig. Elk bestand dat u niet verstuurt, hoeft u ook niet terug te vragen.

Keur elke AI-tool en gedeelde schijf goed voordat het dossier erop komt

Voer voor elke AI-tool en gedeelde schijf twee controles uit voordat u een deel van het aanbestedingsdossier invoert: eerst de voorwaarden van de koper, daarna het beleid van uw eigen bedrijf. De voorwaarden van de koper bepalen waar de documenten mogen worden opgeslagen en verwerkt en of een derde partij ze mag behandelen. Uw beleid bepaalt welke tools het bedrijf heeft goedgekeurd. Een tool kan voor de ene controle slagen en voor de andere niet.

Veel securityverantwoordelijken vermoeden al, of hebben aanwijzingen, dat dit risico binnen hun eigen organisatie bestaat. Uit een Gartner-enquête onder 302 cybersecurityverantwoordelijken, uitgevoerd tussen maart en mei 2025, bleek dat 69% van de organisaties vermoedt of aanwijzingen heeft dat medewerkers verboden openbare GenAI gebruiken. Bij een bid kan een bidwriter bijvoorbeeld een lange specificatie in een persoonlijk account van een chatassistent plakken om die samen te vatten. Gartner adviseert CIO's om een duidelijk beleid voor het gebruik van AI-tools in de hele organisatie vast te leggen en regelmatig te controleren op shadow AI. Een bidteam kan niet wachten op de audit en past het beleid daarom toe bij het uploaden.

De toets blijft dezelfde, ongeacht de vorm van de AI: een chatassistent zoals ChatGPT, Claude of Gemini; Microsoft Copilot in Office; AI die aan uw contentbibliotheek is toegevoegd; of een intern ontwikkelde oplossing. AI voor algemeen gebruik schrijft snel een degelijk eerste concept, maar daar gaat het hier niet om. De vraag is of de voorwaarden van de koper u toestaan om documenten op te slaan en te verwerken waar de tool dat doet, en of uw bedrijf de tool heeft goedgekeurd voor vertrouwelijk materiaal dat van een derde partij is ontvangen. Controleer dit voor elke tool in deze volgorde:

1. Waar de tool geüploade bestanden opslaat en verwerkt, getoetst aan eventuele locatievereisten in de voorwaarden van de koper.
2. Of de leverancier van de tool volgens de voorwaarden van de koper als een derde geldt en, zo ja, of u toestemming van de koper nodig hebt.
3. Of uw AI-beleid het gebruik van de tool toestaat voor vertrouwelijk materiaal dat u onder een NDA hebt ontvangen.

Voor gedeelde schijven geldt dezelfde controle, plus één extra stap. Maak voor elke bid een afgeschermde map aan en beperk de toegang tot de personen in uw ontvangerslogboek. Plaats het dossier niet in de algemene bidomgeving van het team, waar iedereen met toegang tot eerdere bids het kan openen. Geef bij de kick-off aan bidwriters en vakexperts persoonlijk door welke tools voor deze bid zijn goedgekeurd.

Markeer vertrouwelijke informatie per onderdeel van een tenderresponse

Markeer alleen de delen van uw response waarvan een koper kan verantwoorden dat ze niet openbaar worden gemaakt, en vermeld voor elk deel de reden. Een publieke koper die wordt gevraagd uw informatie openbaar te maken, beslist daar immers zelf over, en een duidelijke reden biedt een afwegingselement. In Engeland stelt de richtsnoeren van het Cabinet Office voor publieke kopers over openbaarmaking dat informatie om commercieel gevoelige redenen alleen na een toetsing aan het algemeen belang mag worden achtergehouden. De richtsnoeren dragen kopers ook op hun motivering vast te leggen en te bewaren. Uw markering bepaalt de uitkomst niet; de vastgelegde motivering van de koper doet dat. Een algemene vertrouwelijkheidsvermelding op elke pagina biedt de koper niets om vast te leggen. Als u iets markeert dat duidelijk openbaar is, zoals de geschiedenis van uw bedrijf, kunnen de markeringen die er wel toe doen als een automatisme overkomen.

Wat een koper gemotiveerd kan achterhouden

Dezelfde richtsnoeren geven voorbeelden van commerciële informatie die mogelijk kan worden achtergehouden: financiële modellen en bedrijfsplannen, met inbegrip van details over winstmarges en overheadkosten; afzonderlijke prijselementen; en bedrijfseigen details van uw oplossing. Dat is een goede shortlist om mee te beginnen, omdat de bekendmaking van die onderdelen een concurrent bruikbare informatie zou opleveren. In een typische response gaat het dan om de prijsopbouw per tarief of post, het onderliggende kostenmodel en de methodologische beschrijvingen of het technische ontwerp waarmee uw oplossing zich onderscheidt.

Houd er rekening mee dat bepaalde zaken worden gepubliceerd, ongeacht wat u als vertrouwelijk aanduidt. Volgens de richtsnoeren is commerciële gevoeligheid op zich geen reden om de contractwaarde achter te houden. Ga er dus van uit dat de totale waarde wordt gepubliceerd, ook als uw prijsspecificatie is weggelakt. In de EU verbiedt Richtlijn 2014/24/EU een aanbestedende dienst om informatie openbaar te maken die een leverancier als vertrouwelijk heeft aangemerkt, waaronder technische geheimen, handelsgeheimen en vertrouwelijke aspecten van offertes. Daarbij geldt het nationale recht, met name inzake toegang tot informatie. De aanduiding als vertrouwelijk doet dus de verplichting ontstaan, zonder dat daarmee elk verzoek is afgehandeld. Volgens de Procurement Act 2023 moet een koper in Engeland, Wales en Noord-Ierland die informatie achterhoudt, bekendmaken of meedelen dat hij dit doet en op welke grond. Daardoor is zelfs een weglakking zichtbaar voor uw concurrenten.

De reden bij elke markering

Geef bij elke markering een motivering die de koper rechtstreeks in zijn eigen dossier kan overnemen. Een bruikbare motivering bestaat uit drie delen: wat gemarkeerd is, met een verwijzing naar de sectie of tabel; welke schade openbaarmaking zou veroorzaken en voor wie; en hoelang de informatie gevoelig blijft.

Een motivering voor een tariefkaart kan bijvoorbeeld vermelden dat de dagtarieven in de tweede tabel van het prijsschema uw huidige margestructuur weerspiegelen, dat een concurrent ze kan gebruiken om u bij het volgende contract te onderbieden en dat ze gedurende de looptijd van het contract gevoelig blijven. Dat laatste onderdeel is relevant. Een tarief dat tijdens het contract gevoelig is, hoeft dat jaren later niet meer te zijn. Door dat te vermelden, maakt u de rest van uw motivering geloofwaardiger.

Bundel de motiveringen in één overzicht vooraan in de response, of in de vorm die de instructies van de aanbesteding voorschrijven, en markeer de bijbehorende pagina's. Controleer vóór de indiening de markeringen eenmaal aan de hand van het overzicht, zodat niets zonder motivering is gemarkeerd en niets met een motivering ongemarkeerd blijft. Vermeld de persoon die de motiveringen heeft opgesteld als contactpersoon voor vragen van de koper over een markering.

Sluit de bid af en houd klantmateriaal buiten andere bids

Wanneer het contract wordt gegund of de bid verloren gaat, bezorgt u de documenten van de koper terug of vernietigt u ze zoals de voorwaarden voorschrijven. Doorloop het ontvangerslogboek om elke kopie te achterhalen, ook die van partners. Elke partner bezorgt de ontvangen documenten terug of vernietigt ze, bevestigt dit schriftelijk en u noteert de datum in de bijbehorende rij. Ook uw eigen kopieën tellen mee: de map met beperkte toegang, lokale downloads, e-mailbijlagen en alles wat naar een goedgekeurde tool is geüpload. Als de voorwaarden toestaan dat u een kopie bewaart voor juridische of compliancedoeleinden, legt u vast wat u hebt bewaard, waar en waarom.

Houd de documenten van de koper uit uw contentbibliotheek. Uw eigen antwoorden mogen er opnieuw in zodra ze zijn goedgekeurd voor hergebruik. De specificatie en prijssjablonen van de koper, en alles wat de koper u tijdens de verduidelijking heeft meegedeeld, hebt u onder diens voorwaarden ontvangen. Die voorwaarden blijven erop van toepassing.

Dezelfde discipline geldt omgekeerd voor uw eigen klanten. Een case study waarin een klant en diens resultaten worden genoemd, kan voor één bid of één doel zijn goedgekeurd. Hergebruik zonder toestemming van die klant brengt net de relatie in gevaar die de case study moest aantonen. Registreer elke goedkeuring bij het item in de bibliotheek: wie gaf goedkeuring, voor welk gebruik en tot wanneer? Zo ziet een bidwriter in één oogopslag of een case study met naamvermelding voor deze response is goedgekeurd. Lees hoe u een bibliotheek opzet waarin elk item een eigenaar en een hergebruikstatus heeft in een controleerbare bibliotheek opbouwen.

In SEQUESTO: uw team labelt elk document in de Knowledge Hub van SEQUESTO's agentic operating system (aOS) op vertrouwelijkheid, en voor hergebruik van een klantspecifieke case study kan goedkeuring vereist zijn. Alleen documenten met het label ‘deelbaar’ worden voorgesteld voor een externe indiening.

Vertrouwelijkheidschecklist voor elke bid

Doorloop dit bij de kick-off en opnieuw bij de afsluiting. Elke regel geldt voor de bid of niet:

• De NDA van de koper werd gelezen voordat het aanbestedingsdossier werd geopend, en de juridische dienst keurde elke bepaling goed die verder reikt dan de bid.
• Elke partner, onderaannemer en consultant die bestanden heeft ontvangen, valt onder de voorwaarden. Waar nodig zijn de voorwaarden aan hen opgelegd, en elke ontvanger staat in het ontvangerslogboek.
• Elke tool en schijf waarop het dossier staat, is getoetst aan de voorwaarden van de koper en het AI-beleid van het bedrijf. Het dossier staat in een map met beperkte toegang voor deze bid.
• Elke vertrouwelijkheidsmarkering in de response is gemotiveerd met vermelding van het betreffende onderdeel, de mogelijke schade en de duur van de gevoeligheid, en het overzicht komt overeen met de gemarkeerde pagina's.
• De bidmanager weet welke informatie een publieke koper nog mag publiceren, waaronder de totale contractwaarde in Engeland, en heeft dit vóór de indiening aanvaard.
• Elk exemplaar van het dossier van de koper, ook dat van partners, is terugbezorgd of vernietigd en in het logboek bevestigd. De contentbibliotheek bevat geen documenten van de koper of niet-goedgekeurd klantmateriaal.

Begin bij uw volgende bid met de eerste regel, nog vóór u op de downloadlink klikt. Op dat moment kunt u de andere vijf regels nog eenvoudig correct toepassen.