Je hebt de aanbesteding bijna rond. De software scoort goed op features, de demo overtuigde iedereen, de prijs klopt. Dan komt de vraag van IT of de CISO: waar staat de contractdata fysiek, en wie kan er juridisch bij? Je kijkt naar de landingspagina van de leverancier. Die zegt alleen “hosted in Europe”. De leverancier zelf is Amerikaans. En daar stokt de hele aankoop.
Bij de keuze voor Nederlandse contractmanagement software gaat het allang niet meer alleen over taal en support. De vraag die vooraan hoort te staan is: onder welke wet leeft je contractdata, en wie heeft er toegang toe? Dat is voor inkopers en contractmanagers in publiek, zorg en onderwijs inmiddels een aankoopcriterium geworden, geen bijzaak.
“Nederlands” betekent iets anders dan je denkt
Veel vergelijkingen zetten Nederlandse contractmanagement software gelijk aan Nederlandstalige support en een helpdesk in je eigen tijdzone. Dat is prettig, maar het zegt niets over jurisdictie. Een tool met Nederlandse support kan nog steeds een Amerikaanse moederonderneming hebben die onder Amerikaans recht valt.
Het echte onderscheid zit in drie lagen die los van elkaar staan:
- Taal en support: in welke taal word je geholpen. Comfort, geen bescherming.
- Dataresidentie: waar de servers fysiek staan.
- Jurisdictie: onder welk recht de leverancier valt, en dus wie je data mag opeisen.
Die laatste laag is de bepalende. Servers in Frankfurt geven je geen bescherming als de eigenaar van de software onder een wet valt die toegang tot die data afdwingt. Wie op taal selecteert, kiest op comfort. Wie op jurisdictie selecteert, kiest op grip.
Waar leeft je contractdata eigenlijk, en wie kan erbij?
In een contractmanagementsysteem leeft geen neutrale metadata. Er staan leveranciersnamen, prijsafspraken, indexatieclausules, SLA-boetes en beveiligingseisen uit uitbestede contracten in. Voor een zorginstelling zit daar informatie tussen over beveiliging en patiëntenlogistiek. Voor een gemeente over de complete leveranciersketen. Die data wil je niet buiten je controle hebben.
Hier komt de US Cloud Act in beeld. Die Amerikaanse wet geeft de Amerikaanse overheid het recht om data op te vragen bij Amerikaanse bedrijven, ongeacht waar de servers staan. Een Europese datacenterlocatie verandert daar niets aan als de leverancier een Amerikaanse entiteit is. “Hosted in Europe” beantwoordt dus de verkeerde vraag. De vraag is niet waar de schijf draait, maar welke overheid bij de eigenaar kan aankloppen.
Neem een universiteit met een expliciet datasoevereiniteitsbeleid. De CISO levert een lijst met eisen aan. Een internationale tool scoort daar hoog op features, maar zakt op jurisdictie. Dan valt de mooiste oplossing achteraf alsnog af, en begint het zoeken opnieuw. Dat is precies de volgorde die je wilt omdraaien: data-eigenaarschap hoort een startvraag te zijn, geen sluitpost.
AVG-by-design: een aankoopcriterium, geen vinkje achteraf
AVG-compliance wordt vaak gepresenteerd als een vinkje op een verkooppagina. Maar er is een verschil tussen privacy die in het fundament zit en privacy die er achteraf op geplakt is. Bij AVG-by-design zijn dataminimalisatie, toegangsbeheer en verwerkingslocatie ontwerpkeuzes vanaf de eerste regel code. Bij privacy-achteraf zijn het patches op een systeem dat er niet voor gebouwd is.
Voor jou als inkoper of contractmanager is dit toetsbaar. Vraag naar de verwerkersovereenkomst, naar de subverwerkers en hun vestigingsland, en naar wie technisch toegang heeft tot de productiedata. Een leverancier die AVG in het ontwerp heeft zitten, kan die vragen direct beantwoorden. Een leverancier die het achteraf plakt, verwijst je naar een generieke compliance-pagina. Dat verschil merk je binnen twee vragen.
NEN-EN 18286:2026 en de AI-verordening: wat verandert er?
In 2026 is NEN-EN 18286:2026 gepubliceerd, de eerste Europese norm die aansluit bij de AI-verordening. Dat raakt contractmanagement direct zodra je software AI loslaat op je contractdata. Analyseert een AI-functie jouw contractdocumenten, dan is de vraag waar die verwerking plaatsvindt en onder welke voorwaarden even hard als bij opslag.
KAIA, de AI in GRIP, leest contractdocumenten en zet ze om naar gestructureerde data: acties, KPI’s, indexatiemomenten. Die verwerking blijft binnen de Europese kaders. GRIP maakt niemand “AI Act-compliant”, dat is niet de claim. Wel weet je waar de AI je contractdata verwerkt, en dat is precies het onderdeel dat internationale tools zelden expliciet maken. GRIP is ISO 9001 en ISO 27001 gecertificeerd, wat die verwerking controleerbaar maakt in plaats van een belofte.
Waarom publiek, zorg en onderwijs hier zwaarder aan tillen
Een commercieel MKB-bedrijf kan een risico accepteren dat een gemeente niet mag lopen. Publieke, zorg- en onderwijsorganisaties hebben een verantwoordingsplicht, werken met gevoelige leveranciersdata en zitten vast aan aanbestedingseisen waarin datasoevereiniteit steeds vaker een knock-outcriterium is.
Daar komt de Cyberbeveiligingswet bij, de Nederlandse uitwerking van NIS2, in werking op 15 augustus 2026. Die verplicht circa 8.000 tot 10.000 organisaties om cyberrisico’s in de leveranciersketen aantoonbaar te beheersen. Je moet weten welke leveranciers er zijn, welke beveiligingseisen in de uitbestede contracten staan en welke afspraken openstaan. GRIP geeft grip op die contractkant van de zorgplicht, niet op je hele cybersecurity.
Selectiecriteria: de vragen die je vooraf stelt
Draai de volgorde om. Stel deze vragen vóór de demo, niet na de security-toets:
- Onder welke jurisdictie valt de leverancier, en wie is de moederonderneming?
- Waar staan de productie- en back-updata fysiek, en wie zijn de subverwerkers?
- Kan een niet-Europese overheid via de eigenaar bij mijn contractdata?
- Zit AVG in het ontwerp of achteraf erop geplakt? Vraag naar bewijs.
- Als er AI op mijn data draait: waar en onder welke voorwaarden?
- Welke certificeringen zijn er, en zijn ze recent geaudit?
Grip op je contractdata begint bij weten waar die staat en wie erbij kan. Dat inzicht hoort thuis op dezelfde plek als je acties, KPI’s en leveranciersprestaties: in je contractdashboard. Wil je zien hoe GRIP jurisdictie, dataresidentie en Europese verwerking concreet invult? Bekijk hoe GRIP dit oplost of boek een demo.
Veelgestelde vragen
Wat is het verschil tussen Nederlandse en internationale contractmanagement software?
Het echte verschil zit niet in taal of support, maar in jurisdictie. Nederlandse software valt onder Europees recht, waardoor je contractdata beschermd is tegen toegang door niet-Europese overheden. Bij internationale software kan de moederonderneming onder buitenlands recht vallen, ongeacht waar de servers staan.
Wat betekent dataresidentie voor contractmanagement?
Dataresidentie gaat over waar je contractdata fysiek wordt opgeslagen en verwerkt. Voor contractmanagement betekent dit dat leveranciersnamen, prijsafspraken, SLA’s en beveiligingseisen binnen de EU blijven, onder Europees recht. De opslaglocatie alleen is niet voldoende: de jurisdictie van de leverancier telt net zo zwaar.
Waarom is “hosted in Europe” niet genoeg?
Servers in Europa beschermen je data niet als de leverancier een Amerikaanse entiteit is. Via de US Cloud Act kan de Amerikaanse overheid data opeisen bij Amerikaanse bedrijven, ongeacht de serverlocatie. De bepalende vraag is onder welke wet de eigenaar valt, niet waar de schijf draait.
Wat is AVG-by-design bij software?
AVG-by-design betekent dat privacy een ontwerpkeuze is vanaf de eerste regel code: dataminimalisatie, toegangsbeheer en verwerkingslocatie zitten in het fundament. Dat is iets anders dan privacy die achteraf op een bestaand systeem wordt geplakt. Vraag naar de verwerkersovereenkomst en subverwerkers om het te toetsen.
Wat is NEN-EN 18286:2026?
NEN-EN 18286:2026 is de eerste Europese norm die aansluit bij de AI-verordening, gepubliceerd in 2026. De norm is relevant voor contractmanagement zodra software AI gebruikt om contractdata te analyseren, omdat je dan moet weten waar en onder welke voorwaarden die verwerking plaatsvindt.
Maakt GRIP mijn organisatie NIS2-compliant?
Nee. GRIP is geen cybersecurity- of compliancetool en maakt niemand NIS2-compliant. GRIP geeft grip op de contractkant van de zorgplicht: welke leveranciers er zijn, welke beveiligingseisen in de contracten staan en welke afspraken openstaan. Dat is één onderdeel van de bredere verplichting onder de Cyberbeveiligingswet.
Waarom weegt datasoevereiniteit zwaarder in publiek, zorg en onderwijs?
Deze organisaties hebben een verantwoordingsplicht, werken met gevoelige leveranciersdata en zitten vast aan aanbestedingseisen. Datasoevereiniteit is daar steeds vaker een knock-outcriterium, versterkt door de Cyberbeveiligingswet die vanaf 15 augustus 2026 aantoonbare grip op de leveranciersketen vraagt.