Wat verandert er voor overheidsorganisaties onder de Cyberbeveiligingswet?
De Baseline Informatiebeveiliging Overheid (BIO2) is het geldende normenkader voor informatiebeveiliging binnen de Nederlandse overheid: Rijk, gemeenten, provincies en waterschappen. Het bevat de minimale eisen en beveiligingsmaatregelen waaraan overheidsorganisaties zich houden. Dit artikel legt uit wat BIO2 is, hoe het zich verhoudt tot de ISO-normen, en wat de koppeling aan de Cyberbeveiligingswet sinds 15 augustus 2026 betekent.
Dit artikel geeft een praktische uitleg vanuit technisch perspectief. Welke verplichtingen precies op uw organisatie van toepassing zijn, is een juridische beoordeling. Raadpleeg de officiële bronnen en zo nodig een jurist.
Officiële bronnen: bio-overheid.nl en de NCTV over de Cyberbeveiligingswet.
BIO2 is de opvolger van de eerdere BIO (versie 1.04). Het is de vernieuwde basisnorm voor informatiebeveiliging binnen de overheid, met een uniforme aanpak en een gemeenschappelijk normenkader waarin risicomanagement centraal staat. Het doel is dat alle overheidslagen een gezamenlijke, herkenbare standaard hanteren.
Waar organisaties in het bedrijfsleven ISO 27001 kunnen kiezen, is BIO2 voor de overheid het verplichte kader. Maar het is geen losstaand systeem: BIO2 bouwt direct op de internationale normen voort. De baseline bestaat uit twee delen:
Voor de techniek betekent dat: wie ISO 27001 en 27002 kent, herkent in BIO2 vrijwel dezelfde maatregelen. Risicogebaseerd werken, toegangsbeheer, logging, hardening, back-up en herstel vormen de kern. BIO2 legt daar de verplichte overheidsmaatregelen bovenop.
Sinds 15 augustus 2026, de datum waarop de Cyberbeveiligingswet (Cbw) in werking trad, is BIO2 voor essentiële entiteiten in de sector overheid wettelijk gekoppeld aan de zorgplicht uit de Cbw. Voor die organisaties is het toepassen van de ISO-standaarden en de overheidsmaatregelen uit BIO2 een wettelijke verplichting, voor zover de Cbw en de onderliggende regelgeving van toepassing zijn.
Voor overheidsorganisaties die niet onder de Cbw vallen, geldt BIO2 als verplichtende zelfregulering. Het blijft dan het normenkader waaraan de overheid zich houdt, ook zonder dat de wet rechtstreeks van toepassing is.
Kort samengevat: of een organisatie nu wel of niet onder de Cbw valt, BIO2 is het kader. Het verschil zit in de juridische grondslag, niet in de vraag óf de maatregelen moeten worden toegepast.
De praktijk is herkenbaar voor wie ISO- of NIS2-trajecten kent. BIO2 vraagt dat maatregelen niet alleen op papier staan, maar aantoonbaar in de systemen zijn ingericht. In de praktijk gaat het om:
Het terugkerende knelpunt is, net als bij ISO 27001, de aantoonbaarheid: kunt u laten zien dat een maatregel echt werkt en structureel wordt uitgevoerd? Dat is waar wij ons op richten.
Wij starten doorgaans met een Audit-klaar Analyse: een technische beoordeling die zichtbaar maakt waar u staat ten opzichte van de BIO2-maatregelen, met een geprioriteerd verbeterplan. Meer over onze aanpak leest u op de pagina BIO2 voor overheidsorganisaties. Valt uw organisatie ook onder de Cbw, lees dan NIS2 en ISO 27001: hoeveel werk is de stap echt?.
Wij vertalen de baseline naar concrete, aantoonbare maatregelen in uw IT-omgeving. Neem contact op voor een vrijblijvend gesprek.