Van de Baseline Informatiebeveiliging Overheid naar aantoonbare technische maatregelen
De Baseline Informatiebeveiliging Overheid (BIO2) is het geldende normenkader voor informatiebeveiliging binnen de Nederlandse overheid: Rijk, gemeenten, provincies en waterschappen. BIO2 bevat de minimale eisen en beveiligingsmaatregelen waaraan overheidsorganisaties moeten voldoen.
Voor overheidsorganisaties is BIO2 het verplichte kader, niet ISO 27001 als los certificaat. Toch komt uw ISO-kennis niet voor niets: BIO2 is juist op de ISO-normen gebouwd. Wij vertalen de BIO2-maatregelen naar een IT-omgeving die aantoonbaar doet wat de baseline vraagt.
Deze pagina beschrijft de technische en organisatorische kant van de BIO2. Voor de vraag welke verplichtingen precies op uw organisatie van toepassing zijn, verwijzen wij naar de officiële bronnen en waar nodig juridisch advies. Onze rol is het technisch implementeren en aantoonbaar maken van de maatregelen.
Officiële bronnen: bio-overheid.nl (het officiële kennisplatform rond de BIO2) en de NCTV over de Cyberbeveiligingswet.
De BIO2 bestaat uit twee delen die direct op de internationale normen aansluiten:
Dat betekent dat de technische kern van BIO2 grotendeels dezelfde maatregelen zijn die wij ook bij ISO 27001-trajecten inrichten: risicogebaseerd werken, toegangsbeheer, logging, hardening, back-up en herstel. BIO2 voegt daar de verplichte overheidsmaatregelen aan toe.
Sinds 15 augustus 2026 is BIO2 voor essentiële entiteiten in de sector overheid wettelijk gekoppeld aan de zorgplicht uit de Cyberbeveiligingswet (Cbw). Voor die organisaties is het toepassen van de ISO-standaarden en de overheidsmaatregelen uit BIO2 een wettelijke verplichting, voor zover de Cbw en de onderliggende regelgeving van toepassing zijn.
Voor overheidsorganisaties die niet onder de Cbw vallen, geldt BIO2 als verplichtende zelfregulering: het blijft het normenkader waaraan de overheid zich houdt, ook zonder dat de Cbw rechtstreeks van toepassing is.
Hoe de Cbw-zorgplicht zich verder vertaalt naar concrete IT-maatregelen, leest u op onze pagina NIS2 & de Cyberbeveiligingswet.
Wij zijn geen beleidsbureau en geen toezichthouder. Wij implementeren en verifiëren de technische maatregelen die de BIO2 vraagt, en zorgen dat u ze kunt aantonen. In de praktijk gaat het om:
Inventarisatie van systemen, gegevens en datastromen, gekoppeld aan risico's. BIO2 stelt risicomanagement centraal; dit is de basis onder elke maatregel.
Gecentraliseerde logging en detectie, zodat incidenten zichtbaar, traceerbaar en tijdig te herkennen zijn.
Geteste back-ups en herstelprocedures, met hersteldoelstellingen (RTO/RPO) en bestendigheid tegen ransomware.
Hardening, segmentatie en veilige configuraties voor systemen, netwerk en cloud (waaronder Microsoft 365).
SPF, DKIM, DMARC, DNSSEC, DANE en MTA-STS tegen phishing, spoofing en onderschepping.
Net als bij ISO- en NIS2-trajecten starten wij doorgaans met een Audit-klaar Analyse: een technische beoordeling van uw omgeving die zichtbaar maakt waar u staat ten opzichte van de BIO2-maatregelen, met een geprioriteerd verbeterplan.
Neem contact op voor een vrijblijvend gesprek, of start met een Audit-klaar Analyse om te zien waar u technisch staat ten opzichte van de baseline.