BIO2 is geen technische update. Het is een grondige herziening die informatiebeveiliging van een IT-vraagstuk definitief omvormt tot een bestuursverantwoordelijkheid, en die de manier waarop overheidsorganisaties hun beveiliging inrichten, onderbouwen en verantwoorden structureel verandert.

De BIO2 is het gemeenschappelijke normenkader voor informatiebeveiliging binnen alle overheidslagen: het Rijk, provincies, waterschappen en gemeenten. Het kader is gebaseerd op de internationale normen NEN-EN-ISO/IEC 27001:2023 en NEN-EN-ISO/IEC 27002:2022, aangevuld met verplichte overheidsmaatregelen die specifiek gelden voor de publieke sector. Een deel van de overheidsmaatregelen is verzwaard door de verplichte doorwerking van de NIS2-richtlijn via de Cyberbeveiligingswet; een ander deel is verlicht.

De meest ingrijpende verandering ten opzichte van de vorige versie is het afschaffen van de drie Basisbeveiligingsniveaus, BBN1, BBN2 en BBN3. Onder de oude BIO classificeerde een organisatie haar systemen op een vast niveau en volgde daaruit een vaste set maatregelen. Onder BIO2 voert elke organisatie voor elk relevant proces of systeem een eigen risicobeoordeling uit en bepaalt op basis daarvan welke maatregelen passend en evenredig zijn. De norm is daarmee geen checklist meer, maar een stuurinstrument.

Verder zijn de 114 beheersmaatregelen uit de vorige versie geherstructureerd naar de 93 controls van ISO 27002:2022. Dit betekent niet dat er minder gevraagd wordt: de scope per control is breder, de onderlinge samenhang is groter en de verantwoordingseisen zijn strenger. Een organisatie die de overgang van BIO1 naar BIO2 onderschat omdat het aantal maatregelen daalt, heeft de herziening niet begrepen.

BIO2 geldt feitelijk voor alle Nederlandse overheidsorganisaties. De formele grondslag verschilt per type organisatie.

Voor het Rijk, provincies en waterschappen verving BIO2 de vorige versie op 23 september 2025 als verplichtende zelfregulering. Versie 1.3 van 5 maart 2026 geldt per direct als de geldende verplichtende zelfregulering voor deze overheidslagen.

Gemeenten werken in de periode tot de inwerkingtreding van de Cyberbeveiligingswet formeel nog met BIO v1.04zv als verplichtende zelfregulering, maar hanteren BIO2 al als richtinggevend kader. In samenwerkingen bepaalt de keuze van de hoofd-opdrachtgever welke versie leidend is. Vanaf 15 augustus 2026 geldt BIO2 ook voor gemeenten via de Cyberbeveiligingswet, omdat alle decentrale overheden essentiële entiteiten zijn onder die wet.

Organisaties die buiten de Cbw vallen, zoals de Hoge Colleges van Staat, het Ministerie van Defensie, de AIVD en de politie, blijven aan BIO2 gebonden via een afzonderlijk besluit van de ministerraad. Hetzelfde geldt voor zelfstandige bestuursorganen die van de Cbw zijn uitgezonderd en voor gemeenschappelijke regelingen die buiten de Cbw vallen; zij blijven via hun opdrachtgever aan BIO2 gebonden. Daarmee geldt BIO2 effectief voor de gehele overheid.

BIO2 raakt ook de leveranciers van overheidsorganisaties. Wie als ICT-dienstverlener, softwareleverancier of andere ketenpartner werkt voor een overheidsorganisatie, krijgt via contracten en inkoopbeleid met BIO2-gerelateerde beveiligingseisen te maken. Overheidsorganisaties zijn op grond van de BIO2 en de Cbw verplicht passende informatiebeveiligingseisen op te nemen in contracten met leveranciers en de naleving daarvan periodiek te beoordelen.

BIO2 v1.3 bestaat formeel uit twee delen. Deel 1 bevat het BIO2-kader en beschrijft de uitgangspunten, governance en risicogestuurde werkwijze. Deel 2 bevat de verplichte BIO2-overheidsmaatregelen, ook beschikbaar in Excel. Toelichtingen en implementatiehandreikingen worden afzonderlijk gepubliceerd op bio-overheid.nl en zijn niet automatisch normatief.

De kern van de verplichtingen bestaat uit drie samenhangende elementen.

Een informatiebeveiligingsmanagementsysteem (ISMS). Overheidsorganisaties richten een ISMS in op basis van ISO/IEC 27001. Dat betekent een cyclisch proces van beleidsvorming, risicoanalyse, maatregel-implementatie, evaluatie en verbetering. Het ISMS is geen eenmalig project; het borgt dat informatiebeveiliging structureel onderdeel blijft van de bedrijfsvoering. De BIO2 verplicht geen ISO 27001-certificering, maar de structuur van de norm vormt wel de basis voor toetsing door toezichthouders.

Risicomanagement als vertrekpunt. Voor alle relevante processen en informatiesystemen voert de organisatie een risicobeoordeling uit. Op basis van die beoordeling kiest zij passende maatregelen uit ISO/IEC 27002 en de verplichte overheidsmaatregelen. De keuzes moeten gedocumenteerd en bestuurlijk uitlegbaar zijn, ook wanneer risico's bewust worden geaccepteerd.

Verplichte overheidsmaatregelen. Naast de risicogeleide keuzes uit ISO/IEC 27002 schrijft BIO2 een set overheidsmaatregelen voor die altijd gelden, ongeacht de uitkomst van de risicobeoordeling. Deze maatregelen zijn specifiek voor de publieke sector en betreffen onder meer de beveiliging van koppelingen met overheidsvoorzieningen als DigiD en Suwinet, ketensamenwerking en leveranciersmanagement. Drie van deze overheidsmaatregelen vallen buiten de scope van de Cbw, zoals de beveiliging van informatie op papier; zij zijn in de BIO2 gemarkeerd en blijven verplicht via de verplichtende zelfregulering.

Het CIP heeft ter ondersteuning van de implementatie een BIO Self-Assessment (BIO-SA), een was-wordt-lijst en een CISO-toolbox beschikbaar gesteld via bio-overheid.nl en cip-overheid.nl.

Een van de meest wezenlijke verschuivingen in BIO2 is de nadruk op bestuursverantwoordelijkheid. Het college van Burgemeester en Wethouders, Gedeputeerde Staten of het dagelijks bestuur van een waterschap is eindverantwoordelijk voor de informatiebeveiliging van de organisatie. De uitvoering van informatiebeveiliging kan binnen de organisatie worden belegd bij een CISO of beveiligingsteam, maar het bestuur behoudt de eindverantwoordelijkheid voor de governance en het toezicht.

Bestuurders moeten aantoonbaar over voldoende kennis en vaardigheden beschikken om cyberrisico's te overzien en strategische beveiligingsbeslissingen te beoordelen. Dit sluit aan op de trainingsplicht die de Cyberbeveiligingswet voor bestuurders van essentiële entiteiten stelt. Informatiebeveiliging is een vast onderdeel van het jaarverslag van de organisatie.

Voor gemeenten is ENSIA, de Eenduidige Normatiek Single Information Audit, het primaire verantwoordingsinstrument. Via ENSIA legt het college jaarlijks verantwoording af over de staat van de informatiebeveiliging aan de gemeenteraad en aan externe toezichthouders van de rijksoverheid. De verantwoording over informatiebeveiliging mondt uit in een jaarlijkse collegeverklaring informatieveiligheid, vastgesteld door het college en ingediend via het ENSIA-platform. De zelfevaluatiefase loopt jaarlijks van 1 juli tot 31 december; de formele vaststelling en indiening vindt plaats voor 1 mei van het opvolgend jaar.

Voor provincies en waterschappen gelden vergelijkbare verantwoordingsverplichtingen via hun eigen toezichtsrelaties. Alle overheidsorganisaties leggen verantwoording af over de staat van hun informatieveiligheid aan de relevante toezichthoudende instanties; informatieveiligheid is een vast onderdeel van het jaarverslag.

De Rijksinspectie Digitale Infrastructuur (RDI) is aangewezen als toezichthouder voor de Cyberbeveiligingswet voor overheidsorganisaties. De RDI maakt bij haar toezicht gebruik van bestaande verantwoordingsstructuren, waaronder ENSIA.

De BIO2 is de manier waarop overheidsorganisaties invulling geven aan de zorgplicht die de Cyberbeveiligingswet oplegt. BIO2 vormt voor overheidsorganisaties het primaire kader voor de invulling van de zorgplicht uit de Cyberbeveiligingswet. Een aantoonbare implementatie van BIO2 levert daarvoor een belangrijke basis, maar de organisatiespecifieke risicoanalyse en eventuele aanvullende maatregelen blijven bepalend. Maar de Cbw voegt ook verplichtingen toe die los staan van BIO2 zelf: de registratieplicht bij het NCSC, de meldplicht bij significante incidenten en specifieke bestuursverplichtingen rond opleiding en toezicht.

Overheidsorganisaties die nog werkten met de BBN-structuur van de vorige BIO, staan voor een aanzienlijke transitie. De overgang naar risicogeleide maatregelen vraagt om een andere werkwijze: eerst inzicht verwerven in processen en risico's, dan maatregelen kiezen en die bestuurlijk borgen. Organisaties die de gap-analyse overslaan en direct gaan implementeren, lopen het risico dat zij pas later bijsturen wanneer ENSIA-verantwoording of toezichtmomenten al voor de deur staan.

Een veelgehoorde aanname is dat eerdere naleving van BIO1 voldoende basis biedt voor BIO2. Dat klopt niet. De herstructurering van 114 naar 93 controls, het vervallen van de BBN-niveaus en de verzwaarde overheidsmaatregelen vereisen een actieve herbeoordeling van de eigen situatie. De BIO-SA biedt een gestructureerd startpunt.

Leveranciers van overheidsorganisaties merken de gevolgen in hun inkooprelaties. Beveiligingseisen maken steeds nadrukkelijker deel uit van aanbestedingsdocumenten, verwerkersovereenkomsten en periodieke audits; organisaties die voor meerdere overheidslagen leveren, zien die eisen nu ook inhoudelijk meer uniform worden.

Lexent voert juridische en technische scans uit die vaststellen in hoeverre uw organisatie voldoet aan de eisen van BIO2, welke overheidsmaatregelen al zijn geborgd en waar de gap zit ten opzichte van de Cyberbeveiligingswet. Deze scans zijn checklist-gebaseerd en worden door onze eigen specialisten uitgevoerd, niet door geautomatiseerde AI. Daarnaast verzorgen wij bewustwordings- en bestuurstrainingen die aansluiten bij de trainingsplicht voor bestuurders en de specifieke context van de publieke sector.

Wilt u weten waar uw organisatie staat ten opzichte van BIO2 en de Cyberbeveiligingswet? Neem contact met ons op voor een vrijblijvend gesprek.