In dit artikel6
Welke regels gelden voor informatiebeveiliging bij de overheid?
De Baseline Informatiebeveiliging Overheid (BIO) is het basisnormenkader voor alle overheidslagen: Rijk, gemeenten, provincies en waterschappen. Voor organisaties die niet onder de Cbw vallen, is de BIO verplichtende zelfregulering.
De Cbw implementeert de Europese NIS2-richtlijn in Nederland. Ze vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en is op 15 augustus 2026 in werking getreden. Voor de sector Overheid is de BIO2 vastgelegd in de Cyberbeveiligingsregeling sector overheid.
De Wet digitale overheid (Wdo) is sinds 1 juli 2023 gefaseerd in werking getreden. Organisaties moeten hun informatiebeveiliging op orde hebben en erkende open standaarden gebruiken. HTTPS en HSTS zijn wettelijk verplicht voor publiek toegankelijke overheidswebsites, met een HTTPS-configuratie volgens de TLS-richtlijnen van het NCSC. Niet alle onderdelen zijn al van kracht: private inlogmiddelen zijn bijvoorbeeld nog in ontwikkeling of hebben een overgangsregeling.
Verantwoording loopt via ENSIA, het stelsel dat sinds 1 juli 2017 geldt en op de BIO is gebaseerd. Het bestuur legt daarin verantwoording af aan de volksvertegenwoordiging, bij gemeenten de gemeenteraad. Toezichthouders gebruiken diezelfde informatie ook voor het toezicht op de Cyberbeveiligingswet.
Een functionaris voor gegevensbescherming (FG) is verplicht als een overheidsinstantie persoonsgegevens verwerkt, behalve gerechten bij hun rechterlijke taken. Lees meer over die rol in het artikel over de AVG voor privacy-professionals.
Dit zijn verschillende lagen: een norm, wetten en een verantwoordingsstelsel, en ze grijpen op elkaar in. Deze tekst geeft de stand van 5 november 2026.
Wat is de BIO2 en hoe werkt hij?
De BIO is het normenkader, en de actuele versie is de Baseline Informatiebeveiliging Overheid 2 (BIO2), versie 1.3, definitief, van 9 januari 2026. Die is gepubliceerd in de Staatscourant 2026, nummer 7416.
De BIO2 weerspiegelt NEN-EN-ISO/IEC 27001:2023 en NEN-EN-ISO/IEC 27002:2022. Hij bestaat uit twee delen: het BIO2-kader (deel 1) en de BIO-overheidsmaatregelen (deel 2). Die maatregelen zijn gebaseerd op bijlage A van ISO 27001, aangevuld met specifieke overheidseisen. Overheidsmaatregelen zijn altijd verplicht.
Entiteiten leggen de geselecteerde maatregelen vast in een verklaring van toepasselijkheid (VvT). De BIO verplicht geen ISO 27001-certificering. Overheidsorganisaties kunnen de normen wel kosteloos gebruiken via NEN Connect, zo meldt een nieuwsbericht van bio-overheid.nl van 2 oktober 2026. Het streven is om eind 2027 een volgende versie uit te brengen, en in 2026 start daarvoor een evaluatie met alle overheidslagen.
Wat verandert de Cyberbeveiligingswet voor overheidsorganisaties?
De Rijksinspectie Digitale Infrastructuur (RDI) schrijft dat haar toezicht gaat over ministeries, met hun diensten en agentschappen, provincies, gemeenten, zelfstandige bestuursorganen op centraal niveau en gemeenschappelijke regelingen. De laatste twee vallen eronder voor zover zij voldoen aan de vier criteria voor overheidsinstanties uit de Cbw. Waterschappen vallen niet onder de RDI; hun toezichthouder is de Inspectie Leefomgeving en Transport (ILT). Meer over het bredere kader staat in het artikel over NIS2 en de Cyberbeveiligingswet.
Niet elke overheidsinstantie valt eronder. De Cbw is niet van toepassing op instanties die hoofdzakelijk activiteiten uitvoeren op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, zoals veiligheidsregio's en de AIVD en MIVD. Ook de rechterlijke macht, de Eerste en Tweede Kamer en De Nederlandsche Bank (DNB) vallen erbuiten. Het NCSC schrijft dat de Cbw wel geldt voor Rijksoverheidsorganisaties, ongeacht hun omvang.
Volgens bio-overheid.nl geldt er geen nieuwe BIO, maar is een groot deel van de BIO2 wettelijk verankerd als invulling van de zorgplicht. Artikel 24 van de Cbw bepaalt dat het bestuur de maatregelen goedkeurt. Ieder bestuurslid heeft kennis en vaardigheden om risico's te beoordelen en bezit een certificaat van deelname aan een training. Bestuursleden voldoen daaraan binnen twee jaar na de inwerkingtreding van die bepaling. Volgens de RDI is het bestuur bij gemeenten het college van burgemeester en wethouders, bij provincies Gedeputeerde Staten, bij ministeries de Minister en bij zelfstandige bestuursorganen het bestuursorgaan zelf.
Organisaties onder de Cbw melden significante incidenten via het centrale meldpunt op MijnNCSC. De melding gaat automatisch naar het sectorale CSIRT en naar de toezichthouder. De termijnen tellen vanaf het moment dat je het incident kent: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen één maand na de melding. Bij incidenten met persoonsgegevens is ook de meldplicht datalekken van belang.
Voor gemeenten en gemeenschappelijke regelingen met minstens één gemeente is het sectorale CSIRT volgens de RDI nog niet definitief aangewezen. Tot die tijd, en in ieder geval tot eind 2026, verzorgt het NCSC de CSIRT-dienstverlening.
Hoe is informatiebeveiliging bij het Rijk georganiseerd?
Per 1 januari 2026 is het Besluit CIO-stelsel Rijksdienst 2025 in werking getreden. Het CIO-stelsel zorgt voor samenwerking en afstemming tussen alle ministeries over ict, en elk ministerie heeft een eigen CIO. De CIO Rijk kan bindende kaders vaststellen: regels, normen en richtlijnen voor de informatiesystemen van alle ministeries. Het nieuwe stelsel voegt de rollen Chief Privacy Officer (CPO), Chief Data Officer (CDO) en Chief Technology Officer (CTO) toe. Dat zijn inhoudelijke experts die de departementale CIO adviseren, naast de bestaande rol van CISO.
Volgens de BIO is de bestuurder verantwoordelijk voor het beheersen van informatiebeveiligingsrisico's. Die laat zich adviseren door onder meer een CISO, een CIO en een functionaris gegevensbescherming. De CISO coördineert informatiebeveiliging, adviseert gevraagd en ongevraagd, vertaalt wetgeving naar beleid en rapporteert aan het bestuur. Overheidsmaatregel 5.02.02 schrijft voor dat er een CISO is die onafhankelijk en zelfstandig kan adviseren en rapporteren aan het bestuur. Voor het verschil met de information security officer lees je het artikel over de CISO.
De CISO is uitdrukkelijk niet verantwoordelijk voor informatiebeveiliging door het lijnmanagement. Het lijnmanagement is eigenaar van de informatie en de informatiesystemen en past de verplichte maatregelen toe. Entiteiten tonen aan dat maatregelen zijn opgezet, bestaan en werken, bijvoorbeeld met self-assessments, audits, pentesten en red-teamtesten.
ICTU noemt zichzelf een overheidsstichting die in opdracht van alle Nederlandse overheden werkt. Het levert projecten en programma's, advies en maatwerksoftware.
Overheidsorganisaties geven elkaar met de VvT inzicht in de getroffen maatregelen, zodat ze met elkaar kunnen samenwerken. Voor een security-professional betekent dit dat de verantwoordelijkheid bij bestuur en lijnmanagement ligt, terwijl de CISO adviseert en rapporteert. Bij het Rijk werk je binnen regels die ook voor andere ministeries gelden.
Welke functies horen bij de overheid?
Functies in security, risk en compliance komen ook bij de overheid voor, maar met andere kaders en een andere verantwoording. De tabel laat per functie zien wat er overheid-specifiek aan is. Namen en grenzen van functies verschillen per organisatie, dus lees ook de vacature.
Functie | Wat is overheid-specifiek | Rolgids |
|---|---|---|
Information security officer en CISO | Het aanspreekpunt voor beleid, risico's en verantwoording. De BIO noemt de CISO uitdrukkelijk: onafhankelijk adviseren en rapporteren aan het bestuur. | |
Privacy officer en functionaris gegevensbescherming (FG) | Overheidsinstanties hebben een FG nodig. Het werk gaat over adviseren bij nieuwe processen, DPIA's en het register van verwerkingen. | |
Compliance officer en grc-consultant | Toetsen of de organisatie de BIO2, de Cbw en de AVG toepast, en kunnen laten zien dat ze dat doet, bijvoorbeeld in de VvT en de verantwoording. | |
IT-auditor | Toetsen van opzet, bestaan en werking van maatregelen. Een deel van dit werk hangt samen met verantwoordingskaders zoals ENSIA. | |
Security officer of security manager bij een gemeente of waterschap | Bij kleinere organisaties kan één persoon zowel beleid als dagelijkse beveiliging doen. Bij het Rijk en grote organisaties zijn die rollen meer verdeeld. Dit is een algemene tendens, geen vaste regel. | Geen |
SOC-analist, incident responder en security engineer | Operationele beveiliging. Bij sommige overheidsorganisaties doet een gezamenlijke dienst dit werk voor meerdere organisaties. | Geen |
Business continuity manager | Werkt aan de continuïteit van dienstverlening, bijvoorbeeld van de bevolkingsadministratie of uitkeringen. | Geen |
OT-security specialist | Bij waterschappen kan operationele technologie, zoals sluizen, gemalen en zuivering, een eigen werkgebied zijn. De BIO noemt OT als omgeving waarvoor andere normen kunnen gelden, zoals IEC 62443. | |
Security awareness specialist | Het werk gaat over training van medewerkers. De Cbw stelt ook eisen aan de training van bestuurders. |
Bij de overheid kan verantwoording bijna even zwaar wegen als de uitvoering. Je werkt met verantwoordingsstelsels, auditplannen en rapportages aan het bestuur of de gemeenteraad. De wettelijke kaders zijn publiek, dus je kunt naar de Staatscourant verwijzen. Het tempo ligt ook anders: wijzigingen in de BIO en de Cbw lopen via formele procedures en evaluaties. Dat zegt niets over kwaliteit, wel over hoe je verandering plant.
Voor de functies zelf zie je de vacatures voor information security officer, privacy officer en data protection officer.
Per sector zoek je bij de Rijksoverheid, bij gemeenten en provincies en bij waterschappen en omgevingsdiensten.
Wie uit het bedrijfsleven komt, kent ISO 27001 waarschijnlijk al, want de BIO2 weerspiegelt dezelfde normen. Nieuw zijn de verplichte overheidsmaatregelen, de verantwoordingsstelsels en het publieke karakter van besluiten. Wie een niet-technische rol zoekt, kan kijken naar compliance en privacy. Wie technisch is, kan kijken naar security engineering, OT of monitoring, en wie een leidinggevende rol zoekt naar security leadership.
Wat is een veiligheidsonderzoek en wanneer krijg je ermee te maken?
Volgens Rijksoverheid.nl hoort een veiligheidsonderzoek bij een sollicitatieprocedure voor een vertrouwensfunctie. De AIVD of de MIVD beoordeelt dan of je bij aanstelling een risico vormt voor de staatsveiligheid of andere staatsbelangen. Er zijn onderzoeken op drie niveaus: A, B en C.
Een B- of C-onderzoek is in beginsel administratief. Een A-onderzoek is het zwaarst en bevat altijd een gesprek. Bij geen bezwaar geeft de minister een verklaring van geen bezwaar (VGB) af.
Een veiligheidsonderzoek is niet hetzelfde als een Verklaring Omtrent het Gedrag (VOG). Justis geeft de VOG af op basis van je strafrechtelijk verleden, terwijl een veiligheidsonderzoek diepgaander is. Functies met toegang tot gevoelige informatie kunnen om een VOG of een veiligheidsonderzoek vragen. De werkgever bepaalt dat op basis van de functie, en de vacature geeft meestal aan of het geldt. Het artikel over security clearance en VOG zet de twee naast elkaar.
Is de BIO2 verplicht voor alle overheden?
De BIO geldt voor Rijk, gemeenten, provincies en waterschappen. Voor organisaties die niet onder de Cbw vallen, is de BIO verplichtende zelfregulering.
Moet de overheid ISO 27001 gecertificeerd zijn?
Nee. De BIO verplicht geen ISO 27001-certificering.
Wie houdt toezicht op de Cbw bij gemeenten en waterschappen?
De RDI houdt toezicht op Rijk, provincies en gemeenten. Waterschappen vallen onder de Inspectie Leefomgeving en Transport (ILT).
Wat is het verschil tussen een VOG en een veiligheidsonderzoek?
Een VOG geeft Justis af op basis van je strafrechtelijk verleden. Een veiligheidsonderzoek wordt uitgevoerd door de AIVD of de MIVD, is diepgaander en hoort bij een vertrouwensfunctie.
Welke functies zijn er bij de overheid?
Denk aan de CISO en de information security officer, de privacy officer en de functionaris gegevensbescherming (FG), compliance en IT-audit, en operationele security. De FG is bij overheidsinstanties verplicht.