BIO2: de Baseline Informatiebeveiliging Overheid

Wat is de BIO?

De BIO is het basisnormenkader voor informatiebeveiliging binnen alle overheidslagen. Hij biedt richtlijnen, algemene principes en verplichte overheidsmaatregelen voor het initiëren, implementeren, onderhouden en verbeteren van informatiebeveiliging binnen de overheid en haar ketens.

Het doel is om de informatieveiligheid overheidsbreed op een gemeenschappelijk basisniveau te brengen. Ketenpartners krijgen daardoor een basis van vertrouwen bij gegevensuitwisseling. De BIO geeft overheidsorganisaties ook een basis om intern en extern transparant te zijn over de manier waarop informatiebeveiliging is ingericht.

De naam van de huidige versie is Baseline Informatiebeveiliging Overheid 2, afgekort BIO2. Sinds de publicatie van versie 1.3 vervangt die versie de BIO versie 1.04 in het digitale verkeer met het Rijk, en ook BIO2 versie 1.2, die het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO) in september 2025 vaststelde.

Het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) is stelselverantwoordelijk voor de BIO en heeft het beheer belegd bij het Centrum Informatiebeveiliging en Privacybescherming (CIP). Dit artikel is een overzicht. Voor de exacte tekst zijn bio-overheid.nl en de Staatscourant leidend.

Welke versie van de BIO is nu actueel?

De actuele versie is BIO2 versie 1.3, definitief, van 9 januari 2026. Die staat in de Staatscourant 2026, nummer 7416, en is in maart 2026 gepubliceerd. Organisaties werken met versie 1.3.

Versie 1.3 bevat aanpassingen vanwege BIO2 als wetgeving. Overheidsmaatregelen die buiten de reikwijdte van de Cyberbeveiligingswet vallen, zijn in de wijzigingstabel grijs gemarkeerd. NL Digital noemt als aanpassingen het wegnemen van inconsistenties, verduidelijkingen en een betere aansluiting op de Cyberbeveiligingswet.

Tegenover de eerdere versies zijn door de verplichte doorwerking van de NIS2-richtlijn een aantal overheidsmaatregelen verzwaard. Waar mogelijk zijn maatregelen verlicht. Het streven is om eind 2027 een volgende versie van de BIO2 uit te brengen. In 2026 start het CIP daarvoor een evaluatie met alle overheidslagen.

Voor wie geldt de BIO?

De BIO geldt voor alle overheidslagen: het Rijk, gemeenten en provincies en waterschappen. Via de Cyberbeveiligingswet is de BIO verplicht voor entiteiten in de sector Overheid. Organisaties die buiten die wet vallen, hebben de BIO als verplichtende zelfregulering.

Digitale Overheid noemt als voorbeelden van organisaties buiten de Cbw de Hoge Colleges van Staat, het ministerie van Defensie, de AIVD en de politie, en ZBO's die van de Cbw-verplichting zijn uitgezonderd. Die zelfregulering geldt ook voor onderdelen die niet onder de Cbw vallen, zoals de beveiliging van informatie op papier. Digitale Overheid schrijft dat de BIO2 daarmee feitelijk voor alle overheidsorganisaties geldt.

De BIO is ook van toepassing op de informatiebeveiliging van andere typen omgevingen, waaronder operationele technologie (OT) en zorginformatie. Daarvoor gebruikt de BIO normen en richtlijnen zoals NEN 7510 voor zorginformatie, de Cybersecurity implementatierichtlijn (CSIR) en IEC 62443 voor OT. Beheersmaatregelen uit de ISO-normen en de BIO kunnen waar nodig en gelijkwaardig worden vervangen of gecombineerd met maatregelen uit die andere normen.

Voor wie bij een gemeente, ministerie, provincie of waterschap werkt, is de BIO het uitgangspunt van het informatiebeveiligingswerk.

Hoe is de BIO opgebouwd?

De BIO2 bestaat uit twee delen. Deel 1 is het BIO2-kader, met context, belang, structuur en toepasselijkheid. Dat deel is gestructureerd volgens NEN-EN-ISO/IEC 27001:2023. Deel 2 bevat de BIO-overheidsmaatregelen: verplichte maatregelen die zijn gebaseerd op bijlage A van NEN-EN-ISO/IEC 27001 en gestructureerd volgens NEN-EN-ISO/IEC 27002:2022, aangevuld met specifieke overheidseisen.

Een maatregelnummer vertelt waar een maatregel bij hoort. De eerste drie cijfers verwijzen naar de bijbehorende beheersmaatregel uit ISO 27002, en de volgende cijfers vormen het volgnummer van de overheidsmaatregel. Er bestaan ook beheersmaatregelen zonder overheidsmaatregelen.

Overheidsmaatregelen zijn altijd verplicht. Ze kunnen niet worden geaccepteerd op basis van de risico-inschatting van de entiteit, tenzij ze niet van toepassing kunnen zijn. De entiteit legt de geselecteerde maatregelen vast in een verklaring van toepasselijkheid (VvT) met toelichting. De overheidsmaatregelen staan daarin expliciet, en afwijkingen komen in een bijlage 'Uitzonderingen op de VvT'.

De BIO2 heeft de indeling in drie basisbeveiligingsniveaus (BBN's) uit de vorige versies vervangen door een explicietere, risicogerichte benadering. Organisaties kunnen maatregelen daardoor afstemmen op hun specifieke risico's. Het risicomanagementproces verloopt in vijf stappen: contextbepaling, het kiezen van een risicomanagementmethodiek, risico-identificatie, risicoanalyse, en risicobehandeling en maatregelenselectie. Een methodiek omvat ten minste een quickscan, een methode voor een volledige risicoanalyse, een risicoregister en een proces voor opvolging van risico's.

De BIO is geen losse checklist. Hij is een kader dat je invult met een risicoanalyse en een managementsysteem. Een overheidsorganisatie begint met de context: welke processen en informatiesystemen zijn kritisch? Daaruit volgen reikwijdte, risico's, maatregelen en de VvT.

Een overheidsmaatregel is het verplichte minimum dat de BIO boven op ISO 27002 zet. De organisatie bepaalt zelf hoe die maatregel wordt uitgewerkt, risicogericht en passend bij de situatie. Wie in een organisatie werkt, vertaalt een maatregel dus naar een concrete werkwijze, regel of techniek. Volgens de BIO is informatiebeveiliging bovendien een cyclisch proces en geen eenmalig project.

Wat is de relatie tussen de BIO en ISO 27001 en 27002?

De BIO vervangt de ISO-normen niet, maar vult ze aan. De BIO2 beschrijft hoe NEN-EN-ISO/IEC 27001:2023 en NEN-EN-ISO/IEC 27002:2022 voor de overheid worden ingevuld. Waar de BIO2 niets expliciet voorschrijft, gebruik je beide ISO-normen voor een goede inrichting van het risicomanagement.

Binnen de BIO wordt ISO 27001 toegepast op het managementsysteem voor informatiebeveiliging (ISMS) en op het vaststellen van de reikwijdte. Daarbij neemt de entiteit minimaal de bedrijfsprocessen en informatiesystemen op die kritisch zijn voor haar dienstverlening. Wie wil weten wat een ISMS inhoudt, leest het artikel over ISO 27001. ISO 27002 en de verplichte overheidsmaatregelen worden toegepast op het formuleren van passende beheersmaatregelen.

De BIO verplicht geen ISO 27001-certificering voor de organisatie. Certificering vereenvoudigt wel de verantwoording en geeft een onafhankelijke beoordeling. Een certificering als ISO 27001 Lead Auditor kan je kennis laten zien. Zie de opleiding tot ISO 27001 Lead Auditor voor wat die certificering inhoudt.

Forum Standaardisatie heeft NEN-EN-ISO/IEC 27001 en 27002 opgenomen in de 'pas-toe-of-leg-uit'-lijst met verplichte standaarden voor de publieke sector. Overheidsorganisaties kunnen de normen kosteloos gebruiken via NEN Connect, het digitale platform van het Nederlands Normalisatie Instituut (NEN). Andere normen, zoals NEN 7510, NEN-EN-ISO 22301 en de CSIR voor OT, kunnen worden geïntegreerd. De BIO schrijft dat de basis van die normen ISO 27001 en 27002 is, en dat managementsystemen volgens die normen kunnen worden geïntegreerd in een ISMS op basis van ISO 27001.

Privacybescherming, informatievoorziening en bedrijfscontinuïteit zijn aanpalende onderwerpen. Die hebben aparte standaarden en worden in de BIO niet uitgewerkt.

De ISO-structuur maakt dat de BIO herkenbaar is voor wie al met ISO 27001 en 27002 werkt. Wie ervaring heeft met een ISMS in het bedrijfsleven, vindt dezelfde logica terug: scope, risico's, maatregelen, verklaring van toepasselijkheid, interne audit, managementbeoordeling en continu verbeteren.

Hoe leggen overheidsorganisaties verantwoording af?

Volgens de BIO legt iedere overheidsorganisatie verantwoording af over de staat van de informatieveiligheid. Dat gebeurt via de geldende verantwoordingskaders en aan de relevante toezichthoudende instanties. Informatieveiligheid is een standaard onderdeel van het jaarverslag. Voor de samenwerking tussen overheidsorganisaties geven ze elkaar inzicht in de getroffen maatregelen, met behulp van de VvT.

Een organisatie moet ook aantonen dat maatregelen bestaan en werken. Entiteiten tonen opzet, bestaan en werking van maatregelen aan, al dan niet met self-assessments, audits, pentesten en red-teamtesten. Overheidsmaatregel 5.35.02 schrijft een vastgesteld auditplan voor, waarin jaarlijks keuzes worden gemaakt voor welke systemen welk soort beveiligingsaudits worden uitgevoerd.

ENSIA (Eenduidige Normatiek Single Information Audit) is een verantwoordingsstelsel voor informatieveiligheid, gebaseerd op de BIO. Het is ingevoerd per 1 juli 2017. Het bestuur van een overheidsorganisatie verantwoordt zich daarin aan de gekozen volksvertegenwoordigers, het horizontale toezicht. Met dezelfde informatie vindt in principe ook de verticale verantwoording aan de toezichthouders plaats, de zogenoemde Single Information Single Audit. Ook voor het toezicht op de Cyberbeveiligingswet gebruiken toezichthouders informatie uit ENSIA.

De Rijksinspectie Digitale Infrastructuur (RDI) is volgens de BIO aangewezen als toezichthouder voor de sector Overheid.

Het verschil met het bedrijfsleven zit in het verplichte karakter van de overheidsmaatregelen en in de verantwoording. Overheden leggen verantwoording af via bestaande kaders en het jaarverslag, en voor een deel via ENSIA. In sommige gevallen is een raad of volksvertegenwoordiging het toezicht. Wie auditwerk doet of voorbereidt, werkt dus met de VvT, het auditplan en het bewijs dat maatregelen werken.

Wat verandert de Cyberbeveiligingswet voor de BIO?

De Cyberbeveiligingswet (Cbw) implementeert de Europese NIS2-richtlijn in Nederland en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni). De Cbw is op 15 augustus 2026 in werking getreden. Op de NIS2-vacaturepagina zie je welke vacatures die wet noemen. Voor de bredere context is er het artikel over NIS2 en de Cyberbeveiligingswet.

Voor de sector Overheid is de BIO2 vastgelegd in de Cyberbeveiligingsregeling sector overheid. Die regeling verwijst naar de publicatie van BIO2 versie 1.3 in de Staatscourant. Voor de watersector, waaronder waterschappen, gebeurt dat via de Cyberbeveiligingsregeling van het ministerie van Infrastructuur en Waterstaat.

Volgens bio-overheid.nl betekent de inwerkingtreding niet dat er een nieuwe BIO geldt. Organisaties blijven werken met BIO2 versie 1.3, maar een groot deel ervan is wettelijk verankerd als invulling van de zorgplicht voor de beveiliging van netwerk- en informatiesystemen. Zelfregulering blijft daarnaast bestaan voor onderdelen die buiten de Cbw vallen.

Via de Cbw is de bestuurder verantwoordelijk voor het treffen van passende en evenredige maatregelen, voor het goedkeuren daarvan en voor het toezien op de uitvoering. Bestuurders hebben de kennis om te sturen op informatiebeveiligingsrisico's en zorgen dat hun werknemers regelmatig opleiding of training volgen.

Wat de Cbw verandert, is vooral de juridische status. De BIO zelf is niet vervangen. Voor organisaties kan dit meer aandacht betekenen voor bestuurdersverantwoordelijkheid, voor het aantonen van maatregelen en voor toezicht.

Welke rollen werken met de BIO?

Volgens de BIO is de bestuurder verantwoordelijk voor het beheersen van informatiebeveiligingsrisico's. De bestuurder laat zich adviseren door onder meer een Chief Information Security Officer (CISO), een Chief Information Officer (CIO) en een functionaris gegevensbescherming (FG). Het lijnmanagement is eigenaar van informatie(systemen), identificeert dreigingen en risico's en past de verplichte maatregelen toe. Het vraagt de CISO om advies als het afwijkt van overheidsmaatregelen.

De CISO coördineert de informatiebeveiliging, ondersteunt de bestuurder en geeft gevraagd en ongevraagd advies. De CISO vertaalt wetgeving en bedrijfsdoelstellingen naar een informatiebeveiligingsbeleid en rapporteert aan het bestuur hoe het lijnmanagement het beleid uitvoert. De CISO is uitdrukkelijk niet verantwoordelijk voor informatiebeveiliging door het lijnmanagement. Overheidsmaatregel 5.02.02 schrijft voor dat er een CISO is aangesteld die bevoegd is onafhankelijk en zelfstandig te adviseren en te rapporteren aan het bestuur en/of het controlerend orgaan. Een interne toezichthouder kan de bestuurder helpen bij het toezicht op de toepassing van informatiebeveiliging.

De BIO beschrijft de rollen hierboven. De volgende functies zijn duiding bij die rollen:

• CISO. Coördineert, adviseert en rapporteert aan het bestuur. Bij sommige organisaties heet iets vergelijkbaars information security officer of security manager. De titel varieert, maar de taak is dat de bestuurder geïnformeerde besluiten kan nemen. Zie de vacatures voor CISO's en het vakgebied security leadership.
• Information security officer. Deze rol kan op afdelingsniveau of namens de CISO werken aan beleid, risicoanalyses, de verklaring van toepasselijkheid en het opvolgen van maatregelen. Wat een officer precies doet, hangt af van de organisatie. Op de vacaturepagina voor information security officers staan de openstaande functies, en op de werkgeverspagina zie je welke werkgevers deze functie hebben.
• IT-auditor. Een IT-auditor toetst of maatregelen bestaan en werken. De BIO vraagt dat een entiteit opzet, bestaan en werking aantoont, en auditors helpen daarbij, intern of extern. Zie de vacatures voor IT-auditors.
• Compliance officer of GRC-consultant. Deze rol houdt overzicht over de eisen uit de BIO, de Cbw en andere wetten, en vertaalt die naar processen en rapportages. Zie de vacatures voor compliance officers en de vacatures voor GRC-consultants.
• Functionaris gegevensbescherming. De BIO behandelt privacy niet zelf, maar noemt de FG als adviseur van de bestuurder. Privacy en informatiebeveiliging overlappen bij onder meer datalekken. Lees het artikel over de AVG voor privacy-professionals en bekijk de vacatures voor functionarissen gegevensbescherming.

Het verschil tussen een CISO en een information security officer staat uitgewerkt in het artikel over information security officer of CISO.

Wat betekent de BIO voor je loopbaan in de overheid?

Bij werk onder de BIO komen kennis van ISO 27001 en 27002, risicomanagement, het schrijven van een verklaring van toepasselijkheid en rapporteren aan het bestuur aan bod. Wie al ervaring heeft met een ISMS, een risicoanalyse of een audit, kan die ervaring koppelen aan wat de BIO vraagt.

Je herkent de BIO in vacatures aan de termen. Als een vacature de BIO, ISO 27001, risicomanagement of de verklaring van toepasselijkheid noemt, dan liggen de werkzaamheden in het verlengde van de BIO. Een certificering als ISO 27001 Lead Auditor of CISM kan helpen. Of een functie er een vraagt, staat in de vacature.

De BIO geldt voor het Rijk, gemeenten, provincies en waterschappen. Bekijk de vacatures in de Rijksoverheid en de vacatures bij gemeenten en provincies. Overzicht van andere wetten en kaders vind je in de kennisbank.