BBN

Wat is BBN?

BBN (basisbeveiligingsniveau) is de indeling in drie beveiligingsniveaus, BBN1, BBN2 en BBN3, waarmee de oorspronkelijke BIO (Baseline Informatiebeveiliging Overheid) per bedrijfsproces of informatiesysteem bepaalde welke beheersmaatregelen en verplichte overheidsmaatregelen een Nederlandse overheidsorganisatie moest treffen. Het idee was proportionaliteit: hoe groter het te beschermen belang en hoe zwaarder de dreiging, hoe meer maatregelen en hoe strenger de verantwoording. De BBN-indeling hoorde bij BIO 1.04, die op 1 januari 2020 van kracht werd. Met BIO2, vastgesteld op 23 september 2025, zijn de drie niveaus vervallen en vervangen door een expliciet risicogestuurde aanpak.

🧠 Wat betekenden BBN1, BBN2 en BBN3?

Elk niveau bestond uit een set controls uit ISO 27002, een set verplichte overheidsmaatregelen en een verantwoordings- en toezichtregime. Elk niveau bouwde voort op het vorige: BBN2 vulde de controls en maatregelen van BBN1 aan of verving ze door zwaardere varianten, en BBN3 deed hetzelfde ten opzichte van BBN2. De controls kwamen ongewijzigd uit ISO 27002:2013: de BIO nam ze op twee na allemaal over, alleen 6.1.4 (contact met speciale belangengroepen) en 14.2.4 (beperkingen op wijzigingen in softwarepakketten) vielen af.

Belangrijk om te onthouden: BBN2 was het standaardniveau, niet een tussencategorie. De BIO noemde BBN2 uitdrukkelijk het uitgangspunt voor informatiesystemen binnen de overheid, omdat vertrouwelijke en privacygevoelige gegevens bij overheden veelvuldig voorkomen. BBN2 gold zodra een systeem vertrouwelijke informatie verwerkte, zodra een incident tot bestuurlijke commotie kon leiden of zodra de beveiliging van andere systemen afhing van die van het eigen systeem. Daaronder viel ook commercieel vertrouwelijke informatie en informatie over beleidsvorming, niet alleen gerubriceerde stukken. BBN1 was de uitzondering voor systemen waarvoor BBN2 te zwaar was, BBN3 de uitzondering voor systemen die bescherming tegen statelijke actoren nodig hadden. Voor BBN3 sloot de BIO aan op het Voorschrift Informatiebeveiliging Rijksdienst Bijzondere Informatie (VIR-BI) en, omdat die eisen gedetailleerder zijn dan de Europese, op de NAVO-beveiligingsregels (CM(2002)49), voor zover relevant voor NATO Restricted; de aanvullende BBN3-eisen waren in BIO 1.04 zelf nog niet volledig uitgewerkt.

🔧 Hoe bepaalde u het juiste BBN-niveau?

De proceseigenaar (het lijnmanagement) koos het BBN per bedrijfsproces met de BBN-toets uit deel 2 van de BIO. Die toets was bedoeld om snel het juiste niveau te selecteren en was nadrukkelijk geen vervanging van de Quickscan BIO of van een volledige risicoanalyse. De toets had drie stappen, met BBN2 als vertrekpunt:

1. Is BBN2 voldoende? Nee als de informatie beschermd moest worden tegen statelijke actoren of vergelijkbare dreigers, als een derde partij voor aangeleverde informatie BBN3 eiste, of als aansluiting op een BBN3-infrastructuur nodig was. Dan gold BBN3 of hoger.
2. Is BBN2 te zwaar? BBN2 was nodig als ongewenste openbaarmaking kon leiden tot zogeheten BBN2-schade. Was zulke schade niet aan de orde, dan volstond BBN1.
3. Zijn extra eisen aan beschikbaarheid of integriteit nodig? Een BBN1-systeem waarvan uitval of verminking van gegevens toch BBN2-schade kon veroorzaken, kon de BBN2-maatregelen voor beschikbaarheid en integriteit overnemen, met verantwoording en toezicht volgens BBN2. Bij BBN2 of BBN3 met nog grotere schade volgde een expliciete risicoafweging voor zwaardere maatregelen, met verantwoording en toezicht volgens BBN3.

De BIO noemde als voorbeelden van BBN2-schade:

• Directe imagoschade - bijvoorbeeld door negatieve publiciteit
• Politieke schade - een bestuurder moet zich verantwoorden tegenover de gekozen controlerende organen
• Diplomatieke schade - herstelbaar door ambtelijke opschaling
• Financiële gevolgen - niet meer op te vangen binnen de begroting, of geen goedkeurende accountantsverklaring
• Verlies van publiek respect - klachten van burgers of significant motivatieverlies bij medewerkers
• Privacyschending - een bindende aanwijzing van de Autoriteit Persoonsgegevens op grond van de AVG

Stap 1 gaat dus over vertrouwelijkheid en dreiging; stap 3 corrigeert voor de andere twee aspecten van de BIV-driehoek. Een systeem dat vooral beschikbaar moet zijn, wordt daardoor niet automatisch BBN3.

🔐 Wie was verantwoordelijk per niveau?

De BBN bepaalde niet alleen de maatregelen, maar ook waar de verantwoordelijkheid voor risicomanagement lag:

Voor BBN1 en BBN2 mochten organisaties in hun informatiebeveiligingsbeleid van deze verdeling afwijken. Voor informatie die als Departementaal Vertrouwelijk was gerubriceerd, gold altijd het BBN3-regime voor verantwoording.

🏭 Hoe pakte BBN uit voor een gemeente of waterschap?

Een paar illustratieve indelingen bij een gemeente onder BIO 1.04:

• Openbare website met nieuwsberichten - geen vertrouwelijke informatie en beperkte schade bij een lek: BBN1, eventueel met extra integriteitsmaatregelen tegen defacement
• Burgerportaal met DigiD-inlog en persoonsgegevens - privacygevoelige gegevens en kans op een aanwijzing van de toezichthouder: BBN2
• Systeem voor gerubriceerde informatie met een statelijke dreiging - BBN3, in de praktijk zeldzaam buiten het Rijk

Voor OT werkte de indeling minder goed. Een rioolgemaal of beweegbare brug die via SCADA wordt bestuurd, verwerkt nauwelijks vertrouwelijke informatie, maar uitval of manipulatie kan wateroverlast of letsel veroorzaken. Volgens de BBN-toets kwam zo’n installatie op BBN1 of BBN2 uit, met in stap 3 extra eisen aan beschikbaarheid en integriteit. Daarom ontwikkelden Rijkswaterstaat en Het Waterschapshuis de CSIR, die objecten niet in BBN’s maar met een business impact analyse indeelt in functieboxen A tot en met E en weerstandsniveaus 1 tot en met 4, gekoppeld aan de security levels van IEC 62443. Zie ook OT-security in de watersector.

🔄 Wat is er met BBN veranderd in BIO2?

Het praktische effect van het loslaten van de niveaus is dat een organisatie niet langer volstaat met het overnemen van het standaardpakket van haar niveau, maar zelf moet onderbouwen welke dreigingen en risico’s voor elk proces of systeem gelden. BIO2 legt de nadruk op een ISMS volgens ISO 27001 met een echte risicoanalyse, terwijl de verplichte overheidsmaatregelen de ondergrens bewaken. Daarmee sluit BIO2 ook aan op de zorgplicht uit NIS2.

🧭 Wat moet u met bestaande BBN-documentatie?

Veel organisaties hebben nog systeemdossiers, risicoanalyses en contracteisen waarin een BBN staat. Een praktische aanpak bij de overstap naar BIO2:

1. Inventariseer - zoek in dossiers, inkoopvoorwaarden en leverancierscontracten naar verwijzingen naar BBN1, BBN2 of BBN3.
2. Hergebruik de analyse - de motivatie achter een BBN (vertrouwelijkheid, mogelijke schade, ketenafhankelijkheden) is waardevolle input voor de BIO2-quickscan.
3. Voer de quickscan uit - bepaal per proces of systeem of de overheidsmaatregelen volstaan of dat een volledige risicoanalyse nodig is.
4. Leg vast in het ISMS - neem uitkomsten op in de verklaring van toepasselijkheid en in het risicoregister.
5. Pas contracten aan - vervang “leverancier voldoet aan BBN2” door concrete eisen of een verwijzing naar de relevante BIO2-maatregelen.

❓ Veelgestelde vragen

Waar staat de afkorting BBN voor?

BBN staat voor basisbeveiligingsniveau. De term komt uit de Baseline Informatiebeveiliging Overheid (BIO) versie 1.04, die drie niveaus kende: BBN1, BBN2 en BBN3. Elk basisbeveiligingsniveau koppelde een set controls en overheidsmaatregelen aan het belang van de informatie.

Welk BBN-niveau was de standaard?

BBN2 was het standaardniveau van de BIO voor informatiesystemen van de overheid. De BBN-toets begon altijd bij BBN2 en keek daarna of een lager of hoger niveau beter paste. Systemen met persoonsgegevens of vertrouwelijke beleidsinformatie kwamen vrijwel altijd op BBN2 uit.

Bestaan de BBN-niveaus nog?

Nee, de BBN-niveaus zijn met BIO2 vervallen. BIO2 werd op 23 september 2025 vastgesteld en werkt met een quickscan en zo nodig een volledige risicoanalyse in plaats van vaste niveaus. De BBN-indeling komt alleen nog voor in oudere documentatie en contracten.

Wat is het verschil tussen BBN2 en BBN3?

BBN2 beschermt informatie tot en met Departementaal Vertrouwelijk preventief tegen alle dreigingen behalve geavanceerde aanvallen van statelijke actoren of beroepscriminelen, die alleen gedetecteerd en afgehandeld hoeven te worden. BBN3 moest juist weerstand bieden tegen die APT’s en sloot daarvoor aan op het VIR-BI en NAVO-regels. BBN3 vereiste bovendien vooraf toestemming van de hoogste ambtelijke leiding.

Was BBN geschikt voor operationele technologie?

BBN was maar beperkt geschikt voor operationele technologie, omdat de indeling vooral uitging van de vertrouwelijkheid van informatie. Bij gemalen, sluizen en bruggen draait het om beschikbaarheid, integriteit en safety. Daarom gebruiken overheden voor OT de CSIR met functieboxen en weerstandsniveaus, gekoppeld aan IEC 62443.

Is BBN hetzelfde als een security level uit IEC 62443?

Nee, BBN en de security levels van IEC 62443 meten iets anders. Een BBN gaf het beveiligingsniveau van een informatiesysteem op basis van vertrouwelijkheid en dreiging binnen de BIO, terwijl een IEC 62443-security level de weerstand van een zone of component tegen aanvallers met oplopende middelen en vaardigheden beschrijft. Een directe omrekening tussen beide bestaat niet.

📌 Samengevat

BBN (basisbeveiligingsniveau) was de driedeling BBN1, BBN2 en BBN3 in BIO 1.04 waarmee overheden per proces of systeem hun maatregelen en verantwoording afstemden op het te beschermen belang en de dreiging, met BBN2 als standaard. Met BIO2 en de Cyberbeveiligingswet zijn de vaste niveaus vervangen door een risicogestuurde aanpak met verplichte overheidsmaatregelen als ondergrens; voor OT gebruiken overheden de CSIR en IEC 62443.