BIO

Wat is de BIO?

De BIO (Baseline Informatiebeveiliging Overheid) is het gemeenschappelijke normenkader voor informatiebeveiliging van de Nederlandse overheid, dat de internationale normen ISO 27001 en ISO 27002 aanvult met verplichte overheidsmaatregelen voor het Rijk, provincies, gemeenten en waterschappen. De huidige versie, BIO2, is op 23 september 2025 vastgesteld en sinds de inwerkingtreding van de Cyberbeveiligingswet (Cbw) op 15 augustus 2026 wettelijk verplicht voor overheidsorganisaties die onder die wet vallen. De BIO geldt niet alleen voor kantoorautomatisering en IT, maar uitdrukkelijk ook voor OT: gemalen, sluizen, zuiveringen en andere installaties die overheden zelf beheren.

🎯 Wat is het doel van de BIO?

• Eén gemeenschappelijk basisniveau - alle overheidslagen beveiligen informatie op een vergelijkbaar niveau, zodat ketenpartners elkaar kunnen vertrouwen bij gegevensuitwisseling
• Eén gezamenlijke taal - gemeenten, provincies, waterschappen en ministeries gebruiken dezelfde begrippen en maatregelnummers
• Risicogestuurd werken - maatregelen volgen uit een risicoanalyse binnen een ISMS, niet uit een vaste checklist
• Transparantie - burgers, toezichthouders en ketenpartners kunnen zien hoe een overheid haar informatiebeveiliging heeft ingericht
• Aansluiting op wetgeving - onder meer de AVG, de Wet politiegegevens (Wpg) voor bijvoorbeeld gemeentelijke boa’s en de NIS2-zorgplicht via de Cbw

🕰️ Hoe heeft de BIO zich ontwikkeld?

Vóór 2020 had elke overheidslaag een eigen baseline. De BIO verving die door één kader, en BIO2 bracht het in lijn met de nieuwste ISO-normen en NIS2.

Het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) is stelselverantwoordelijke; het beheer van de BIO ligt bij het Centrum Informatiebeveiliging en Privacybescherming (CIP).

🛠️ Hoe is de BIO2 opgebouwd?

BIO2 bestaat uit twee delen:

• Deel 1 BIO2-kader - gestructureerd volgens ISO 27001:2023. Beschrijft het ISMS, het risicomanagementproces, de governance, leveranciers, informatiebeveiligingsprincipes en de relatie met de Cbw.
• Deel 2 BIO-overheidsmaatregelen - gekoppeld aan de 93 beheersmaatregelen uit ISO 27002:2022 (37 organisatorisch, 8 mensgericht, 14 fysiek, 34 technologisch). Het nummer 5.01.01 verwijst bijvoorbeeld naar beheersmaatregel 5.1 (informatiebeveiligingsbeleid), gevolgd door een volgnummer.

Belangrijke spelregels uit BIO2:

• Overheidsmaatregelen zijn altijd verplicht - ze vormen de minimale invulling van een beheersmaatregel en kunnen niet via risicoacceptatie worden weggelaten, tenzij ze aantoonbaar niet van toepassing zijn
• Verklaring van toepasselijkheid (VvT) - bevat ook alle overheidsmaatregelen; afwijkingen staan in een bijlage met uitzonderingen en verwijzing naar de risicoanalyse
• Publicatieplicht - de reikwijdte van het ISMS en de VvT worden openbaar gemaakt
• Opzet, bestaan en werking - aantonen via self-assessments, audits, pentesten of red-teamtesten
• Geen certificeringsplicht - een ISO 27001-certificaat is niet verplicht, maar vereenvoudigt de verantwoording

🔄 Wat is het verschil tussen BIO 1.04 en BIO2?

In BIO 1.04 was BBN1 het minimum voor alle systemen, gold BBN2 voor informatie tot en met Departementaal Vertrouwelijk en privacygevoelige gegevens (bescherming tegen alles behalve geavanceerde dreigingen) en was BBN3 bedoeld voor informatie die weerstand moet bieden aan statelijke actoren en APT’s. BIO2 vervangt dit door een quickscan per proces of systeem, gevolgd door een volledige risicoanalyse waar het basisniveau niet volstaat.

🧱 Voor wie geldt de BIO?

De BIO geldt voor alle overheidslagen:

• Rijk - ministeries, hun diensten en agentschappen
• Provincies - de twaalf provincies
• Gemeenten - inclusief taken als burgerzaken, sociaal domein en gemeentelijke infrastructuur
• Waterschappen - de 21 waterschappen, met veel OT voor peilbeheer en afvalwaterzuivering

Onder de Cbw zijn deze overheidsorganisaties, ongeacht hun omvang, aangemerkt als essentiële entiteit. Zelfstandige bestuursorganen op centraal niveau en gemeenschappelijke regelingen vallen er alleen onder als zij aan vier criteria voor overheidsinstanties voldoen. Defensie, de inlichtingendiensten, het Openbaar Ministerie, de politie en de veiligheidsregio’s zijn uitgezonderd van de Cbw, maar moeten streven naar een gelijkwaardig niveau van weerbaarheid. Ook de rechtspraak, de Eerste en Tweede Kamer en De Nederlandsche Bank vallen buiten de wet. Voor overheden buiten de Cbw blijft de BIO verplichtende zelfregulering.

🔐 Welke verplichtingen brengt de Cbw voor overheden mee?

BIO2 is de manier waarop overheidsentiteiten de zorgplicht uit de Cbw invullen. Daarbovenop gelden de Cbw-verplichtingen zelf:

• Bestuurdersverantwoordelijkheid - de bestuurder keurt de maatregelen voor cyberrisico’s goed en ziet toe op de uitvoering
• Opleiding - bestuurders volgen een opleiding om cyberrisico’s te kunnen beoordelen en zorgen dat medewerkers regelmatig getraind worden (security awareness)
• Meldplicht - significante incidenten worden gemeld volgens de NIS2-termijnen: vroege waarschuwing binnen 24 uur, melding binnen 72 uur en eindrapport binnen een maand
• Registratie - entiteiten registreren zich bij het NCSC
• Toezicht - de Rijksinspectie Digitale Infrastructuur (RDI) houdt namens BZK toezicht op ministeries, provincies, gemeenten, zbo’s en gemeenschappelijke regelingen; voor waterschappen is de Inspectie Leefomgeving en Transport (ILT) de toezichthouder

De rolverdeling binnen de organisatie is vastgelegd: de bestuurder is eindverantwoordelijk, het lijnmanagement is eigenaar van informatiesystemen en past de maatregelen toe, en de CISO coördineert, adviseert gevraagd en ongevraagd en rapporteert aan het bestuur.

🏭 Hoe past u de BIO toe op OT bij waterschappen en gemeenten?

Waterschappen beheren gemalen, stuwen, sluizen en rioolwaterzuiveringen; gemeenten hebben rioolgemalen, beweegbare bruggen, tunnels en verkeersregelinstallaties. Deze installaties draaien op SCADA, PLC’s en telemetrie en vallen onder de BIO. BIO2 schrijft zelfs voor dat het informatiebeveiligingsbeleid de verantwoordelijkheid voor de beveiliging van OT expliciet toewijst.

Generieke IT-maatregelen passen niet altijd op OT, bijvoorbeeld bij patchen van een besturing die 24/7 moet draaien. Daarom staat BIO2 toe dat beheersmaatregelen gelijkwaardig worden vervangen of gecombineerd met maatregelen uit de CSIR en IEC 62443. De CSIR (Cybersecurity Implementatierichtlijn Objecten), ontwikkeld door Rijkswaterstaat en Het Waterschapshuis, classificeert elk object en koppelt daar een maatregelenset uit BIO en IEC 62443 aan. Typische OT-maatregelen zijn netwerksegmentatie in zones, een datadiode voor eenrichtingsverkeer, beveiligde remote access voor leveranciers en logging van de procesomgeving.

🧭 Hoe implementeert u de BIO2 stap voor stap?

1. Bepaal de reikwijdte van het ISMS - neem minimaal de bedrijfsprocessen en informatiesystemen op die kritisch zijn voor de dienstverlening, inclusief OT.
2. Stel de context vast - interne en externe factoren én de wettelijke verplichtingen uit de Cbw.
3. Kies een risicomethodiek - met een quickscan, een methode voor volledige risicoanalyse, een risicoregister voor tijdelijk geaccepteerde risico’s en een opvolgproces.
4. Identificeer risico’s - met hulpmiddelen als ISO 27005, het NIST CSF of NIST SP 800-30; denk aan ketenafhankelijkheden en dreigingen op OT.
5. Selecteer maatregelen - ISO 27002-beheersmaatregelen plus alle overheidsmaatregelen; leg ze vast in de VvT.
6. Operationaliseer en toon aan - werk de tactische overheidsmaatregelen uit tot concrete procedures en techniek, en laat zien dat ze werken.
7. Publiceer en verantwoord - maak de ISMS-reikwijdte en VvT openbaar en leg verantwoording af aan bestuur, toezichthouder en ketenpartners.
8. Verbeter continu - interne audits en managementbeoordelingen volgens de PDCA-cyclus.

BIO2 noemt daarbij principes als security by design, need to know, assume breach, zero trust en defense in depth. De Informatiebeveiligingsdienst voor gemeenten (IBD) van de VNG en het CIP bieden handreikingen en modeldocumenten.

📋 Hoe verantwoorden gemeenten zich over de BIO?

Gemeenten gebruiken ENSIA (Eenduidige Normatiek Single Information Audit) om in één jaarlijkse cyclus verantwoording af te leggen aan de gemeenteraad en aan de toezichthouders van het Rijk.

Provincies, waterschappen en het Rijk verantwoorden zich via hun eigen planning-en-controlcyclus en interne auditfuncties.

🔗 Hoe verhoudt de BIO zich tot andere kaders?

Via de Harmonized Structure van ISO-managementsystemen kunnen deze kaders in één ISMS samenkomen, zodat dubbel werk wordt voorkomen.

❓ Veelgestelde vragen

Is de BIO verplicht voor gemeenten?

Ja, de BIO is verplicht voor gemeenten. Sinds 15 augustus 2026 is toepassing van BIO2 via de Cyberbeveiligingswet wettelijk verplicht, omdat gemeenten als essentiële entiteit onder die wet vallen. Daarvoor hadden gemeenten de BIO via de VNG aanvaard als verplichtende zelfregulering.

Wat is het verschil tussen de BIO en ISO 27001?

ISO 27001 is een internationale norm voor het inrichten van een managementsysteem voor informatiebeveiliging. De BIO verplicht overheden om dat ISMS volgens ISO 27001 in te richten en voegt daar verplichte overheidsmaatregelen, governance-afspraken en een publicatieplicht aan toe. De BIO vervangt ISO 27001 en ISO 27002 dus niet, maar vult ze aan.

Moet een overheidsorganisatie ISO 27001-gecertificeerd zijn voor de BIO?

Nee, de BIO verplicht geen ISO 27001-certificering. Een overheidsorganisatie moet wel aantonen dat haar maatregelen zijn opgezet, bestaan en werken, bijvoorbeeld via audits en pentesten. Een certificaat kan die verantwoording vereenvoudigen.

Bestaan de BBN-niveaus nog in de BIO2?

Nee, de basisbeveiligingsniveaus BBN1, BBN2 en BBN3 zijn met BIO2 vervallen. In plaats daarvan bepaalt een overheidsorganisatie via een quickscan en zo nodig een volledige risicoanalyse welke aanvullende maatregelen nodig zijn. De verplichte overheidsmaatregelen vormen daarbij altijd het minimum.

Geldt de BIO ook voor operationele technologie?

Ja, BIO2 is uitdrukkelijk van toepassing op operationele technologie, zoals gemalen, sluizen en zuiveringen. Voor OT mogen overheden beheersmaatregelen gelijkwaardig invullen met de CSIR en IEC 62443. Het informatiebeveiligingsbeleid moet de verantwoordelijkheid voor OT-beveiliging expliciet beleggen.

Wat is ENSIA?

ENSIA (Eenduidige Normatiek Single Information Audit) is het jaarlijkse verantwoordingsinstrument waarmee gemeenten rapporteren over de BIO en over domeinen als DigiD, Suwinet, BRP, BAG, BGT en BRO. Het college stelt een collegeverklaring op, die voor DigiD en Suwinet door een IT-auditor wordt getoetst. De stukken gaan uiterlijk 30 april naar de toezichthouders.

📌 Samengevat

De BIO is het verplichte normenkader voor informatiebeveiliging van het Rijk, provincies, gemeenten en waterschappen: een ISMS volgens ISO 27001, aangevuld met verplichte overheidsmaatregelen op basis van ISO 27002. Met BIO2 en de Cyberbeveiligingswet is de BIO sinds 2026 wettelijk verankerd, risicogestuurd in plaats van op BBN-niveaus gebaseerd, en expliciet van toepassing op OT via de CSIR en IEC 62443.