Waarom de BIO er kwam

Tot 2020 hanteerde elke overheidslaag een eigen baseline: de BIG voor gemeenten, de BIR voor het Rijk, de BIWA voor waterschappen en de IBI voor provincies. Die versnippering maakte samenwerking en ketenafspraken onnodig complex. Een leverancier die aan drie overheidslagen leverde, kreeg drie verschillende normenkaders voorgelegd. De BIO verving deze vier baselines door één gezamenlijk kader, inhoudelijk gebaseerd op de internationale normen ISO 27001 en ISO 27002.

Wat de BIO anders maakt dan de oude baselines

Risicomanagement staat centraal. Waar de oude baselines vooral een checklist van maatregelen waren, vraagt de BIO om een doorlopend proces: risico's identificeren, analyseren en de beveiligingsmaatregelen daarop afstemmen. Het eigenaarschap ligt daarbij expliciet bij de proceseigenaar, niet alleen bij de IT-afdeling of de CISO.

Verplicht in plaats van 'pas toe of leg uit'. Onder de oude baselines konden organisaties gemotiveerd afwijken. Binnen de BIO zijn maatregelen in principe verplicht; afwijken kan alleen op basis van een gedocumenteerde risicoafweging.

BasisBeveiligingsNiveaus (BBN). BIO1 werkte met drie niveaus (BBN1, BBN2 en BBN3), waarbij een systeem of proces op basis van de impact van een incident in een niveau werd ingedeeld. Let op: BIO2 laat deze niveaus los. De indeling in vaste niveaus is vervangen door risicomanagement als sturend mechanisme, waarbij u per situatie onderbouwt welke maatregelen passend zijn.

Aansluiting op ISO 27001. Door de structurele aansluiting op ISO 27001 kunnen overheidsorganisaties en hun leveranciers voortbouwen op een internationaal erkend managementsysteem voor informatiebeveiliging, en zijn certificeringstrajecten beter te combineren.

BIO2: de vernieuwde baseline

De BIO is inmiddels toe aan een volgende versie. BIO2 (versie 1.3) is op 5 maart 2026 gepubliceerd in de Staatscourant en vervangt BIO 1.04zv in het digitale verkeer met het Rijk. De vernieuwde baseline sluit aan op de actuele versies van ISO 27001 en ISO 27002 (2022) en legt nog sterker de nadruk op risicogestuurd werken.

De verplichtstelling verloopt per overheidslaag verschillend. Voor het Rijk, de provincies en de waterschappen geldt BIO2 sinds het OBDO van 23 september 2025 als verplichtende zelfregulering; BIO 1.04zv is voor hen vervallen. Gemeenten blijven in deze periode BIO 1.04zv hanteren als verplichtende zelfregulering, maar passen BIO2 daarnaast al toe als richtinggevend kader. Een volgende versie van BIO2 staat gepland voor eind 2027; de evaluatie daarvoor is in 2026 gestart.

Belangrijker nog: met BIO2 verandert de juridische status. Waar BIO 1.04zv verplichtende zelfregulering was, wordt BIO2 daadwerkelijk regelgeving. BIO2 v1.3 wordt opgenomen in de Cyberbeveiligingsregeling sector Overheid onder het Cyberbeveiligingsbesluit, als onderdeel van de implementatie van NIS2. Met de inwerkingtreding van de Cyberbeveiligingswet is BIO2 daarmee voor overheidsorganisaties wettelijk verplicht, met bijbehorend toezicht. Voor organisaties die buiten de Cyberbeveiligingswet vallen, en voor onderdelen die buiten de reikwijdte van die wet liggen zoals de beveiliging van papieren informatie, blijft BIO2 gelden als verplichtende zelfregulering.

Voor wie geldt de BIO?

De BIO geldt voor alle bestuurslagen van de Nederlandse overheid. Maar de werking reikt verder: ook leveranciers die diensten aan de overheid leveren, van hostingpartijen tot softwareleveranciers, krijgen de BIO-eisen via contracten en aanbestedingen doorvertaald. Wie aan een gemeente of ministerie levert, moet in toenemende mate kunnen aantonen dat de eigen beheersmaatregelen aansluiten op het BIO-niveau dat de opdrachtgever hanteert.

Voor gemeenten is de BIO bovendien direct gekoppeld aan de jaarlijkse ENSIA-verantwoording: de ENSIA-vragenlijst is ingericht op de structuur van de BIO, en de collegeverklaring steunt op de mate waarin de BIO-maatregelen aantoonbaar werken.

Hoe toont u aan dat u aan de BIO voldoet?

Voldoen aan de BIO is één ding; het aantoonbaar maken richting gemeenteraad, toezichthouder of opdrachtgever is een tweede. In de praktijk verloopt dat langs deze stappen:

●        Nulmeting: vaststellen waar de organisatie nu staat ten opzichte van de (nieuwe) baseline, inclusief de kloof die BIO2 introduceert.

●        Risicoanalyse per proces of systeem: bepalen welk beveiligingsniveau passend is en welke maatregelen daarbij horen.

●        Implementatie: maatregelen doorvoeren, beleid actualiseren en eigenaarschap beleggen bij proceseigenaren.

●        Onafhankelijke toetsing: een IT-audit door een Register EDP-auditor (RE) die vaststelt of de maatregelen niet alleen op papier bestaan, maar ook werken.

Zeker met de overgang naar BIO2 loont het om de nulmeting niet uit te stellen: wie nu inzichtelijk heeft waar de verschillen zitten met BIO 1.04zv, voorkomt dat de aanpassingen straks onder tijdsdruk moeten plaatsvinden, terwijl de Cyberbeveiligingswet het toezicht juist aanscherpt.