MaasISO

Informatiebeveiliging

Informatiebeveiliging is het beschermen van de vertrouwelijkheid, integriteit en beschikbaarheid van informatie (ISO/IEC 27000:2018, definitie 3.28). Voor Nederlandse organisaties spelen drie kaders: ISO 27001 (een certificeerbare norm), de Cyberbeveiligingswet (een wettelijke plicht sinds 15 augustus 2026) en BIO2 (het normenkader voor de overheid).

Laatst inhoudelijk bijgewerkt op 23 oktober 2026

Welke normen en wetten gelden voor informatiebeveiliging?

In het kort

ISO 27001
Vrijwillige, certificeerbare norm voor een managementsysteem voor informatiebeveiliging (ISMS), met 93 beheersmaatregelen (versie 2022).
Cyberbeveiligingswet
Sinds 15 augustus 2026 van kracht voor essentiële en belangrijke entiteiten: zorgplicht, meldplicht en registratieplicht.
BIO2
Normenkader voor informatiebeveiliging bij de overheid; sinds 15 augustus 2026 gekoppeld aan de zorgplicht uit de Cbw.
Gemeenschappelijke basis
BIO2 bouwt op de 93 maatregelen uit ISO/IEC 27002:2022, dezelfde set als bijlage A van ISO 27001.

Wat is informatiebeveiliging?

Informatiebeveiliging omvat beleid, processen, rollen en technische maatregelen die samen zorgen dat informatie betrouwbaar blijft en risico's beheersbaar zijn. Het doel is aantoonbaar grip op informatie en het steeds verbeteren van de maatregelen. Meestal gebeurt dat in een managementsysteem: een ISMS, waarin u risico's bepaalt, maatregelen kiest en controleert of ze werken.

Hoe verschillen ISO 27001, de Cyberbeveiligingswet en BIO2?

ISO 27001 is een vrijwillige, certificeerbare norm voor een ISMS. Bijlage A van ISO/IEC 27001:2022 bevat 93 beheersmaatregelen in vier thema's: organisatorisch, mensen, fysiek en technologisch. Een certificaat is drie jaar geldig, met jaarlijkse audits. Volgens de ISO Survey 2025 waren er eind 2025 wereldwijd 125.622 geldige ISO 27001-certificaten. Meer op de pagina ISO 27001-certificering.

De Cyberbeveiligingswet (Cbw) voert de Europese NIS2-richtlijn uit en geldt sinds 15 augustus 2026 voor essentiële en belangrijke entiteiten. De wet geeft een zorgplicht met tien onderwerpen (artikel 21, derde lid, Cbw), een meldplicht voor significante incidenten (binnen 24 uur, 72 uur en een maand) en een registratieplicht. Volgens de Rijksoverheid gelden de nieuwe verplichtingen voor ruim 8.000 organisaties. Meer op de pagina Cyberbeveiligingswet en NIS2.

BIO2 is het normenkader voor informatiebeveiliging bij de Nederlandse overheid, vastgesteld op 23 september 2025 en gebaseerd op de 93 maatregelen uit ISO 27002:2022, plus overheidsmaatregelen (bio-overheid.nl). Sinds 15 augustus 2026 is BIO2 versie 1.3 gekoppeld aan de zorgplicht uit de Cbw. Een BIO-certificaat bestaat niet; gemeenten verantwoorden zich jaarlijks via ENSIA. Meer op de pagina BIO en BIO2. Documenten voor overheidsorganisaties vindt u in de BIO2 Toolkit.

Hoe hangen de drie kaders samen?

De drie kaders gebruiken dezelfde set maatregelen: BIO2 bouwt op ISO 27002:2022, en dat is dezelfde set als bijlage A van ISO 27001. ISO 27001 behandelt de meeste onderwerpen uit artikel 21 Cbw; de meldtermijnen, de registratie en de taken van het bestuur staan alleen in de Cbw. Wie al een ISMS volgens ISO 27001 heeft, vult voor de Cbw vooral het meldproces, de registratie en de goedkeuring en training van het bestuur aan. Of uw organisatie onder de wet valt, bepaalt u met de Cbw-check.

Wat valt niet onder informatiebeveiliging?

Informatiebeveiliging richt zich op het beveiligen van informatie en systemen. Privacywetgeving zoals de AVG is een apart domein: die gaat over de rechtmatige verwerking van persoonsgegevens, al vraagt ook de AVG passende beveiliging (artikel 32 AVG). Kwaliteitsmanagement volgens ISO 9001 en andere managementsysteemnormen staan eveneens op een eigen plek op deze site.

Deze pagina geeft algemene informatie en is geen juridisch advies. Uw organisatie blijft zelf verantwoordelijk voor de toepassing van normen en wetgeving.