BIO voor gemeenten: BIO2, Cbw en ENSIA
Door Niels Maas (LinkedIn) · Gepubliceerd op 18 oktober 2026
Inhoud van deze pagina
Wat moet een gemeente met de BIO? Sinds 15 augustus 2026 is BIO2 versie 1.3 voor gemeenten wettelijk gekoppeld aan de zorgplicht uit de Cyberbeveiligingswet (Cbw), via de Cyberbeveiligingsregeling sector overheid (Staatscourant 2026, 27679). De verantwoording loopt zoals voorheen via ENSIA: elk jaar, op hetzelfde moment en met dezelfde methode (VNG, ENSIA). Dit artikel zet de verplichtingen, de termijnen en de meldgrenzen voor gemeenten op een rij.
Wat vraagt de wet van een gemeente?
Gemeenten zijn essentiële entiteiten in de sector overheid. Voor hen gelden de zorgplicht (artikel 21 Cbw), de meldplicht (artikel 25), de registratie (artikel 44) en de taken van het bestuur (artikel 24). De Cyberbeveiligingsregeling sector overheid vult de zorgplicht zo in (Staatscourant 2026, 27679):
| Artikel van de regeling | Wat de gemeente doet |
|---|---|
| Artikel 3 | NEN-EN-ISO/IEC 27001:2023 toepassen op het managementsysteem voor informatiebeveiliging en de reikwijdte daarvan |
| Artikel 4 | Een overzicht bijhouden van cruciale netwerk- en informatiesystemen; voor decentrale overheden zijn dat systemen met impactniveau "hoog" of "zeer hoog" (bijlage 2 van de regeling) |
| Artikel 5 | Ten minste de beheersmaatregelen uit ISO 27002:2022 gebruiken (behalve 5.32 en 5.34) en de relevante overheidsmaatregelen uit BIO2 versie 1.3 (behalve 5.32.01 tot en met 5.34.01); opzet, bestaan en werking aantoonbaar maken |
| Artikel 6, tweede lid | De drempels voor een significant incident bij decentrale overheden (zie hieronder) |
De overheidsmaatregelen uit BIO2 zijn een verplicht minimum, ongeacht het ingeschatte risico. Wat er verder per maatregel verandert ten opzichte van de BIO 1, staat in BIO2: wat verandert er?
Het toezicht op gemeenten ligt bij de minister van Binnenlandse Zaken (artikel 15 Cbw).
Wanneer meldt een gemeente een incident?
Een incident is voor een decentrale overheid significant als het leidt of kan leiden tot (artikel 6, tweede lid, regeling):
- uitval van de dienstverlening van ten minste vier uur;
- financiële gevolgen die niet in de begroting kunnen worden opgevangen; of
- de ernstige verwonding of de dood van ten minste één persoon.
Gepland onderhoud telt niet als significant incident (artikel 6, derde lid). Een significant incident meldt u in stappen: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand. Zie de meldplicht onder de Cbw. Gaat het ook om persoonsgegevens, dan meldt de gemeente het datalek daarnaast bij de Autoriteit Persoonsgegevens.
Hoe werkt de verantwoording via ENSIA?
ENSIA (Eenduidige Normatiek Single Information Audit) is de methode waarmee alle gemeentebesturen zich jaarlijks verantwoorden over informatiebeveiliging, datakwaliteit en data-integriteit. Het college verantwoordt zich over de BIO aan de gemeenteraad, en over de stelsels BRP, Reisdocumenten, Suwinet, DigiD, BAG, BGT en BRO ook aan de toezichthouders van het Rijk (VNG).
| Fase | Periode | Wat er gebeurt |
|---|---|---|
| Zelfevaluatie | 1 juli tot en met 31 december | De ENSIA-coördinator beantwoordt de vragenlijsten over de BIO en de stelsels |
| Opstellen | 1 januari tot en met 30 april | Auditor beoordeelt DigiD en Suwinet; vanaf 2026 alleen nog volgens de 3000D-methode, met een assurance-verklaring |
| Verantwoorden | uiterlijk 30 april | Het college behandelt de rapportages; de toezichthouders ontvangen ze uiterlijk 30 april |
| Versturen | vanaf 1 mei, uiterlijk 15 juli | Jaarverslag met een subparagraaf informatiebeveiliging in de paragraaf Bedrijfsvoering; de jaarstukken gaan uiterlijk 15 juli naar de provincie |
Bron: VNG, ENSIA. De VNG wijst erop dat informatiebeveiliging een doorlopend proces is: één rapportage per jaar betekent niet dat het onderwerp maar één keer per jaar op de agenda staat.
Wat betekent de Cbw voor ENSIA?
De Cbw voegt verplichtingen toe die ENSIA niet vervangt: de registratie bij het NCSC, de meldplicht met vaste termijnen, het overzicht van cruciale systemen en de taken van het bestuur, waaronder de goedkeuring van de maatregelen en een training met certificaat. De zorgplicht zelf vult de gemeente in met ISO 27001, ISO 27002 en BIO2. Een eigen ISO 27001-certificaat is niet verplicht; de regeling vraagt toepassing van de norm, geen certificaat (Cbw en ISO 27001). De VNG onderzoekt hoe nieuwe wetgeving in de ENSIA-methode kan worden opgenomen, om dubbele auditlast te beperken.
Stappenplan voor een gemeente
- Registratie bij het NCSC controleren en actueel houden (registratie).
- Reikwijdte van het managementsysteem vaststellen en het overzicht van cruciale systemen maken (impactniveau hoog of zeer hoog).
- Gap-analyse van BIO 1 naar BIO2, bijvoorbeeld met de BIO Self Assessment en de was-wordt-lijst.
- Risicoanalyse en verklaring van toepasselijkheid bijwerken; de overheidsmaatregelen als minimum.
- Meldprocedure aanpassen aan de drempels voor decentrale overheden en de termijnen.
- Bestuur: goedkeuring van de maatregelen vastleggen en de training plannen (bestuurders en de Cbw).
- Leveranciers: per dienst de eisen bepalen en in contracten vastleggen.
- ENSIA: de zelfevaluatie vanaf 1 juli met de nieuwe stand van zaken invullen.
Voor de risicoanalyse en de verklaring van toepasselijkheid zijn er gratis Excel-sjablonen: de risicoanalyse ISO 27001 en de verklaring van toepasselijkheid. Meer over de BIO in het algemeen staat op de pagina over de BIO en BIO2; bestellen als overheid kan met OIN en inkoopnummer via inkopen als overheid.
Veelgestelde vragen
Moet een gemeente aan de BIO2 voldoen?
Ja. Gemeenten vallen als essentiële entiteit onder de Cyberbeveiligingswet, en de Cyberbeveiligingsregeling sector overheid koppelt BIO2 versie 1.3 aan hun zorgplicht. Voor onderdelen die buiten de wet vallen, blijft BIO2 gelden als verplichtende zelfregulering.
Wat is ENSIA?
ENSIA (Eenduidige Normatiek Single Information Audit) is de methode waarmee alle gemeentebesturen zich jaarlijks verantwoorden over informatiebeveiliging en datakwaliteit: over de BIO aan de gemeenteraad, en over stelsels als BRP, Reisdocumenten, Suwinet, DigiD, BAG, BGT en BRO ook aan de toezichthouders van het Rijk.
Wanneer is een incident bij een gemeente meldplichtig?
Als het leidt of kan leiden tot uitval van de dienstverlening van ten minste vier uur, tot financiële gevolgen die niet in de begroting kunnen worden opgevangen, of tot ernstig letsel of de dood van een persoon (artikel 6, tweede lid, Cyberbeveiligingsregeling sector overheid). Gepland onderhoud telt niet mee.
Kan een gemeente zich laten certificeren voor de BIO?
Een BIO-certificaat bestaat niet. Gemeenten verantwoorden zich via ENSIA. Voor DigiD en Suwinet geeft een auditor vanaf 2026 een assurance-verklaring volgens de 3000D-methode.
Moeten leveranciers van een gemeente aan de BIO2 voldoen?
Niet automatisch. De gemeente bepaalt op basis van de risico's welke beveiligingseisen voor een dienst of product gelden en legt die vast in het contract of de inkoopvoorwaarden.