BIO2: wat verandert er?
Door Niels Maas (LinkedIn) · Gepubliceerd op 18 oktober 2026
Inhoud van deze pagina
Wat verandert er met BIO2? BIO2 is de opvolger van de BIO 1.04zv, de baseline voor informatiebeveiliging bij de Nederlandse overheid. De vier grootste veranderingen: de basis is nu NEN-EN-ISO/IEC 27001:2023 en 27002:2022, de drie basisbeveiligingsniveaus zijn vervallen, verantwoordelijkheden zijn algemener beschreven, en sinds 15 augustus 2026 is BIO2 versie 1.3 voor essentiële entiteiten in de sector overheid wettelijk gekoppeld aan de zorgplicht uit de Cyberbeveiligingswet (BIO-overheid, veelgestelde vragen). Dit artikel zet de verschillen naast elkaar, met de bron bij elk punt.
Wat is BIO2?
BIO2 (Baseline Informatiebeveiliging Overheid 2) is het gemeenschappelijke normenkader voor informatiebeveiliging binnen de Nederlandse overheid, met risicomanagement als uitgangspunt (BIO-overheid). Het bestaat uit de beheersmaatregelen van ISO 27002 en daarbovenop overheidsmaatregelen: concrete invullingen die voor de overheid gelden.
De versies op een rij:
| Versie | Datum | Status |
|---|---|---|
| BIO1 v1.03 | maart 2019 | vervangen |
| BIO1 v1.04 | november 2019 | vervangen |
| BIO1 v1.04zv | juni 2020 | vervangen door BIO2 |
| Concept BIO2 v1.1 | april 2025 | concept |
| BIO2 v1.2 | september 2025 | vervangen |
| BIO2 v1.3 | 9 januari 2026 | geldend; Staatscourant 2026, 7416 |
Bron: BIO-overheid. De volgende versie wordt verwacht in het najaar van 2027; wijzigingsvoorstellen lopen via het BIO-samenwerkingsplatform op GitHub.
Verschil tussen BIO en BIO2
| Onderwerp | BIO 1.04zv | BIO2 versie 1.3 |
|---|---|---|
| Normbasis | ISO 27001 en 27002 van 2013 (in Nederland NEN-EN-ISO/IEC …:2017) | NEN-EN-ISO/IEC 27001:2023 en 27002:2022 |
| Beheersmaatregelen ISO 27002 | 114, in veertien hoofdstukken | 93, in vier thema's (organisatorisch, mensgericht, fysiek, technologisch) |
| Beveiligingsniveaus | Drie basisbeveiligingsniveaus (BBN 1-3) | Vervallen; risicomanagement bepaalt het niveau |
| Verantwoordelijkheden | Per beheers- en overheidsmaatregel | Algemener beschreven |
| Deel 3 Addendum | Aparte eisen per overheidslaag | Vervallen |
| Juridische status | Verplichtende zelfregulering | Voor essentiële entiteiten in de sector overheid gekoppeld aan de wettelijke zorgplicht (sinds 15 augustus 2026); daarnaast zelfregulering |
Bron: BIO-overheid, "Wat is er gewijzigd met de BIO2?". Per maatregel ziet u de verschuivingen in de was-wordt-lijst BIO op de BIO-website.
Het verdwijnen van de BBN's is in de praktijk de grootste verandering. Onder de BIO 1 koos u een niveau en kreeg u daarmee een vaste set maatregelen. Onder BIO2 bepaalt uw eigen risicoanalyse welke maatregelen u nodig heeft, zoals ISO 27001 dat vraagt. Dat geeft ruimte, maar vraagt ook dat u elke keuze onderbouwt.
Sinds 15 augustus 2026: BIO2 in de wet
Op 15 augustus 2026 traden de Cyberbeveiligingswet (Cbw), het Cyberbeveiligingsbesluit en de Cyberbeveiligingsregeling sector overheid in werking. Die regeling van Binnenlandse Zaken geldt voor essentiële entiteiten in de sector overheid, met uitzondering van de waterschappen (artikel 2), en vult de zorgplicht van artikel 21 Cbw zo in (Staatscourant 2026, 27679):
- ISO 27001 toepassen op het managementsysteem voor informatiebeveiliging en het vaststellen van de reikwijdte daarvan (artikel 3).
- Een overzicht van cruciale netwerk- en informatiesystemen bijhouden (artikel 4).
- Ten minste de beheersmaatregelen uit ISO 27002:2022 gebruiken voor passende en evenredige maatregelen, en daarbij ten minste de relevante overheidsmaatregelen uit BIO2 versie 1.3 (artikel 5, eerste lid).
- Opzet, bestaan en werking van de maatregelen aantoonbaar maken (artikel 5, derde lid).
Maatregelen uit een ander normenkader mogen, als dat nodig is en het niveau ten minste gelijkwaardig is, bijvoorbeeld NEN 7510 in de zorg of IEC 62443 voor operationele technologie. Die noodzaak en gelijkwaardigheid moet u dan ook kunnen aantonen (artikel 5, tweede en derde lid).
Voor de waterschappen staat dezelfde koppeling aan BIO2 versie 1.3 in de Cyberbeveiligingsregeling van Infrastructuur en Waterstaat, artikel 8 (Staatscourant 2026, 24093). Toezicht op de overige overheden ligt bij de minister van Binnenlandse Zaken, op de waterschappen bij de minister van Infrastructuur en Waterstaat. De meldplicht, de registratie en de taken van het bestuur gelden daarnaast rechtstreeks uit de Cbw; zie de meldplicht en registratie bij het NCSC.
Welke maatregelen zijn uitgezonderd?
De regelingen zonderen een paar maatregelen uit van de wettelijke plicht, omdat ze buiten de beveiliging van netwerk- en informatiesystemen vallen:
| Uitgezonderd van de Cbw-plicht | Wel verplicht |
|---|---|
| Beheersmaatregelen 5.32 en 5.34 uit ISO 27002 | Beheersmaatregel 5.33 (BIO2 v1.3 vermeldt ten onrechte een uitzondering) |
| Overheidsmaatregelen 5.32.01, 5.33.01 en 5.34.01 | Alle andere relevante overheidsmaatregelen |
Bronnen: artikel 5 Cyberbeveiligingsregeling sector overheid en BIO-overheid. Overheidsmaatregel 5.33.01 gaat over bewaartermijnen in selectielijsten (Archiefwet). Voor de uitgezonderde maatregelen blijft de BIO wel gelden als verplichtende zelfregulering. BIO-overheid meldt dat de fout rond 5.33 in een volgende versie wordt hersteld.
Wat als uw organisatie niet onder de Cbw valt?
Dan kan BIO2 toch gelden. Voor organisaties of onderdelen die niet onder de Cbw vallen, maar waarvoor de BIO is onderschreven, blijft BIO2 gelden als verplichtende zelfregulering (BIO-overheid). Dat geldt ook voor de delen van informatiebeveiliging die buiten de wet vallen: de Cbw gaat alleen over netwerk- en informatiesystemen (inclusief operationele technologie), BIO2 over informatiebeveiliging in de breedste zin, ook fysieke documenten. Of BIO2 voor uw organisatie verplicht is en op welke grond, hangt af van uw juridische positie en de bestuurlijke afspraken.
Wanneer voldoet u aan BIO2?
Volgens BIO-overheid voldoet u als alle vier de punten op orde zijn:
- een werkend managementsysteem voor informatiebeveiliging (ISMS) volgens NEN-EN-ISO/IEC 27001:2023;
- risicogestuurd werken, met actuele risicoanalyses;
- ISO 27002:2022 en de verplichte overheidsmaatregelen toegepast bij het kiezen van de maatregelen;
- maatregelen geborgd op mens, organisatie, techniek en fysiek, op bestuurlijk, tactisch en operationeel niveau.
"Passend" betekent: bij een lager risico mag u een ISO-maatregel uitsluiten, mits onderbouwd in de verklaring van toepasselijkheid; bij een hoger risico kunnen extra maatregelen nodig zijn. De overheidsmaatregelen komen niet bovenop ISO 27002, maar vullen die deels in, en zijn een verplicht minimum, ongeacht het ingeschatte risico (BIO-overheid). Een gratis startpunt voor die verklaring is de verklaring van toepasselijkheid in Excel met alle 93 maatregelen.
Hoe stapt u over van BIO naar BIO2?
BIO-overheid noemt drie eerste stappen: een gap-analyse (met de BIO Self Assessment, BIO-SA), de uitvoeringskosten in beeld brengen en beginnen met risicomanagement op basis van BIO2. Een praktische volgorde:
- Leg uw huidige maatregelen naast BIO2 met de was-wordt-lijst.
- Stel de reikwijdte van uw ISMS vast en maak het overzicht van cruciale systemen.
- Voer de risicoanalyse uit en kies per maatregel: toepassen, uitsluiten (met reden) of vervangen door een gelijkwaardige.
- Werk de verklaring van toepasselijkheid bij en leg vast hoe u opzet, bestaan en werking aantoont.
- Leg de nieuwe eisen vast in contracten met leveranciers: die hoeven niet automatisch aan BIO2 te voldoen, maar u bepaalt per dienst welke eisen gelden.
Overheidsorganisaties kunnen de normen ISO 27001 en 27002 gratis krijgen via NEN; Binnenlandse Zaken heeft ze daarvoor beschikbaar gesteld (BIO-overheid). Gemeenten verantwoorden zich verder via ENSIA.
Meer over de BIO in het algemeen, de verantwoording en de verhouding met ISO 27001 leest u op de pagina over de BIO en BIO2.
Veelgestelde vragen
Wat is het belangrijkste verschil tussen de BIO en BIO2?
BIO2 sluit aan op NEN-EN-ISO/IEC 27001:2023 en 27002:2022 in plaats van de versies van 2013, de drie basisbeveiligingsniveaus zijn vervallen en risicomanagement staat centraal. Daarnaast is BIO2 versie 1.3 sinds 15 augustus 2026 voor essentiële entiteiten in de sector overheid wettelijk gekoppeld aan de zorgplicht uit de Cyberbeveiligingswet.
Welke versie van BIO2 geldt nu?
BIO2 versie 1.3 van 9 januari 2026 (Staatscourant 2026, 7416). Die versie staat in de ministeriële regelingen onder de Cyberbeveiligingswet. Een volgende versie wordt verwacht in het najaar van 2027.
Moet mijn organisatie alle maatregelen uit BIO2 invoeren?
Niet blind. De beheersmaatregelen uit ISO 27002 past u risicogestuurd toe; een maatregel die bij een laag risico niet nodig is, sluit u met onderbouwing uit in de verklaring van toepasselijkheid. De relevante overheidsmaatregelen uit BIO2 zijn wel een verplicht minimum, ongeacht het ingeschatte risico.
Geldt BIO2 ook voor waterschappen?
Ja. De regeling van Binnenlandse Zaken geldt voor de sector overheid zonder de waterschappen; voor de waterschappen staat dezelfde koppeling aan BIO2 versie 1.3 in de Cyberbeveiligingsregeling van Infrastructuur en Waterstaat (artikel 8).
Moeten leveranciers van de overheid aan BIO2 voldoen?
Niet automatisch. De overheidsorganisatie bepaalt op basis van de risico's welke beveiligingseisen voor een dienst of product nodig zijn en legt die vast in het contract of de inkoopvoorwaarden. Een certificaat is niet automatisch vereist.
Kan ik me laten certificeren voor BIO2?
Nee, een BIO-certificaat bestaat niet. Gemeenten verantwoorden zich via ENSIA. Een ISO 27001-certificaat kan helpen bij het aantonen van het managementsysteem, maar vervangt BIO2 niet.