Baseline Informatiebeveiliging Overheid (BIO): wat is het en voor wie geldt het?

De Baseline Informatiebeveiliging Overheid (BIO) is het normenkader voor informatiebeveiliging bij het Rijk, gemeenten, provincies en waterschappen, gebouwd op ISO/IEC 27001 en 27002.

De BIO zorgt voor een gezamenlijk basisniveau van informatiebeveiliging bij alle overheidslagen. Risicomanagement staat centraal: organisaties bepalen op basis van risico’s welke maatregelen ze treffen, bovenop de verplichte overheidsmaatregelen.

De actuele versie is BIO2, ook geschreven als BIO 2.0, sinds versie 1.3 gepubliceerd in de Staatscourant op 5 maart 2026 (bio-overheid.nl, 2026). Met de inwerkingtreding van de Cyberbeveiligingswet wordt BIO2 wettelijk verplicht voor overheidsorganisaties.

De norm geldt voor alle overheidslagen, en raakt via aanbestedingen en contracten ook de IT-leveranciers en ketenpartners die voor de overheid werken.

BIO2 verschilt op een belangrijk punt van de oude BIO: de drie basisbeveiligingsniveaus (BBN’s) zijn losgelaten ten gunste van een risicogerichte benadering, afgestemd op ISO/IEC 27002:2022 (Digitale Overheid, 2026).

Begin daarom met een nulmeting tegen ISO 27001 en de BIO2-overheidsmaatregelen, zodat je weet welke maatregelen al staan en welke nog ontbreken.

Wat is de BIO?

De Baseline Informatiebeveiliging Overheid is het basisnormenkader voor informatiebeveiliging binnen alle Nederlandse overheidslagen. De BIO legt een gezamenlijk minimumniveau vast, zodat het Rijk, gemeenten, provincies en waterschappen volgens dezelfde standaard werken en veilig informatie kunnen uitwisselen.

De norm is gebaseerd op ISO/IEC 27001 en 27002, de internationale standaarden voor informatiebeveiliging. ISO 27001 levert de eisen voor het managementsysteem (ISMS); de BIO voegt daar verplichte overheidsmaatregelen aan toe die specifiek zijn voor de publieke sector (Digitale Overheid, 2026).

De BIO is in 2019 ingevoerd en verving toen de losse baselines voor gemeenten (BIG), Rijk, waterschappen en provincies. Het kernidee was een baseline voor de hele overheid, met meer nadruk op risicomanagement dan de oude, maatregelgerichte baselines (IBD, 2024).

De norm beschermt de drie principes van informatiebeveiliging, in het Nederlands de BIV-driehoek: Beschikbaarheid, Integriteit en Vertrouwelijkheid. Internationaal heet dezelfde driehoek de CIA-driehoek.

Wat is het verschil tussen de BIO en de BIO2?

Het verschil tussen de BIO en de BIO2 is dat BIO2 de risicogerichte opvolger is van de oude, niveaugerichte BIO. BIO2 is bestuurlijk vastgesteld op 23 september 2025 door het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO), met versie 1.3 gepubliceerd in de Staatscourant op 5 maart 2026 (bio-overheid.nl, 2026).

De belangrijkste wijzigingen ten opzichte van de oude BIO 1.04:

• De BBN’s zijn losgelaten. De oude BIO kende drie basisbeveiligingsniveaus (BBN1, BBN2, BBN3), gekoppeld aan de impact van een incident. BIO2 vervangt die vaste niveaus door een risicogerichte benadering, waarbij de organisatie zelf op basis van risico bepaalt welke maatregelen nodig zijn (Digitale Overheid, 2026).
• Nieuwe structuur. BIO2 volgt de indeling van ISO/IEC 27002:2022, in lijn met de actuele dreigingen.
• Wettelijke verankering. BIO2 wordt opgenomen in de ministeriele regeling voor de sector Overheid onder het Cyberbeveiligingsbesluit, als onderdeel van de NIS2-implementatie (bio-overheid.nl, 2026).
• Sterkere governance. De verantwoordelijkheid van bestuur en management voor risicosturing is explicieter belegd.

Voor wie geldt de BIO?

De BIO geldt voor alle Nederlandse overheidslagen. Concreet:

• Overheidsorganisaties: het Rijk, gemeenten, provincies en waterschappen. Voor hen is de BIO het verplichte normenkader voor informatiebeveiliging.
• IT-leveranciers en ketenpartners: bedrijven die software, clouddiensten of IT-beheer leveren aan de overheid. Zij krijgen de BIO-eisen via aanbestedingen en contracten, ook al vallen ze er zelf niet rechtstreeks onder.

Die tweede groep is voor het bedrijfsleven het belangrijkst: een leverancier die aan een gemeente of waterschap levert, moet aantoonbaar aan de relevante BIO-eisen voldoen om de opdracht te behouden. Daarmee werkt de BIO door in de hele keten rond de overheid.

De BIO bij gemeenten

Gemeenten vormen de grootste groep binnen de BIO en hebben een eigen verantwoordingsroute. Waar het Rijk zich langs de eigen lijn verantwoordt, leggen gemeenten jaarlijks verantwoording af via ENSIA, in een enkele audit richting de gemeenteraad en de toezichthouders. De Informatiebeveiligingsdienst (IBD) ondersteunt gemeenten daarbij met handreikingen en producten. Voor een leverancier aan gemeenten betekent dit dat je bewijsvoering moet aansluiten op die ENSIA-cyclus.

Is de BIO verplicht?

Ja, de BIO is verplicht voor de overheid, en die verplichting wordt met BIO2 wettelijk verankerd. Het zit zo:

• Altijd al verplicht binnen de overheid. De BIO geldt sinds 2019 voor alle overheidslagen en staat op de pas-toe-of-leg-uit-lijst van verplichte standaarden van het Forum Standaardisatie (bio-overheid.nl, 2025).
• Met BIO2 wettelijk verankerd. De BIO2 wordt opgenomen in de ministeriele regeling onder het Cyberbeveiligingsbesluit. Met de inwerkingtreding van de Cyberbeveiligingswet wordt de BIO2 daarmee wettelijk verplicht voor overheidsorganisaties die onder die wet vallen (bio-overheid.nl, 2026).
• Verplichtende zelfregulering voor de rest. Voor overheidsorganisaties die niet onder de Cyberbeveiligingswet vallen, blijft de BIO2 gelden als verplichtende zelfregulering (bio-overheid.nl, 2026).

De BIO verplicht geen ISO 27001-certificaat, maar wel het toepassen van ISO 27001 voor het inrichten van het managementsysteem. Er bestaat dan ook geen BIO-certificering: je toont aan dat je BIO-compliant bent via de verantwoordingscyclus, niet via een certificaat.

Hoe werkt de BIO?

De BIO werkt via een managementsysteem voor informatiebeveiliging (ISMS) op basis van ISO 27001, aangevuld met verplichte overheidsmaatregelen. De aanpak op hoofdlijnen:

• 1. Reikwijdte bepalen: vastleggen welke bedrijfsprocessen en informatiesystemen kritisch zijn voor de dienstverlening en onder het ISMS vallen.
• 2. Risicomanagement: de risico’s beoordelen en op basis daarvan bepalen welke beheersmaatregelen nodig zijn, bovenop de verplichte overheidsmaatregelen uit de BIO2.
• 3. Maatregelen en Verklaring van Toepasselijkheid: de maatregelen inrichten en vastleggen welke van toepassing zijn. Overheden zijn verplicht de reikwijdte en de Verklaring van Toepasselijkheid te publiceren, voor transparantie richting burgers (bio-overheid.nl, 2025).
• 4. Verantwoording: jaarlijks verantwoording afleggen over de informatiebeveiliging, voor gemeenten via de ENSIA-systematiek.
• 5. Continu verbeteren: de BIO is geen eenmalig project maar een cyclisch proces dat de organisatie onderhoudt en evalueert.

Welke ICT-maatregelen vraagt de BIO?

Het grootste deel van de BIO-maatregelen is technische ICT-uitvoering, ingericht volgens ISO 27001 en 27002. ClickOn richt die laag in op Microsoft 365 en levert het bewijs voor de verantwoording.

De risicoafweging die bepaalt welke maatregelen nodig zijn, het informatiebeveiligingsbeleid, de rol van CISO, de ENSIA-verantwoording en de bestuurlijke rapportage vallen buiten die scope; dat blijft bij de organisatie zelf.

• Toegangsbeveiliging: rolgebaseerde toegang, multifactorauthenticatie en conditional access via Entra ID.
• Logging en monitoring: audit logging via Purview met bewaartermijnen, en monitoring via de Defender-suite.
• Beheer van mobiele apparaten: beheerde en versleutelde apparaten via Intune.
• Malware- en phishingbescherming: Defender for Endpoint en Defender for Office 365.
• Patch- en kwetsbaarhedenbeheer: geautomatiseerd via Intune.
• Cryptografie: BitLocker op apparaten en versleuteling van data via Purview.
• Back-up en herstel: immutable back-up met periodieke hersteltests.
• Bewustwording: security-awareness en aanvalssimulatietraining.
• Meten van effectiviteit: Secure Score en rapportage als bewijs voor de verantwoording.

Omdat BIO2 de vaste BBN-niveaus heeft losgelaten, bepaalt de risicoafweging welke van deze maatregelen hoe zwaar worden ingericht. De technische nulmeting daarvoor staat op BIO implementatie.

Veelvoorkomende ICT-risico’s bij de overheid en haar leveranciers

Dit zijn de risico’s die het vaakst tot een cyberincident leiden, met de maatregel die ze afdekt.

• Phishing en accountovername: de meest voorkomende toegangsroute. Afgedekt met MFA, conditional access en Defender for Office 365.
• Ransomware: gijzeling van systemen legt de dienstverlening aan burgers plat. Afgedekt met immutable back-up, Defender for Endpoint en geteste herstelplannen.
• Datalek van burgergegevens: ongeautoriseerde toegang tot persoonsgegevens. Afgedekt met toegangsbeheer, encryptie en data loss prevention via Purview.
• Te ruime rechten: medewerkers met meer toegang dan hun rol vraagt. Afgedekt met least privilege en periodieke toegangsreviews.
• Ontbrekende logging: incidenten die achteraf niet te reconstrueren zijn. Afgedekt met audit logging en vastgelegde bewaartermijnen.
• Schaduw-IT: ongecontroleerde apps en clouddiensten. Afgedekt met app-beheer en zicht via Defender for Cloud Apps.
• Ongepatchte systemen: bekende kwetsbaarheden die openstaan. Afgedekt met patch- en kwetsbaarhedenbeheer via Intune.
• Verlies of diefstal van apparaten: data op zoekgeraakte laptops of telefoons. Afgedekt met BitLocker en op afstand wissen via Intune.

Belangrijke begrippen uit de BIO

De BIO gebruikt vakbegrippen die in de overheidscontext steeds terugkomen. De acht belangrijkste, kort uitgelegd:

• BIO2: Baseline Informatiebeveiliging Overheid 2, de actuele versie van het normenkader, gebaseerd op ISO/IEC 27001 en 27002:2022 en wettelijk verankerd via de Cyberbeveiligingswet.
• BIV-driehoek: de drie principes van informatiebeveiliging in het Nederlands, Beschikbaarheid, Integriteit en Vertrouwelijkheid. De internationale variant heet de CIA-driehoek.
• BBN: BasisBeveiligingsNiveau, de indeling in drie niveaus uit de oude BIO, gekoppeld aan de impact van een incident. In BIO2 vervangen door een risicogerichte benadering.
• ENSIA: Eenduidige Normatiek Single Information Audit, de systematiek waarmee met name gemeenten zich jaarlijks verantwoorden over hun informatiebeveiliging volgens de BIO.
• ISMS: Information Security Management System, het managementsysteem voor informatiebeveiliging dat de BIO via ISO 27001 verplicht stelt.
• Verklaring van Toepasselijkheid: het document dat vastlegt welke beheersmaatregelen van toepassing zijn en hoe ze zijn ingericht. Overheden zijn verplicht dit te publiceren.
• Cyberbeveiligingswet: de Nederlandse wet die de NIS2-richtlijn omzet en waarin de BIO2 via een ministeriele regeling wettelijk wordt verankerd voor de sector Overheid.
• CIP: Centrum Informatiebeveiliging en Privacybescherming, dat namens het ministerie van BZK de implementatie van de BIO ondersteunt met handreikingen en hulpmiddelen.

Norm-overstijgende ICT-begrippen die bij de BIO terugkomen:

• Netwerk- en informatiesysteem
• Cyberincident
• Cyberrisico
• Informatiebeveiliging
• Informatiebeveiligingsbeleid
• Risicomanagement
• Beschikbaarheid, integriteit en vertrouwelijkheid
• Toegangsbeheer
• Encryptie
• Multifactorauthenticatie
• Monitoring en logging
• Back-up
• Patchmanagement en kwetsbaarhedenbeheer
• Persoonsgegevens
• Datalek
• Compliance-audit

Hulpmiddelen voor de BIO

Voor de implementatie van de BIO bestaan vier hulpmiddelen, van licht naar zwaar:

• BIO-zelfscan: bepaal hoe ver je organisatie is en welke maatregelen nog ontbreken.
• BIO-checklist: de verplichte overheidsmaatregelen en de ISO 27001-eisen als afvinklijst.
• Nulmeting (gap-analyse): een meting van je huidige situatie tegen ISO 27001 en de BIO2-maatregelen, met een overzicht van de gaten.
• Stappenplan: de route van reikwijdte tot aantoonbare naleving in vaste fases.

De BIO vergeleken met andere normen en wetten

De BIO staat niet op zichzelf: de norm bouwt voort op ISO 27001 en hangt samen met NIS2, de Cyberbeveiligingswet en de AVG. Per norm staat de volledige vergelijking op een eigen vergelijkingspagina:

• BIO en ISO 27001
• BIO en NIS2
• BIO en de Cyberbeveiligingswet
• BIO en de AVG
• BIO en NEN 7510
• BIO en ISAE 3402

Zo helpt ClickOn met de BIO

Het grootste deel van de BIO-maatregelen is IT-beheer: toegangsbeheer, monitoring, back-up en recovery, encryptie, logging en incidentrespons, ingericht volgens ISO 27001. Precies het werk dat een managed service provider dagelijks doet, inclusief de bewijsvoering die nodig is voor de verantwoording. ClickOn is zelf ISO 27001-gecertificeerd sinds 2021.

ClickOn richt zich op de IT-leveranciers en ketenpartners die aan de overheid leveren en daardoor zelf aan BIO-eisen moeten voldoen. De Compliance Sprint brengt de technische maatregelen en de bewijsvoering in 30 dagen op orde, tegen een vaste prijs. Met compliant werkplekbeheer (ClickOn Compliant MKB) blijft het daarna werken: Microsoft 365-werkplekken ingericht op de ISO 27001-norm, de basis onder de BIO, voor 148 euro per werkplek per maand, zonder lock-in. Het beleid, de governance en de verantwoording richting de overheid blijven bij de organisatie zelf; ClickOn levert de technische uitvoering en het bewijs.

Per stap van je BIO-traject kun je bij ClickOn terecht:

• BIO implementatie: het inrichten en herstellen van de ICT-maatregelen in Microsoft 365.
• BIO audit readiness: het bewijs klaarzetten voor de verantwoording en de audit.