NIS2 vs BIO: het verschil en de overlap
NIS2 en de BIO staan niet tegenover elkaar. NIS2 is de Europese wet die zegt dát een overheidsorganisatie haar netwerk- en informatiesystemen moet beveiligen, de BIO is het normenkader dat zegt hóe.
NIS2 is de Europese wet voor netwerk- en informatiebeveiliging, formeel Richtlijn (EU) 2022/2555. In Nederland is NIS2 omgezet in de Cyberbeveiligingswet (Cbw), die op 15 augustus 2026 in werking is getreden (Rijksoverheid, 2026).
De BIO is het gezamenlijke normenkader voor informatiebeveiliging bij het Rijk, provincies, gemeenten en waterschappen. De actuele versie is de BIO2 versie 1.3 definitief van 9 januari 2026, gebaseerd op NEN-EN-ISO/IEC 27001:2023 en NEN-EN-ISO/IEC 27002:2022, met verplichte overheidsmaatregelen erbovenop (BIO2, 2026).
Op 15 augustus 2026 is de juridische status van de BIO veranderd. Via de Cyberbeveiligingswet is het toepassen van de BIO verplicht voor alle entiteiten in de sector Overheid. Voor overheidsentiteiten die niet onder de Cbw vallen, blijft de BIO verplichtende zelfregulering per besluit van het Overheidsbreed Beleidsoverleg Digitale Overheid (BIO2, 2026).
De BIO geldt voor elke overheidsorganisatie: het Rijk, provincies, gemeenten en waterschappen, plus gemeenschappelijke regelingen en zelfstandige bestuursorganen. De omvangdrempel die voor het bedrijfsleven geldt, is hier niet van toepassing.
Dat maakt de verhouding cumulatief en niet uitsluitend. Waar DORA voor de financiële sector NIS2-bepalingen opzij zet, wordt de BIO juist ingebouwd in de wet: je voldoet aan de NIS2-zorgplicht dóór de BIO2 toe te passen.
Wat de BIO niet regelt zijn de andere wettelijke plichten. De meldplicht, de registratieplicht, de bestuurlijke verplichtingen en het toezicht staan in de Cyberbeveiligingswet zelf, niet in de BIO-maatregelen.
Andersom bevat de BIO2 overheidsmaatregelen die geen tegenhanger in NIS2 hebben, en versie 1.3 markeert de maatregelen die buiten de Cbw-reikwijdte vallen grijs. Voor die maatregelen blijft de verplichtende zelfregulering gelden, maar de toezichthouder onder de Cbw controleert er niet op.
NIS2 en BIO mappen
NIS2 en BIO mappen betekent: de tien maatregelcategorieën uit de wet koppelen aan de BIO2-maatregelen die ze invullen, en zien welke overheidsmaatregelen daarbuiten vallen.
Er bestaat een openbare inventarisatie die daarbij helpt. Onder verantwoordelijkheid van het ministerie van BZK is in kaart gebracht welke maatregelen NIS2 expliciet noemt, of die verplicht, optioneel of situationeel zijn, en hoe ze zich verhouden tot NEN-EN-ISO/IEC 27002 (BIO-overheid, 2023). De inventarisatie zegt er zelf bij dat zij geen beoordeling is van de vraag of en op welke punten de BIO invulling geeft aan NIS2, en zij is opgesteld toen de BIO2 nog in de maak was. Het werk hieronder moet je dus alsnog zelf doen.
NIS2 op de BIO mappen
NIS2 op de BIO mappen levert een volledige dekking van de zorgplicht op. De tabel koppelt de tien categorieën uit artikel 21 lid 3 van de Cyberbeveiligingswet aan de plek in de BIO2 waar die eis is uitgewerkt. Verwijs je naar de richtlijn zelf, dan staan diezelfde onderwerpen in artikel 21 lid 2 van de NIS2-richtlijn.
| NIS2-maatregel (Cbw art. 21 lid 3) | Waar de BIO2 het regelt | Waar de BIO2 verder gaat | Waar het in je IT-omgeving landt |
|---|---|---|---|
| a. Beleid voor risicoanalyse en beveiliging van informatiesystemen | Deel 1 BIO2-kader, plus overheidsmaatregelen 5.01.01 en 5.01.02 | Het beleid wordt vastgesteld door het bestuur en minimaal jaarlijks herzien, aansluitend op de bestuurs- en P&C-cycli | Nulmeting, doorlopende kwetsbaarhedenscans en vastgelegd beleid in de Microsoft 365-tenant |
| b. Incidentbehandeling | Overheidsmaatregelen 5.26 en 5.27 | Analyses van incidenten worden breed gedeeld met ketenpartners | 24/7 monitoring door een SOC met Microsoft Defender en automatische respons |
| c. Bedrijfscontinuïteit, back-ups en crisisbeheer | Overheidsmaatregelen bij 5.29 en 5.30, met kritieke systemen die de proceseigenaar ten minste eens per drie jaar herijkt (5.30.02) | Een expliciete risicoafweging per kritiek systeem, met een vaste actualisatietermijn | Automatische back-ups met restore-tests die aantonen dat terugzetten werkt |
| d. Beveiliging van de toeleveringsketen | Overheidsmaatregelen bij 5.19 tot en met 5.23 | Doorwerking naar leveranciers via inkoopvoorwaarden | Beheer van tenant-koppelingen, gedeelde toegang en detectie van verdachte aanmeldingen |
| e. Beveiliging bij verwerving, ontwikkeling en onderhoud | Overheidsmaatregelen bij 8.08, met jaarlijkse controle op technische naleving (8.08.04) en een verplichte penetratietest bij release of major update (8.08.05) | Een productieverbod: komen er hoog-risicobevindingen uit die niet te mitigeren zijn, dan mag het systeem niet in productie | Server- en werkplekbeheer met patchmanagement via Microsoft Intune |
| f. Beoordeling van de effectiviteit van maatregelen | Overheidsmaatregelen 5.35.02 en 5.36.01 | Een vastgesteld jaarlijks auditplan plus een In Control Verklaring in de P&C-cyclus | Maandelijkse security-rapportage en compliance-rapportage |
| g. Cyberhygiëne en training | Overheidsmaatregel 5.04.01, plus deel 2 hoofdstuk 6 | Bestuurders tonen aan dat zij de gevolgen van informatiebeveiligingsrisico’s kunnen beoordelen voor de diensten die de entiteit levert; screeningsbeleid met VOG op basis van risicoafweging (6.01.01) | Security-awareness en phishingtraining voor medewerkers |
| h. Cryptografie en encryptie | Overheidsmaatregelen bij 8.24, plus certificaateisen in 5.14.02 | Ten minste publiek vertrouwde OV-certificaten bij openbaar webverkeer van gevoelige gegevens; elektronische handtekeningen volgens de AdES Baseline Profiles uit de Lijst open standaarden | Schijfversleuteling met BitLocker en gegevenslabels in Microsoft Purview |
| i. Personeelsbeveiliging, toegangsbeleid en assetbeheer | Overheidsmaatregelen 5.15.01, 5.16.01 en 5.16.02 | Geen groepsaccounts tenzij de proceseigenaar het motiveert, vastlegt en afstemt met de CISO | Rolgebaseerde toegang via Microsoft Entra ID en tijdelijke beheerrechten |
| j. Multifactorauthenticatie en beveiligde communicatie | Overheidsmaatregel 5.17.01 | MFA ten minste bij het primaire aanloggen op de digitale werkomgeving, bij accounts voor via internet bereikbare voorzieningen en bij accounts met beheerrechten; kan het niet, dan mitigerende maatregelen met de CISO erbij | Multifactorauthenticatie via Microsoft Entra ID standaard aan |
Op alle tien de categorieën heeft de BIO2 een invulling. Dat is de bedoeling van de wetgever: de regeling neemt de BIO2 op als minimale invulling van de passende en evenredige maatregelen, bedoeld in artikel 21 eerste lid van de Cbw (Cyberbeveiligingsregeling, 2026).
De BIO op NIS2 mappen
De BIO op NIS2 mappen levert wél een restant op.
De BIO2 bevat overheidsmaatregelen die verder gaan dan wat NIS2 vraagt. Versie 1.3 markeert de maatregelen die buiten de Cbw-reikwijdte vallen grijs; voor die maatregelen blijft de verplichtende zelfregulering gelden, maar de toezichthouder controleert er niet op (BIO2, 2026).
De aanpak in vier stappen
- Vaststellen of je organisatie onder de Cbw valt en welke toezichthouder en welk CSIRT bij je horen.
- Registratie in het entiteitenregister regelen, want die plicht volgt uit de wet en niet uit de BIO.
- De BIO2-overheidsmaatregelen inrichten en de opzet, het bestaan en de werking aantoonbaar maken.
- Een dashboard met live monitoring als doorlopend bewijs richting de RDI en je ketenpartners.
Werkplekbeheer en Compliant
Audit-klaar wórden is stap één. Met compliant werkplekbeheer houd je het daarna aantoonbaar werkend, vaste prijs per werkplek, van MKB tot Enterprise.
Kies dit als je op je eigen Microsoft 365-licentie blijft en de technische basis op orde wilt: beheer, back-up, endpointbescherming en toegangsbeheer.
Kies dit als je naast de techniek ook je mensen wilt meenemen. Inclusief Business Premium en security awareness-training.
Kies dit als een opdrachtgever, tender of norm bewijs van je vraagt. Inclusief de Purview- en Defender-suites, monitoring en de rapportage waar een auditor om vraagt.
Kies dit als je organisatie uit Compliant MKB groeit en op Microsoft 365 E5 wilt draaien.
De belangrijkste verschillen tussen NIS2 en de BIO
Het belangrijkste verschil tussen NIS2 en de BIO is hun functie. NIS2 is de wet die de verplichting schept, de BIO is het normenkader dat die verplichting invult.
| Kenmerk | NIS2 | BIO2 |
|---|---|---|
| Wat het is | Europese richtlijn, in Nederland omgezet in de Cyberbeveiligingswet | Nederlands normenkader op basis van NEN-EN-ISO/IEC 27001:2023 en 27002:2022 |
| Juridische status | Wet, sinds 15 augustus 2026 van kracht | Via de Cbw verplicht voor de sector Overheid; daarbuiten verplichtende zelfregulering per OBDO-besluit |
| Geldt voor | Achttien sectoren, waaronder overheid | Uitsluitend de Nederlandse overheid: Rijk, provincies, gemeenten en waterschappen |
| Omvangdrempel | Geldt niet voor kleine ondernemingen: minder dan 50 medewerkers én een jaaromzet of balanstotaal van hoogstens 10 miljoen euro (Aanbeveling 2003/361/EG, art. 2 lid 2) (CELEX 32003H0361 NL TXT) | Geen; de BIO geldt voor elke overheidsorganisatie ongeacht omvang |
| Aanpak | Benoemt tien maatregelonderwerpen, laat de invulling vrij | Concrete overheidsmaatregelen bovenop de ISO-beheersmaatregelen |
| Beveiligingsniveaus | Passend en evenredig, zonder vaste niveaus | De drie basisbeveiligingsniveaus uit de vorige BIO-versies zijn vervangen door een risicogerichte benadering |
| Verantwoording | Toezicht door de bevoegde autoriteit | In Control Verklaring in de planning-en-controlcyclus, onder coördinatie van de CISO |
| Toezichthouder | Sectorale toezichthouder | RDI voor ministeries, gemeenten, provincies, gemeenschappelijke regelingen en ZBO’s; ILT voor waterschappen |
| Melding | Vroegtijdige waarschuwing binnen 24 uur, uitgebreidere melding binnen 72 uur, eindverslag binnen één maand | Geen eigen meldregime; de BIO2 verwijst naar de Cbw-termijnen |
| Registratie | Verplicht in het entiteitenregister van het NCSC | Kent geen registratieplicht |
Zijn NIS2 en de BIO allebei verplicht?
De BIO is verplicht voor elke overheidsorganisatie, maar de juridische grondslag verschilt. Val je onder de Cyberbeveiligingswet, dan is de BIO2 wettelijk verplicht. Val je erbuiten, dan blijft hij verplichtende zelfregulering.
Overheid is een sector onder de Cyberbeveiligingswet
Overheidsorganisaties vallen onder de Cbw zonder dat de omvangdrempel geldt die voor het bedrijfsleven van toepassing is. Het gaat om ministeries en hun dienstonderdelen, provincies, gemeenten en waterschappen, plus gemeenschappelijke regelingen en zelfstandige bestuursorganen voor zover die als overheidsinstantie kwalificeren (Cyberbeveiligingswet, 2026).
De inlichtingen- en veiligheidsdiensten zijn uitgezonderd.
Wat de Cyberbeveiligingsregeling sector overheid voorschrijft
De ministeriële regeling werkt de zorgplicht uit en legt daarbij drie verplichtingen op. De entiteit past NEN-EN-ISO/IEC 27001 toe op het vaststellen, invoeren, bijhouden en verbeteren van een managementsystematiek voor informatiebeveiliging en op het vaststellen van het toepassingsgebied daarvan. De beheersmaatregelen uit NEN-EN-ISO/IEC 27002 en de verplichte overheidsmaatregelen uit de BIO2 worden toegepast op het formuleren van passende en evenredige maatregelen (Cyberbeveiligingsregeling, 2026).
Die regeling regelt ook wanneer een incident meldplichtig is en welk CSIRT bij welke groep overheidsentiteiten hoort. De Rijksinspectie Digitale Infrastructuur is namens de minister van BZK toezichthouder op de Cbw voor ministeries, gemeenten, provincies, gemeenschappelijke regelingen en zelfstandige bestuursorganen (Cyberbeveiligingsregeling, 2026).
Voor waterschappen loopt het anders. Die vallen onder de Cyberbeveiligingsregeling IenW, met CERT-WM als sectoraal CSIRT en de Inspectie Leefomgeving en Transport als toezichthouder (Cyberbeveiligingsregeling IenW, 2026).
Val je buiten de wet, dan verandert er weinig
Voor organisaties die niet onder de Cbw vallen blijft de BIO2 gelden als verplichtende zelfregulering, voor zover zij de BIO2 hebben onderschreven. De BIO2 kwam tot stand onder coördinatie van het ministerie van BZK in samenwerking met alle bestuurslagen en is op 23 september 2025 vastgesteld in het OBDO, dat toen ook adviseerde de BIO2 op te nemen in de regelgeving onder de Cbw (Cyberbeveiligingsregeling, 2026).
In beide gevallen is de BIO dus geen vrije keuze. Het verschil zit in wie erop toeziet en wat er gebeurt als je het niet doet.
Andere normen mogen, mits je het onderbouwt
De regeling laat toe dat je maatregelen uit ISO 27002 en de BIO2 vervangt door of combineert met beheersmaatregelen uit andere normen, zoals NEN 7510 voor zorginformatie of IEC 62443 voor operationele technologie. Je moet dan wel aannemelijk maken dat dat noodzakelijk is en dat het beveiligingsniveau gelijkwaardig blijft, vastgelegd in de Verklaring van Toepasselijkheid (Cyberbeveiligingsregeling, 2026).
Dat is relevant voor een GGD, een veiligheidsregio of een gemeentelijke zorgorganisatie die met beide kaders te maken heeft.
Overeenkomsten tussen NIS2 en de BIO
De overeenkomsten tussen NIS2 en de BIO zijn groter dan bij enig ander normpaar in deze reeks, want de BIO is bewust geschreven om de NIS2-zorgplicht in te vullen.
Wat beide kaders delen:
- Risicogestuurd werken als vertrekpunt, met maatregelen die in verhouding staan tot het risico.
- Een managementsysteem volgens ISO 27001 als structuur.
- Bestuurlijke verantwoordelijkheid, inclusief kennis en opleiding.
- Incidentbehandeling met melding aan de aangewezen toezichthouder.
- Beheersing van risico’s bij leveranciers.
- Periodieke toetsing en een verbetercyclus.
De BIO2 versie 1.3 is bovendien expliciet aangepast vanwege de status als wetgeving: de overheidsmaatregelen buiten de Cbw-reikwijdte zijn grijs gemarkeerd en enkele maatregelen zijn samengevoegd of geschrapt (BIO2, 2026).
Hoeveel van de zorgplicht dekt de BIO2 af?
De BIO2 dekt alle tien de maatregelcategorieën van de zorgplicht volledig af, en gaat op elk van de tien verder dan de wet vraagt. Gedekt betekent hier dat de hele categorie wordt bestreken, zonder dat je er iets aan hoeft toe te voegen. De BIO2 is de wettelijke invulling van de zorgplicht voor de overheid. De telling per categorie staat in de tabel hierboven.
De noemer is de zorgplicht en niet de Cyberbeveiligingswet als geheel. De meldplicht, de registratieplicht, de bestuurlijke verplichtingen en de toezichtrelatie staan in de wet zelf en niet in de BIO2.
Waarom hier geen dekkingspercentage staat
Een dekkingspercentage staat hier niet, omdat het niet te onderbouwen is. Zo’n getal vraagt drie dingen: een noemer waartegen je rekent, een vaste definitie van wanneer iets gedekt heet, en een telling die je kunt narekenen. De zorgplicht kent tien maatregelcategorieën van ongelijke omvang, dus in een percentage weegt een categorie waarin één maatregel volstaat even zwaar als een categorie met een half managementsysteem eronder. De openbare inventarisatie van BZK zegt bovendien zelf dat zij geen oordeel geeft over de mate waarin de BIO invulling geeft aan NIS2. De telling per categorie hierboven is wel na te rekenen: tien categorieën volledig gedekt, plus de meldplicht, de registratieplicht en de bestuurlijke verplichtingen die buiten de zorgplicht vallen en die de BIO2 niet schept.
Welke NIS2-eisen dekt de BIO niet?
De BIO dekt drie NIS2-verplichtingen niet, omdat het een normenkader is en geen wet. Wie denkt dat BIO-compliance gelijkstaat aan Cbw-compliance, mist die drie.
De registratieplicht
De Cyberbeveiligingswet verplicht entiteiten zich te registreren in het entiteitenregister van het NCSC, en dat geldt sinds 15 augustus 2026 (NCSC, 2026). Ook het zelf vaststellen of je onder de wet valt hoort daarbij.
De BIO2 kent geen registratieplicht. Een organisatie die haar overheidsmaatregelen volledig op orde heeft maar zich niet heeft geregistreerd, voldoet niet aan de wet.
De meldplicht met wettelijke termijnen
NIS2 verplicht tot een vroegtijdige waarschuwing onverwijld of, als dat niet mogelijk is, binnen 24 uur, een uitgebreidere melding binnen 72 uur en een eindverslag binnen één maand (Cyberbeveiligingswet, art. 26 lid 1, 27 lid 1 en 29 lid 1, 2026).
De BIO2 verwijst naar die verplichting maar schept hem niet. Wanneer een incident meldplichtig is, staat in de Cyberbeveiligingsregeling sector overheid, niet in de BIO.
De bestuurlijke verplichtingen
De Cyberbeveiligingswet verplicht het bestuur de maatregelen goed te keuren en toezicht te houden op de uitvoering. Elk bestuurslid moet de risico’s voor de netwerk- en informatiesystemen kunnen onderkennen, de maatregelen kunnen beoordelen en de gevolgen daarvan voor de dienstverlening kunnen inschatten, en bezit als bewijs een certificaat van deelname aan een training (Cyberbeveiligingswet, art. 24 lid 2 en 5, 2026).
Daarvoor geldt een overgangstermijn tot 15 augustus 2028; wie later wordt benoemd heeft twee jaar vanaf de benoeming (Cyberbeveiligingswet, art. 24 lid 3, 2026). Aan die plicht hangt bovendien een bestuurlijke boete van ten hoogste 25.000 euro voor het individuele bestuurslid (Cyberbeveiligingswet, 2026).
De BIO2 vraagt in overheidsmaatregel 5.04.01 wel dat bestuurders aantonen dat zij voldoende kennis en vaardigheden hebben om de gevolgen van informatiebeveiligingsrisico’s te beoordelen voor de diensten die de entiteit levert. Wat de norm niet kent is het certificaat als bewijsstuk en de persoonlijke boete.
Van deze drie eisen is er één technisch te ondersteunen en zijn er twee dat niet. De meldplicht vraagt detectie en logging die de termijn van 24 uur haalbaar maken; de registratie en de bestuurlijke plichten zijn bestuurlijke handelingen waar techniek geen antwoord op is.
Welke BIO-eisen dekt NIS2 niet?
NIS2 dekt de overheidsspecifieke laag van de BIO2 niet. De richtlijn benoemt overheid als sector, maar stelt geen eis die specifiek uit het openbaar bestuur voortkomt.
Maatregelen die buiten de Cbw-reikwijdte vallen
De BIO2 versie 1.3 markeert de overheidsmaatregelen die buiten de Cbw-reikwijdte vallen grijs. Het duidelijkste voorbeeld is overheidsmaatregel 5.33.01: de proceseigenaar legt voor alle informatiesystemen in selectielijsten de bewaartermijn vast, houdt daarbij rekening met de eigen bedrijfsdoelstellingen en met wet- en regelgeving zoals de Archiefwet en de privacywetgeving, regelt die termijnen praktisch in en toetst periodiek de werking (BIO2, 2026).
Dat is informatiebeveiliging die over iets anders gaat dan de beveiliging van netwerk- en informatiesystemen, en daarmee buiten het doel van de Cbw. Voor zulke maatregelen blijft de verplichtende zelfregulering bestaan, maar de toezichthouder onder de Cbw controleert er niet op.
Verantwoording via de In Control Verklaring
De BIO2 verplicht tot rapportage over informatiebeveiliging in de planning-en-controlcyclus en als onderdeel van de plan-do-check-act-cyclus, onder coördinatie van de CISO, wat resulteert in een jaarlijks af te geven In Control Verklaring of een vergelijkbaar instrument over de gehele informatiebeveiliging van de entiteit (BIO2, overheidsmaatregel 5.36.01, 2026).
NIS2 vraagt om beoordeling van de doeltreffendheid van maatregelen, maar kent geen vaste verantwoordingsvorm richting het eigen bestuur en de volksvertegenwoordiging.
Overheidsspecifieke registraties en transparantie
Van alle internetfacing-informatiesystemen, webapplicaties, IP-adressen en API’s is er een actuele registratie (BIO2, overheidsmaatregel 5.14.04, 2026). Publiek toegankelijke websites worden bekendgemaakt via het Register Internetdomeinen Overheid, en die informatie wordt ten minste iedere zes maanden geactualiseerd (BIO2, overheidsmaatregel 5.14.05, 2026).
NIS2 vraagt assetbeheer, maar kent geen publiek register van overheidsdomeinen en geen transparantieplicht richting burgers.
Testen met een productieverbod
Internetfacing-informatiesystemen hebben een verplichte, waar mogelijk geautomatiseerde penetratietest bij iedere nieuwe release of major update. Komen daar bevindingen met een hoog risico uit die niet op een andere manier gemitigeerd kunnen worden, dan mag het systeem niet in productie. Alle internetfacing-systemen worden minimaal jaarlijks getest op zwakheden en kwetsbaarheden (BIO2, overheidsmaatregel 8.08.05, 2026).
Dat is een harde poort die NIS2 niet kent. De wet vraagt beleid voor het beoordelen van de doeltreffendheid van maatregelen, zonder testvorm, testmoment of gevolg bij een negatieve uitkomst.
Personeel en toegang, strenger dan de wet
Het gebruiken van groepsaccounts is niet toegestaan, tenzij de proceseigenaar dit motiveert, vastlegt en afstemt met de CISO (BIO2, overheidsmaatregel 5.16.02, 2026). Elke entiteit heeft een vastgesteld screeningsbeleid, waarbij bij indiensttreding en functiewijziging op basis van een risicoafweging een Verklaring Omtrent het Gedrag gevraagd kan worden (BIO2, overheidsmaatregel 6.01.01, 2026).
NIS2 noemt personeelsbeveiliging en toegangsbeleid als onderwerp, maar schrijft geen van deze maatregelen voor.
Naast deze punten geldt een reikwijdteverschil in de andere richting dan gebruikelijk. De Cbw beperkt zich tot de beveiliging van netwerk- en informatiesystemen; de BIO2 gaat over informatiebeveiliging in bredere zin.
Wat betekenen NIS2 en de BIO voor je ICT-omgeving?
Voor je ICT-omgeving vraagt de combinatie één keer inrichten en twee keer bewijzen: aan de toezichthouder onder de Cbw en in je eigen verantwoordingscyclus.
De maatregelen landen in dezelfde componenten van je Microsoft 365-omgeving: identiteiten en toegang in Entra ID, werkplekken en endpoints in Intune en Defender, e-mail en samenwerking in Exchange Online en Teams, data en encryptie in Purview, plus back-up en herstel en de koppelingen met leveranciers.
Waar het werk voor de overheid afwijkt van een gemiddelde MKB-organisatie, zit dat in vier dingen: het verbod op groepsaccounts, de registratie van alles wat vanaf internet bereikbaar is, de verplichte penetratietest bij elke release en de bewijslast dat opzet, bestaan én werking van de maatregelen aantoonbaar zijn.
Er loopt bovendien een directe lijn naar de uitvoeringsregelgeving. Internetfacing-systemen en e-mailverkeer moeten blijven voldoen aan de verplichte beveiligingsstandaarden van het Forum Standaardisatie en het Cyberbeveiligingsbesluit, en daarop wordt gestuurd met de metingen van internet.nl (BIO2, overheidsmaatregel 5.14.01, 2026).
Beleid, governance, de In Control Verklaring en de bestuurlijke verantwoording vallen buiten die technische laag. Dat blijft het domein van je CISO en je concerncontroller.
Welk bewijs vraagt elk kader uit dezelfde systemen?
Beide kaders halen hun bewijs uit dezelfde systemen, maar de ontvanger en de vorm verschillen.
| Uit welk systeem | Wat de BIO2 als bewijs vraagt | Wat NIS2 daarnaast vraagt |
|---|---|---|
| Identiteit en toegang | Een sluitende formele registratie- en afmeldprocedure voor gebruikersidentificaties, en de motivatie bij elk groepsaccount (5.16.01, 5.16.02) | Het logbestand dat laat zien dat multifactorauthenticatie aanstond op het aangevallen account |
| Internetfacing systemen | Een actuele registratie van alle internetfacing systemen, webapplicaties, IP-adressen en API’s (5.14.04) | Dezelfde inventarisatie als bewijs dat het aangevallen systeem in beeld was |
| Testen | Het rapport van de penetratietest bij de laatste release, plus de jaarlijkse test op zwakheden (8.08.04, 8.08.05) | De uitkomsten van je eigen toetsing, in de vorm die je zelf kiest |
| Monitoring en detectie | Een vastgelegde incidentprocedure en incidentregister | Het meldingsdossier met de tijdstempels van 24 uur, 72 uur en het eindverslag |
| Back-up en herstel | Kritieke systemen geïdentificeerd op basis van een expliciete risicoafweging, ten minste eens per drie jaar geactualiseerd (5.30.02) | Het testrapport van een uitgevoerde restore, met datum en uitkomst |
| Personeel | Een vastgesteld screeningsbeleid en de risicoafweging achter elke VOG-aanvraag (6.01.01) | Geen eigen eis; personeelsbeveiliging valt onder de zorgplicht |
| Bewaartermijnen | Bewaartermijnen vastgelegd in selectielijsten, praktisch ingeregeld en periodiek getoetst (5.33.01, buiten de Cbw-reikwijdte) | Logging die terugreikt tot het incident waar de toezichthouder naar vraagt |
| Toetsing van de effectiviteit | Een vastgesteld jaarlijks auditplan (5.35.02) en de In Control Verklaring (5.36.01) | De aantoonbaarheid van opzet, bestaan en werking richting de toezichthouder |
| Registratie | Geen equivalent | De registratie in het entiteitenregister van het NCSC |
Registratie is het enige onderdeel waar de BIO niets tegenover zet.
En de bewijslast is sinds 15 augustus 2026 zwaarder geworden. Waar de BIO als zelfregulering vooral intern werd verantwoord, moet je nu tegenover een toezichthouder met sanctiebevoegdheid aantonen dat de maatregelen niet alleen zijn opgezet maar ook werken.
Kun je NIS2 en de BIO samen invoeren?
Je voert NIS2 en de BIO niet samen in, want het is één traject. De BIO2 is de manier waarop je aan de NIS2-zorgplicht voldoet, dus wie de BIO2 inricht werkt aan beide tegelijk.
Wat er los van staat zijn de drie wettelijke plichten die niet in de BIO zitten. De registratie heeft een harde datum en is in een middag geregeld; de meldprocedure vraagt dat je weet bij welk CSIRT je hoort en wanneer een incident meldplichtig is; de bestuurderstraining heeft een overgangstermijn tot 15 augustus 2028.
Ben je al ver met de BIO, dan begin je dus niet met een nieuw normtraject maar met drie afgebakende acties, plus het aantoonbaar maken van wat je al doet.
Werk je met een normenkader dat afwijkt, bijvoorbeeld NEN 7510 in een zorgcontext, dan mag dat. Je moet dan in de Verklaring van Toepasselijkheid onderbouwen waarom dat noodzakelijk is en dat het beveiligingsniveau gelijkwaardig blijft.
Andere normvergelijkingen
Andere normvergelijkingen met NIS2 staan hieronder. NIS2 raakt aan meer wetten en normen dan alleen de BIO; voor de BIO zelf is NIS2 in de zoekdata het enige vergelijkingspaar.
Vergelijkingen met NIS2
Zo helpt ClickOn met NIS2 en de BIO
ClickOn richt je Microsoft 365-werkplek zo in dat de technische compliance-maatregelen voor de BIO2 en de Cbw in één keer staan, met de aantoonbaarheid erbij. ClickOn is zelf ISO 27001-gecertificeerd sinds 2021 via TÜV Nord, sloot alle vijftien compliance-trajecten succesvol af en doorstond vijfentwintig van de vijfentwintig audits zonder afwijking (ClickOn, 2026).
De In Control Verklaring, de bestuurlijke verantwoording en de coördinatie door de CISO zijn werk van de organisatie zelf. Wat ClickOn levert is de technische laag en het bewijs daaruit.
- Compliance Sprint. Binnen 30 dagen technisch klaar voor het toezicht dat de Cbw meebrengt, tegen een vaste prijs per werkplek (ClickOn, 2026). Week 1 de nulmeting en de gap-analyse, week 2 en 3 de inrichting, week 4 het dashboard als bewijs. Haal je het niet, dan doen we het over.
- ClickOn Compliant MKB. Doorlopend beheer dat compliant blijft, voor 148 euro per werkplek per maand tot driehonderd werkplekken (ClickOn, 2026). Met 24/7 monitoring door een SOC, continue detectie, automatische respons, maandelijkse rapportage, geteste back-upherstellen, dataclassificatie met encryptie en 16 uur audit-ondersteuning per jaar.
Wat ClickOn niet doet is juridisch advies, governance-advies of bedrijfsbreed beleid buiten de IT-omgeving, en ClickOn is niet de partij die de formele audit uitvoert.
Weten waar je organisatie staat ten opzichte van de BIO2 en de Cyberbeveiligingswet? De gap-analyse is week 1 van de Compliance Sprint en laat per onderdeel zien wat al gedekt is.
Kies per stap de route die past
ClickOn voert de ICT-laag van NIS2 uit en leveren het bewijs. Beleid, governance en de formele audit blijven bij je adviseur of auditor.