De BIO is het gedeelde normenkader voor informatiebeveiliging bij Rijk, gemeenten, provincies en waterschappen. Het OBDO stelde BIO2 vast op 23 september 2025 en versie 1.3 geldt sinds maart 2026. Sinds 15 augustus 2026 is een groot deel wettelijk verankerd, via de Cyberbeveiligingsregeling sector overheid.
Laatst bijgewerkt op
De Baseline Informatiebeveiliging Overheid, kortweg de BIO, is het basisnormenkader voor informatiebeveiliging binnen alle overheidslagen. Rijk, gemeenten, provincies en waterschappen werken er alle vier mee. Eén set eisen dus, in plaats van een eigen norm per bestuurslaag.
Op 23 september 2025 stelde het Overheidsbreed Beleidsoverleg Digitale Overheid, het OBDO, de tweede generatie bestuurlijk vast. Dat gremium brengt de bestuurslagen samen. De Informatiebeveiligingsdienst van de VNG bevestigt datzelfde besluit en die datum.
BIO2 volgde BIO 1.04zv op als vernieuwde basisnorm. De reeks loopt van v1.03 uit maart 2019 en v1.04 uit november 2019 via v1.04zv uit juni 2020 en een concept v1.1 uit april 2025 naar v1.2 uit september 2025 en v1.3 uit januari 2026.
Die laatste draagt het geldende kader. BIO2 v1.3 dateert van 9 januari 2026 en verscheen op 5 maart 2026 in de Staatscourant, waar de regeling later naar verwijst als Stct. 2026, 7416. Vanaf die dag verving zij BIO1 v1.04 in het digitale verkeer met het Rijk, en ook de kort daarvoor uitgebrachte v1.2.
Inhoudelijk zit er weinig licht tussen die twee. Vanwege de koppeling aan de regeling bevat v1.3 enkel beperkte aanpassingen: inconsistenties eruit, verduidelijkingen erbij. Actualiseren gebeurt om de twee jaar via een openbare consultatieronde, en het streven is eind 2027 een volgende versie uit te brengen.
Voor alle overheidsorganisaties, maar de weg ernaartoe verschilt per bestuurslaag. Direct na het OBDO-besluit gingen provincies, waterschappen en het Rijk over op BIO2 als verplichtende zelfregulering, waarmee BIO 1.04zv voor hen verviel. De 342 gemeenten die Nederland op 1 januari 2026 telde hielden 1.04zv formeel aan en gebruikten de nieuwe baseline daarnaast als richtinggevend kader.
Op 15 augustus 2026 hield dat overgangsregime op. Sindsdien is een groot deel van BIO2 v1.3 wettelijk verankerd voor organisaties binnen het bereik van de Cyberbeveiligingswet. Er kwam geen nieuwe baseline bij: wat wijzigde is de grondslag en niet de inhoud.
Daarbuiten blijft de oude vorm bestaan, als verplichtende zelfregulering. Hoge Colleges van Staat, Defensie, de AIVD, de politie en de uitgezonderde zelfstandige bestuursorganen blijven gebonden via een besluit dat via de ministerraad is vastgesteld. Zo sluit de cirkel: de baseline geldt voor alle overheidsorganisaties.
Leveranciers zitten er indirect in. Wie aan de overheid levert moet aan eisen uit de baseline voldoen, afhankelijk van het risico, het type dienst en de toegang tot gevoelige informatie. Die eisen staan in de overheidsmaatregelen 5.20 tot en met 5.24, plus 8.05.01 en 8.24.05, en horen in je inkoopvoorwaarden. Uitbesteden verplaatst de verantwoordelijkheid niet: de risico’s van ingekochte diensten beoordeel en beheers je zelf.
| Bestuurslaag | Hoe vastgesteld | Hoe verantwoord |
|---|---|---|
| Rijk (ministeries) | In het OBDO, daarna wettelijk via de regeling sector overheid | Opzet, bestaan en werking aantoonbaar; de RDI houdt toezicht |
| Gemeenten | Eerst richtinggevend naast BIO 1.04zv, sinds 15 augustus 2026 wettelijk | Jaarlijks via ENSIA naar raad en toezichthouders, uiterlijk 30 april |
| Provincies | Zelfregulering vanaf het OBDO-besluit, daarna wettelijk | Aantoonbaarheid binnen de reikwijdte van het ISMS |
| Waterschappen | Zelfregulering; buiten de regeling sector overheid gehouden | Via de regeling van I&W, met de ILT als toezichthouder |
| Gemeenschappelijke regelingen en ZBO’s | Dezelfde regeling; uitgezonderde ZBO’s via een ministerraadsbesluit | Aantoonbaarheid richting de RDI, namens BZK |
| Leveranciers | Via inkoopvoorwaarden, op grond van overheidsmaatregel 5.20 tot en met 5.24 | Naar de opdrachtgever, die verantwoordelijk blijft voor het uitbestede risico |
BIO2 kreeg een nieuwe structuur, die van NEN-EN-ISO/IEC 27002:2022. De baseline leunt daarmee op twee normen tegelijk: ISO 27001 (versie 2022) voor het managementsysteem en ISO 27002 (versie 2022) voor de beheersmaatregelen. Wat de overheid zelf toevoegt heet overheidsmaatregelen.
Er staan drie verplichtingen naast elkaar. Je past ISO 27001 toe, want een werkend managementsysteem is de voorwaarde om aan BIO2 te voldoen. Je gebruikt ISO 27002 samen met de verplichte overheidsmaatregelen. En je toont van die maatregelen opzet, bestaan en werking aan.
Een misverstand dat vaak terugkomt: die overheidsmaatregelen stapelen niet. Ze komen niet bovenop de beheersmaatregelen uit ISO 27002 maar geven er deels invulling aan, als verplichte minimale uitwerking. Wel mag je bij een lager risico maatregelen uitzonderen, mits onderbouwd en vastgelegd in de verklaring van toepasselijkheid. Geborgd moet het zijn langs vier assen tegelijk: mens, organisatie, techniek en fysiek.
Ten opzichte van BIO 1.04 zijn de verschillen groot genoeg om je aanpak op te herzien.
De baseline dekt meer dan de wettelijke zorgplicht vraagt: informatiebeveiliging in de breedste zin, tot en met de bescherming van fysieke documenten. Wie zijn scope alleen op netwerk- en informatiesystemen legt, laat dus een deel liggen.
De verankering heeft een naam die vaak verkeerd wordt geciteerd. Het gaat om de Cyberbeveiligingsregeling sector overheid van de staatssecretaris van BZK, 3 juli 2026, gepubliceerd op 5 augustus 2026 als Staatscourant 2026, 27679. Niet sector Rijk dus, en breder dan de ministeries. Grondslag zijn de artikelen 19 en 23, eerste lid van het Cyberbeveiligingsbesluit.
Artikel 2 bakent af: de regeling is van toepassing op essentiële entiteiten in de sector overheid, bedoeld in bijlage 1 bij de wet, met uitzondering van de waterschappen. Die vallen onder het ministerie van I&W, en hun verankering loopt via de Cyberbeveiligingsregeling van dat ministerie.
Artikel 3 schrijft de managementsystematiek voor: de essentiële entiteit past NEN-EN-ISO/IEC 27001:2023 toe op het vaststellen, implementeren, bijhouden en continu verbeteren daarvan. Dat is dezelfde norm als ISO 27001 (versie 2022); de Europese overname voegt een voorwoord toe en verscheen een jaar later, vandaar het afwijkende jaartal.
Artikel 4 vraagt een overzicht van je cruciale netwerk- en informatiesystemen, met aparte bijlagen voor centrale en decentrale overheden. Verder komt het VIR-BI 2025 langs, alleen als begrip voor rubriceringsniveaus bij de meldplicht.
Bestuurlijk sluit dit aan op wat de bestuurslagen wilden: het OBDO adviseerde BZK om BIO2 als zorgplicht-normenkader in de regelgeving op te nemen. Digitale Overheid vat de inhoud samen als de zorgplicht plus de drempels voor de meldplicht.
Artikel 5 doet het inhoudelijke werk, in drie leden:
Let op beheersmaatregel 5.33. De normtekst van v1.3 wekt de indruk dat die buiten de wettelijke plicht valt, terwijl 5.33 juist wél verplicht is op grond van de regeling. Alleen de bijbehorende overheidsmaatregel 5.33.01, over bewaartermijnen in selectielijsten, valt buiten het bereik van de wet. Die correctie staat in de veelgestelde vragen over BIO2.
Voor gemeenten loopt de verantwoording al jaren via ENSIA, de Eenduidige Normatiek Single Information Audit. Het is een initiatief van gemeenten en de ministeries van BZK en SZW: alle Nederlandse gemeentebesturen leggen jaarlijks, op één en hetzelfde moment en via één en dezelfde methode, verantwoording af. Naast de baseline gaat het over de stelsels BRP, Reisdocumenten, Suwinet, DigiD, BAG, BGT en BRO, richting de gemeenteraad en de toezichthouders.
De kalender ligt vast en bepaalt je planning. Er zijn vier fasen: zelfevaluatie, opstellen, verantwoorden en versturen. De fase Zelfevaluatie start altijd op 1 juli en eindigt op 31 december, de fase Opstellen loopt van 1 januari tot en met 30 april, en uiterlijk op die laatste datum hebben de toezichthouders de gevraagde rapportages binnen. Vanaf 2026 kunnen gemeenten zich over hun DigiD-aansluitingen en over Suwinet alleen nog volgens de 3000D-methode verantwoorden.
Wie DigiD gebruikt heeft daarbovenop een eigen jaarritme: jaarlijks een ICT-beveiligingsassessment, tegen Normenkader 3.0 van Logius. Dat kader bevat 21 beveiligingsrichtlijnen met de hoogste impact op de veiligheid van DigiD, geselecteerd uit de ICT-beveiligingsrichtlijnen voor webapplicaties van het NCSC. Ingangsdatum van deze versie: 1 augustus 2022.
Onder BIO2 wordt de aantoonbaarheid risico-gedreven ingericht. De reikwijdte van je managementsysteem bepaalt welke onderdelen aantoonbaar in control moeten zijn, en voor essentiële processen, systemen en diensten moet dat doorgaans uitgebreider en formeler.
Het totale werk kan wel afnemen: nu BIO2 in de regelgeving staat kunnen de verantwoordings- en toezichtlasten aanzienlijk worden teruggedrongen, af te stemmen via de bestaande ENSIA-structuren.
De Cyberbeveiligingswet werkt sinds 15 augustus 2026 en raakt ruim 8.000 organisaties in alle sectoren samen. De overheid staat in bijlage I van de richtlijn, in de categorie essentieel, dus in het zwaarste regime.
De twee kaders doen verschillend werk. De richtlijn en de wet stellen eisen die strategisch en op governance gericht zijn; BIO2 is een tactisch normenkader dat samen met ISO 27001 en 27002 invulling geeft aan de zorgplichtmaatregelen.
Wat de wet er bovenop legt is vooral procedureel. Er komt een meldplicht bij, met drempels die in de regeling staan. Voor centrale overheden telt onder meer uitval van de dienstverlening van ten minste vier uur, en daarnaast noemt de regeling financiële schade voor de staat of de samenleving van meer dan 500 miljoen euro.
Het toezicht is verdeeld. De Rijksinspectie Digitale Infrastructuur houdt namens de minister van BZK toezicht voor ministeries, gemeenten, provincies, gemeenschappelijke regelingen en zelfstandige bestuursorganen. Voor de waterschappen ligt dat bij de ILT, onder verantwoordelijkheid van I&W. Twee loketten dus, afhankelijk van wat voor overheid je bent.
De drie kaders delen hun fundament. De baseline is gebouwd op ISO 27001 en ISO 27002 met aanvullende overheidsmaatregelen erbij, en de zorgnorm op diezelfde twee normen met ISO 27799 erbij. Het verschil zit in de aanvulling en in de doelgroep.
| Onderwerp | ISO 27001 | BIO | NEN 7510 |
|---|---|---|---|
| Doelgroep | Niet aan een sector gebonden; de basis onder de twee andere kaders | Uitsluitend overheidsorganisaties | Organisaties die zorginformatie verwerken |
| Verplichting | Op zichzelf niet wettelijk verplicht; voor overheidsentiteiten voorgeschreven in artikel 3 van de regeling | Relevante overheidsmaatregelen wettelijk binnen het bereik van de wet, daarbuiten zelfregulering | Wettelijk aangewezen sinds het besluit uit 2017 voor zorginformatiesystemen; binnen de BIO toegestaan als vervanging of aanvulling |
| Basis | 27001 voor het managementsysteem, 27002 voor de uitwerking; 93 beheersmaatregelen in bijlage A | Dezelfde twee normen plus de overheidsmaatregelen | Dezelfde twee normen plus ISO 27799 |
| Certificaat of verantwoording | Een certificaat dat in een cyclus van drie jaar terugkomt | Aantoonbare opzet, bestaan en werking; gemeenten daarnaast via ENSIA | Aantoonbaar voldoen is de eis; een certificaat bewijst dat wel, maar wordt niet gevraagd |
| Wie toetst | Een certificerende instelling, binnen diezelfde cyclus | De organisatie zelf; voor DigiD en Suwinet via een 3000D-verantwoording, met de RDI als toezichthouder namens BZK | Een certificerende instelling onder schema NCS 7510:2025, met de zorginspectie als toezichthouder op de wet |
Overheidsorganisaties met een zorgtaak voeren de twee vaker samen dan gedacht. NEN noemde in 2022 al gemeenten die jeugdzorg uitvoeren en de Wet verplichte GGZ toepassen. Een aantal GGD’en valt zelfs onder de sector overheid en onder de sector gezondheidszorg tegelijk, en daarmee onder twee CSIRT’s.
De baseline geeft daar ruimte voor en noemt zelf de zorgnorm en IEC 62443 voor operationele techniek als voorbeelden. Voorwaarde is dat je aannemelijk maakt dat vervangen of combineren noodzakelijk is en tot een gelijkwaardig niveau leidt, vastgelegd in de verklaring van toepasselijkheid.
Let wel op het verschil in bereik: de zorgnorm werkt met een toepassingsgebied dat je zelf afbakent, terwijl de baseline van begin af aan op het gehele overheidsorgaan slaat. Het smalste toepassingsgebied dekt de rest van je organisatie dus niet af.
De eerste vraag is juridisch en niet technisch: val je binnen het bereik van de wet of niet? Het antwoord bepaalt of aantoonbaarheid een bestuurlijke afspraak is of een wettelijke eis met een toezichthouder erachter.
Een deel van je techniek is van buitenaf zichtbaar en dus meteen te toetsen. De gratis domeinscan kijkt naar je certificaten, je beveiligingsheaders, DNSSEC, IPv6 en je e-mail, en zet er per uitkomst bij voor welke norm het als bewijs meetelt.
De rest is dossierwerk dat ergens moet landen. Het platform voert de baseline als kader naast ISO 27001, de wet en de AVG, zodat per onderwerp zichtbaar blijft wat open staat, wie eraan trekt en welk document het afdekt. De andere normen staan op de gidsenpagina.
Twee manieren om dit concreet te maken, allebei zonder account.
Deze gids is informatief en geen juridisch advies. Raadpleeg bij twijfel de wettekst of een jurist.
Begin zelf met het platform of ga de diepte in met onze mensen. Allebei brengen ze je ICT in control.