Nulmeting & interne audit

BIO 2.0 (BIO2): uitleg en nulmeting voor overheidsorganisaties

Onafhankelijke gap-analyse op de Baseline Informatiebeveiliging Overheid 2.0, als startpunt voor implementatie, als voorbereiding op de ENSIA-zelfevaluatie of als toets voor bestuur en management.

BIO 2.0 in het kort

Wat: de Baseline Informatiebeveiliging Overheid 2 (BIO2), het normenkader voor informatiebeveiliging bij de Nederlandse overheid.
Voor wie: Rijk, provincies, waterschappen en gemeenten.
Actuele versie: BIO2 versie 1.3, gepubliceerd in de Staatscourant op 5 maart 2026.
Status: via de Cyberbeveiligingswet (sinds 15 augustus 2026) wettelijk verankerd voor overheidsorganisaties die onder de Cbw vallen.
Grootste verandering: geen vaste beveiligingsniveaus (BBN) meer, maar risicogestuurd werken op basis van ISO 27001/27002:2022.

Wat is het?

Wat is BIO 2.0 en voor wie geldt het?

BIO 2.0 (Baseline Informatiebeveiliging Overheid versie 2.0) is het verplichte normenkader voor informatiebeveiliging bij alle overheidsorganisaties in Nederland. Het geldt voor gemeenten, provincies, waterschappen, uitvoeringsorganisaties en het Rijk. BIO 2.0 is gebaseerd op ISO 27001/27002:2022 en bevat aanvullende, overheidsspecifieke vereisten.

Ten opzichte van de oorspronkelijke BIO (gebaseerd op ISO 27002:2013) brengt BIO 2.0 een ingrijpende herstructurering: de 114 controls in 14 domeinen zijn vervangen door 93 controls verdeeld over 4 thema's: organisatorisch, menselijk, fysiek en technologisch. Nieuw zijn onder meer controls op het gebied van cloudsecurity, threat intelligence, supply chain en datamaskering.

Wat toetsen wij bij een BIO 2.0 nulmeting?

Beleids- en organisatiethema (5.x): zijn informatiebeveiligingsbeleid, rollen, verantwoordelijkheden en processen aantoonbaar ingericht?
Menselijk thema (6.x): worden medewerkers getraind, zijn achtergrondchecks uitgevoerd en zijn exitprocedures geborgd?
Fysiek thema (7.x): zijn fysieke toegangsbeveiliging en clean desk-beleid effectief?
Technologisch thema (8.x): zijn toegangsbeheer, patchbeheer, logging, encryptie en andere technische controls aantoonbaar werkend?
Overheidsspecifieke vereisten: aan welke aanvullende BIO-verplichtingen voor overheidsorganisaties wordt voldaan?

De nulmeting resulteert in een duidelijk rapport met bevindingen per control, een volwassenheidsscore en een geprioriteerd actieplan. Dit is direct bruikbaar als input voor uw implementatieplan, bestuursrapportage of ENSIA-zelfevaluatie.

Wilt u na de nulmeting ook daadwerkelijk aan de slag met de openstaande bevindingen? Wij begeleiden overheidsorganisaties eveneens bij de implementatie van de BIO, die dezelfde ISO 27001-gebaseerde PDCA-structuur volgt.

Gratis download

NIS2 Stappenplan, ook relevant voor BIO 2.0

De BIO 2.0 verwerkt de NIS2-richtlijn direct in haar normenkader. Ons NIS2 Stappenplan biedt daardoor ook een praktisch startpunt voor uw BIO 2.0 voorbereiding.

Ontvang gratis stappenplan →

Voor welke organisaties?

Gemeenten
Provincies
Waterschappen
Gemeenschappelijke regelingen
Rijksuitvoeringsorganisaties

Eerder uitgevoerd

"Niek heeft een nulmeting uitgevoerd op de BIO 2.0 als basis voor ons implementatieplan. Bijzonder waardevol, vooral de prioritering."

Projectmanager, gemeente

Wat verandert er?

BIO 1.04 versus BIO 2.0

	BIO 1.04	BIO 2.0
Basis	ISO 27002:2013	ISO 27001 en ISO 27002:2022
Maatregelen	114 maatregelen in 14 domeinen	93 maatregelen in 4 thema's, plus overheidsmaatregelen
Beveiligingsniveau	Vaste niveaus BBN1, BBN2 en BBN3	Risicogestuurd: maatregelen passend bij de risico's
Afwijken	Via het gekozen BBN-niveau	Alleen met een gedocumenteerde risicoafweging
Juridische status	Verplichtende zelfregulering	Wettelijk verankerd via de Cyberbeveiligingswet

De grootste verschuiving zit in het risicogestuurd werken. Waar u eerder een BBN-niveau koos en de bijbehorende maatregelen afvinkte, moet u nu per proces of systeem onderbouwen welke maatregelen passend zijn. Dat vraagt om een werkende risicoanalyse en duidelijk eigenaarschap bij de proceseigenaar.

Tijdlijn

Van vaststelling tot wettelijke verplichting

23 sep 2025 BIO2 v1.2 vastgesteld. Vanaf dat moment geldt BIO2 voor het Rijk, provincies en waterschappen. Gemeenten gebruiken BIO2 eerst als richtinggevend kader.
5 mrt 2026 BIO2 v1.3 in de Staatscourant. De tekst is afgestemd op de Cyberbeveiligingswet. Drie overheidsmaatregelen vallen buiten de Cbw en blijven verplichtende zelfregulering.
15 aug 2026 Cyberbeveiligingswet in werking. BIO2 v1.3 is via de Cyberbeveiligingsregeling sector Overheid wettelijk verankerd.
Eind 2027 Volgende versie BIO2. In 2026 start het CIP een evaluatie met alle overheidslagen.

Relatie met ENSIA

BIO 2.0 nulmeting als voorbereiding op ENSIA

ENSIA (Eenduidige Normatiek Single Information Audit) verplicht gemeenten jaarlijks een zelfevaluatie uit te voeren op basis van de BIO. Een professionele nulmeting van Assurency geeft u vooraf inzicht in uw positie, zodat u de zelfevaluatie met onderbouwde antwoorden kunt invullen en toetsbare documentatie gereed heeft.

Wij brengen niet alleen in kaart wat ontbreekt, maar ook wat al wél aantoonbaar aanwezig is, zodat u geen werk dubbel doet en de zelfevaluatie efficiënt kunt afronden.

Migratie van BIO naar BIO 2.0

Van de oude BIO naar BIO 2.0

Werkt uw organisatie nog op basis van de oorspronkelijke BIO? Dan is een migratienulmeting zinvol: wij brengen in kaart welke controls uit de nieuwe structuur al worden gedekt door bestaande maatregelen en welke nieuwe verplichtingen aandacht vereisen.

Bijzondere aandacht gaat daarbij uit naar de nieuwe BIO 2.0 controls rondom cloud, supply chain security en threat intelligence, onderdelen die in de oude BIO nog niet of nauwelijks aanwezig waren.

Relatie met NIS2 / Cbw

BIO 2.0 v1.3 voldoet aan de zorgplicht van de Cbw

Versie 1.3 van BIO 2.0 is expliciet afgestemd op de NIS2-zorgplicht zoals die in Nederland is verankerd in de Cyberbeveiligingswet (Cbw). Voor overheidsorganisaties die onder de Cbw vallen, geldt BIO 2.0 v1.3 als het normenkader dat de zorgplicht volledig afdekt, inclusief bestuurlijke verantwoordelijkheid, ketenbeveiliging, crisismanagement en continuïteit.

Een BIO 2.0 nulmeting geeft daarmee niet alleen inzicht in uw ENSIA-gereedheid, maar ook in uw naleving van de NIS2-zorgplicht. Let wel: de Cbw kent naast de zorgplicht ook een meldplicht en registratieplicht, wettelijke verplichtingen die niet door een normenkader worden afgedekt. In ons artikel waarom BIO2.0 v1.3 de NIS2-zorgplicht volledig afdekt lichten wij dit onderscheid uitgebreid toe.

Meer over NIS2 / Cbw

Veelgestelde vragen

Vragen over BIO 2.0

Ja. BIO2 geldt sinds de vaststelling van versie 1.2 op 23 september 2025 voor het Rijk, provincies en waterschappen. Gemeenten gebruikten BIO2 eerst als richtinggevend kader naast BIO 1.04zv. Met de inwerkingtreding van de Cyberbeveiligingswet op 15 augustus 2026 is BIO2 versie 1.3 via de Cyberbeveiligingsregeling sector Overheid wettelijk verankerd voor overheidsorganisaties die onder de Cbw vallen. Drie overheidsmaatregelen vallen buiten de Cbw en blijven verplichtende zelfregulering.

Er is geen verschil. BIO2 is de officiële naam van de Baseline Informatiebeveiliging Overheid 2. In de praktijk worden BIO 2.0, BIO2 en BIO 2 door elkaar gebruikt. De actuele versie is BIO2 versie 1.3, gepubliceerd in de Staatscourant op 5 maart 2026.

BIO2 sluit aan op ISO 27001 en ISO 27002:2022 en telt 93 maatregelen in vier thema's in plaats van 114 maatregelen in 14 domeinen. De vaste basisbeveiligingsniveaus (BBN1 tot en met BBN3) zijn vervallen: BIO2 werkt risicogestuurd. Maatregelen zijn in principe verplicht en afwijken kan alleen met een gedocumenteerde risicoafweging. Daarnaast is BIO2 via de Cyberbeveiligingswet wettelijk verankerd, waar BIO 1.04 verplichtende zelfregulering was.

Het streven is om eind 2027 een nieuwe versie van BIO2 uit te brengen. In 2026 start het CIP een evaluatie met alle overheidslagen.

BIO 2.0 is het verplichte normenkader voor informatiebeveiliging bij alle overheidsorganisaties in Nederland, waaronder gemeenten, provincies, waterschappen en rijksoverheid. Het is gebaseerd op ISO 27001/27002 en aangevuld met overheidsspecifieke vereisten.

Een BIO 2.0 nulmeting levert een overzicht van de huidige compliancestatus per thema, een geprioriteerd actielijst met concrete verbeterpunten en een onderbouwing die direct gebruikt kan worden als input voor het implementatieplan, de ENSIA-zelfevaluatie of bestuurlijke rapportages.

BIO 2.0 is gebaseerd op ISO 27002:2022 (93 controls in 4 thema's) in plaats van de oudere structuur met 114 controls in 14 domeinen. BIO 2.0 introduceert ook nieuwe controls gericht op cloud, supply chain en threat intelligence. Organisaties die nog werken met de oude BIO dienen te migreren naar BIO 2.0.

Ja. Versie 1.3 van BIO 2.0 is het normenkader dat de NIS2-zorgplicht zoals verankerd in de Cyberbeveiligingswet (Cbw) volledig afdekt, inclusief bestuurlijke verantwoordelijkheid, ketenbeveiliging, crisismanagement en continuïteit. De meldplicht en registratieplicht uit de Cbw zijn wettelijke verplichtingen die los daarvan moeten worden ingevuld. Lees meer in ons artikel over BIO2.0 v1.3 en de NIS2-zorgplicht.

Laatst bijgewerkt: 20 oktober 2026. Bronnen: Digitale Overheid en bio-overheid.nl.