De Baseline Informatiebeveiliging Overheid is het normenkader voor informatiebeveiliging bij alle Nederlandse overheden. Met BIO2 wordt dat kader gemoderniseerd en op onderdelen aangescherpt. Hieronder wat er verandert, en wat dat betekent voor overheidsorganisaties en voor de partijen die aan hen leveren.

Wat is de BIO? De BIO is gebaseerd op ISO 27001 en ISO 27002 en geldt voor het Rijk, gemeenten, provincies en waterschappen. Toepassing ervan is voor al deze overheidslagen verplicht.

Waarom BIO2?

De bestaande BIO gaat uit van ISO 27002 in de versie van 2013. Met de uitgave van 2022 is de structuur van die norm herzien: van 114 beheersmaatregelen in veertien hoofdstukken naar 93 maatregelen in vier thema's. BIO2 volgt die herziening en voegt daar een aantal verbeteringen aan toe:

  • Aansluiting op ISO 27002:2022, met de nieuwe indeling en terminologie
  • Betere aansluiting op de Cyberbeveiligingswet, waardoor beide kaders elkaar minder gaan tegenspreken
  • Meer aandacht voor OT-beveiliging, van belang voor overheidsorganisaties die industriële systemen beheren, zoals waterschappen
  • Zwaardere eisen aan de keten, waarmee leveranciers aan strengere voorwaarden moeten voldoen

Belangrijkste wijzigingen

1. Nieuwe controlestructuur

De vier thema's uit ISO 27002:2022, en daarmee uit BIO2, zijn:

  • Organisatorische maatregelen (37 stuks): beleid, rollen en risicobeheer
  • Maatregelen gericht op mensen (8 stuks): screening, bewustwording en verantwoordelijkheden
  • Fysieke maatregelen (14 stuks): toegang, apparatuur en omgevingsbeveiliging
  • Technologische maatregelen (34 stuks): versleuteling, logging, netwerk en softwareontwikkeling

2. Nieuwe controls

BIO2 voegt maatregelen toe die in de vorige versie ontbraken:

  • Dreigingsinformatie: actief verzamelen en toepassen van informatie over actuele dreigingen
  • Cloudbeveiliging: specifieke eisen aan het gebruik van clouddiensten
  • Gegevensmaskering: bescherming van gevoelige gegevens in test- en ontwikkelomgevingen
  • Monitoring: doorlopende bewaking van netwerken, systemen en applicaties
  • Veilig ontwikkelen: beveiligingseisen binnen het softwareontwikkelproces

3. Aangescherpte verantwoording

BIO2 legt zwaarder gewicht op aantoonbare naleving. Het bestaan van beleid volstaat niet langer; u moet kunnen laten zien dat het wordt uitgevoerd, bewaakt en bijgestuurd. Daarmee sluit het kader aan op de verantwoordingsplicht die de Cyberbeveiligingswet bij het bestuur neerlegt.

Let op voor leveranciers: overheidsorganisaties die BIO2 invoeren, stellen navenant zwaardere eisen aan hun leveranciers. Levert u diensten of producten aan de overheid, houd dan rekening met aangescherpte beveiligingsparagrafen in aanbestedingen, en met de vraag om die naleving aan te tonen.

Wat moet u nu doen?

  • Gap-analyse: zet uw huidige BIO-implementatie naast de eisen van BIO2
  • Mapping naar ISO 27002:2022: breng uw bestaande maatregelen in lijn met de nieuwe indeling
  • Nieuwe maatregelen invoeren: dreigingsinformatie, cloudbeveiliging en monitoring vragen om een aanpak die er vaak nog niet is
  • Documentatie bijwerken: beleid, procedures en risicoanalyses volgen de nieuwe structuur
  • OT-assessment: beheert uw organisatie industriële systemen, voer dan een afzonderlijke risicoanalyse voor die omgeving uit

Hulp nodig bij de BIO2-transitie?

Resotech begeleidt overheidsorganisaties en hun leveranciers bij de overgang naar BIO2, van gap-analyse en implementatie tot de voorbereiding op de audit.

Plan een gesprek   Onze audit-dienst