Het BIO2 normenkader overheid cloud, voluit de Baseline Informatiebeveiliging Overheid versie 2, is het verplichte informatiebeveiligingskader voor alle Nederlandse overheidsorganisaties. Het kader bepaalt welke technische en organisatorische maatregelen een overheidsorganisatie minimaal moet treffen, inclusief specifieke vereisten voor het gebruik van clouddiensten van externe leveranciers. Met de komst van de Cyberbeveiligingswet (Cbw) als Nederlandse implementatie van de Europese NIS-2-richtlijn krijgt BIO2 een stevigere juridische verankering en een nieuw handhavingsregime.
Kernverschillen tussen BIO1 en BIO2
BIO1 was gebaseerd op NEN-ISO/IEC 27001:2013 en de bijbehorende beheersmaatregerlenlijst uit ISO 27002. BIO2 sluit aan op NEN-ISO/IEC 27001:2023, de meest recente versie van de internationale norm, die een herschikking van beheersmaatregelen bevat en nieuwe thema’s toevoegt zoals dreigingsintelligentie, cloudbeveiliging en veilige ontwikkelmethoden.
Het meest ingrijpende verschil is de expliciete behandeling van cloudgebruik. Waar BIO1 cloud impliciet behandelde als een variant van uitbesteding, benoemt BIO2 clouddiensten als een afzonderlijke risicocategorie met eigen controledoelstellingen. Daartoe behoren het in kaart brengen van de jurisdictie van de leverancier, de mogelijkheden voor data-repatriëring, encryptie van data in transit en in rust, en de logging- en auditrechten van de afnemende organisatie.
Een tweede kernwijziging betreft de verplichte maatregelen versus de aanbevolen maatregelen. BIO1 kende een indeling in verplichte basisbeveiligingsmaatregelen en aanvullende maatregelen op basis van risicoafweging. BIO2 maakt een scherper onderscheid en verhoogt het aantal maatregelen dat zonder uitzondering van toepassing is, ongeacht de risicoafweging van de organisatie zelf.
BIO2 in relatie tot de Cyberbeveiligingswet en NIS-2
BIO2 en de Cyberbeveiligingswet zijn complementair: BIO2 geeft de inhoudelijke beveiligingsnorm, de Cbw regelt de wettelijke verplichting en het toezicht. NIS-2, de Europese richtlijn die de Cbw implementeert, verplicht lidstaten om essentiële en belangrijke entiteiten aan minimumnormen te houden voor cybersecurity en incidentmelding.
Meer dan 60 procent van de EU-lidstaten had de NIS-2-richtlijn niet volledig omgezet voor de deadline van oktober 2024, aldus een voortgangsrapportage van de Europese Commissie. Nederland loopt met de verwachte inwerkingtreding van de Cyberbeveiligingswet in 2025 achter op schema, maar de inhoudelijke eisen zijn voor overheidsorganisaties al leidend via de BIO.
Welke organisaties zijn verplicht BIO2 toe te passen? Het kader geldt voor rijksoverheid, provincies, gemeenten, waterschappen en hun uitvoeringsorganisaties en gemeenschappelijke regelingen. De Cbw voegt daaraan toe dat bepaalde sectoren, waaronder overheid en digitale infrastructuur, als essentiële entiteit worden aangemerkt en daarmee onder het zwaarste toezichtsregime vallen.
De Informatiebeveiligingsdienst (IBD), het kenniscentrum voor informatiebeveiliging van gemeenten dat wordt uitgevoerd door de VNG, formuleert het als volgt: “De BIO is het fundament onder de informatiebeveiliging van de overheid. Zonder aantoonbare naleving is er geen basis om burgergegevens verantwoord te verwerken.”
Concrete maatregelen bij cloudgebruik
Om aantoonbaar te voldoen aan BIO2 bij gebruik van clouddiensten moet een overheidsorganisatie een gestructureerd pakket maatregelen treffen dat verder gaat dan een standaard verwerkersovereenkomst.
Classificatie en locatie van data
BIO2 vereist dat data wordt geclassificeerd voordat een clouddienst wordt geselecteerd. Voor data met een hoge vertrouwelijkheidsclassificatie, zoals persoonsgegevens van burgers of vertrouwelijke beleidsdocumenten, geldt een strengere leverancierstoets. Opslag buiten de Europese Economische Ruimte is voor dergelijke categorieën niet toegestaan zonder aanvullende risicomaatregelen en expliciete documentatie.
Encryptie en sleutelbeheer
End-to-end-encryptie waarbij de overheidsorganisatie zelf de sleutels beheert, is voor geclassificeerde data de aangewezen oplossing. BIO2 sluit aan op de richtsnoeren van het Nationaal Cyber Security Centrum (NCSC) voor cryptografisch beleid. Wanneer een cloudleverancier de encryptiesleutels beheert, kan de organisatie niet garanderen dat derden, ook door wettelijke last van een derde land, geen toegang krijgen tot de data.
Logboeken en auditrechten
De leverancier moet contractueel verplicht zijn tot het beschikbaar stellen van security-logboeken en het toestaan van audits door of namens de afnemende organisatie. Dit is zowel een BIO2-eis als een vereiste onder de AVG (artikel 28) voor verwerkersovereenkomsten.
De Autoriteit Persoonsgegevens stelt hierover: “Organisaties moeten kunnen aantonen dat zij de risico’s van cloudgebruik beheersen, inclusief de jurisdictionele risico’s die voortvloeien uit het recht van derde landen.”
Leveranciersbeoordeling en contractuele borging
Een gemeente of provincie die een cloudleverancier beoordeelt op BIO2-compliance, doorloopt een gestructureerd inkoopproces. De beoordeling omvat minimaal de volgende elementen:
| Beoordelingscriterium | Vereiste onderbouwing |
|---|---|
| Jurisdictie en rechtsstelsel | Schriftelijke verklaring over toepasselijk recht en vestigingslocatie van datacenters |
| Certificering | Geldig ISO 27001-certificaat of gelijkwaardige norm (bijvoorbeeld SOC 2 Type II) |
| Encryptie en sleutelbeheer | Beschrijving van encryptieprotocollen en wie de sleutels beheert |
| Incidentmelding | Contractuele verplichting tot melding binnen 24 uur conform Cbw-vereisten |
| Auditrechten | Expliciete clausule die audits door of namens de afnemer toestaat |
| Data-repatriëring en exitregeling | Garantie voor gegevensoverdracht bij contractbeëindiging zonder lock-in |
De verwerkersovereenkomst vormt het contractuele fundament. BIO2 en de AVG zijn op dit punt gelijkluidend: de verwerkersovereenkomst moet de technische en organisatorische maatregelen van de verwerker specificeren, niet slechts in generieke bewoordingen maar op het niveau van concrete controledoelstellingen.
Toezicht en gevolgen van non-compliance
Met de inwerkingtreding van de Cyberbeveiligingswet krijgt het toezicht op de naleving van BIO2 een wettelijke basis. Voor essentiële entiteiten, waartoe overheidsinstellingen van substantiële omvang behoren, kan de toezichthouder proactief controleren. Voor belangrijke entiteiten is toezicht reactief, maar geldt wel de meldplicht bij incidenten.
Meer dan 340 gemeenten leggen jaarlijks verantwoording af via ENSIA (Eenduidige Normatiek Single Information Audit), het eenduidige verantwoordingsstelsel voor informatiebeveiliging bij gemeenten, zo blijkt uit gegevens van ENSIA zelf. ENSIA bundelt meerdere verantwoordingsstromen, waaronder de BIO-zelfevaluatie, en reduceert zo de auditlast voor gemeenten terwijl de kwaliteit van de verantwoording stijgt.
Organisaties die structureel tekortschieten kunnen te maken krijgen met aanwijzingen van de toezichthouder, boetes, of in het uiterste geval openbare bekendmaking van de non-compliance. De Cbw volgt hier het NIS-2-regime, waarbij boetes voor essentiële entiteiten kunnen oplopen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet.
Integratie met ISO 27001, ENSIA en het Cbw Control Framework
BIO2 is niet een op zichzelf staand instrument maar onderdeel van een breder stelsel van kaders en verantwoordingsmechanismen.
NEN-ISO/IEC 27001:2023
BIO2 adopteert de structuur en beheersmaatregelen van NEN-ISO/IEC 27001:2023 als fundament. Overheidsorganisaties die al ISO 27001-gecertificeerd zijn, hebben een sterke basis, maar moeten de overheidsspecifieke aanvullingen van BIO2 separaat implementeren. Het betreft onder meer de koppeling met de overheidsclassificatiestructuur en de verplichte zelfevaluatie via ENSIA.
ENSIA
ENSIA functioneert als het centrale verantwoordingsinstrument voor gemeenten. De jaarlijkse BIO-zelfevaluatie in ENSIA geeft gemeenteraden, colleges van B en W en toezichthouders inzicht in de volwassenheid van de informatiebeveiliging. Vanaf de invoering van BIO2 zal de vragenset in ENSIA worden aangepast aan de nieuwe normstelling, inclusief de cloudspecifieke controledoelstellingen.
Cbw Control Framework
Het Cbw Control Framework, ontwikkeld door de Auditdienst Rijk in samenwerking met NOREA (de beroepsorganisatie van IT-auditors), biedt een gestandaardiseerde set controledoelstellingen voor auditors die toetsen of een organisatie voldoet aan de Cyberbeveiligingswet. Dit framework sluit aan op BIO2 en op de ENSIA-verantwoording, waardoor de auditketens op elkaar aansluiten. Voor IT-beslissers en compliance officers betekent dit dat één goed gedocumenteerd implementatietraject tegelijk dient als basis voor de BIO2-zelfevaluatie, de externe audit via het Cbw Control Framework en eventuele ISO 27001-herregistratie.
Het Centrum Informatiebeveiliging en Privacybescherming (CIP) publiceert ondersteunende handreiking voor overheidsorganisaties bij de implementatie van BIO2, waaronder praktische templates voor risicobeoordelingen en verwerkersovereenkomsten. De IBD vervult een vergelijkbare rol specifiek voor gemeenten, met checklists en modelcontracten die zijn toegespitst op de gemeentelijke context.
Veelgestelde vragen over het BIO2 normenkader
Is BIO2 al verplicht of is het nog een concept?
BIO2 bevindt zich in de afrondende fase van de vaststellingsprocedure. De verwachting is dat het kader in 2025 formeel van kracht wordt als vervanger van BIO1. Organisaties doen er verstandig aan de implementatie nu al te starten, omdat de overgangsperiode beperkt zal zijn.
Geldt BIO2 ook voor gemeenschappelijke regelingen en uitvoeringsorganisaties?
Ja. BIO2 is van toepassing op alle overheidsorganisaties die vallen onder de rijksoverheid, provincies, gemeenten, waterschappen en de organisaties die in hun opdracht werken, waaronder gemeenschappelijke regelingen en publiekrechtelijke uitvoeringsorganisaties.
Wat is het verschil tussen BIO2 en ISO 27001 en moet je beide implementeren?
NEN-ISO/IEC 27001:2023 vormt de internationale standaard waarop BIO2 is gebaseerd, maar BIO2 voegt overheidsspecifieke vereisten toe, zoals verplichte maatregelen voor specifieke risicocategorieën en de koppeling met ENSIA-verantwoording. Een ISO 27001-certificering dekt BIO2 niet volledig, maar levert wel een sterke basis.
Hoe werkt het Cbw Control Framework in de praktijk voor een gemeente?
Het Cbw Control Framework, ontwikkeld door de Auditdienst Rijk en NOREA, biedt een gestandaardiseerde set controledoelstellingen waarmee auditors kunnen toetsen of een organisatie aantoonbaar voldoet aan de Cyberbeveiligingswet. Voor gemeenten werkt dit samen met ENSIA: de zelfevaluatie in ENSIA levert input voor de externe audit die het control framework hanteert.
Welke jurisdictionele risico’s van cloudleveranciers moet een gemeente documenteren voor BIO2?
Organisaties moeten vastleggen in welk land data wordt opgeslagen en verwerkt, welk rechtsstelsel van toepassing is op de leverancier, en of wetten zoals de Amerikaanse CLOUD Act een risico vormen voor de toegang tot overheidsdata door derden. Dit risicoassessment maakt deel uit van de verwerkersovereenkomst en het inkoopproces.
