Baseline Informatiebeveiliging Overheid 2 (BIO2) — het overheidsnormenkader voor informatiebeveiliging

BIO2 is het rijksbrede normenkader voor informatiebeveiliging bij de Nederlandse overheid, gebaseerd op de internationale normen NEN-EN-ISO/IEC 27001 en 27002. Het geldt voor het Rijk, gemeenten, provincies en de meeste overige overheidslagen; waterschappen volgen een eigen normenkader. Sinds de Cyberbeveiligingswet op 15 augustus 2026 in werking trad, is BIO2 niet langer alleen een interbestuurlijke afspraak maar de concrete invulling van een wettelijke zorgplicht, met de RDI als toezichthouder die daadwerkelijk kan handhaven. Voor een ondernemer die aan de overheid levert, is BIO2 vooral zichtbaar via de aanbesteding: overheidsopdrachtgevers vertalen het normenkader naar concrete inkoopeisen waaraan leveranciers moeten voldoen.

Waarvoor is dit bedoeld

Eén gemeenschappelijke basis voor informatiebeveiliging bij de hele Nederlandse overheid, zodat niet elke gemeente, provincie of uitvoeringsorganisatie zelf het wiel opnieuw hoeft uit te vinden en zodat overheden onderling en met leveranciers dezelfde taal spreken over beveiligingsniveaus.

Voor wie

Het Rijk, gemeenten, provincies en de overige overheidslagen die het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO) vertegenwoordigt. Waterschappen vallen hier niet onder: zij volgen een eigen normenkader voor informatiebeveiliging.

Wat er niet onder valt

Private bedrijven hebben geen eigen, rechtstreekse BIO2-plicht: de norm richt zich op overheidsorganisaties. Een leverancier krijgt ermee te maken zodra een overheidsopdrachtgever BIO2 vertaalt naar contractuele of aanbestedingseisen — niet omdat de wet dat rechtstreeks aan het bedrijf oplegt.

Wat je moet doen (als overheidsleverancier)

Voldoen aan de informatiebeveiligingseisen die de opdrachtgever uit BIO2 afleidt, doorgaans via het inkoopinstrument ICO (Inkoopeisen Cybersecurity Overheid). Waar de opdrachtgever een ISO 27001-certificaat als bewijs vraagt, moet de leverancier dat kunnen overleggen; zonder zo'n eis is aantonen op andere wijze mogelijk.

Basis in ISO 27001/27002

BIO2 vertaalt en concretiseert deze twee internationale normen naar de Nederlandse overheidscontext: NEN-EN-ISO/IEC 27001 voor het managementsysteem voor informatiebeveiliging, en NEN-EN-ISO/IEC 27002 voor de concrete beheersmaatregelen.

Van BIO naar BIO2

BIO2 is de doorontwikkelde opvolger van de eerdere Baseline Informatiebeveiliging Overheid, die al langer als interbestuurlijk normenkader gold maar minder direct aansloot bij de actuele ISO-normen en bij de eisen van de Cyberbeveiligingswet.

Vaststelling en versies

Het OBDO stelde BIO2 vast op 23 september 2025. Versie 1.3 is gepubliceerd in de Staatscourant op 5 maart 2026; eerdere versienummers wijzen op tussentijdse actualisaties van het normenkader.

Wettelijke verankering

Sinds de Cyberbeveiligingswet op 15 augustus 2026 in werking is getreden, wordt BIO2 gebruikt als nadere invulling van de zorgplicht van die wet voor de sector overheid. Daarmee is BIO2 niet langer vrijblijvend beleid, maar de maatstaf waaraan de RDI overheidsorganisaties kan houden.

Hoe dit bij leveranciers terechtkomt

Via het inkoopinstrument ICO en de bijbehorende ICO-Wizard: overheidsinkopers stellen daarmee een set informatiebeveiligingseisen samen voor een specifieke aanbesteding of contract, afgeleid van BIO2. Wie als bedrijf een overheidsopdracht wil binnenhalen of behouden, krijgt die eisen in de aanbestedingsstukken of het contract voorgelegd.

Rol van ISO-certificering

Een ISO 27001-certificaat is niet als zodanig wettelijk verplicht, maar wordt in aanbestedingen regelmatig gevraagd als het meest directe bewijs dat een leverancier aan een vergelijkbaar beveiligingsniveau voldoet als BIO2 vereist.

Toezicht NL

De Rijksinspectie Digitale Infrastructuur (RDI) houdt toezicht op de sector overheid, met uitzondering van de waterschappen.

Boete

Voor overheidsorganisaties zelf is een boetestelsel niet vastgesteld in het onderzoek dat aan deze tekst ten grondslag ligt; handhaving door de RDI onder de Cyberbeveiligingswet loopt eerder via aanwijzingen en herstelmaatregelen dan via bestuurlijke boetes aan overheidsorganisaties. Voor leveranciers is er sowieso geen publiekrechtelijke boete: hun prikkel om te voldoen ligt in het contract met de overheidsopdrachtgever, niet in overheidstoezicht op henzelf.