Van BIO naar BIO2: wat verandert er en hoe pak je het aan?
Van BIO naar BIO2 gaan betekent de overstap van de BIO versie 1.04, gebaseerd op de ISO normen uit 2017 en drie vaste basisbeveiligingsniveaus, naar de BIO2, die aansluit op ISO/IEC 27002:2022 en risicogestuurd werkt. Voor overheidsorganisaties onder de Cyberbeveiligingswet is BIO2 versie 1.3 sinds 15 augustus 2026 de wettelijke invulling van de zorgplicht (Digitale Overheid, geraadpleegd oktober 2026). Een aparte overgangstermijn voor die zorgplicht bevat de ministeriële regeling niet.
In dit artikel zetten we de verschillen op een rij, laten we zien welke data en termijnen gelden en beschrijven we hoe je de transitie aanpakt. Zoek je eerst een algemene uitleg over het kader, lees dan onze complete gids over de BIO2.
Wat verandert er van BIO naar BIO2?
De drie grootste veranderingen zijn: de basisbeveiligingsniveaus verdwijnen en maken plaats voor risicoanalyse, de maatregelen volgen de nieuwe indeling van ISO/IEC 27002:2022 en de BIO2 heeft via de Cyberbeveiligingswet (Cbw) een wettelijke basis gekregen. De tabel hieronder zet de verschillen naast elkaar.
| Onderwerp | BIO versie 1.04 | BIO2 versie 1.3 |
|---|---|---|
| Normbasis | NEN-ISO/IEC 27001:2017 en NEN-ISO/IEC 27002:2017 | NEN-EN-ISO/IEC 27001:2023 en NEN-EN-ISO/IEC 27002:2022 |
| Indeling ISO maatregelen | 114 maatregelen in veertien hoofdstukken (5 tot en met 18) | 93 maatregelen in vier thema’s (5 tot en met 8) |
| Bepalen van het beveiligingsniveau | Drie basisbeveiligingsniveaus: BBN1, BBN2 en BBN3 | Risicoanalyse per proces of systeem, zonder vaste niveaus |
| Overheidsmaatregelen | Gekoppeld aan het basisbeveiligingsniveau | Minimum zodra een ISO maatregel op basis van risico nodig is; maatregelen die aansluiten op de Cbw dragen het label basishygiëne |
| Juridische status | Verplichtende zelfregulering | Wettelijke basis via de Cbw voor organisaties onder die wet; verplichtende zelfregulering voor de overige overheid |
| Rollen | Rol van de proceseigenaar afhankelijk van het basisbeveiligingsniveau | Verantwoordelijkheden in algemene zin beschreven |
| Reikwijdte van de wettelijke plicht | Niet van toepassing | Netwerk en informatiesystemen; drie overheidsmaatregelen buiten die reikwijdte zijn gemarkeerd |
Bronnen bij deze tabel: BIO versie 1.04zv, Digitale Overheid over BIO2, Digitale Overheid over versie 1.3, SGS over ISO/IEC 27002:2022 en Kiwa, oktober 2025.
Van basisbeveiligingsniveaus naar risicoanalyse
Onder de BIO 1.04 kreeg een informatiesysteem een basisbeveiligingsniveau. BBN1 was het minimum voor alle overheidssystemen, BBN2 het uitgangspunt voor de meeste systemen en BBN3 bedoeld voor zwaarder gerubriceerde informatie (BIO 1.04zv). Bij elk niveau hoorde een pakket maatregelen.
De BIO2 vervangt dit door een risicogestuurde aanpak (Digitale Overheid). Dat sluit aan op ISO/IEC 27001, waar de risicoanalyse ook de basis is voor de keuze van maatregelen. Het gevolg: je moet per proces of systeem zelf onderbouwen welke maatregelen je neemt. Dat kost meer denkwerk, en het levert een beveiliging op die beter past bij wat je organisatie werkelijk doet. Een praktische werkwijze vind je in onze risicoanalyse in vijf stappen.
Nieuwe indeling van de maatregelen
ISO/IEC 27002:2022 bracht het aantal beheersmaatregelen terug van 114 naar 93 en verdeelde ze over vier thema’s: organisatorisch, mensgericht, fysiek en technologisch. Daarbij kwamen elf nieuwe maatregelen en zijn er 24 samengevoegd (SGS, juli 2022). Voorbeelden van nieuwe onderwerpen zijn dreigingsinformatie, beveiliging van clouddiensten en monitoring. Omdat de BIO2 deze indeling volgt, kloppen de oude maatregelnummers niet meer. Iedere verwijzing in beleid, procedures en contracten naar een BIO 1.04 nummer moet je dus omzetten.
Van zelfregulering naar wettelijke plicht
De BIO 1.04 was verplichtende zelfregulering: de bestuurslagen hadden zichzelf aan het kader gebonden. Sinds 15 augustus 2026 verplicht de Cyberbeveiligingsregeling sector overheid essentiële entiteiten in de sector overheid om ISO/IEC 27001 toe te passen en ten minste de beheersmaatregelen uit ISO/IEC 27002:2022 en de overheidsmaatregelen uit BIO2 versie 1.3 te gebruiken (Stcrt. 2026, 27679). Voor waterschappen geldt een eigen regeling van het ministerie van Infrastructuur en Waterstaat. Organisaties buiten de Cbw, zoals Defensie, de AIVD en de politie, blijven via verplichtende zelfregulering aan de BIO2 gebonden (Digitale Overheid). Hoe dat precies werkt, lees je in ons artikel over BIO2 en de Cyberbeveiligingswet.
Welke overgangstermijnen gelden van BIO naar BIO2?
De BIO2 ging in twee stappen in. Vanaf 23 september 2025 gold hij als verplichtende zelfregulering voor het Rijk, provincies en waterschappen en als richtinggevend kader voor gemeenten. Sinds 15 augustus 2026 is versie 1.3 via de Cbw wettelijk verplicht.
| Moment | Wat het betekent |
|---|---|
| 23 september 2025 | OBDO stelt de BIO2 vast. Voor Rijk, provincies en waterschappen vervalt de BIO 1.04 en geldt de BIO2 als verplichtende zelfregulering; voor gemeenten is de BIO2 richtinggevend. |
| Verantwoordingsjaar 2025 | Gemeenten verantwoorden zich in ENSIA nog over de BIO 1.04. De deadline voor DigiD en Suwinet lag op 30 april 2026. |
| Maart 2026 | BIO2 versie 1.3 verschijnt in de Staatscourant voor alle bestuurslagen en vervangt versie 1.04 en versie 1.2. |
| 15 augustus 2026 | Cbw en de Cyberbeveiligingsregeling sector overheid treden in werking. De overheidsmaatregelen uit versie 1.3 zijn wettelijk verplicht voor organisaties onder de Cbw. |
| Uiterlijk 15 augustus 2028 | Ieder collegelid van een gemeente heeft de verplichte Cbw training gevolgd (binnen twee jaar na inwerkingtreding). |
| Eind 2027 | Beoogde publicatie van de volgende BIO2 versie, na een evaluatie door het CIP in 2026. |
Bronnen bij deze tabel: Digitale Overheid, 24 september 2025, Kiwa, notitie verantwoordingsstelsel ENSIA 2025, Digitale Overheid, maart 2026, Cyberbeveiligingsregeling sector overheid en VNG, bijgewerkt 20 augustus 2026.
Een formele overgangsperiode waarin de zorgplicht nog niet geldt, staat niet in de regeling. Daarnaast werkt de Rijksinspectie Digitale Infrastructuur (RDI) volgens de VNG risicogericht en begint zij met verbetermaatregelen (VNG). Dat geeft ruimte om gefaseerd te verbeteren, zolang je kunt laten zien dat je een onderbouwd plan hebt en dat ook uitvoert.
Hoe pak je de transitie van BIO naar BIO2 aan?
Je pakt de transitie aan door je bestaande BIO 1.04 werk te hergebruiken: breng de oude maatregelen in kaart op de nieuwe structuur, vervang de indeling in niveaus door een risicoanalyse en werk daarna beleid, contracten en verantwoording bij. Zo hoef je niet opnieuw te beginnen.
- Gebruik de wijzigingenlijst. Het CIP biedt een overzicht van wat er ten opzichte van eerdere versies is veranderd, een zelfevaluatie en de BIO2 in Excel (Digitale Overheid). Leg je huidige maatregelen naast versie 1.3 en noteer per overheidsmaatregel of hij nieuw, gewijzigd of vervallen is.
- Vervang de basisbeveiligingsniveaus door een risicoanalyse. Gebruik de bestaande BBN indeling als vertrekpunt en toets per proces of systeem opnieuw de dreigingen, kwetsbaarheden en gevolgen. Leg vast welke risico’s het bestuur of de proceseigenaar accepteert.
- Bepaal je systemen met hoge impact. De regeling vraagt een overzicht van de meest kritieke systemen. Voor decentrale overheden gaat het om systemen met impactniveau hoog of zeer hoog volgens bijlage 2 van de regeling (Stcrt. 2026, 27679).
- Werk je verklaring van toepasselijkheid bij. Dat is het overzicht van alle beheersmaatregelen met per maatregel de keuze, de motivatie en de bijbehorende overheidsmaatregelen. Zet de oude nummering om naar de structuur van ISO/IEC 27002:2022.
- Herzie beleid en rollen. Pas het informatiebeveiligingsbeleid aan, leg de bestuurlijke goedkeuring vast die de Cbw vraagt en plan de bestuurderstraining.
- Pas afspraken met leveranciers aan. Contracten en verwerkersovereenkomsten verwijzen vaak naar BIO 1.04 nummers. Vervang die door de BIO2 maatregelen die bij de dienst passen.
- Richt de verantwoording opnieuw in. De regeling vraagt dat je opzet, bestaan en werking van je maatregelen aantoont. Opzet is het ontwerp, bestaan is de invoering op een moment, werking is het functioneren over een periode. Sluit aan op ENSIA of je eigen planning en controlcyclus.
Wat blijft hetzelfde bij de overstap naar BIO2?
De basis verandert niet: de BIO2 blijft een kader op basis van ISO/IEC 27001 en 27002 met aanvullende overheidsmaatregelen, en de cyclus van plannen, uitvoeren, controleren en bijstellen blijft het hart van je managementsysteem.
Ook de verantwoordingsroute voor gemeenten blijft ENSIA. De VNG noemt de jaarlijkse ENSIA rapportage het middel om te laten zien in hoeverre een gemeente aan de zorgplicht voldoet; de RDI heeft recht op die informatie (VNG). Wie de BIO 1.04 serieus heeft ingevoerd, heeft daarom een stevige basis. Het werk zit vooral in de risicoanalyse, de nieuwe maatregelen uit ISO/IEC 27002:2022 en het aantoonbaar maken van de werking.
Veelgestelde vragen
Geldt de BIO 1.04 nog?
Voor Rijk, provincies en waterschappen verviel de BIO 1.04 bij de vaststelling van de BIO2 op 23 september 2025 (Kiwa). BIO2 versie 1.3 vervangt versie 1.04 en versie 1.2 voor alle bestuurslagen (Digitale Overheid). Voor verantwoordingsjaar 2025 gebruikten gemeenten in ENSIA nog de BIO 1.04.
Is er een overgangstermijn voor de BIO2 onder de Cyberbeveiligingswet?
De Cyberbeveiligingsregeling sector overheid trad op 15 augustus 2026 tegelijk met de Cbw in werking en bevat geen aparte overgangstermijn voor de zorgplicht (Stcrt. 2026, 27679). Voor de bestuurderstraining van collegeleden geldt een termijn van twee jaar (VNG).
Wat is het verschil tussen BIO2 versie 1.2 en versie 1.3?
Versie 1.3 haalt inconsistenties weg, voegt verduidelijkingen toe en sluit beter aan op de Cbw. Ook zijn drie overheidsmaatregelen gemarkeerd die buiten de reikwijdte van de Cbw vallen (Digitale Overheid, maart 2026). De ministeriële regeling verwijst naar versie 1.3.
Kun je de BBN indeling uit de BIO 1.04 blijven gebruiken?
Als vertrekpunt voor je risicoanalyse kan dat helpen. De BIO2 kent de basisbeveiligingsniveaus niet meer, dus je keuze van maatregelen moet je onderbouwen met een risicoanalyse per proces of systeem.
Moeten contracten met leveranciers worden aangepast?
Ja, als ze naar BIO 1.04 maatregelnummers verwijzen. De nummering volgt nu ISO/IEC 27002:2022, dus oude verwijzingen kloppen niet meer. Neem de BIO2 maatregelen op die passen bij het risico en het soort dienst.
Wil je de overstap van BIO naar BIO2 gestructureerd aanpakken en daarbij je bestaande werk zoveel mogelijk hergebruiken? Bekijk dan de BIO2 dienstverlening van Novins voor een nulmeting en een plan dat past bij jouw organisatie.
Bronnen
- Baseline Informatiebeveiliging Overheid (BIO), Digitale Overheid (laatst gewijzigd 8 september 2026, geraadpleegd 27 oktober 2026)
- BIO2 vastgesteld: vernieuwde Baseline Informatiebeveiliging Overheid, Digitale Overheid (24 september 2025)
- BIO2 versie 1.3 voor alle bestuurslagen, Digitale Overheid (maart 2026)
- Cyberbeveiligingsregeling sector overheid, Staatscourant 2026, 27679 (5 augustus 2026)
- Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten: nieuws en updates, VNG (bijgewerkt 20 augustus 2026)
- Notitie verantwoordingsstelsel ENSIA 2025, VNG (augustus 2025)
- Baseline Informatiebeveiliging Overheid versie 1.04zv (17 juni 2020)
- BIO2: vernieuwde Baseline Informatiebeveiliging Overheid gepubliceerd, Kiwa (secundaire bron) (28 oktober 2025)
- Key changes in ISO/IEC 27002:2022, SGS (secundaire bron) (juli 2022)
