Op 23 september 2025 is de BIO2 vastgesteld door het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO). Veel overheidsorganisaties zijn al bezig met de invoering van de BIO2. Hierbij is ruimte om per organisatie en bestuurslaag een passend implementatiepad te kiezen.
CIP organiseert op verzoek van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties een communicatieaanpak met evenementen en handreikingen als implementatiebegeleiding. In de maand februari richten we ons op het OT security, het beveiligen van Operationele Technologie (OT).
Over OT cybersecurity
“Operationele Technologie (OT) is een verzameling van technologieën bestaande uit software en hardware systemen die in samenhang verantwoordelijk zijn voor het besturen, bewaken en beheren van fysieke processen. Zoals alle technologie die nodig is om een brug of sluis te bedienen, een waterzuiveringsinstallatie, een energiecentrale of gebouwbeheersystemen.” (Bron: NCSC, webpagina over OT security)
De Baseline Informatiebeveiliging Overheid 2 (BIO2) fungeert als het tactische normenkader voor de overheid om te voldoen aan de NIS2-richtlijn (in Nederland de Cyberbeveiligingswet). Waar de focus van de overheid voorheen vaak op IT lag, schrijft de BIO2 voor dat organisaties ook Operationele Technologie (OT) integraal meenemen in hun informatiebeveiligingsbeleid. Dit sluit aan bij de gedachte dat IT en OT steeds meer met elkaar verweven zijn. Hiermee valt de beveiliging van OT ook onder de bestuurlijke verantwoordelijkheid zoals deze in de Cbw en BIO2 benoemd is.
BIO2 en OT security
Uit de BIO2: “NEN-EN-ISO/IEC 27002 én de verplichte overheidsmaatregelen uit de BIO moeten worden toegepast op het formuleren van passende beheersmaatregelen. Hierbij wordt rekening gehouden met de omgeving(en) waarin de informatiebeveiligingsrisico’s gelden, gebaseerd op de scope en de onderkende risico’s. De beheersmaatregelen uit NEN-ISO/IEC 27002 en de BIO kunnen, waar nodig én gelijkwaardig worden vervangen of gecombineerd met beheersmaatregelen uit andere normen en richtlijnen, zoals voor zorginformatie de NEN 7510 en voor Operationele Technologie (OT) de CSIR en IEC 62443 Industriële cybersecurity.”
De belangrijkste relaties tussen de BIO2 en OT security zijn:
- Verplichte reikwijdte: De BIO2 is van toepassing op alle netwerk- en informatiesystemen, zowel digitaal als fysiek. Dit betekent dat processen die afhankelijk zijn van OT—zoals watermanagement, bruggen, sluizen of klimaatsystemen—nu expliciet binnen het bereik van het informatiebeveiligingssysteem (ISMS) vallen.
- Risicogerichte benadering: In plaats van vaste beveiligingsniveaus (BBN's) hanteert de BIO2 een strikt risicogerichte aanpak. Voor OT-omgevingen betekent dit dat organisaties specifiek moeten kijken naar de risico's van fysieke impact en procescontinuïteit, die wezenlijk verschillen van reguliere IT-risico's.
- NIS2 zorgplicht: De BIO2 geeft invulling aan de zorgplicht uit de Cyberbeveiligingswet (Cbw). Omdat de NIS2 expliciet toeziet op de beveiliging van vitale processen (waarin OT vaak een hoofdrol speelt), is de BIO2 het instrument waarmee overheidsinstanties aantonen dat hun OT-omgevingen "in control" zijn.
- Fysieke en technische maatregelen: De BIO2 is gebaseerd op de nieuwste ISO 27001/27002-normen. Hierin zijn maatregelen opgenomen die de as van mens, organisatie, techniek én fysiek beslaan. Juist de focus op fysieke beveiliging en de beveiliging van de omgeving is cruciaal voor de bescherming van OT-installaties. De BIO2 biedt ruimte om maatwerk te leveren door maatregelen specifiek voor OT in te zetten, waar de beheers- en overheidsmaatregelen uit de ISO of BIO niet passend zijn.
Hulpmiddelen voor OT security
Het NCSC heeft een publicatie over de basisprincipes van OT security op hun website.
Voor bestuurders: https://www.ncsc.nl/ot/strategisch-sturen-op-digitale-weerbaarheid.
De Vereniging van Nederlandse Gemeenten (VNG) heeft het ondersteuningsaanbod voor gemeenten verzameld op hun BIO2-pagina. Dit aanbod is ook interessant voor andere overheidsorganisaties.
Agenda
- IB&P themasessie over OT security en de BIO2
Donderdag 19 februari om 15.30 via MSTeams.
De uitnodiging voor CIP-netwerkleden volgt per mail (BIO, CISO en Inkoop). - BIO2 themasessie over OT security en de CSIR
Dinsdag 24 februari om 15.30 via MSTeams.
De uitnodiging voor CIP-netwerkleden volgt per mail (BIO, CISO en Inkoop).
De CSIR staat voor CyberSecurity ImplementatieRichtlijn en is speciaal ontwikkeld om objecten (waterzuiveringsinstallaties, gemalen, bruggen, keringen, sluizen, etc.) te beveiligen. Deze vind je op de website van het CERT-WM. Dat is het gezamenlijke cybersecurityteam van de Nederlandse waterschappen.
Planning
Begin maart verwachten we de publicatie van BIO2 v1.3 op bio-overheid.nl
In de komende maanden ligt de focus in de communicatie op deze BIO2 thema’s:
- Maart: Leveranciersmanagement
- April & mei: Bestuurders en organisatie
We houden jullie op de hoogte via de website, mailings en communities.