Op 23 september wordt de vernieuwde Baseline Informatiebeveiliging Overheid 2 (BIO2) ter instemming voorgelegd aan het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO). Als het OBDO instemt worden de BIO2 en alle bijbehorende informatie gepubliceerd op 24 september op bio-overheid.nl. Veel overheidsorganisaties zijn al bezig met de invoering van de BIO2. Hierbij is ruimte is om per organisatie en bestuurslaag een passend implementatiepad te kiezen. Door de meer risicogerichte focus van de BIO2 is een aantal overheidsmaatregelen verlicht. De BIO2 is in lijn gebracht met de Europese Network and Information Security Directive 2 (NIS2-richtlijn), specifiek artikel 21 over cyberbeveiligingsmaatregelen. De BIO wordt namelijk juridisch gekoppeld aan de Cyberbeveiligingswet (Cbw), de Nederlandse vertaling van de NIS2-richtlijn, via een ministeriële regeling voor de sector Overheid. Overheidsmaatregelen die hierop aansluiten zijn voorzien van het label Basishygiëne.
Belangrijke wijzigingen in de BIO2
De BIO2 is gebaseerd op de internationale beveiligingsnormen NEN-EN-ISO/IEC 27001:2023 (NL) en NEN-EN-ISO/IEC 27002:2022 (NL). In de vernieuwde BIO2 is de indeling in de drie basisbeveiligingsniveaus (BBN’s) vervangen door een explicietere risicogerichte benadering. Overheidsorganisaties kunnen zo hun maatregelen beter afstemmen op specifieke risico’s. Een uitzondering op deze risicogedreven benadering zijn de overheidsmaatregelen die worden genoemd in de BIO2; deze moeten overheidsorganisaties wanneer van toepassing verplicht implementeren.
Deze nieuwe opzet biedt:
- Flexibiliteit en maatwerk door beveiligingseisen aan te passen aan de specifieke behoeften en kwetsbaarheden van de organisatie;
- Actuele en gerichte maatregelen tegen dreigingen zoals ransomware, in overeenstemming met internationale standaarden;
- Wettelijke verankering van de BIO2 onder de Cyberbeveiligingswet (Cbw), wat zorgt voor een verdergaande juridische verplichting en handhaving van de norm.