NIS2, de Cyberbeveiligingswet en BIO2: wat verandert er voor de overheid?

Voor de overheid is de Cyberbeveiligingswet geen wet die "mogelijk van toepassing" is. Ministeries, provincies, gemeenten en waterschappen vallen er ongeacht omvang onder; voor zelfstandige bestuursorganen en gemeenschappelijke regelingen wordt dit per geval bepaald, en voor onder meer nationale veiligheid, defensie, rechtshandhaving en enkele constitutionele instellingen gelden uitzonderingen. Voor de overheidsinstanties binnen de reikwijdte geldt geen omvangsdrempel. De eerdere BIO was een afspraak binnen de overheid. Sinds 15 augustus 2026 zijn de relevante BIO2-maatregelen via de sectorregelingen onderdeel van een wettelijk toetsbare zorgplicht voor de beveiliging van netwerk- en informatiesystemen.

Hoe BIO2 aan de Cyberbeveiligingswet hangt

De wetgeving bestaat uit drie lagen. De Cyberbeveiligingswet bevat de zorgplicht, meldplicht en registratieplicht. Het Cyberbeveiligingsbesluit (Cbb) werkt onder meer de zorgplicht nader uit. De sectorspecifieke ministeriële regelingen geven per departement de nadere invulling.

De Cyberbeveiligingsregeling sector overheid is definitief gepubliceerd en geldt sinds 15 augustus 2026. Voor waterschappen gelden de overeenkomstige bepalingen uit de Cyberbeveiligingsregeling IenW.¹ Beide regelingen verwijzen naar BIO2 versie 1.3.²

De managementsystematiek moet voldoen aan NEN-EN-ISO/IEC 27001:2023, de Nederlandse en Europese overname van ISO/IEC 27001:2022. Houd daarnaast een overzicht bij van cruciale netwerk- en informatiesystemen, bepaald aan de hand van de criteria in de toepasselijke regeling.

Voor de maatregelselectie gebruikt u ISO 27002:2022 en ten minste de relevante overheidsmaatregelen uit BIO2. De regelingen zonderen ISO-maatregelen 5.32 en 5.34 en BIO2-overheidsmaatregelen 5.32.01 tot en met 5.34.01 uit van deze wettelijke verplichting. Dat neemt eventuele verplichtingen uit andere wetgeving of overheidsafspraken niet weg.^{1, 2}

Opzet, bestaan en werking van de maatregelen moeten aantoonbaar zijn. Dat betekent dat u zowel de keuze voor een maatregel als de inrichting en de werking ervan kunt onderbouwen. Een implementatieplan alleen is daarvoor onvoldoende.

Van BIO naar BIO2: wat er inhoudelijk verandert

BIO2 is meer dan een versienummer. De belangrijkste verschuivingen:

Aansluiting op ISO 27001:2022 en 27002:2022. BIO2 volgt de vernieuwde controlstructuur, waardoor de aansluiting met certificeringstrajecten en marktstandaarden eenvoudiger wordt.³

Risicomanagement centraal, met een verplichte ondergrens. De relevante BIO2-overheidsmaatregelen vormen binnen de wettelijke reikwijdte een minimum. Een lage risico-inschatting is op zichzelf geen reden om ze over te slaan. Niet-toepasselijkheid moet herleidbaar worden onderbouwd in de Verklaring van Toepasselijkheid. Vervanging door of combinatie met maatregelen uit andere normenkaders is toegestaan voor zover dat noodzakelijk is en ten minste een gelijkwaardig beveiligingsniveau oplevert. Maak zowel die noodzaak en gelijkwaardigheid als de opzet, het bestaan en de werking aantoonbaar.^{1, 2, 3}

Bestuurlijke verankering. In lijn met artikel 20 van de NIS2-richtlijn keurt het bestuur de maatregelen goed en houdt het toezicht op de uitvoering. Bestuursleden moeten beschikken over kennis en vaardigheden om cyberrisico's en maatregelen te beoordelen, training volgen en hun kennis aantoonbaar actueel houden.^{4, 5} Artikel 24 van de Cyberbeveiligingswet bepaalt wie als bestuur geldt: bij gemeenten het college van burgemeester en wethouders, bij provincies gedeputeerde staten en bij waterschappen het dagelijks bestuur.

Hoe de checklist-reflex bij pas-toe-of-leg-uit in de praktijk uitpakt, en wat artikel 21 vraagt van risicogedreven maatregelen, leest u in NIS2 maatregelen: wat Artikel 21 echt vraagt.

Wat dit concreet betekent voor gemeenten, waterschappen en ZBO's

Voor organisaties die binnen de reikwijdte vallen, gelden onder meer de volgende verplichtingen:

1. Registratie. Uw organisatie registreert zich in het entiteitenregister van het NCSC en houdt de registratiegegevens actueel.
2. Zorgplicht via BIO2, aantoonbaar. Houd een overzicht bij van cruciale netwerk- en informatiesystemen volgens de criteria van uw sectorregeling. Koppel risicoanalyses, bestuurlijke besluiten, maatregelen en hersteltests aan die systemen en hun dienstverlening. Toon opzet, bestaan en werking aan en leg afwijkingen met hun onderbouwing vast.
3. Meldplicht. Meld significante incidenten onverwijld aan uw CSIRT en de bevoegde autoriteit: uiterlijk binnen 24 uur na kennisname een vroegtijdige waarschuwing en uiterlijk binnen 72 uur na kennisname de incidentmelding. Het eindverslag volgt uiterlijk één maand na de incidentmelding. Loopt het incident dan nog, dan volgt een voortgangsverslag en uiterlijk één maand na afhandeling het eindverslag.⁵ Gebruik de criteria voor significante incidenten uit uw toepasselijke sectorregeling. Dat vereist een ingeregeld proces, geen ad-hoc-afweging tijdens een crisis.
4. Bestuurlijke training en goedkeuring. Voor bestuursleden die op 15 augustus 2026 al onder de kennis- en trainingsverplichtingen vielen, loopt de wettelijke termijn tot 15 augustus 2028. Nieuwe bestuursleden moeten binnen twee jaar na hun benoeming aan deze verplichtingen voldoen. Artikel 24 verlangt een certificaat waaruit deelname aan de vereiste training blijkt en het aantoonbaar actueel houden van kennis en vaardigheden.⁵ De verplichtingen tot goedkeuring van de maatregelen en toezicht op de uitvoering gelden al; de termijn voor training stelt die verantwoordelijkheden niet uit.
5. Keten en gemeenschappelijke regelingen. Neem uitbestede taken, samenwerkingsverbanden en gedeelde voorzieningen mee in uw risicoanalyse en afspraken over beveiliging, incidentmelding en continuïteit. Juist bij de overheid, waar taken veelvuldig zijn belegd bij uitvoeringsorganisaties en samenwerkingsverbanden, is dit een lastige en vaak onderschatte opgave.

De valkuil: BIO2 als doel in plaats van instrument

De verleiding is groot om het traject te framen als "BIO2-compliant worden": een projectplan, een gap-analyse, een lijst met maatregelen. Dat is precies de benadering die onder het nieuwe regime tekortschiet. De toezichthouder toetst of uw maatregelen passen bij uw risico's en of uw leiding daarop stuurt, niet of u de baseline heeft overgeschreven. BIO2 is daarbij het instrument, niet het doel.

Voor de meeste overheidsorganisaties betekent dat een verschuiving van compliance-administratie naar risicogestuurde inrichting: weten welke processen echt kritiek zijn, welke afhankelijkheden er in de keten zitten, en welke hersteldoelen daarbij horen. Dat is een architectuurvraagstuk voordat het een normenvraagstuk is.

Waarom die volgorde bepalend is, leest u in Security architectuur: van losse maatregelen naar samenhangende beveiliging.

BIO2 risicogedreven en aantoonbaar inrichten? Bekijk de dienst NIS2 en BIO2 →