Plan een oriënterend gesprek

NIS2, de Cyberbeveiligingswet en BIO2: wat verandert er voor de overheid?

Laatst bijgewerkt: juli 2026 · Leestijd: 5 min

Ministeries, provincies, gemeenten en waterschappen vallen ongeacht omvang als essentiële entiteit onder de Cyberbeveiligingswet. Voor de meeste overheidsinstanties wordt BIO2 via de regeling van BZK aangewezen als nadere invulling van de zorgplicht; voor waterschappen loopt dit via de gelijkluidende regeling van IenW. De beoogde inwerkingtreding is gelijktijdig met de wet, op 15 augustus 2026. De toepassing van BIO2 verschuift daarmee van overheidsbrede zelfregulering naar een wettelijk verankerd en extern getoetst regime.

Voor de overheid is de Cyberbeveiligingswet geen wet die "mogelijk van toepassing" is. Ministeries, provincies, gemeenten en waterschappen vallen er ongeacht omvang onder; voor zelfstandige bestuursorganen en gemeenschappelijke regelingen wordt dit per geval bepaald, en voor onder meer nationale veiligheid, defensie, rechtshandhaving en enkele constitutionele instellingen gelden uitzonderingen. De omvangstoets die voor bedrijven geldt, is voor de overheid niet relevant. Dat betekent dat informatiebeveiliging bij de overheid van karakter verandert. De BIO was een afspraak binnen de overheid; BIO2 wordt de wettelijk verankerde invulling van een zorgplicht waarop een toezichthouder handhaaft en waarvoor de ambtelijke en bestuurlijke leiding aantoonbaar verantwoordelijk is.

Kern: BIO2 is tot de inwerkingtreding een bestuurlijk verplichte baseline zonder extern wettelijk toezicht. Onder de Cyberbeveiligingswet wordt toepassing van de relevante BIO2-maatregelen wettelijk afdwingbaar, met extern toezicht. Een herkenbaar normenkader, een fundamenteel ander regime.

Hoe BIO2 aan de Cyberbeveiligingswet hangt

De wetgeving bestaat uit drie lagen. De Cyberbeveiligingswet bevat de zorgplicht, meldplicht en registratieplicht. Het Cyberbeveiligingsbesluit (Cbb) werkt de zorgplicht uit voor alle sectoren. De sectorspecifieke ministeriële regelingen geven per departement de nadere invulling.

Voor de sector overheid wordt BIO2 via de ministeriële regeling van BZK aangewezen als nadere invulling van de zorgplicht; de regeling verwijst daarvoor naar BIO2 versie 1.3, die op 5 maart 2026 in de Staatscourant is gepubliceerd. Voor waterschappen loopt de aanwijzing via de Cyberbeveiligingsregeling IenW, met inhoudelijk gelijkluidende voorschriften.1 Beide regelingen zijn geconsulteerd; de beoogde inwerkingtreding is gelijktijdig met de Cyberbeveiligingswet, op 15 augustus 2026.2 Controleer rond de inwerkingtreding of de regelingen daadwerkelijk zijn vastgesteld en gepubliceerd; tot dat moment is de aanwijzing van BIO2 beoogd beleid.

Praktisch betekent dit: wie BIO2 aantoonbaar en risicogedreven toepast, geeft daarmee invulling aan de wettelijke zorgplicht. Maar het omgekeerde geldt ook: wie BIO2 alleen op papier toepast en opzet, bestaan en werking van de maatregelen niet kan aantonen, voldoet straks niet aan de wettelijke zorgplicht.

De drie lagen van de Cyberbeveiligingswet: wet, besluit en ministeriele regeling met BIO2 als invulling voor de overheid De drie lagen van de Cyberbeveiligingswet Van wet naar sectorspecifieke invulling 1 Cyberbeveiligingswet (Cbw) De wet zelf: zorgplicht, meldplicht, registratieplicht 2 Cyberbeveiligingsbesluit (Cbb) AMvB: werkt de zorgplicht uit voor alle sectoren 3 Ministeriële regeling per sector Nadere invulling per vakdepartement Sector overheid: BIO2 De drie lagen van de Cyberbeveiligingswet: wet, besluit en ministeriele regeling met BIO2 als invulling voor de overheid De drie lagen van de Cyberbeveiligingswet Van wet naar sectorspecifieke invulling 1 Cyberbeveiligingswet (Cbw) Zorgplicht, meldplicht, registratieplicht 2 Cyberbeveiligingsbesluit (Cbb) AMvB: werkt de zorgplicht uit voor alle sectoren 3 Ministeriële regeling per sector Nadere invulling per vakdepartement Sector overheid: BIO2
Figuur: de drie lagen van de Cyberbeveiligingswet.

Van BIO naar BIO2: wat er inhoudelijk verandert

BIO2 is meer dan een versienummer. De belangrijkste verschuivingen:

Aansluiting op ISO 27001:2022 en 27002:2022. BIO2 volgt de vernieuwde controlstructuur, waardoor de aansluiting met certificeringstrajecten en marktstandaarden eenvoudiger wordt.3

Risicomanagement centraal, met een verplichte ondergrens. BIO2 vraagt een risicogedreven operationalisering van de maatregelen. De verplichte overheidsmaatregelen vormen daarbij de minimale invulling en kunnen niet uitsluitend op basis van een risicoacceptatie worden overgeslagen. Waar een maatregel niet van toepassing is of gelijkwaardig wordt ingevuld, wordt die keuze expliciet en herleidbaar onderbouwd in de Verklaring van Toepasselijkheid, en de organisatie toont opzet, bestaan en werking van de maatregelen aan.3

Bestuurlijke verankering. In lijn met Artikel 20 van de richtlijn keurt de ambtelijke of bestuurlijke leiding de maatregelen goed, houdt zij toezicht op de uitvoering en volgt zij verplicht training in het herkennen en beoordelen van cyberrisico's.4

Hoe de checklist-reflex bij pas-toe-of-leg-uit in de praktijk uitpakt, en waarom Artikel 21 daar bij toezicht op afrekent, leest u in NIS2 maatregelen: wat Artikel 21 echt vraagt.

Wat dit concreet betekent voor gemeenten, waterschappen en ZBO's

  1. Registratie. Uw organisatie registreert zich in het entiteitenregister van het NCSC.
  2. Zorgplicht via BIO2, aantoonbaar. De aantoonbare werking telt, niet de aanwezigheid van een BIO2-implementatieplan: risicoanalyses met besluitvorming, geteste continuïteitsplannen, gedocumenteerde uitzonderingen.
  3. Meldplicht. Bij significante incidenten binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur de incidentmelding, uiterlijk een maand later het eindverslag.4 Dat vereist een ingeregeld proces, geen ad-hoc-afweging tijdens een crisis.
  4. Bestuurlijke training en goedkeuring. De leiding moet cyberrisico's kunnen beoordelen en de maatregelen formeel goedkeuren. De Cyberbeveiligingswet (artikel 24) geeft bestuursleden twee jaar om aantoonbaar over de vereiste kennis en vaardigheden te beschikken;5 het goedkeuren en toezicht houden geldt vanaf dag één.
  5. Keten en gemeenschappelijke regelingen. Uitbestede taken, samenwerkingsverbanden en gedeelde voorzieningen vallen onder uw ketenverantwoordelijkheid. Juist bij de overheid, waar taken veelvuldig zijn belegd bij uitvoeringsorganisaties en samenwerkingsverbanden, is dit een lastige en vaak onderschatte opgave.

De valkuil: BIO2 als doel in plaats van instrument

De verleiding is groot om het traject te framen als "BIO2-compliant worden": een projectplan, een gap-analyse, een lijst met maatregelen. Dat is precies de benadering die onder het nieuwe regime tekortschiet. De toezichthouder toetst of uw maatregelen passen bij uw risico's en of uw leiding daarop stuurt, niet of u de baseline heeft overgeschreven. BIO2 is daarbij het instrument, niet het doel.

Voor de meeste overheidsorganisaties betekent dat een verschuiving van compliance-administratie naar risicogestuurde inrichting: weten welke processen echt kritiek zijn, welke afhankelijkheden er in de keten zitten, en welke hersteldoelen daarbij horen. Dat is een architectuurvraagstuk voordat het een normenvraagstuk is.

Waarom die volgorde bepalend is, leest u in Security architectuur: van losse maatregelen naar samenhangende beveiliging.

BIO2 risicogedreven en aantoonbaar inrichten? Bekijk de dienst NIS2 en BIO2 →

Veelgestelde vragen over NIS2 en BIO2

Geldt de Cyberbeveiligingswet voor alle gemeenten, ook kleine?

Ja. Alle gemeenten vallen ongeacht omvang als essentiële entiteit onder de Cbw. De omvangstoets geldt niet voor de overheid.

Vervangt BIO2 de BIO?

Ja. BIO2 is de opvolger en sluit aan op ISO 27001:2022 en 27002:2022. De wezenlijke verandering zit in het regime, niet in de controls: van zelfregulering naar wettelijk verankerde zorgplicht met toezicht.

Is BIO2-compliance hetzelfde als voldoen aan de Cyberbeveiligingswet?

Grotendeels, maar niet volledig. BIO2 vult de zorgplicht in; daarnaast gelden de registratieplicht, de meldplicht en de bestuurlijke verplichtingen uit de wet zelf. En de zorgplicht vraagt aantoonbare werking, niet alleen conformiteit op papier.

Wanneer moet dit gereed zijn?

De wet treedt op 15 augustus 2026 in werking en kent geen overgangstermijn. Alleen voor de kennis- en trainingsvereisten van bestuursleden geeft de Cyberbeveiligingswet twee jaar; alle overige verplichtingen gelden direct.

Wie is de toezichthouder voor de overheid?

Voor de overheid, met uitzondering van de waterschappen, wordt de Rijksinspectie Digitale Infrastructuur (RDI) aangewezen als toezichthouder; voor waterschappen is dat de Inspectie Leefomgeving en Transport (ILT). De RDI sluit voor het toezicht aan op bestaande verantwoordingsstructuren, zoals ENSIA voor gemeenten. Het CSIRT verschilt per categorie: voor gemeenten en gemeenschappelijke regelingen met ten minste één gemeente is dat de Informatiebeveiligingsdienst (IBD); andere overheidsinstanties melden bij het NCSC, dat ook het entiteitenregister beheert.6

Introduceert de Cyberbeveiligingswet persoonlijke aansprakelijkheid voor overheidsbestuurders?

Nee. De NIS2-bepaling over bestuurdersaansprakelijkheid is niet van toepassing op overheidsinstanties; de Cyberbeveiligingswet introduceert voor overheidsbestuurders geen nieuwe persoonlijke aansprakelijkheidsgrond; bestaande verantwoordelijkheden en aansprakelijkheidsregels blijven gelden.6 Dat staat los van bestuursrechtelijke handhaving: bij niet-naleving van de individuele kennis-, actualiserings- en trainingsverplichtingen kan de bevoegde autoriteit een individueel lid van de leiding een last onder dwangsom of bestuurlijke boete opleggen.6 De bestuurlijke verplichtingen gelden dus onverkort: de leiding keurt de maatregelen goed, houdt toezicht op de uitvoering en beschikt binnen twee jaar aantoonbaar over de vereiste kennis.

Van afspraak naar wet

De overheid heeft met de BIO jaren ervaring met een gemeenschappelijke baseline. Die ervaring is waardevol, maar het regime verandert wezenlijk: extern toezicht door RDI en ILT, meldplicht met harde termijnen en wettelijk verankerde bestuurlijke verplichtingen. Organisaties die BIO2 nu al risicogedreven en aantoonbaar inrichten, maken van een wettelijke plicht een bestuurbaar proces.

Wilt u weten waar uw organisatie staat ten opzichte van de zorgplicht, en wat de ministeriële regeling concreet voor u betekent? Plan een oriënterend gesprek.

Liever eerst zien wat een traject omvat? Bekijk de dienst NIS2 en BIO2 →

Bronnen

  1. Ministerie van Infrastructuur en Waterstaat, Cyberbeveiligingsregeling IenW, met de nadere regels voor onder meer de waterschappen. Via de wetgevingskalender. ↩
  2. Digitale Overheid (BZK), Cyberbeveiligingswet (NIS2-richtlijn): voor de sector overheid wordt BIO2 als nadere invulling van de zorgplicht gebruikt via de ministeriële regeling; de internetconsultatie liep van 10 november tot en met 21 december 2025. Via digitaleoverheid.nl. ↩
  3. Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, Baseline Informatiebeveiliging Overheid 2 (BIO2), versie 1.3, gepubliceerd in de Staatscourant op 5 maart 2026; de ministeriële regeling verwijst rechtstreeks naar deze publicatie. De BIO2 vereist het aantonen van opzet, bestaan en werking van maatregelen; de verplichte overheidsmaatregelen gelden als minimale invulling. Via bio-overheid.nl. ↩
  4. Richtlijn (EU) 2022/2555 (NIS2-richtlijn), artikel 20 (governance), artikel 21 (risicobeheersmaatregelen) en artikel 23 (meldplicht en meldfasen). Via EUR-Lex. ↩
  5. Eerste Kamer der Staten-Generaal, wetsvoorstel Cyberbeveiligingswet (36.764), op 7 juli 2026 aangenomen; de wet treedt op 15 augustus 2026 in werking. Artikel 24 bevat de bestuurlijke kennis- en trainingsvereisten, met een termijn van twee jaar. Via eerstekamer.nl. ↩
  6. Rijksinspectie Digitale Infrastructuur, Overheidsinstanties onder de Cyberbeveiligingswet (toezichtverdeling RDI/ILT, CSIRT-aanwijzing IBD voor gemeenten, registratie), via rdi.nl; over de mogelijkheid van een boete of last onder dwangsom voor individuele bestuurders: RDI, Bestuurlijke verantwoordelijkheid en governance, via rdi.nl. Digitale Overheid, Wat zijn de verplichtingen onder de Cyberbeveiligingswet? (meldfasen, entiteitenregister, aansprakelijkheidsbepaling niet van toepassing op overheidsinstanties), via digitaleoverheid.nl. ↩