BIO2 in een kleine gemeente: zo doe je de gap-analyse

Je gemeentesecretaris of directeur vraagt hoe het staat met BIO2. Je hebt een BIO-zelfevaluatie, een lijst met maatregelen en een ENSIA-verantwoording. Wat je nog niet hebt, is een overzicht van wat BIO2 anders vraagt dan de BIO die je kent. Dat overzicht maak je met een gap-analyse.

In dit stuk lees je waar BIO2 nu staat, wat er verandert en hoe je in vijf stappen een gap-analyse doet, ook als je dat als enige informatiebeveiliger naast je gewone werk doet. De tien maatregelen die in de praktijk blijven liggen, staan in onze BIO-checklist voor gemeenten. Dit stuk gaat over de overstap.

Waar staat BIO2 nu?

De data op een rij:

• 23 september 2025: het Overheidsbreed Beleidsoverleg Digitale Overheid stelt BIO2 vast. Voor het Rijk, de provincies en de waterschappen geldt hij direct, voor gemeenten is hij richtinggevend (digitaleoverheid.nl).
• 5 maart 2026: BIO2 versie 1.3 verschijnt in de Staatscourant, als opvolger van de BIO 1.04. Voor gemeenten bleef de BIO 1.04 formeel van kracht tot de Cyberbeveiligingswet in werking trad (VNG, 9 maart 2026).
• 15 augustus 2026: de Cyberbeveiligingswet treedt in werking (rijksoverheid.nl). Sindsdien is het toepassen van de ISO-standaarden en de overheidsmaatregelen uit BIO2 wettelijk verplicht voor overheidsorganisaties die onder de wet vallen, met enkele uitzonderingen (zie stap 2) (digitaleoverheid.nl, bijgewerkt 24 september 2026).
• Het streven is om eind 2027 een volgende versie van BIO2 uit te brengen (zelfde bron).

Gemeenten vallen onder de wet. Bij een gemeenschappelijke regeling bepaal je per geval of ze aan de criteria voor overheidsinstanties voldoet (digitaleoverheid.nl).

Wat verandert er van de BIO naar BIO2?

BIO2 is gebaseerd op NEN-EN-ISO/IEC 27001:2023 en NEN-EN-ISO/IEC 27002:2022, de Nederlandse uitgaven van de internationale normen (digitaleoverheid.nl). Voor jou verandert in de praktijk vooral dit (VNG):

• De drie basisbeveiligingsniveaus (BBN's) vervallen. Daarvoor in de plaats komt een aanpak op basis van risico's.
• Een managementsysteem voor informatiebeveiliging (ISMS) volgens ISO 27001 wordt verplicht.
• De indeling van de maatregelen volgt de nieuwe structuur van ISO 27002. Je nummering uit de BIO 1.04 klopt dus niet meer.

De overheidsmaatregelen uit BIO2 zijn het minimum. De overige maatregelen uit ISO 27002 pas je toe op basis van je eigen risico's, en waar de risico's het vragen, voeg je maatregelen toe. Een aantal overheidsmaatregelen is aangepast: sommige zijn waar mogelijk verlicht, andere zijn verzwaard door de doorwerking van NIS2 via de Cyberbeveiligingswet (digitaleoverheid.nl).

BIO2 en NIS2: wat heb je eraan?

De VNG schrijft dat BIO2 aansluit op de NIS2-richtlijn en de zorgplicht uit de Cyberbeveiligingswet concreet maakt. Daarom is een gap-analyse op BIO2 ook een goede eerste meting van je zorgplicht. Dat is onze lezing en geen uitspraak van een toezichthouder. Hoe wij NIS2 en BIO op een rij zetten, staat op onze compliancepagina.

Stap 1: bepaal de reikwijdte

ISO 27001 vraagt dat je de reikwijdte van je managementsysteem vaststelt. Schrijf op welke organisatieonderdelen, processen, systemen en locaties erbinnen vallen en wie de eigenaar is.

Ben je een gemeenschappelijke regeling, begin dan met de vraag of je zelf onder de wet valt. Voldoe je aan de criteria, dan val je zelfstandig onder de wet en zijn de deelnemende gemeenten niet verantwoordelijk voor jouw naleving. Maak in beide gevallen afspraken met hen over risico's, incidenten en continuïteit.

Stap 2: leg je maatregelen naast BIO2

Download BIO2 versie 1.3 op digitaleoverheid.nl, ook als Excel, en leg je huidige BIO-maatregelen ernaast. Zet elke maatregel in een van vier groepen: gelijk gebleven, aangepast, nieuw of vervallen. Dit is een eerste ruwe sortering, geen audit.

Welke maatregelen wettelijk verplicht zijn, bepaalt de ministeriële regeling onder de Cyberbeveiligingswet. Uitgezonderd zijn beheersmaatregelen 5.32 en 5.34 en overheidsmaatregelen 5.32.01, 5.33.01 en 5.34.01; beheersmaatregel 5.33 zelf is wel wettelijk verplicht. Voor onderdelen buiten de wet, zoals informatie op papier, blijft BIO2 gelden als verplichtende zelfregulering. Overheidsmaatregelen buiten de scope van de wet zijn in BIO2 gemarkeerd (digitaleoverheid.nl).

Stap 3: vervang het BBN-niveau door een risicoanalyse

Je BBN-indeling was een snelle weg naar een maatregelenpakket. BIO2 vraagt dat je ISO 27002 risicogedreven toepast. Kies je belangrijkste processen, bijvoorbeeld burgerzaken, het sociaal domein en de financiële administratie.

Beschrijf per proces wat er mis kan gaan en wat dat kost. Daaruit volgt welke maatregelen je bovenop het minimum van de overheidsmaatregelen nodig hebt.

Stap 4: kijk naar het managementsysteem zelf

Een lijst met maatregelen is nog geen managementsysteem. Een ISMS is een systeem om informatiebeveiliging vast te stellen, in te voeren, bij te houden en steeds te verbeteren. Loop die vier werkwoorden langs: is het beleid vastgesteld, heeft elk onderdeel een eigenaar, en wie kijkt of de maatregelen werken en wat gebeurt er met de bevindingen?

Stap 5: sorteer de gaten en maak een plan

Zet elk gat in een tabel met een eigenaar, een termijn en een prioriteit. Begin bij gaten in de overheidsmaatregelen, want die zijn het minimum, en bij de maatregelen die zijn verzwaard. Bewaar de tabel, de datum en de keuzes die je maakte. Dat is je bewijs, en je bestuur kan er een besluit op nemen.

Wat je morgen kunt doen

1. Haal BIO2 versie 1.3 binnen via digitaleoverheid.nl, ook de Excel-versie.
2. Zoek je laatste BIO-zelfevaluatie en je maatregelenlijst op en kijk welke versie ze volgen.
3. Plan twee uur met een systeemeigenaar voor stap 1 en 2.
4. Zet de reikwijdte op papier en leg die voor aan je bestuur.

Waar Noveu past

Noveu is geen overheidsorganisatie en heeft geen BIO-verklaring. Een mapping van Noveu op BIO2 is er nog niet. Wat Noveu vandaag wel en niet kan aantonen, staat in BIO en BIO2 in het kort. Gebruik dat niet als antwoord op je gap-analyse, maar als eerste inkijk. Op de compliancepagina staat per kader de status, en op onze pagina voor de publieke sector staat welke normen Noveu wel en niet heeft.