Normity en BIO

De BIO (Baseline Informatiebeveiliging Overheid) is het verplichte normenkader voor informatiebeveiliging bij de Nederlandse overheid. De huidige versie is BIO 2.0, van kracht sinds 2025 en gebaseerd op ISO 27001:2022 en ISO 27002:2022. De BIO geldt voor Rijk, gemeenten, provincies en waterschappen en vervangt de oude BIR, BIG, IBI en IBWA.

De BIO is verplicht voor alle Nederlandse overheidsorganisaties: Rijksoverheid (departementen, agentschappen), gemeenten, provincies, waterschappen en de meeste zelfstandige bestuursorganen. Ook samenwerkingsverbanden en gemeenschappelijke regelingen passen de BIO toe. Voor leveranciers aan de overheid is BIO-compliance meestal een contractuele eis.

BIO 1 (2020) was gebaseerd op ISO 27001:2013 en ISO 27002:2013. BIO 2.0 (2025) is gebaseerd op de vernieuwde ISO 27001:2022 met 93 controls in vier thema's (organisatorisch, mensen, fysiek, technologisch). BIO 2.0 is eenvoudiger gestructureerd, houdt de beschermingsniveaus BBN1 en BBN2 aan en versterkt de relatie met Europese wetgeving zoals NIS2.

ISO 27001 is internationaal en vrijwillig. De BIO is Nederlands en verplicht voor de overheid. Inhoudelijk overlapt de BIO sterk met ISO 27001 en ISO 27002, maar voegt overheidsspecifieke eisen toe: informatieclassificatie, BSN-gebruik, cloudgebruik, GGI-netwerk en eisen vanuit de Archiefwet.

De BIO onderscheidt beschermingsniveaus. BBN1 (basisniveau) geldt voor algemene overheidsinformatie en implementeert de standaardmaatregelen uit de BIO. BBN2 en hoger gelden voor gerubriceerde of bijzonder gevoelige informatie en vereisen zwaardere maatregelen rondom cryptografie, toegangscontrole, monitoring en fysieke beveiliging.

Nee — de BIO is verplicht, maar externe certificering niet. Overheden leggen verantwoording af via jaarlijkse In-controlverklaringen, ENSIA-audits (gemeenten, waterschappen) of IBW-audits (Rijk). Leveranciers aan de overheid laten zich in de praktijk wel vaak certificeren voor ISO 27001 én tonen BIO-compliance aan in aanbestedingen.

NIS2 is Europese wetgeving voor informatiebeveiliging in kritieke sectoren. De BIO 2.0 bevat grotendeels dezelfde controls als NIS2 vereist. Voor overheden die onder NIS2 vallen (drinkwaterbedrijven, energie, bepaalde zorginstellingen) is BIO-compliance een sterke basis voor NIS2-naleving, met beperkte aanvullende maatregelen.

ENSIA (Eenduidige Normatiek Single Information Audit) is de jaarlijkse verantwoordingscyclus voor gemeenten en waterschappen over informatiebeveiliging en privacy. Via ENSIA rapporteert een organisatie over BIO-naleving, AVG en specifieke informatiestromen (DigiD, BAG, BRP, Suwi). De uitkomst wordt extern beoordeeld door een IT-auditor.