BIO2 en ISO 27001: wat is het verschil?
De BIO2 (Baseline Informatiebeveiliging Overheid 2) is het normenkader voor informatiebeveiliging van de Nederlandse overheid. Het bouwt direct op ISO/IEC 27001 en ISO 27002 : je gebruikt ISO 27001 voor het managementsysteem en de Annex A-maatregelen uit ISO 27002, en de BIO2 voegt daar verplichte overheidsmaatregelen aan toe. De actuele versie is BIO2 versie 1.3 van 9 januari 2026.
Sinds 15 augustus 2026 is de BIO2 voor essentiële entiteiten in de sector overheid wettelijk gekoppeld aan de zorgplicht uit de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2. Dat staat in de veelgestelde vragen van BIO-overheid . Voor overheidsorganisaties buiten de wet blijft de BIO2 gelden als verplichtende zelfregulering.
Kort antwoord: ISO 27001 is een internationale norm waarop elke organisatie zich kan laten certificeren. De BIO2 is het Nederlandse overheidskader dat ISO 27001 en ISO 27002 als basis gebruikt en daar verplichte overheidsmaatregelen aan toevoegt. Wie ISO 27001 op orde heeft, heeft het fundament voor de BIO2, maar moet de overheidsmaatregelen nog apart toetsen. Een BIO2-certificaat bestaat niet; de BIO verplicht ook geen ISO 27001-certificering.
BIO2 en ISO 27001 naast elkaar
De tabel zet de belangrijkste verschillen op een rij. De feiten over de BIO2 komen uit de BIO2-tekst en de toelichting van Digitale Overheid .
| ISO 27001 | BIO2 | |
|---|---|---|
| Wat is het? | Internationale norm voor een managementsysteem voor informatiebeveiliging (ISMS) | Nederlands normenkader voor de overheid |
| Opgesteld door | ISO en IEC, in Nederland gepubliceerd door NEN | Overheid, beheerd door een interbestuurlijke werkgroep onder voorzitterschap van BZK |
| Voor wie | Elke organisatie | Rijk, gemeenten, provincies en waterschappen |
| Verplicht? | Nee, wel vaak geëist door klanten | Ja, voor de overheid: via de Cyberbeveiligingswet of verplichtende zelfregulering |
| Basis | Eigen normtekst met Annex A (93 maatregelen) | NEN-EN-ISO/IEC 27001:2023 en NEN-EN-ISO/IEC 27002:2022 |
| Maatregelen | Je kiest op basis van risico | Je kiest op basis van risico, plus verplichte overheidsmaatregelen |
| Certificering | Ja, door een geaccrediteerde certificerende instelling | Nee; ISO 27001-certificering is niet verplicht, maar vereenvoudigt volgens de BIO2 de verantwoording |
| Verklaring van toepasselijkheid | Verplicht | Verplicht, met de overheidsmaatregelen er expliciet in |
Wat voegt de BIO2 toe aan ISO 27001?
De BIO2 neemt het risicogestuurde ISMS van ISO 27001 volledig over. Wat erbij komt, zijn de overheidsmaatregelen. Die zijn genummerd per ISO 27002-maatregel, zoals 5.17.01 of 8.13.03. Ze komen niet bovenop de ISO-maatregelen, maar vullen ze deels in als verplicht minimum.
Het grote verschil met ISO 27001: overheidsmaatregelen kun je niet wegredeneren met een lage risico-inschatting. De BIO2-tekst zegt dat ze altijd verplicht zijn, tenzij ze echt niet van toepassing kunnen zijn. Bij ISO 27001 mag je elke maatregel uitsluiten, zolang je dat onderbouwt in je verklaring van toepasselijkheid.
Een paar voorbeelden laten zien hoe concreet de overheidsmaatregelen zijn:
| ISO 27002-maatregel | Overheidsmaatregel in BIO2 v1.3 (samengevat) | Lees meer |
|---|---|---|
| 5.17 Authentication information | MFA ten minste voor de digitale werkplek, internet-bereikbare voorzieningen en beheeraccounts; wachtwoordmanager voor alle medewerkers | Wachtwoordbeleid |
| 8.13 Information backup | Back-upbeleid met aandacht voor ransomware, vastgesteld maximaal dataverlies en hersteltijd, hersteltest minimaal jaarlijks | Back-upbeleid |
| 8.15 Logging | Een logregel bevat minimaal actie, object, resultaat, oorsprong, actor en tijdstempel | Logging en monitoring |
| 8.8 Management of technical vulnerabilities | Bij hoge kans op misbruik en hoge schade uiterlijk binnen een week maatregelen | Kwetsbaarheidsbeheer |
| 5.24 Incident management planning | Toegankelijk meldloket en melding aan het CSIRT binnen de wettelijke termijn | Incidentmanagement |
Lees de volledige tekst van elke maatregel in de BIO2 zelf. Deze tabel vat samen en is geen vervanging.
Wat is er veranderd ten opzichte van de oude BIO?
De BIO2 vervangt BIO versie 1.04zv uit juni 2020, die nog was gebaseerd op de ISO-normen uit 2017. Volgens BIO-overheid zijn dit de belangrijkste wijzigingen:
- De BIO2 sluit aan op de ISO 27001- en 27002-versies uit 2022, met de nieuwe indeling in vier thema’s en 93 maatregelen.
- De drie basisbeveiligingsniveaus (BBN’s) zijn vervallen. Risicomanagement staat centraler.
- Verantwoordelijkheden zijn algemener beschreven, niet meer per maatregel.
- Het addendum met eisen per overheidslaag (deel 3) is vervallen.
- De BIO2 sluit aan op de zorgplicht uit de Cyberbeveiligingswet.
De versies op een rij: concept BIO2 v1.1 in april 2025, v1.2 in september 2025 en v1.3 in januari 2026. Een volgende versie wordt verwacht in het najaar van 2027.
Is de BIO2 verplicht?
Voor de overheid wel. Voor essentiële entiteiten in de sector overheid is BIO2 v1.3 sinds 15 augustus 2026 via de Cyberbeveiligingsregeling sector overheid gekoppeld aan de wettelijke zorgplicht. Voor andere overheidsorganisaties, of onderdelen die buiten de wet vallen, geldt de BIO2 als verplichtende zelfregulering.
Een paar maatregelen zijn uitgezonderd van de wettelijke plicht, namelijk 5.32 en 5.34 en de overheidsmaatregelen 5.32.01, 5.33.01 en 5.34.01. Daarvoor blijft de zelfregulering gelden. BIO-overheid meldt dat maatregel 5.33 wél wettelijk verplicht is, ook al stond in BIO2 v1.3 iets anders.
Het ministerie van BZK heeft de ISO-normen voor overheidsorganisaties gratis beschikbaar gesteld via NEN .
Moet je als leverancier van de overheid aan de BIO2 voldoen?
Niet automatisch. BIO-overheid schrijft dat een leverancier niet zonder meer alle eisen uit de BIO2, ISO 27001 en ISO 27002 hoeft toe te passen, en ook niet automatisch gecertificeerd hoeft te zijn. De overheidsorganisatie bepaalt per dienst welke eisen nodig zijn en legt die vast in het contract of de inkoopvoorwaarden.
In de praktijk vragen veel aanbestedingen wel om een ISO 27001-certificaat, aangevuld met specifieke BIO2-eisen. Een certificaat laat zien dat je ISMS werkt. Het zegt niet automatisch dat je de overheidsmaatregelen hebt ingevoerd. Leg daarom in je verklaring van toepasselijkheid vast welke overheidsmaatregelen je hebt overgenomen, zodat je dat in een aanbesteding kunt aantonen.
Van ISO 27001 naar BIO2: praktische aanpak
Heb je al een ISO 27001-ISMS, dan is de stap naar BIO2 vooral een gap-analyse op de overheidsmaatregelen:
- Download de BIO2 in Excel van BIO-overheid en zet de overheidsmaatregelen naast je verklaring van toepasselijkheid.
- Bepaal per overheidsmaatregel of je eraan voldoet, deels voldoet of niet.
- Neem de ontbrekende maatregelen op in je risicobehandelplan.
- Voeg de overheidsmaatregelen toe aan je verklaring van toepasselijkheid. Afwijkingen neem je op in een bijlage “Uitzonderingen op de VvT”, zoals de BIO2 voorschrijft.
- Toets ze mee in je interne audit.
Overheidsorganisaties kunnen voor de gap-analyse de BIO Self Assessment (BIO-SA) gebruiken. Gemeenten verantwoorden zich daarnaast elk jaar over de BIO via ENSIA. Hoe die cyclus werkt, lees je op ENSIA en ISO 27001 voor gemeenten. Begin je bij nul, volg dan eerst het ISO 27001-stappenplan en een nulmeting.
Ga niet uit van de oude basisbeveiligingsniveaus. Wie nog werkt met “BBN2” in documenten of aanbestedingseisen, verwijst naar de BIO 1.04. In de BIO2 bestaan die niveaus niet meer.
Veelgestelde vragen over BIO2 en ISO 27001
Kan ik me certificeren op de BIO2?
Nee. De BIO2 is een normenkader, geen certificatieschema. Je kunt je ISMS wel laten certificeren op ISO 27001. Volgens de BIO2 maakt dat de verantwoording eenvoudiger.
Wat is het verschil tussen de BIO2 en NIS2?
NIS2 is een Europese richtlijn, in Nederland uitgewerkt in de Cyberbeveiligingswet. Die bevat onder meer de zorgplicht, meldplicht en eisen aan bestuurders. De BIO2 werkt de zorgplicht concreet uit voor de overheid, maar vervangt de wet niet.
Geldt de BIO2 ook voor papieren informatie?
Ja. BIO-overheid schrijft dat de Cyberbeveiligingswet alleen over netwerk- en informatiesystemen gaat, terwijl de BIO2 informatiebeveiliging in de breedste zin omvat, inclusief fysieke documenten.
Meer informatie
- NIS2 en ISO 27001: de Cyberbeveiligingswet waaraan de BIO2 gekoppeld is
- Annex A: de 93 maatregelen waarop de BIO2 voortbouwt
- ISO 27001 vs. ISO 27002: de twee normen onder de BIO2
- Verklaring van toepasselijkheid: waar je de overheidsmaatregelen vastlegt
- BIO2 versie 1.3 (pdf) : de volledige tekst bij BIO-overheid
- Digitale Overheid: Baseline Informatiebeveiliging Overheid