BLOG: Van basisbeveiligingsniveaus naar risicogericht werken - hoe zit dat onder de BIO2?
vrijdag 23 oktober 2026
Auteur: Mike Tiernagan en Jasper Boon
De Baseline Informatiebeveiliging Overheid 2 (BIO2) heeft de drie basisbeveiligingsniveaus (BBN’s) losgelaten. In plaats daarvan bepaal je risicogericht welke maatregelen passend zijn. Wat betekent dat voor de BIV-classificatie, die veel overheidsorganisaties al jaren gebruiken?
Sinds 15 augustus 2026 is de BIO2 voor de sector overheid wettelijk verankerd. In de documentatie van veel organisaties staan de BBN-indelingen er nog, terwijl het kader er niet meer om vraagt. Waar baseer je je maatregelen dan op, en wat is de rol van de classificatie op beschikbaarheid, integriteit en vertrouwelijkheid (BIV)?
Waarom de BBN’s zijn vervallen
De BIO2 is als versie 1.3 gepubliceerd in de Staatscourant van 5 maart 2026 en vervangt de vorige BIO.1 Het kader vraagt niet meer om een indeling in niveaus, maar om een onderbouwde keuze per situatie. Dat raakt een patroon dat onder de BIO vaak voorkwam: systemen in het primaire proces kregen standaard BBN2, waarna de maatregelenlijst van dat niveau werd afgewerkt. De risicoanalyse die eronder hoort, bleef dan achterwege. Een niveau zegt ook weinig over de dreigingen voor een specifiek systeem: twee systemen in hetzelfde BBN kunnen een heel verschillend risicoprofiel hebben.
Hoe je nu bepaalt wat passend is
De BIO2 schrijft bewust geen risicomanagementmethodiek voor, omdat die bij de organisatie moet passen. Wat wel vastligt: je voert het risicomanagement uit binnen je managementsysteem voor informatiebeveiliging op basis van NEN-EN-ISO/IEC 27001 en past de beheersmaatregelen uit NEN-EN-ISO/IEC 27002 risicogericht toe.2 De overheidsmaatregelen uit deel 2 van de BIO2 komen daar bovenop en vervangen die beheersmaatregelen niet. Zij zijn verplicht wanneer ze van toepassing zijn, ongeacht je eigen risicoafweging, en zijn gelabeld naar waar ze aan bijdragen: basishygiëne, ketenhygiëne of het beperken van overheidsrisico’s.
In de praktijk beweeg je heen en weer tussen je risicobeeld en je maatregelen, en leg je vast waar je uitkomt in je Verklaring van Toepasselijkheid, waarin je de overheidsmaatregelen expliciet opneemt en afwijkingen onderbouwt. Wat je moet kunnen uitleggen is daarmee verschoven: niet welk niveau je hebt toegekend, maar waarom een maatregel in jouw situatie wel of niet passend is.
Classificeren zit in het kader zelf
De BIV-classificatie weegt informatie op drie aspecten: hoe erg het is als zij niet beschikbaar is, als zij onjuist of onvolledig raakt, en als zij bij de verkeerde personen terechtkomt. Die weging is geen vrijwillige aanvulling op het normenkader. Overheidsmaatregel 5.12.01 vraagt dat informatie in alle informatiesystemen met een expliciete risicoafweging wordt geclassificeerd, met een vastgestelde impactclassificatiemethodiek die onderdeel is van je risicomanagementmethodiek.
Organisaties die al met BIV-classificaties werken, hebben daar nu het meeste profijt van: zij gebruiken die weging direct als input voor hun risicoanalyse. Let wel op één valkuil. Een classificatie vervangt de risicoanalyse niet. De classificatie zegt wat de impact is als het misgaat, de risicoanalyse weegt die impact tegen de waarschijnlijkheid. Wie de classificatie als nieuw niveau-etiket gebruikt, herhaalt de fout waar de BIO2 vanaf wilde.
De status van de BIO2
Entiteiten in de sector overheid zijn in bijlage 1 bij de Cyberbeveiligingswet aangewezen als essentiële entiteit. Voor hen is BIO2 versie 1.3 sinds 15 augustus 2026 via de Cyberbeveiligingsregeling sector overheid gekoppeld aan de wettelijke zorgplicht, met uitzondering van de waterschappen, voor wie dat via de regeling van Infrastructuur en Waterstaat loopt.3 Daarbuiten blijft de BIO2 gelden als verplichtende zelfregulering.
Loopt jullie Verklaring van Toepasselijkheid nog achter op de BIO2, of twijfel je of je classificatie de risicoanalyse goed voedt? De experts van L2P zorgen voor een risicogerichte, integrale aanpak, met een gezonde dosis pragmatisme.
