Wat betekent de BIO2 voor jouw organisatie? 

De BIO2 is geen update van de BIO 1.04, het is een grondige herziening. De vaste basisbeveiligingsniveau's (BBN1-BBN3) zijn verdwenen, het bestuur kan verantwoordelijkheid niet langer delegeren naar IT en er geldt een nieuwe publicatieplicht. Kortom: informatiebeveiliging is een strategische bestuursverantwoordelijkheid geworden. 

Benieuwd wat dit concreet betekent voor jouw organisatie? Lees dan onze blog. 

Meer dan voorheen. Je keurt maatregelen goed, stuurt aantoonbaar op risico's en moet over voldoende kennis beschikken om cyberrisico's te kunnen beoordelen. Dat laatste is geen vrijblijvende aanbeveling, de Cyberbeveiligingswet verplicht je tot periodieke scholing. 

Wil je weten hoe je dat concreet inricht? Download onze factsheet over de BIO2. 

Lever je aan de overheid? Dan krijg je via de BIO2 stevige eisen op je bord: van aanbesteding tot exit. Denk aan jaarlijkse aantoonplicht, verplichtingen richting subleveranciers en contractueel vastgelegde exit-strategie. De details lees je in onze factsheet. 

Sinds 15 augustus 2026 is de BIO2 via de Cyberbeveiligingsregeling sector Overheid het wettelijk kader, ook voor gemeenten. De regeling kent geen algemene overgangstermijn voor de zorgplicht. Wel kiest de RDI voor risicogericht en proportioneel toezicht. Zorg dat je nu een gap-analyse, een risicoanalyse en een realistisch implementatieplan hebt: daarmee laat je zien dat je in control bent, ook als nog niet alles is afgerond. 

Nee. De BIO2 en de regeling verplichten het toepassen van ISO 27001 voor het ISMS, niet een certificaat. Een certificering door een onafhankelijke auditor kan de verantwoording richting toezichthouder en ketenpartners wel aanzienlijk vereenvoudigen.