BIO2 implementeren? Werk slimmer, niet harder

De BIO2: extra werk of een kans om je ISMS te finetunen? Wie de overstap slim aanpakt, kiest voor het laatste.

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet (Cbw). Voor overheidsorganisaties is de Baseline Informatiebeveiliging Overheid 2 (BIO2) daarmee het normenkader waarop je wordt aangesproken. Veel organisaties zitten nog midden in de overstap. Anderen moeten nog beginnen.

De BIO2 voelt al snel als extra werk. Maar de overstap is ook een mooi moment om kritisch naar je ISMS te kijken: wat werkt goed, wat kan scherper en wat kan weg? In dit blog lees je hoe je dat aanpakt. Hergebruik wat je hebt, integreer wat moet en beheer wat je hebt ingericht.

Je hoeft niet opnieuw te beginnen

Veel van wat je onder de vorige BIO hebt ingericht, blijft bruikbaar. Je beleid, je risicoanalyses en een groot deel van je maatregelen gooi je dus niet weg. Wat verandert er dan wel? De belangrijkste verschuivingen op een rij:

• De BIO2 volgt de indeling van ISO 27002:2022. De 114 beheersmaatregelen uit de oude versie zijn teruggebracht tot 93, verdeeld over 4 thema's./p>

• De vaste basisbeveiligingsniveaus (BBN's) verdwijnen. Je werkt voortaan risicogebaseerd.

• ISO 27001 is het uitgangspunt voor je information security management system (ISMS). De BIO2 voegt daar specifieke overheidsmaatregelen aan toe.

Begin daarom met een gap-analyse. Welke maatregelen voldoen nog? Waar zit een gat? En welke documenten werk je bij? Daarna pak je gericht je documentatie, risicoanalyses en controls aan, met de grootste risico's eerst.

Dat uitzoekwerk kost tijd. Maar er zijn tools, zoals de AI Pro Pack, die daarbij kunnen helpen. Je legt de normvereisten naast je bestaande documentatie, ziet sneller waar de verschillen zitten en werkt teksten vlot bij. Het oordeel blijft bij jou, het zoekwerk wordt een stuk lichter./p>

Met een verschilanalyse heb je een goede start. Daarna lopen de meeste organisaties tegen twee vraagstukken aan. Hoe voorkom je dubbel werk met de andere normenkaders waaraan je al voldoet? En hoe houd je alles actueel als het project eenmaal is afgerond?

Eén control framework dekt meerdere normenkaders

De BIO2 staat niet op zichzelf. Hij bouwt voort op ISO 27001 en 27002, en de Cbw legt daar een zorgplicht en meldplicht bovenop. Verwerk je persoonsgegevens? Dan heb je ook met de AVG te maken. Veel van die eisen gaan over dezelfde onderwerpen: toegangsbeheer, incidenten, leveranciers en continuïteit.

Toch zien we in de praktijk vaak per normenkader een eigen systeem, een eigen eigenaar en een eigen administratie. Het securityteam werkt vanuit ISO 27001, de privacyofficer houdt de AVG bij en voor de Cbw komt er nog een lijst bij. Zo doe je hetzelfde werk twee of drie keer. En bij elke audit zoek je opnieuw naar hetzelfde bewijs.

Waarom zou je voor ieder normenkader afzonderlijke maatregelen, documentatie en controles beheren? Een wachtwoordbeleid blijft hetzelfde wachtwoordbeleid, of de BIO2, ISO 27001 of de Cbw er nu om vraagt. Dat geldt net zo goed voor je back-upprocedure, je incidentenproces en je afspraken met leveranciers.

Daarom werk je slimmer vanuit één uniform control framework. Je koppelt de vereisten uit alle normenkaders aan dezelfde set beheersmaatregelen. Zo ontstaat één geïntegreerde aanpak. Je richt een maatregel één keer in, legt het bewijs één keer vast en ziet direct aan welke eisen uit welk kader hij bijdraagt. Staat er een audit gepland? Dan pak je één dossier erbij, in plaats van drie.

Heeft een kader een specifieke eis die nergens anders terugkomt? Dan voeg je die als aanvullende maatregel toe. De basis blijft staan en je beheert meerdere verplichtingen vanuit dezelfde maatregelen en bewijsvoering. Komt er later een nieuw kader bij, zoals de AI-verordening? Dan breid je uit in plaats van opnieuw te beginnen.

Na de implementatie begint het onderhoud

Een ISMS is nooit af. Zo werkt de Plan-Do-Check-Act-cyclus nu eenmaal. Na de implementatie begint het eigenlijke werk: je ISMS actueel en aantoonbaar effectief houden. En juist dat blijkt in de praktijk lastig. Het project is afgerond, het team pakt ander werk op en de aandacht zakt langzaam weg.

Toch is dit het deel dat telt. Beleid dat je twee jaar niet hebt bekeken, sluit niet meer aan op je organisatie. Een maatregel op papier beschermt je pas als iemand toetst of hij ook werkt. En een verbeteractie zonder eigenaar blijft gewoon liggen. De Cbw maakt je bestuur bovendien verantwoordelijk voor het toezicht op cyberrisico's. Dan wil je kunnen laten zien dat je vandaag in control bent.

Goed onderhoud vraagt daarom om een vast ritme. Je plant reviews van je documentatie, toetst je maatregelen periodiek, legt verantwoordelijkheden vast en volgt verbeteracties op tot ze echt zijn afgerond. Zonder die structuur belandt het in losse Excel-bestanden, mailtjes en het hoofd van die ene collega. Tot de audit eraan komt.

Twee vraagstukken, één werkomgeving

Dubbel werk tussen normenkaders en het lastige onderhoud daarna: die twee vraagstukken zien we bij veel organisaties terug. Daarom hebben we de GRC Blueprint ontwikkeld.

De GRC Blueprint is één centrale werkomgeving in Atlassian. Daarin koppel je de eisen uit de BIO2, ISO 27001, de Cbw en andere kaders aan één control framework. Ook het onderhoud regel je daar: documentatie, risico's, beheersmaatregelen, verantwoordelijkheden, reviews en verbeteracties staan bij elkaar. Zo werkt iedereen vanuit dezelfde plek, op dezelfde manier.

Je start met templates en normkoppelingen die klaarstaan, afgestemd op de kaders die voor jou gelden. De basisinrichting staat binnen een dag. Daarna houden wij de normkoppelingen bij als wet- en regelgeving verandert. De eerste 3 maanden krijg je de AI Pro Pack er gratis bij.

Een bijkomend voordeel: de GRC Blueprint draait op Jira en Confluence. Die tooling is breder inzetbaar dan alleen voor compliance. Denk aan leveranciersmanagement, HR, softwareontwikkeling of strategische roadmaps. En in Confluence maak je interne kennis en documentatie voor iedereen toegankelijk. Zo investeer je niet alleen in aantoonbare compliance, maar in een werkomgeving die samenwerking en kennisdeling in je hele organisatie versterkt. Gebruikt jouw organisatie Jira en Confluence al? Dan bouw je voort op een omgeving die je collega's al kennen.

Hergebruik, integreer en beheer

De BIO2 is geen reden om een compleet nieuw ISMS op te tuigen. Hergebruik wat je al hebt. Koppel wat overlapt aan één framework. En beheer het geheel vanuit één plek. Dat scheelt werk, en bij de volgende audit leg je het bewijs zo op tafel.

Benieuwd waar jouw organisatie staat? Doe de BIO2-check of plan een vrijblijvend gesprek met een van onze compliance-experts via de pagina van de GRC Blueprint.