Informatiebeveiliging bij de overheid

Waarom is informatiebeveiliging bij de overheid een eigen vraagstuk?

Overheden verwerken gegevens die burgers niet zelf kunnen afschermen: persoonsgegevens in de basisregistraties, uitkeringen, vergunningen en belastinggegevens. Burgers kunnen ook niet naar een andere aanbieder als een gemeente plat ligt. Uitval raakt daardoor direct de dienstverlening aan iedereen in een gemeente of provincie.

Overheden zijn bovendien aan elkaar gekoppeld. Een gemeente wisselt gegevens uit met het Rijk, de Belastingdienst en andere gemeenten. Daarom werkt de overheid al jaren met 1 gezamenlijk normenkader, de BIO (Baseline Informatiebeveiliging Overheid). Sinds de Cyberbeveiligingswet is dat kader voor het grootste deel wettelijk verplicht.

Valt de overheid onder de Cyberbeveiligingswet?

Ja. De sector overheid staat in bijlage 1 van de Cyberbeveiligingswet, die sinds 15 augustus 2026 geldt. Ministeries, zelfstandige bestuursorganen, provincies, gemeenten en waterschappen zijn volgens artikel 8 altijd essentiële entiteit, ongeacht hun omvang. Dat geldt ook voor gemeenschappelijke regelingen en zelfstandige bestuursorganen, voor zover die kwalificeren als overheidsinstantie.

Artikel 5 sluit een aantal organisaties uit: het ministerie van Defensie, de inlichtingen- en veiligheidsdiensten, het openbaar ministerie, de politie en de veiligheidsregio’s. De bevoegde autoriteit is de minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK), voor waterschappen de minister van Infrastructuur en Waterstaat (artikel 15).

Overheidslaag	Onder de Cbw?	Normenkader	Toezicht	CSIRT
Ministeries (zonder AIVD en MIVD)	Ja, essentiële entiteit	ISO 27001, ISO 27002 en BIO2	RDI	NCSC
Zelfstandige bestuursorganen	Ja, als ze kwalificeren als overheidsinstantie	ISO 27001, ISO 27002 en BIO2	RDI	NCSC
Provincies en gemeenten	Ja, essentiële entiteit	ISO 27001, ISO 27002 en BIO2	RDI	NCSC
Gemeenschappelijke regelingen	Ja, als ze kwalificeren als overheidsinstantie	ISO 27001, ISO 27002 en BIO2	RDI	NCSC
Waterschappen	Ja, essentiële entiteit	Eigen regeling van de minister van IenW	ILT	Volgens de regeling van IenW
Defensie, politie, OM, veiligheidsregio’s	Nee (artikel 5)	Buiten de Cbw	Geen toezicht onder de Cbw	Niet van toepassing

Bron voor toezicht en CSIRT: toelichting bij de Cyberbeveiligingsregeling sector overheid. Het NCSC treedt op namens de minister van Justitie en Veiligheid. De sectoren op een rij staan op sectoren onder de Cyberbeveiligingswet.

Wat regelt de Cyberbeveiligingsregeling sector overheid?

De Cyberbeveiligingsregeling sector overheid werkt de zorgplicht en de meldplicht uit voor de centrale en decentrale overheden, behalve de waterschappen. Het is een regeling van de staatssecretaris van BZK van 3 juli 2026, gepubliceerd in de Staatscourant (bron: Staatscourant 2026, 27679). Volgens Digitale Overheid geldt de regeling vanaf 15 augustus 2026 als verplichting.

De regeling bevat 4 kernafspraken:

• ISO 27001 (artikel 3): de overheidsorganisatie richt een managementsysteem in volgens ISO 27001.
• Cruciale systemen (artikel 4): de organisatie stelt vast welke netwerk- en informatiesystemen kritiek zijn. Het Rijk gebruikt daarvoor de tabel met te beschermen belangen, gemeenten de impacttabel van de IBD.
• ISO 27002 en BIO2 (artikel 5): de organisatie gebruikt ten minste de beheersmaatregelen van ISO 27002:2022, behalve 5.32 en 5.34, en de relevante overheidsmaatregelen uit de BIO2.
• Drempels voor melden (artikel 6): voor zowel centrale als decentrale overheden is een incident significant bij uitval van de dienstverlening van ten minste 4 uur, of bij ernstige verwonding of de dood van een persoon.

Voor de centrale overheid noemt artikel 6 ook financiële schade voor de staat of samenleving van meer dan 500 miljoen euro. Voor decentrale overheden telt een incident met financiële gevolgen die niet in de begroting kunnen worden opgevangen.

Wat is de BIO2 en hoe verhoudt die zich tot de wet?

De BIO2 is het herziene normenkader voor informatiebeveiliging voor alle overheidslagen. Het Overheidsbreed Beleidsoverleg Digitale Overheid stelde de BIO2 op 23 september 2025 vast. De BIO2 vervangt de indeling in 3 basisbeveiligingsniveaus (BBN’s) door een risicogestuurde aanpak, en een aantal maatregelen is verzwaard vanwege NIS2 (bron: Digitale Overheid, 2025).

Op 5 maart 2026 verscheen BIO2 versie 1.3 in de Staatscourant. De ministeriële regeling onder de Cyberbeveiligingswet verwijst rechtstreeks naar die publicatie. Er zijn 3 overheidsmaatregelen uitgezonderd van de Cbw-verplichting, omdat ze buiten de netwerk- en informatiesystemen vallen; die blijven verplichtende zelfregulering. Gemeenten leggen verantwoording af over de BIO via ENSIA (Eenduidige Normatiek Single Information Audit). De volledige uitleg staat op BIO: Baseline Informatiebeveiliging Overheid.

Welke rol hebben de VNG en de IBD voor gemeenten?

De Informatiebeveiligingsdienst (IBD) ondersteunt gemeenten bij informatiebeveiliging en privacy. De IBD is in 2013 opgericht door alle Nederlandse gemeenten en is ondergebracht bij VNG Realisatie, onderdeel van de Vereniging van Nederlandse Gemeenten (bron: IBD). Alle gemeenten kunnen gebruikmaken van de producten en de generieke dienstverlening.

De IBD draagt namens gemeenten bij aan de BIO, deelt kennis tussen gemeenten en leveranciers en heeft een CERT dat dag en nacht bereikbaar is. De impacttabel van de IBD is in de Cyberbeveiligingsregeling sector overheid gebruikt om te bepalen welke systemen van decentrale overheden kritiek zijn. De IBD heeft met een aantal gemeenten al uitgewerkt welke processen kritiek zijn, zodat niet elke gemeente dat zelf hoeft te doen.

Voorbeeld uit de praktijk: de hack bij Hof van Twente

Op 1 december 2020 konden medewerkers van de gemeente Hof van Twente niet meer inloggen op de thuiswerkomgeving (bron: VNG, Bestuurlijke lessen uit de hack bij Hof van Twente, 2021). Criminelen waren enkele weken eerder binnengekomen door een combinatie van inrichtingsfouten en gebrek aan monitoring. Ze vernietigden data en gijzelden de reservekopieën. Het was een ransomware-aanval.

Vanaf 1 december lagen nagenoeg alle processen van de gemeente stil. Inwoners konden niet terecht voor aanvragen en uittreksels, en de zakelijke e-mail werkte niet. De gemeente werkte tot medio januari met een crisisorganisatie op GRIP-3-niveau, onder leiding van de burgemeester. Het bedrijfscontinuïteitsplan en het incidentresponsplan hielpen bij de opschaling, maar lieten volgens de VNG nog veel vragen open. Volledig herstel zou naar verwachting minimaal een jaar duren.

De VNG trok 5 lessen voor bestuurders. Het ontbreken van basismaatregelen leidt tot een rampscenario. Overzicht houden op de beveiliging bij leveranciers is lastig en nodig. Crisismanagement bij informatiebeveiligingsincidenten stond nog in de kinderschoenen. De rol van bestuur groeit met de impact, en een gemeente redt het niet alleen bij een groot incident. De IBD adviseerde met klem om tweefactorauthenticatie in te voeren.

Hoe is het CIO- en CISO-stelsel bij het Rijk geregeld?

Het Rijk werkt met een vast stelsel van CIO’s en CISO’s, vastgelegd in het Besluit CIO-stelsel Rijksdienst 2026 (bron: Staatscourant 2025, 40208). Elk ministerie heeft een departementale CIO en een departementale CISO die rechtstreeks onder die CIO valt (artikel 6). De CISO ontwikkelt en coördineert het informatiebeveiligingsbeleid van het ministerie en ondersteunt het lijnmanagement bij de uitvoering.

Rijksbreed stelt de minister van BZK een CIO Rijk en een CISO Rijk aan (artikel 17). De CISO Rijk coördineert het beleid en de maatregelen voor informatiebeveiliging binnen de rijksdienst en valt onder de CIO Rijk. Volgens de Rijksoverheid geldt het vernieuwde stelsel sinds 1 januari 2026.

Stappen: checklist informatiebeveiliging voor een overheidsorganisatie

1. Registreer de organisatie bij het NCSC als essentiële entiteit, als dat nog niet is gebeurd.
2. Richt een ISMS in volgens ISO 27001 en laat het bestuur de maatregelen goedkeuren.
3. Bepaal welke netwerk- en informatiesystemen kritiek zijn, met de tabel met te beschermen belangen of de impacttabel van de IBD.
4. Kies maatregelen uit ISO 27002 op basis van risico’s en pas de verplichte overheidsmaatregelen uit de BIO2 toe.
5. Zet tweefactorauthenticatie of multifactorauthenticatie aan, te beginnen bij beheeraccounts en toegang op afstand.
6. Maak afspraken met leveranciers over beveiliging en incidentmelding, omdat een supply-chain-aanval via hun toegang kan lopen.
7. Test back-ups en bewaar een kopie die aanvallers niet kunnen bereiken, als onderdeel van business continuity.
8. Oefen jaarlijks een cyberincident met het bestuur, inclusief de melding binnen 24 uur en het incident response-plan.

Een algemeen stappenplan voor de wet staat in de checklist voor de Cyberbeveiligingswet.

Wat betekent dit voor een security-professional bij de overheid?

Bij de overheid is de BIO2 het dagelijkse werkkader. Een CISO of information security officer bij een gemeente of ministerie onderbouwt keuzes met risico’s, legt ze vast in een verklaring van toepasselijkheid en rapporteert aan het bestuur. Sinds de Cyberbeveiligingswet houdt de RDI daar toezicht op.

De les van Hof van Twente is dat basismaatregelen, monitoring en oefenen zwaarder wegen dan nieuwe techniek. Wie in dit werkveld wil beginnen, heeft baat bij kennis van ISO 27001, risicomanagement en crisisbeheersing. Opleidingen staan bij opleidingen informatiebeveiliging en ISO 27001.

Veelgestelde vragen

Wat is de BIO-regelgeving?

De BIO is het normenkader voor informatiebeveiliging van het Rijk, provincies, gemeenten en waterschappen. De actuele versie, BIO2 versie 1.3, staat sinds 5 maart 2026 in de Staatscourant. De Cyberbeveiligingsregeling sector overheid verwijst daarnaar, waardoor de BIO2 voor overheden onder de Cyberbeveiligingswet sinds 15 augustus 2026 wettelijk verplicht is.

Wanneer is de BIO2 verplicht?

Sinds 15 augustus 2026 is de BIO2 via de Cyberbeveiligingsregeling sector overheid wettelijk verplicht voor ministeries, zelfstandige bestuursorganen, provincies, gemeenten en gemeenschappelijke regelingen onder de wet. Vanaf 23 september 2025 gold de BIO2 al als verplichtende zelfregulering voor het Rijk, provincies en waterschappen en als richtinggevend kader voor gemeenten.

Wat is het verschil tussen de BIO en de BIO2?

De oude BIO werkte met 3 vaste basisbeveiligingsniveaus. De BIO2 vervangt die door een risicogestuurde aanpak: de organisatie kiest maatregelen op basis van een risicoanalyse, met de verplichte overheidsmaatregelen als minimum. Een aantal maatregelen is verzwaard om te voldoen aan NIS2. De BIO2 sluit aan op ISO 27001:2023 en ISO 27002:2022.

Wat is het BBN-niveau?

BBN staat voor basisbeveiligingsniveau. De oude BIO kende 3 BBN’s, waarmee een overheidsorganisatie per systeem een vast pakket maatregelen koos. De BIO2 heeft deze indeling vervangen door een risicogestuurde aanpak. Een BBN-niveau speelt daardoor geen rol meer bij de verplichtingen onder de Cyberbeveiligingswet.

Valt een gemeente onder de Cyberbeveiligingswet?

Ja. Elke gemeente is onder de Cyberbeveiligingswet een essentiële entiteit, ongeacht haar omvang. Een gemeente moet zich registreren bij het NCSC, de BIO2 en ISO 27001 en 27002 toepassen en een significant incident melden, zoals uitval van de dienstverlening van ten minste 4 uur. De RDI houdt toezicht.