Zoals gezegd in De relatie tussen de BIO en ISO27002: de BIO2 bestaat uit de controls (beheersmaatregelen) van ISO 27002, maar is daarbij ook uitgebreid met verplichte overheidsmaatregelen. De verplichte overheidsmaatregelen zijn extra beveiligingsmaatregelen die specifiek voor de Nederlandse overheid verplicht zijn gesteld.
Totaal bestaat de BIO2 uit 93 beheersmaatregelen die organisaties helpen om informatie en systemen te beveiligen en de basis vormen voor informatiebeveiliging binnen Nederlandse overheidsorganisaties.
Thema’s van controls
Elke control beschrijft op welk onderwerp (thema) maatregelen nodig zijn om risico’s te beheersen. De controls zijn verdeeld over vier thema’s:
- Organisatorische maatregelen – beleid, rollen, verantwoordelijkheden, risicomanagement en governance.
- Mensgerichte maatregelen – opleiding, verantwoordelijk gedrag en beveiliging rondom medewerkers.
- Fysieke maatregelen – bescherming van gebouwen, ruimtes, apparatuur en fysieke toegang.
- Technologische maatregelen – beveiliging van systemen, netwerken en applicaties en gegevens.
De thema’s zijn ook terug te zien in de nummering van de controls. Het eerste cijfer van een control verwijst altijd naar het bijbehorende thema:
Nummering van controls
De controls in de BIO2 volgen de nummering van ISO 27002. Het eerste cijfer verwijst naar het thema. Zo vallen alle controls die beginnen met 5 binnen Organisatorische maatregelen. Het tweede getal geeft aan om welke specifieke control binnen dat thema het gaat.
Voorbeeld: Control 5.02 verwijst naar de beheersmaatregel “Rollen en verantwoordelijkheden” binnen het thema Organisatorische maatregelen.
BIO2 voegt altijd een extra subniveau toe. Waar ISO stopt bij twee getallen (5.02), hanteert de BIO2 drie getallen (5.02.01). Dit derde niveau maakt ruimte voor specifieke overheidsmaatregelen.
Wanneer voor een control geen aanvullende overheidsmaatregel is vastgesteld — zoals bij control 5.29 — wordt de ISO 27002-control ongewijzigd gevolgd. Binnen de BIO2 behoudt de control desondanks de notatie 5.29.01 om de vaste nummeringsstructuur aan te houden.
