Eén doel, drie instrumenten
NIS2, BIO2 en de Cyberbeveiligingswet (Cbw) gaan allemaal over hetzelfde onderwerp: het beter beveiligen van organisaties tegen digitale risico’s. Het doel van alle drie is simpel: organisaties moeten hun digitale weerbaarheid op orde hebben, zodat ze problemen kunnen voorkomen of sneller kunnen oplossen. Toch hebben deze drie begrippen hun eigen functie.
NIS2
NIS2 staat voor Network and Information Security Directive 2. Dat is een Europese wet die ervoor moet zorgen dat organisaties in essentiële sectoren beter beschermd zijn tegen cyberaanvallen en digitale verstoringen. De regels gelden voor organisaties die belangrijk zijn voor de samenleving, zoals: overheden, zorginstellingen, energiebedrijven, vervoersorganisaties en digitale dienstverleners. Deze organisaties moeten (verplichting dus) niet alleen de technische beveiliging regelen, maar ze moeten ook kunnen laten zien dat zij risico’s structureel beheren en incidenten serieus aanpakken. Dwz ze moeten aantoonbaar werken aan digitale veiligheid. NIS2 stelt, onder andere, eisen aan:
- het herkennen van risico’s
- beveiligingsmaatregelen
- toezicht vanuit bestuur en management
- samenwerking met leveranciers
Cyberbeveiligingswet (Cbw)
Een Europese richtlijn zoals de NIS2 geldt niet automatisch. Elk land moet die vertalen naar eigen wetgeving. In Nederland gebeurt dat via de Cyberbeveiligingswet (Cbw). De Cbw is dus de Nederlandse wet die de NIS2-regels in Nederland toepasbaar maakt. Met andere woorden: NIS2 is de Europese basis, en de Cbw is de Nederlandse vertaling daarvan naar wetgeving. Daardoor zijn organisaties in Nederland verplicht om aan die Europese eisen te voldoen.
De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden. Vanaf dat moment gelden voor ruim 8.000 organisaties in Nederland nieuwe wettelijke verplichtingen op het gebied van cyberbeveiliging. Organisaties die onder de Cyberbeveiligingswet vallen, hebben onder meer een zorgplicht, registratieplicht en meldplicht. Ook kunnen bestuurders verantwoordelijk worden gehouden voor het toezicht op de naleving van deze verplichtingen.
De kernverplichtingen:
- Zorgplicht — passende technische en organisatorische maatregelen nemen.
- Registratieplicht — aanmelden bij het NCSC.
- Meldplicht in drie stappen: binnen 24 uur een vroegtijdige waarschuwing, binnen 72 uur een vervolgmelding en uiterlijk één maand na de eerste melding een eindverslag (via mijn.ncsc.nl).
- Bestuurlijke verantwoordelijkheid — inclusief verplichte bestuurderstraining (overgangstermijn max. 2 jaar).
Waar past BIO2 in dit verhaal?
BIO2 is een praktische set van regels, maatregelen en richtlijnen voor informatiebeveiliging. Voor Nederlandse overheidsorganisaties speelt BIO2 een belangrijke rol bij de praktische invulling van de hierboven genoemde zorgplicht uit de Cyberbeveiligingswet. De beveiligingsmaatregelen uit BIO2 helpen deze organisaties om cyberrisico’s te beheersen en invulling te geven aan de eisen uit de Cyberbeveiligingswet. Je kunt BIO2 zien als een handboek met concrete maatregelen die beschrijven hoe een organisatie de wettelijke eisen (uit NIS2/Cbw) in de praktijk kan invullen. De registratie- en meldplicht worden niet via BIO2 ingevuld; daarvoor gelden afzonderlijke wettelijke procedures
De relatie tussen de drie is: NIS2 zegt wat er moet gebeuren, de Cbw maakt dat in Nederland wettelijk bindend, en BIO2 helpt overheidsorganisaties met hoe ze dat kunnen uitvoeren. BIO2 geeft dus concrete invulling aan beveiligingsmaatregelen, zoals toegangsbeheer, risicobeoordelingen, incidentafhandeling en governance.
Belangrijk te weten is, dat voldoen aan BIO2 niet automatisch betekent dat een organisatie ook volledig NIS2-compliant is. Maar in de praktijk overlappen veel eisen wel sterk, waardoor BIO2 vaak een stevige basis is voor het naleven van NIS2/Cbw.
Kort samengevat
🇪🇺 NIS2
Europese wet of richtlijn die zegt dat organisaties hun digitale veiligheid serieus moeten regelen.
WAT moet je bereiken?
🇳🇱 Cyberbeveiligingswet (Cbw)
Nederlandse wet die de NIS2-verplichtingen wettelijk bindend maakt in Nederland.
WAT moet je bereiken (in NL)?
🛠️ BIO2
Praktisch normenkader voor overheidsorganisaties om de verplichtingen uit de wet concreet toe te passen.
HOE richt je dat in?