De Baseline Informatiebeveiliging Overheid 2 (BIO2) is de opvolger van de BIO1.04 en de vernieuwde norm voor informatiebeveiliging binnen de Nederlandse overheid. In september 2025 is de BIO2 officieel vastgesteld door het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO). Inmiddels is deze vervangen door BIO2 versie 1.3, die op 5 maart 2026 is gepubliceerd in de Staatscourant. Veel overheidsorganisaties zijn al bezig met de invoering van BIO2.
Voor wie geldt de BIO2?
Sinds de inwerkingtreding van de Cyberbeveiligingswet (Cbw) op 15 augustus 2026 is de BIO2 het geldende normenkader voor informatiebeveiliging bij alle overheidslagen: Rijk, provincies, waterschappen en gemeenten. Voor overheidsorganisaties die onder de Cbw vallen, is toepassing van de BIO2 voor de beveiliging van netwerk- en informatiesystemen wettelijk verplicht. De ministeriële regeling onder de Cbw verwijst hiervoor naar BIO2 (versie 1.3). Voor overheidsorganisaties die buiten de reikwijdte van de Cbw vallen, blijft de BIO2 gelden als verplichtende zelfregulering.
Waarom nu een nieuwe BIO?
De vorige BIO was gebaseerd op de ISO 27001 en 27002 normen uit 2013. Inmiddels zijn deze internationale normen herzien (2022) en is de dreiging door cyberaanvallen sterk veranderd (denk aan de toename van ransomware). De BIO2 sluit aan op de nieuwe ISO 27002, verduidelijkt verantwoordelijkheden, en richt de focus op risicogestuurd werken.