De Nederlandse overheid heeft een nieuwe richtlijn voor het beveiligen van systemen en informatie, de Baseline Informatiebeveiliging Overheid 2 (BIO2). De BIO2 is de opvolger van de Baseline Informatiebeveiliging Overheid en is een normenkader voor informatiebeveiliging binnen de overheid, waarbij risicomanagement centraal staat. Het biedt richtlijnen, algemene principes en verplichte overheidsmaatregelen voor het verbeteren van informatiebeveiliging binnen de overheid.

Het doel van de BIO is om de informatieveiligheid overheidsbreed op een gemeenschappelijk basisniveau te brengen. Concreet gaat het om zaken als het gebruik van multifactorauthenticatie, het aanbieden van een wachtwoordmanager aan medewerkers, het monitoren van accounts met bijzondere rechten, het uitvoeren van penetratietests en bewustwordingsprogramma’s voor personeel, maar ook zaken met betrekking tot proceseigenaren, toeleveringsketens, afspraken met leveranciers en het altijd testen van grote wijzigingen in de productieomgeving.

"De BIO2 weerspiegelt de internationale beveiligingsnormen (NEN-EN-ISO/IEC 27001:2023 (nl) en NEN-EN-ISO/IEC 27002:2022 (nl)) en vervangt de indeling in 3 Basisbeveiligingsniveaus (BBN’s) uit de vorige BIO versies, door een explicietere risicogerichte benadering. Hiermee kunnen overheidsinstanties maatregelen afstemmen op specifieke risico’s, zonder vast te zitten aan de 3 beveiligingsniveaus", zo laat Digitale Overheid weten, een initiatief van het ministerie van Binnenlandse Zaken.

Het Overheidsbreed Beleidsoverleg Digitale Overheid heeft de BIO2 gisteren vastgesteld. De nieuwe richtlijn gaat direct in als verplichtende zelfregulering voor provincies, waterschappen en het Rijk, en als richtinggevend kader voor gemeenten.