Je overheidsklant verwijst naar BIO2. Wat lever je aan?
BIO2 is de Baseline Informatiebeveiliging Overheid: het normenkader voor informatiebeveiliging bij het Rijk, gemeenten, provincies en waterschappen. Het bouwt op ISO 27001 en 27002. Je valt als leverancier niet zelf onder BIO2, maar je klant moet ook de risico's bij leveranciers beheersen. Daarom krijg je vragen over je maatregelen. Antwoord met bewijs, en schrijf nooit dat je “BIO-compliant” bent.
Verkoop je software of IT-diensten aan een Nederlandse overheidsorganisatie, dan kom je BIO2 tegen: in de aanbesteding, in het contract of in een vragenlijst. Wat vraagt de klant dan eigenlijk van jou?
Wat BIO2 is
De Baseline Informatiebeveiliging Overheid (BIO) is het gezamenlijke normenkader voor informatiebeveiliging bij de Nederlandse overheid. De tweede versie, BIO2, is gebaseerd op ISO/IEC 27001 en 27002 en vertaalt normen naar maatregelen die alle bestuurslagen moeten naleven (Staatscourant 2026, 7416).
Versie 1.3 is op 5 maart 2026 gepubliceerd in de Staatscourant en geldt voor het Rijk, gemeenten, provincies en waterschappen. De Cyberbeveiligingswet is de basis voor die versie. Een volgende versie staat gepland rond eind 2027 (Digitale Overheid, maart 2026).
Waarom je als leverancier vragen krijgt
BIO2 geldt voor de overheidsorganisatie, niet voor jou. Maar BIO2 vraagt de organisatie ook om de risico's bij leveranciers te beheersen. In ISO 27002:2022 gaat het dan om de maatregelen over leveranciersrelaties: beveiliging in de relatie met leveranciers, afspraken in het contract, de ICT-toeleveringsketen, het bewaken van de dienstverlening en het gebruik van clouddiensten. Die eisen komen bij jou terecht als vragenlijst, als bijlage bij de aanbesteding of als contractbepaling.
Wat je kunt krijgen
| Onderwerp | Typische vraag | Bewijs dat helpt |
|---|---|---|
| Normenkader | Heb je ISO 27001, en valt deze dienst binnen de scope? | Certificaat met scope, verklaring van toepasselijkheid |
| Toegang | Hoe regel je toegang tot onze gegevens, met MFA? | Toegangsbeleid, schermafbeelding van de instelling |
| Locatie en cloud | Waar staan de gegevens, en welke clouddiensten gebruik je? | Lijst van subverwerkers en locaties |
| Kwetsbaarheden | Hoe snel verhelp je kritieke kwetsbaarheden? | Patchbeleid, samenvatting laatste pentest |
| Incidenten | Hoe snel meld je een incident aan ons? | Incidentprocedure, afspraken in het contract |
| Continuïteit | Hoe vaak test je herstel uit back-up? | Verslag van de laatste hersteltest |
Zo pak je het aan
- Vraag welke maatregelen voor jouw dienst gelden. BIO2 werkt met risico's. Niet elke maatregel geldt voor elke leverancier. Vraag welke informatie je verwerkt en welk risico de klant daaraan hangt.
- Leg ISO 27001 ernaast. Heb je ISO 27001, dan overlapt veel. Laat zien welke maatregelen je dekt en binnen welke scope.
- Antwoord per maatregel met bewijs. Een document, een instelling of een rapport. Zie ook de bewijsladder.
- Wees eerlijk over gaten. Een open punt met een plan en een datum is sterker dan een “ja” die later niet klopt.
- Controleer het contract. Wat je in de vragenlijst belooft, moet passen bij wat in het contract en de verwerkersovereenkomst staat.
Wat je beter niet schrijft
- “Wij zijn BIO-compliant” of “BIO-gecertificeerd”. BIO2 is een kader voor de overheid, geen certificaat voor leveranciers.
- “Al onze gegevens staan in Nederland” als een subverwerker elders zit.
Hoe Holdvero helpt
Bij Questionnaire Rescue beantwoorden we de vragenlijst van je overheidsklant op basis van je eigen documentatie, met een bron bij elk antwoord en eerlijke open punten. Holdvero levert geen certificering, geen audit en geen juridisch advies. Meer over Nederlandse klanten op de pagina Nederland.
Veelgestelde vragen
Moet ik als leverancier aan BIO2 voldoen?
BIO2 geldt voor overheidsorganisaties. Jouw klant kan wel eisen aan je stellen die uit BIO2 volgen, via de aanbesteding of het contract. Dan moet je laten zien hoe je die eisen invult.
Is ISO 27001 genoeg?
Vaak dekt ISO 27001 een groot deel, omdat BIO2 erop gebaseerd is. Controleer wel of jouw dienst binnen de scope van je certificaat valt, en vraag of de klant extra overheidsmaatregelen verwacht.
Welke versie van BIO2 geldt?
Op 13 oktober 2026 is dat versie 1.3, gepubliceerd in de Staatscourant op 5 maart 2026. Een volgende versie staat gepland rond eind 2027.
Geldt dit ook voor gemeenten?
Ja. Versie 1.3 geldt voor het Rijk, gemeenten, provincies en waterschappen. Voor gemeenten komt daar vaak GIBIT bij, de inkoopvoorwaarden van de VNG.
Een overheidsvragenlijst ontvangen?
Je hoort binnen 1 werkdag wat het kost en wanneer je hem terugkrijgt. Je betaalt pas na akkoord op de prijs.
Vraag een vaste prijs aan