Wat betekenen de Cyberbeveiligingswet en BIO2 voor overheidsorganisaties?
Met de instemming van de Tweede Kamer met de Cyberbeveiligingswet is digitale weerbaarheid voor organisaties in en rond de overheid nadrukkelijker een bestuurlijke opgave geworden. Voor gemeenten is dat relevant, omdat cyberincidenten niet meer alleen voor ICT geldt. Ze kunnen direct doorwerken in de dienstverlening, de ketensamenwerking, de publieke verantwoording en het vertrouwen van inwoners. In combinatie met BIO2 ontstaat daarmee niet alleen een nieuw normatief kader, maar ook een concretere opgave voor bestuur, directie en organisatie.
Van serverruimte naar bestuurskamer
Op 15 april 2026 stemde de Tweede Kamer in met de Cyberbeveiligingswet, de Nederlandse vertaling van de Europese NIS2-richtlijn. Daarmee verschuift digitale weerbaarheid nadrukkelijker van een technisch onderwerp naar een bestuurlijke opgave. Kort daarvoor werd ook BIO2 gepubliceerd, als opvolger van BIO 1.04. Dit vernieuwde normenkader sluit aan op de Cyberbeveiligingswet en helpt gemeenten en andere overheidsorganisaties om informatiebeveiliging concreet, aantoonbaar en organisatiebreed in te vullen. De wet stelt de verplichting, BIO2 helpt bij de praktische vertaling daarvan in de organisatie.
Dit is wat er verandert
De Cyberbeveiligingswet en BIO2 scherpen de eisen aan informatiebeveiliging binnen overheidsorganisaties verder aan. Voor gemeenten betekent dat nieuwe verplichtingen zoals de noodzaak om digitale risico’s organisatiebreed te benaderen. Dit om aantoonbaar te gaan sturen op digitale weerbaarheid.
Concreet zie je dat terug in een aantal ontwikkelingen:
- de overstap naar een risicogebaseerde aanpak, in plaats van de eerdere indeling in basisbeveiligingsniveaus (BBN’s);
- het inrichten en onderhouden van een informatiebeveiligingsmanagementsysteem (ISMS) conform ISO 27001;
- meer nadruk op zorgplicht, registratieplicht en meldplicht bij significante incidenten;
- duidelijkere bestuurlijke verantwoordelijkheid voor informatiebeveiliging;
- meer aandacht voor risico’s in de toeleveringsketen.
Digitale kwetsbaarheid is zowel een technisch risico als een organisatierisico. Voor overheidsorganisaties is dat relevant, omdat verstoringen snel doorwerken in publieke taken en maatschappelijke afhankelijkheden.
Wat recente incidenten bij Odido, Basic-Fit en gemeente Epe laten zien
Waarom is dat belangrijk? Omdat recente incidenten laten zien hoe breed de gevolgen van cyberincidenten kunnen zijn.
Bij Odido en Basic-Fit werd duidelijk hoe groot de impact kan zijn wanneer persoonsgegevens via systemen of partners in verkeerde handen vallen. Bij Bevolkingsonderzoek Nederland viel op hoe belangrijk snelle en zorgvuldige communicatie is zodra een incident zich voordoet. De situatie rond ChipSoft liet zien dat problemen bij een leverancier direct kunnen doorwerken in processen van andere organisaties. En bij gemeente Epe werd pijnlijk zichtbaar hoe een phishingaanval kan uitgroeien tot een groot incident met fors dataverlies.
Wat deze voorbeelden vooral laten zien, is dat cyberincidenten niet alleen voor de ICT-afdeling gelden. Ze raken de dagelijkse dienstverlening. Ze zetten de samenwerking met leveranciers en partners onder druk. Ze roepen bestuurlijke vragen op over verantwoordelijkheid, afwegingen en communicatie. En uiteindelijk raken ze ook het vertrouwen van inwoners, cliënten of klanten.
Wie voorbereid wil zijn, kijkt verder dan de techniek
Voor bestuurders van gemeenten en andere (semi)publieke organisaties ligt de opgave daarom breder. Van hen wordt niet verwacht dat zij zelf de inhoudelijke diepte van ieder technisch vraagstuk beheersen. Wel wordt verwacht dat zij zorgen voor duidelijke sturing, heldere verantwoordelijkheden en een organisatie die voorbereid is als het misgaat.
Dat vraagt om meer dan beveiligingsmaatregelen alleen. Risico’s moeten in beeld zijn. Afhankelijkheden van leveranciers en ketenpartners moeten serieus worden meegewogen. Incidenten moeten zorgvuldig worden geregistreerd en tijdig worden gemeld. En minstens zo belangrijk: vooraf moet duidelijk zijn wie aan zet is als een verstoring bestuurlijke gevolgen krijgt.
De belangrijkere vraag is of de organisatie als geheel in staat is om onder druk verstandig te handelen. Kun je verstoringen opvangen? Zijn rollen en verantwoordelijkheden helder? Kun je tijdig en passend communiceren? En lukt het om ook dan het vertrouwen van de buitenwereld vast te houden?
Met digitale weerbaarheid zorg je niet alleen voor je eigen organisatie, maar ook voor je inwoners of klanten, een belangrijke voorwaarde voor goed bestuur.
