Cyberbeveiligingswet in werking, BIO2 deels wettelijk verankerd

Op 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) in werking getreden. Daarmee verandert voor veel overheidsorganisaties de juridische status van BIO2 v1.3, meldde bio-overheid.nl op 1 september 2026.

BIO2 v1.3 blijft de geldende baseline voor informatiebeveiliging, en er geldt per 15 augustus geen nieuwe BIO. Wat verandert is de grondslag. Voor overheidsorganisaties die onder de Cbw vallen, is een groot deel van BIO2 sinds die datum wettelijk verankerd als nadere invulling van de zorgplicht voor de beveiliging van netwerk- en informatiesystemen.

Dat staat voor de sector Overheid in de Cyberbeveiligingsregeling sector overheid. De watersector, waaronder de waterschappen, valt onder de Cyberbeveiligingsregeling van het ministerie van Infrastructuur en Waterstaat. Eerder gold BIO2 vooral via verplichtende zelfregulering. Die blijft bestaan voor organisaties en onderdelen van informatiebeveiliging buiten de reikwijdte van de Cbw, zodat BIO2 ook daar het overheidsbrede kader blijft.

Niet alle beheersmaatregelen en BIO-overheidsmaatregelen vallen onder de wettelijke verplichting van de Cbw. Een aantal maatregelen is in de ministeriële regelingen uitgezonderd en blijft gelden op basis van de bestaande overheidsbrede afspraken over de BIO. In een FAQ over BIO2 en de Cbw licht bio-overheid.nl toe welke maatregelen wel en niet onder de wettelijke verplichting vallen. Daarin staat ook het onderscheid tussen beheersmaatregel 5.33 en de aanvullende BIO-overheidsmaatregel 5.33.01.

Voor overheidsorganisaties onder de Cbw staan volgens bio-overheid.nl sinds de inwerkingtreding vooral de verdere implementatie en borging van BIO2 v1.3 centraal. Het normenkader blijft in ontwikkeling: bij de Evaluatie BIO 2026 worden onder meer praktijkervaringen en ingediende wijzigingsvoorstellen betrokken. De instemming van de Eerste Kamer met de Cbw meldde bio-overheid.nl al op 8 juli 2026.