31 oktober 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
BIO pentest: wat de Baseline Informatiebeveiliging Overheid verwacht van overheden, gemeenten en hun leveranciers
De Baseline Informatiebeveiliging Overheid is de ene norm voor informatiebeveiliging voor alle vier de bestuurslagen, en BIO 2.0 brengt haar in lijn met ISO/IEC 27002:2022. Meerdere maatregelen zijn alleen aantoonbaar met een penetratietest. Deze gids legt uit wie moet voldoen, waar testen wordt verwacht, hoe gemeenten zich via ENSIA verantwoorden, hoe overheden een pentest inkopen en hoe de Cyberbeveiligingswet de inzet verhoogt.
Wat de BIO is en wat BIO 2.0 veranderde
De Baseline Informatiebeveiliging Overheid (BIO) is de gemeenschappelijke norm voor informatiebeveiliging van de Nederlandse overheid. Zij verving vier afzonderlijke baselines (voor het Rijk, gemeenten, provincies en waterschappen) door één kader, verplicht voor het Rijk vanaf 1 januari 2019 en kort daarna voor de overige bestuurslagen. De BIO neemt ISO/IEC 27001 en 27002 als ruggengraat en voegt overheidsspecifieke maatregelen toe op drie basisbeveiligingsniveaus (BBN 1 tot 3), met BBN 2 als uitgangspunt voor de meeste overheidsinformatiesystemen. Het resultaat is een norm die een ISO 27001-auditor direct herkent, met concrete, toetsbare maatregelen aan de beheersmaatregelen gehangen.
BIO 2.0 is de huidige versie. Zij herstructureert de baseline langs ISO/IEC 27002:2022, die de vertrouwde maatregelenset uit 2013 herordende in vier thema's (organisatorisch, mensgericht, fysiek en technologisch) en maatregelen toevoegde over dreigingsinformatie, configuratiebeheer, preventie van gegevenslekken en veilig programmeren. BIO 2.0 behoudt de basisbeveiligingsniveaus en de overheidsspecifieke maatregelen, nu gekoppeld aan de nummering van 2022. Overheden en leveranciers die hun bewijs aan de oude nummering hadden gekoppeld (12.6.1 voor kwetsbaarhedenbeheer, 14.2.8 voor het testen van systeembeveiliging, 18.2.3 voor technische nalevingscontrole) koppelen het nu aan 8.8, 8.29 en 5.36. De verplichtingen werden niet lichter; de structuur werd schoner.
De BIO is verankerd in afspraken tussen de bestuurslagen en, voor het Rijk, in het rijksbrede beleidskader. De Cyberbeveiligingswet, de Nederlandse omzetting van NIS2, geeft de zorgplicht een wettelijke basis voor de overheidsorganisaties die zij bestrijkt, en de BIO is het door de overheid benoemde instrument om daaraan te voldoen. Naleving is daarmee geen interbestuurlijke afspraak meer, maar een wettelijke kwestie.
Wie aan de BIO moet voldoen
Alle vier de bestuurslagen, en via hen een groot deel van de Nederlandse software- en hostingmarkt.
Rijksoverheid
Ministeries, uitvoeringsorganisaties, inspecties en shared service organisaties. Het kader van CIO Rijk vereist BIO-naleving voor elk informatiesysteem, met de departementale CISO als verantwoordelijke en de Algemene Rekenkamer die informatiebeveiliging beoordeelt als onderdeel van het jaarlijkse verantwoordingsonderzoek.
Provincies
De twaalf provincies, hun uitvoerende organisaties en de gezamenlijke diensten die zij samen voeren. Provincies verantwoorden BIO-naleving aan de Provinciale Staten en vallen onder dezelfde interbestuurlijke afspraken als de andere lagen.
Gemeenten
Alle gemeenten en hun gemeenschappelijke regelingen, zoals regionale sociale diensten, omgevingsdiensten en ICT-samenwerkingen. Gemeenten verantwoorden BIO-naleving jaarlijks via ENSIA, ondersteund door de Informatiebeveiligingsdienst (IBD) van de VNG.
Waterschappen
De 21 waterschappen, waarvan de operationele technologie voor waterkering, waterkwaliteit en zuivering OT-beveiliging binnen de BIO-scope brengt. Waterbeheer is ook een bijlage I-sector onder NIS2, waardoor de waterschappen tot de essentiële entiteiten behoren.
Leveranciers onder contract
SaaS-leveranciers, hostingpartijen, softwareontwikkelaars en managed service providers die overheidsinformatie verwerken of overheidssystemen beheren. De BIO geldt voor hen via het contract, en overheden worden geacht de naleving te verifiëren in plaats van op vertrouwen aan te nemen.
Gedeelde infrastructuur en ketens
Basisregistraties, DigiD- en Suwinet-aansluitingen, het Digitaal Stelsel Omgevingswet en andere ketens waarin veel overheden van één platform afhankelijk zijn. Deze ketens hebben eigen toetsingsregimes die bovenop de BIO liggen.
Waar de BIO penetratietesten verwacht
De BIO zegt, net als ISO 27002, zelden penetratietest. Zij zegt testen, verifiëren en aantonen, en de overheidsspecifieke maatregelen maken duidelijk wat dat betekent voor systemen op BBN 2 en hoger.
Technische nalevingscontrole (maatregel 5.36)
Informatiesystemen moeten regelmatig worden gecontroleerd op naleving van het beveiligingsbeleid en de normen van de organisatie. De overheidsspecifieke maatregelen onder deze beheersmaatregel vragen om periodieke technische verificatie van internet-facing en kritieke systemen, wat in de praktijk een jaarlijkse penetratietest betekent, met bevindingen die via een gedocumenteerd proces worden afgehandeld en aan de systeemeigenaar worden gerapporteerd. Dit is de maatregel waar auditors en de IBD als eerste naar wijzen wanneer zij om het laatste rapport vragen.
Beheer van technische kwetsbaarheden (maatregel 8.8)
De BIO stelt hier concrete verwachtingen: kwetsbaarheidsinformatie moet worden verkregen en beoordeeld, en patches voor kwetsbaarheden die het NCSC als hoge kans en hoge schade classificeert, moeten binnen een korte, vastgelegde termijn worden geïnstalleerd. Kwetsbaarheidsscans dekken het bekende. Een penetratietest dekt de combinatie: een middelhoge kwetsbaarheid op het ene systeem die via zwakke segmentering of hergebruikte wachtwoorden een pad wordt naar een systeem met hoge waarde.
Veilig ontwikkelen en beveiligingstesten (maatregelen 8.25 tot 8.29)
Systemen die voor overheidsgebruik worden gebouwd of geconfigureerd, moeten een veilige ontwikkelcyclus volgen, en beveiliging moet vóór acceptatie worden getest. Voor gemeenten en uitvoeringsorganisaties die software laten bouwen, vertalen de maatregelen zich in acceptatiecriteria: een penetratietest van het nieuwe systeem of de grote release vóór livegang, met kritieke en hoge bevindingen opgelost. Overheden schrijven dit steeds vaker in het contract in plaats van erop te hopen.
Zekerheid over leveranciers (maatregelen 5.19 tot 5.23)
Beveiligingseisen moeten met leveranciers worden afgesproken en bewaakt. Voor SaaS en hosting verwacht de BIO dat de overheid zekerheid verkrijgt dat de leverancier aan de baseline voldoet: een certificaat, een assurancerapport (bijvoorbeeld een ISAE 3402 of een derdenverklaring) en, voor internet-facing diensten, een recent pentestrapport waarvan de scope de dienst dekt zoals geleverd. De overheid blijft verantwoordelijk voor het testen van haar eigen configuratie en koppelingen.
Logging, monitoring en incidentrespons (maatregelen 8.15, 8.16, 5.24 tot 5.28)
De BIO vereist logging van beveiligingsrelevante gebeurtenissen en monitoring op afwijkingen, en de Cyberbeveiligingswet voegt wettelijke meldtermijnen voor incidenten toe. Een penetratietest is de eenvoudigste realistische oefening van deze maatregelen: heeft het SOC of de leverancier de test gezien, en hoe lang duurde dat? Een test die onopgemerkt voorbijgaat, is zelf een bevinding.
BIO-verantwoording per bestuurslaag
De baseline is overal gelijk. Hoe naleving wordt gerapporteerd, en wie de penetratietest beoordeelt, verschilt per laag.
| Bestuurslaag | Verantwoordingsmechanisme | Rol van de penetratietest |
|---|---|---|
| Rijksoverheid | In-control-verklaringen per ministerie onder het kader van CIO Rijk; beoordeling door de Algemene Rekenkamer | Bewijs voor technische naleving van kritieke en internet-facing systemen; vaak per systeem vereist in het Rijks ICT-dashboard |
| Gemeenten | ENSIA: jaarlijkse zelfevaluatie, collegeverklaring, assurance van de IT-auditor voor DigiD en Suwinet, rapportage aan de gemeenteraad | Verplichte input voor de DigiD- en Suwinet-assurance; bewijs voor de BIO-zelfevaluatie op technische naleving |
| Provincies | Zelfevaluatie en rapportage aan de Provinciale Staten onder interprovinciale afspraken | Bewijs voor technische naleving; steeds vaker in lijn met het ENSIA-format |
| Waterschappen | Zelfevaluatie onder de afspraken van de Unie van Waterschappen; NIS2-toezicht als essentiële entiteit | Bewijs voor technische naleving van IT en OT; input voor de NIS2-doeltreffendheidsbeoordeling |
| Leveranciers | Contractueel: GIBIT- of ARBIT-voorwaarden, certificaten, assurancerapporten | Rapport overhandigd aan elke overheidsklant; één test op platformniveau bedient veel klanten als scope en documentatie kloppen |
ENSIA: hoe gemeenten zich verantwoorden over de BIO, DigiD en Suwinet
ENSIA (Eenduidige Normatiek Single Information Audit) bundelt de verantwoording van een gemeente over informatiebeveiliging in één jaarcyclus. De penetratietest voedt meerdere onderdelen ervan.
- De BIO-zelfevaluatie, ingevuld in de tweede helft van het jaar, waarin de gemeente per maatregel aangeeft hoe zij voldoet; claims over technische naleving vragen een actueel testrapport als onderbouwing
- Het DigiD-assessment, waarin een Register EDP-auditor assurance geeft over de DigiD-aansluitingen van de gemeente; een penetratietest van elke aansluiting en het bijbehorende portaal is een vaste eis van de Logius-norm
- Het Suwinet-assessment, over het gebruik van de Suwinet-uitwisseling voor het sociaal domein, met een eigen normenkader en auditorassurance die opnieuw steunt op technisch testen van de gekoppelde systemen
- De collegeverklaring die het college in het voorjaar ondertekent ter bevestiging van de DigiD- en Suwinet-resultaten, en de rapportage aan de gemeenteraad halverwege het jaar
- De verticale verantwoording aan de ministeries over de BRP, reisdocumenten, BAG, BGT en BRO, die vragenlijstgebaseerd is maar naar dezelfde technische maatregelen verwijst
- De jaarlijkse handreiking van de IBD over de cyclus, inclusief op welke leverancierszekerheid (TPM's) de auditor mag steunen voor gehoste portalen en welke onderdelen de gemeente zelf moet testen
Een pentest inkopen als overheid: de inkooppraktijk
Overheden kopen penetratietesten in onder de Aanbestedingswet 2012. Onder de Europese drempel voor diensten gebruiken de meeste gemeenten en uitvoeringsorganisaties een meervoudig onderhandse procedure of putten zij uit een raamovereenkomst die zij of een inkoopsamenwerking al hebben aanbesteed; boven de drempel geldt een openbare Europese procedure of een dynamisch aankoopsysteem (DAS), en de IT-beveiligingsraamovereenkomsten van verschillende rijks- en regionale organisaties zijn dan de gebruikelijke route. Het praktische gevolg is dat een overheid niet in oktober even een pentester kan bellen wanneer de ENSIA-deadline nadert. Het inkooptraject moet maanden eerder op orde zijn, en daarom besteden veel overheden een meerjarige raamovereenkomst voor beveiligingstesten aan met een vaste jaarlijkse afroep.
De algemene voorwaarden zijn gestandaardiseerd. Gemeenten gebruiken de GIBIT (Gemeentelijke Inkoopvoorwaarden bij IT), de IT-inkoopvoorwaarden van de VNG, die leveranciers verplichten tot BIO-naleving, tot medewerking aan beveiligingstesten en tot het melden van beveiligingsincidenten. Het Rijk gebruikt de ARBIT (Algemene Rijksvoorwaarden bij IT-overeenkomsten) met vergelijkbare bepalingen. Voor een pentestleverancier bepalen deze voorwaarden de regels over vertrouwelijkheid, gegevensverwerking, aansprakelijkheid en het recht van de overheid om het rapport te delen met haar auditor en toezichthouders. Voor een softwareleverancier die op overheidsopdrachten inschrijft, zijn dezelfde bepalingen de reden dat een actueel, goed gescopet pentestrapport inmiddels bij vrijwel elke inschrijving hoort.
Wat publieke inkopers steeds vaker specificeren, en zouden moeten specificeren: testers bij naam en gecertificeerd, een methodiek bij naam (NCSC-richtlijnen, OWASP, PTES, NIST SP 800-115), een rapportformat dat bevindingen aan de BIO-maatregel koppelt, een hertest in de prijs en een opleverdatum gekoppeld aan de verantwoordingskalender in plaats van aan de agenda van de leverancier. Een aanbesteding die dit specificeert, ontvangt vergelijkbare aanbiedingen. Een die om een penetratietest als één regel vraagt, ontvangt aanbiedingen die variëren van een geautomatiseerde scan tot een red team, zonder manier om ze te vergelijken.
De oefenmentaliteit, de Cyberbeveiligingswet en hoe wij voor de overheid testen
De jaarlijkse Overheidsbrede Cyberoefening, georganiseerd door het ministerie van BZK, heeft de manier veranderd waarop overheden over beveiliging denken: van een nalevingschecklist naar de vraag of de organisatie kan detecteren, reageren en herstellen. Een penetratietest hoort in die mentaliteit. Gescopet als assumed-breach-oefening tegen de systemen die ertoe doen (het zaaksysteem, het identiteitsplatform, de financiële systemen, de OT bij een waterschap), met het SOC of de monitoring van de leverancier in de lus, beantwoordt zij de oefenvraag met bewijs in plaats van met een aanname aan de tafel. De logging- en incidentmaatregelen van de BIO worden tegelijk getest, wat geen documentbeoordeling bereikt.
De Cyberbeveiligingswet verhoogt de inzet. Rijksorganisaties zijn essentiële entiteiten onder NIS2, waterschappen vallen onder de watersector in bijlage I, en de wet voorziet in het aanwijzen van verdere overheidsorganisaties. Voor aangewezen organisaties vereist artikel 21(2)(f) van NIS2 beleid en procedures om de doeltreffendheid van de risicobeheersmaatregelen te beoordelen, keurt het bestuur die maatregelen goed en kan het daarvoor verantwoordelijk worden gehouden, en moeten significante incidenten binnen 24 uur (vroegtijdige waarschuwing) en 72 uur (melding) worden gemeld. Een gedocumenteerd, door het bestuur goedgekeurd penetratietestprogramma is hoe een overheid aantoont dat de doeltreffendheidsbeoordeling op orde is, en de BIO is de maatregelenset waartegen zij beoordeelt.
HackersHub test voor ministeries, gemeenten, gemeenschappelijke regelingen en de leveranciers die hen bedienen. Wij scopen tegen de BIO-maatregelenset, testen vanuit de posities die ertoe doen (het internet, een gecompromitteerd werkstation, een leverancierskoppeling, een burgerportaal), stemmen af met de IBD-handreiking en de ENSIA-kalender voor gemeenten, en leveren een rapport dat per bevinding de BIO 2.0-maatregel en, waar relevant, de DigiD- of Suwinet-norm citeert. De lead tester is OSCP-gecertificeerd en wordt bij naam genoemd, de hertest is inbegrepen en het rapport is geschreven om zonder herwerk aan uw IT-auditor, uw raad of uw toezichthouder te overhandigen.
Veelgestelde vragen
Plant u uw BIO-testprogramma of ENSIA-cyclus?
Wij testen tegen de BIO 2.0-maatregelenset, sluiten aan op de ENSIA- en Logius-kalender en leveren een rapport dat uw auditor, raad of toezichthouder direct kan gebruiken. Praat met een expert.