BIO2 voor leveranciers van overheidsorganisaties, 17 maatregelen, elk met de vastlegging die erbij hoort.
Een gemeente of andere overheidsklant legt de BIO2 op aan zijn leveranciers, rechtstreeks of via de GIBIT. De BIO2 vraagt om het aantonen van opzet, bestaan en werking van maatregelen, en de werking is wat een vastlegging laat zien. Hieronder staan 17 maatregelen die raken aan toegang, wijzigingen, herstel en logging, per nummer en in eigen woorden, ook waar Opafra ze maar gedeeltelijk of niet beantwoordt.
Leveranciers van gemeenten en andere overheidsorganisaties.
De BIO is bindend voor overheidsorganisaties. Een bekendmaking in het Gemeenteblad van 2026 noemt de BIO 2.0 onder de bindende kaders en zegt dat de Cyberbeveiligingswet de BIO verplicht stelt voor overheidsorganisaties, gemeenten inbegrepen.
De GIBIT is een contract en geen vragenlijst. Artikel 29.1 vraagt dat de leverancier voldoet aan de gemeentelijke ICT-kwaliteitsnormen, en die vragen dat de ICT-dienst de gemeente laat voldoen aan de BIO. Zo komt de BIO bij de leverancier.
De BIO2 zegt dat een organisatie verantwoordelijk blijft voor de risico's van uitbestede diensten, en dat de BIO-verplichtingen in de inkoopeisen voor leveranciers komen. Organisaties tonen de opzet, het bestaan en de werking van hun maatregelen aan. De werking is wat een run en een toegangsreview laten zien.
BIO2, versie 1.3 definitief van 9 januari 2026.
We lazen de BIO2 voor de hier genoemde onderdelen. Een maatregel is genummerd als de ISO/IEC 27002:2022-maatregel plus een volgnummer, dus 5.18.02 is de tweede maatregel onder 5.18. De maatregelen zijn per nummer genoemd en in eigen woorden weergegeven, omdat de BIO auteursrechtelijk beschermde NEN-tekst bevat. Geen van deze 17 maatregelen is in de BIO2 grijs gemarkeerd: ze vallen alle binnen de reikwijdte van de Cyberbeveiligingswet.
9 maatregelen beantwoordt een vastlegging. Voor werk dat via Opafra loopt.
Het antwoord is een vastlegging die Opafra schrijft, voor werk dat via Opafra loopt.
9 ja, 6 gedeeltelijk, 2 nee
- 5.17.01: multifactorauthenticatie
- Is multifactorauthenticatie ingesteld, minstens voor accounts met beheerrechten en voor diensten die vanaf internet bereikbaar zijn? Inloggen bij Opafra gebruikt multifactorauthenticatie, en SSH-toegang gebruikt certificaten van vijf minuten per persoon.
- 5.18.01: accounts met bijzondere rechten
- Wordt het aanmaken en wijzigen van accounts met bijzondere rechten bewaakt, en geldt een ongeautoriseerde wijziging als incident? Elke wijziging van een rol of toekenning staat in het auditlog, met wie het deed en wanneer.
- 5.18.02: jaarlijkse review van toegangsrechten
- Worden alle verleende toegangsrechten minstens eens per jaar beoordeeld? De ondertekende toegangsreview per omgeving: iedereen met toegang, de beslissing per persoon, de beoordelaar en de datum.
- 8.02.01: kwartaalreview van bijzondere rechten
- Worden toegekende of gebruikte bijzondere rechten minstens elk kwartaal beoordeeld op opzet, bestaan en werking? De toegangsreview op een kwartaalinterval, met de toekenningen die ook echt zijn gebruikt.
- 8.05.01: leveranciers op het netwerk
- Krijgen externe leveranciers pas netwerktoegang na een risicobeoordeling vooraf die voorwaarden en duur vastlegt, en is vastgelegd hoe rechten zijn verleend? Een toekenning met einddatum draagt een reden, een met naam genoemde goedkeurder en een venster. De vastlegging van toegang is het register van wat is verleend.
- 8.13.04: de herstelprocedure testen
- Wordt de herstelprocedure minstens jaarlijks getest, of na een grote wijziging? De hersteltest volgens schema legt het resultaat vast en de tijd die het herstel kostte.
- 8.15.01: inhoud van een logregel
- Bevat een logregel minstens de actie, het object, het resultaat, de herkomst, de uitvoerder en het tijdstip? Het auditlog bewaart de actie, het onderdeel, de uitkomst, het IP-adres, de uitvoerder en het tijdstip.
- 8.18.02: systeemhulpprogramma's
- Wordt het gebruik van systeemhulpprogramma's vastgelegd en minstens zes maanden bewaard? Elke run en de commando's per host worden vastgelegd. Er wordt niets automatisch verwijderd.
- 8.31.02: testen voor productie
- Worden belangrijke wijzigingen in productie eerst getest, met uitzonderingen alleen na voorafgaande goedkeuring van de procesverantwoordelijke? De proefrun per host gaat vooraf aan de run, en de goedkeuring is gebonden aan de revisie die draait.
6 maatregelen beantwoordt de vastlegging voor een deel. De rest ligt elders.
De vastlegging is een deel van het antwoord. De rest is een beleid, een document of een systeem dat Opafra niet ziet.
- 8.32.01: wijzigingsbeheer
- Omvat wijzigingsbeheer het vastleggen van wijzigingen met testresultaten, een risicobeoordeling met terugdraaiplan en de goedkeuringsprocedure? De vastlegging van de wijziging toont de proefrun en de goedkeuring. De risicobeoordeling en het terugdraaiplan zijn tekst die uw team in het plan schrijft, en het terugdraaien van wat een run op een server deed is niet gebouwd.
- 5.20.03: onafhankelijke beoordeling van de leverancier
- Toont de leverancier jaarlijks, via een onafhankelijke beoordeling door een derde, dat hij voldoet qua opzet, bestaan en werking? De vastleggingen zijn het bewijs van de werking. De onafhankelijke beoordeling zelf is die van de auditor.
- 5.20.04: rapportages valideren en extern auditen
- Valideert de organisatie de rapportages van de leverancier zelf, en staat het contract een externe audit toe? De auditor van de klant krijgt een gratis alleen-lezenweergave, en de exports. De validatie en de contractafspraak liggen bij de afnemer.
- 5.22.01: jaarlijkse beoordeling van de leverancier
- Beoordeelt de procesverantwoordelijke de leverancier jaarlijks op het geleverde bewijs? De exports voeden die beoordeling. De beoordeling zelf doet de afnemer.
- 8.08.01: kwetsbaarheden binnen een week
- Worden waarschuwingen over kwetsbaarheden met een hoog risico binnen een week verholpen? Patchruns en hun termijnen worden vastgelegd, en ook de reden als een server wordt overgeslagen. Opafra scant niet op kwetsbaarheden.
- 8.15.05: wijziging van loggegevens
- Worden onterechte wijzigingen of verwijdering van loggegevens als incident gemeld? De database weigert het wijzigen en verwijderen van een auditlogregel. Het melden van een poging is het proces van uw team.
2 maatregelen beantwoordt Opafra niet. Ook die staan erbij.
Dit zijn de maatregelen waar het eerlijke antwoord nee is, of waar het antwoord een document is en geen vastlegging.
- 8.16.03: detectie en respons
- Wordt de omgeving bewaakt met een oplossing voor detectie en respons? Nee. Dat is het werk van een SIEM. Het auditlog is te exporteren als CSV of NDJSON en kan via de API worden opgehaald.
- 5.21.04: de toeleveringsketen van de leverancier
- Meldt de leverancier wijzigingen in zijn eigen toeleveringsketen tijdens de looptijd van het contract? Nee. Dat is een contractplicht en geen vastlegging van Opafra.
Bewijs voor een maatregel, geen oordeel.
Een ja of gedeeltelijk antwoord geldt voor werk dat via Opafra loopt. Het zegt niets over systemen die er niet doorheen lopen, en het is bewijs voor een antwoord, geen verklaring dat iemand aan een maatregel voldoet. Opafra levert geen certificaat of derdenverklaring: uw eigen blijft nodig.
Beantwoord de BIO2-vragen met vastleggingen.
Noem de vragenlijst die uw overheidsklant gebruikt. U krijgt een demo en uw prijs schriftelijk binnen één werkdag, zonder gesprek.