Eerder schreven we over de achtergrond en context van de Cyberbeveiligingswet (Cbw, de Nederlandse vertaling van de NIS2) en wat het voor organisaties betekent. De zorgplicht vanuit de Cbw vertoont veel overlap met de reeds bestaande informatiebeveiligingsnormen. In dit artikel beschrijven we die overlap tussen de Cbw en de BIO 2. Omdat de BIO 2 pas sinds 2026 bestaat, benoemen we ook de wijzigingen die in de BIO 2 zijn opgenomen ten behoeve van de Cbw.
Overeenkomsten tussen de Cwb en de BIO 2
Een van de belangrijkste artikelen uit de Cbw is artikel 21 lid 3, waarin een tiental maatregelen wordt voorgeschreven, om organisaties te beschermen tegen cyberaanvallen en bedreigingen voor de bedrijfscontinuïteit. Vrijwel al deze maatregelen staan ook beschreven in de BIO 2 en andere aanverwante informatiebeveiligingsnormen. Organisaties die volgens deze normen werken, voldoen voor een groot deel al aan de Cbw. Volwassen organisaties hoeven weinig te doen om aan artikel 21 uit de Cbw te voldoen, terwijl minder volwassen organisaties nog veel stappen moeten zetten.
Voor overheidsorganisaties is de BIO 2 nu de definitieve standaard, welke volledig is afgestemd op de Cbw.
Verschillen tussen de Cwb en de BIO 2
De Cbw-wetgeving brengt nieuwe verplichtingen met zich mee, voornamelijk op het gebied van:
- aanvullingen op aansprakelijkheid en verantwoordelijkheid van het bestuur;
- de nieuwe meldplicht van incidenten;
- bedrijfscontinuïteit;
- incidentenbeheer;
- de collectiviteit.
Deze onderwerpen komen ook voor in de BIO 2, maar worden hier aangescherpt.
|
|
Cbw
|
BIO 2
|
Verantwoordelijke aansprakelijkheid |
Bestuurders zijn (eind)verantwoordelijk
voor de informatiebeveiligingsorganisatie
en de werking ervan.
De verantwoordelijkheid voor informatiebeveiliging staat expliciet
in wetgeving.
Er is een verplichting voor het kennisniveau
van bestuurders over informatiebeveiliging.
|
De directie is verantwoordelijk voor de informatiebeveiligingsorganisatie en de werking ervan.
In de BIO 2 is deze verantwoordelijkheid via Cbw nu expliciet wettelijk verankerd.
Er is een harde verplichting voor de het kennisniveau en de opleiding van bestuurders (zie norm 5.04.01 van de BIO 2).
|
| Meldplicht |
Organisaties zijn verplicht significante incidenten te melden.
|
De BIO 2 implementeert deze meldplicht via concrete overheidsmaatregelen (o.a. 5.24.07), waardoor meldingen aan het CSIRT en toezichthouders gestandaardiseerd worden.
|
| Bedrijfscontinuïteit |
De Cbw is opgezet om de verstoring van bedrijfsvoering te voorkomen.
|
Bedrijfscontinuïteit is onderdeel van de bestaande normen. De BIO 2 scherpt dit aan met specifieke eisen voor het testen van continuïteitsplannen (o.a. 5.30.01).
|
| Samenwerking |
De Cbw is opgezet om (inter)nationale samenwerking op het gebied van informatiebeveiliging te stimuleren
en faciliteren.
|
De BIO 2 borgt dit via de verplichte samenwerking met het CSIRT. Voor overheidsorganisaties is dit het NCSC.
|
| Toezicht |
Toezichthouders mogen actief en passief toezicht houden op het naleven van de wet
en consequenties opleggen bij niet-naleving.
Voor de sector Overheid is de Digitale Infrastructuur (RDI) de aangewezen toezichthouder.
|
In de BIO 2 wordt verwezen naar de toezichthouder: deze moet in kaart zijn gebracht als stakeholder.
Meldingsplichtige incidenten moeten bij deze toezichthouder gemeld worde
|
Hieronder gaan we kort in op de extra verplichtingen.
Verantwoordelijkheid en aansprakelijkheid
De Cbw legt nadruk op de verantwoordelijkheid en aansprakelijkheid van het bestuur. Bestuursorganen moeten de maatregelen uit artikel 21 goedkeuren, toezien op de uitvoering en zijn aansprakelijk bij incidenten. Bovendien moet het bestuur een opleiding volgen op het gebied van informatiebeveiliging.
Dit is in de BIO 2 volledig overgenomen. Bestuurders zijn nu wettelijk verantwoordelijk voor het treffen van passende en evenredige maatregelen en moeten aantonen dat zij over de juiste kennis en vaardigheden beschikken om op risico's te sturen.
Wat betreft aansprakelijkheid: vrijwel alle verplichtingen uit de Cbw vallen onder de bestuurlijke aansprakelijkheid. Toezichthouders kunnen bestuurlijke boetes en maatregelen opleggen. In Nederland kunnen bestuurders bovendien persoonlijk hoofdelijk aansprakelijk worden gehouden. De Cbw bevat hierover geen apart artikel, omdat dit in Nederland al is geregeld via het bestuurs-, civiel- en strafrecht. Bestuurders konden dus altijd al aangesproken worden als de informatiebeveiliging of specifieke onderdelen van de Cbw niet op orde zijn. De nieuwe wetten versterken enkel de positie van degene die de aansprakelijkheid claimt. Bestuurders blijven daarnaast hoofdelijk aansprakelijk voor het voldoen aan de opleidingsplicht.
Meldplicht
De Cbw introduceert een meldplicht voor informatiebeveiligingsincidenten in het algemeen, vergelijkbaar met de meldplicht voor datalekken uit de Algemene Verordening Gegevensbescherming (AVG).
Organisaties onder de Cbw moeten binnen 24 uur na een (mogelijk) meldplichtig incident een waarschuwing uitgeven, gevolgd door een formele melding binnen 72 uur inclusief evaluatie van ernst en gevolgen. Het eindverslag moet binnen één maand worden ingediend. De BIO 2 operationaliseert dit via specifieke incidentprocedures (bijvoorbeeld 5.24.07), waarbij de wettelijke termijnen en de rol van het computer security incident response teams (CSIRTs) centraal staan.
Bedrijfscontinuïteit
De Cbw richt zich op het waarborgen van de primaire bedrijfsvoering wanneer IT-dienstverlening is onderbroken. Waar bestaande normen vaak focussen op IT-continuïteit, pakt de Cbw de invalshoek van de bedrijfsvoering.
De BIO 2 borgt dit door te eisen dat continuïteitsplannen jaarlijks worden getest op werking en volledigheid (maatregel 5.30.01), met als doel de impact op de primaire bedrijfsvoering te minimaliseren.
Samenwerking
De Cbw focust op een collectieve aanpak waarbij CSIRTS een centrale rol spelen. Deze teams faciliteren het uitwisselen van informatie over cybersecurity, kwetsbaarheden en dreigingen.
In de BIO 2 is deze samenwerking een verplichte onderhouding van de relatie met het sectorale CSIRT, waarbij relevante informatie wederzijds wordt gedeeld.
Toezicht
Artikel 15 lid 6 van de Cbw beschrijft de toezichts- en handhavingsmaatregelen. Bij essentiële organisaties vindt proactief toezicht plaats via inspecties, audits en scans. Bij belangrijke organisaties is het toezicht reactief. Voor de overheid en overheidsdiensten wordt deze rol vervuld door de Rijksinspectie Digitale Infrastructuur (RDI).
De BIO 2 bevestigt dit door de RDI als toezichthouder aan te wijzen voor de sector Overheid, waarbij de BIO-aanpak de basis vormt voor de invulling van de zorgplicht uit de Cbw.
Cbw als drijfveer voor verbeterde informatiebeveiliging
Er is veel overlap tussen de BIO 2 en de Cbw. De belangrijkste verschillen zijn de concretere aansprakelijkheidsregels en de meldplicht. Voor organisaties die al werken volgens de BIO 2 is de impact van de Cbw beperkt.
Voor organisaties zonder bestaande normen of met een laag volwassenheidsniveau biedt de Cbw momentum: de wetgeving dwingt bestuurders om concrete stappen te zetten om de informatiebeveiliging op orde te krijgen.
