BIO2 en ENSIA: bewustwording aantonen als gemeente, met een phishingtest

In de ENSIA-zelfevaluatie, die in 2026 loopt tot en met 31 december, verantwoordt een gemeente ook de maatregelen voor bewustwording van haar personeel. Sinds de Cyberbeveiligingswet op 15 augustus 2026 in werking trad, verwijst de Cyberbeveiligingsregeling sector overheid naar BIO2 versie 1.3, en moet een gemeente de werking van de maatregelen kunnen laten zien. Een phishingtest van BSM, met de herkenningsbrief phishing, levert daarvoor een stuk voor uw dossier en een samenvatting voor de raad.

Wat de BIO2 is en wat de Cyberbeveiligingswet sinds augustus 2026 verandert

De Baseline Informatiebeveiliging Overheid 2, kortweg BIO2, is het normenkader voor informatiebeveiliging van het Rijk, gemeenten, provincies en waterschappen. De BIO2 is de opvolger van BIO 1.04zv. Versie 1.3 is op 5 maart 2026 in de Staatscourant gepubliceerd.

De BIO2 is opgebouwd volgens ISO 27001 en ISO 27002. Deel 1 is het kader voor het managementsysteem. Deel 2 bevat de overheidsmaatregelen: aanvullingen op de beheersmaatregelen van ISO 27002 die specifiek voor de overheid gelden. De nummers in deel 2 volgen de nummers van ISO 27002.

Met de Cyberbeveiligingswet rust de BIO2 voor gemeenten op een wettelijke regeling. De Cyberbeveiligingsregeling sector overheid trad tegelijk met de wet in werking en geldt voor de centrale en de decentrale overheid, met uitzondering van de waterschappen. Die regeling bepaalt dat een overheidsorganisatie ten minste de beheersmaatregelen van ISO 27002:2022 en de relevante overheidsmaatregelen van BIO2 versie 1.3 toepast, en de opzet, het bestaan en de werking ervan kan aantonen.

De BIO2-maatregel voor bewustwording, in gewone taal

Bewustwording valt in de BIO2 onder het thema mensen. In ISO 27002 staan de maatregelen over bewustwording, opleiding en training en over het melden van incidenten; de BIO2 voegt overheidsmaatregelen toe. Samengevat:

• Iedereen, van medewerker tot bestuurder, kent de regels voor het beschermen van informatie
• Wie met de systemen van de gemeente werkt, volgde aantoonbaar een training over informatiebewustzijn
• Leidinggevenden moedigen medewerkers aan om periodiek opleiding en training te volgen
• Alle medewerkers namen aantoonbaar kennis van de procedure om incidenten te melden

Twee van deze maatregelen vragen dat het aantoonbaar is: wie welke training had, en dat medewerkers weten waar zij een incident melden.

BIO2 en ENSIA: het vaste ritme van zelfevaluatie en verantwoording

ENSIA is de jaarlijkse verantwoordingsmethode voor informatiebeveiliging van gemeenten, beheerd door VNG Realisatie. Het jaar heeft een vast ritme.

1. Zelfevaluatie, van 1 juli tot en met 31 december: de ENSIA-coördinator beantwoordt de vragenlijsten
2. Opstellen, van 1 januari tot 30 april: een auditor beoordeelt de onderbouwing, onder meer voor DigiD en Suwinet
3. Verantwoorden, uiterlijk 30 april: het college behandelt de rapportages, de toezichthouders ontvangen ze
4. Versturen, vanaf 1 mei: informatiebeveiliging staat in het jaarverslag; de raad behandelt de jaarstukken

Een eindrapport dat vóór 31 december klaar is, neemt u op in de zelfevaluatie en laat u daarna aan de auditor zien. Plan de test daarom op tijd: de doorlooptijd van een phishingtest is gemiddeld twee tot vier weken.

Hoe een phishingtest de bewustwordingsmaatregel helpt aantonen

De phishingtest is de eerste stap van ons programma Oefenen, Leren, Bewust blijven. Samen kiezen wij een scenario dat past bij het niveau van uw organisatie; het kan aansluiten op het werk van uw medewerkers, op de actualiteit of op een partij waarmee uw gemeente te maken heeft. Wij richten de test in, doen al het werk en begeleiden u tot en met het eindrapport. Voor de BIO2 levert dat drie dingen op:

• Kennis van de meldprocedure: de herkenningsbrief phishing, met de datum waarop u hem deelde
• Werking van die procedure: route 3 in het eindrapport, wie meldde of navraag deed
• Ontwikkeling door de jaren: hetzelfde risicomodel bij elke test

De herkenningsbrief legt in een opbouwende toon uit waaraan de testmail te herkennen was en bij wie een verdachte mail gemeld hoort te worden; zo leest iedereen dezelfde uitleg, ook wie niet klikte. Route 3 houdt uw organisatie tijdens de test zelf bij; u stuurt ons na afloop een verslag en wij beschrijven het in het eindrapport, naast de phishingpagina en de hackermailbox. De drie routes staan uitgewerkt in het artikel over het phishingprotocol.

Het eindrapport helpt aantonen, ook richting college en raad

Het eindrapport wordt geschreven door de specialisten die uw test hebben uitgevoerd, met een risicomatrix en advies. Het noemt geen namen; of u de uitkomsten met namen of volledig anoniem ontvangt, kiest u in de verwerkersovereenkomst. Grote organisaties kiezen vaak voor volledig anoniem. Daardoor kunt u het rapport delen met de ENSIA-coördinator, de CISO, de auditor en het college, en de uitkomsten samenvatten voor de raad. De gegevens van de test blijven in Europa, op onze eigen servers in Duitsland.

Lees welke onderdelen een phishingtest heeft.

Het ministerie van BZK en gemeenten werken met BSM

Het ministerie van Binnenlandse Zaken en Koninkrijksrelaties is klant van BSM, net als gemeenten. Daarnaast voeren onze cybersecurity-experts phishing simulaties uit voor banken, scholen, zorginstellingen en dienstverleners. Sinds 2004 onderzoeken zij incidenten bij organisaties die slachtoffer werden van phishing en ransomware. Wat wij daar zien, verwerken wij in onze scenario's.

Training en herhaling vullen de phishingtest aan

De BIO2 vraagt daarnaast een training over informatiebewustzijn. Die registratie houdt u zelf bij. Wij geven ook een training door onze eigen trainers, bijvoorbeeld voor nieuwe medewerkers of voor een afdeling; de opzet staat op de pagina over phishing training.

Hoe vaak u test, bepaalt u zelf: één tot vier keer per jaar, of vaker. Lees ook wat de Cyberbeveiligingswet over training van medewerkers vraagt.

Zo begint u voor de zelfevaluatie

Van u vragen wij weinig: een contactpersoon, een deelnemerslijst, uw akkoord op de testmail en een IT-beheerder die de whitelisting instelt met onze instructies. Zo ziet een phishingtest van BSM eruit, en hier leest u meer over een phishingtest laten uitvoeren.

Bronnen

• Staatscourant 2026, 27679: Cyberbeveiligingsregeling sector overheid (3 juli 2026), artikel 5 en 7
• NL Digital Government, BIO2 version 1.3 for all government tiers
• BIO-overheid, Baseline Informatiebeveiliging Overheid 2
• VNG, ENSIA
• Rijksoverheid, Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus 2026 van kracht