GAP-analyse op de maatregelen
GAP-analyse met diepgang
Renco Schoemaker is een ervaren adviseur informatiebeveiliging en privacy. Hij heeft tientallen nulmetingen, GAP-analyses en scans uitgevoerd. En hij is zeer vertrouwd met de BIO(2) en weet dus goed door te vragen waar nodig!
Wat is de BIO versie 2?
De Baseline Informatiebeveiliging Overheid 2 is eind 2025 vastgesteld in het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO). De BIO2 wijkt op een aantal essentiële punten af van haar voorganger.
Maatregelen zijn ingedeeld volgens de internationale NEN-EN-ISO/IEC 27002:2022
De BIO2 wordt regelgeving via de Cyberbeveiligingswet (Cbw), -besluit en -regeling.
Inhoudelijk in lijn gebracht met NIS2-richtlijn, specifiek art. 21 over cyberbeveiliging.
Het managementsysteem moet worden toegepast conform NEN-EN-ISO/IEC 27001
Inzicht geven en prioriteiten stellen
Veel organisaties zien door de bomen (maatregelen) het bos (in control komen) niet meer. Een degelijk uitgevoerde GAP-analyse biedt inzicht in 'wat er nog moet gebeuren' om te voldoen aan de BIO2-overheidsmaatregelen. Op basis hiervan stel je een jaarplan op met geprioriteerde maatregelen. Alternatief is een volwassenheidsmeting. Ook een GAP-analyse op het ISMS is mogelijk.
Vooronderzoek en afbakening
Renco brengt eerst in kaart hoe de organisatie is gestructureerd en hoe de governance voor informatiebeveiliging op hoofdlijn is ingericht. Er wordt ook gekeken naar wat is uitbesteed aan marktpartijen, SSC's of zuster-/moederorganisaties. Er worden documenten opgevraagd — minimaal het informatiebeveiligingsbeleid. Voor de application controls kiest de opdrachtgever maximaal drie taakapplicaties. Op basis hiervan wordt de GAP-analyse afgebakend en stelt hij een lijst op van te interviewen functies.
📄 DocumentenanalyseAfnemen interviews
Renco gaat in gesprek met de in stap 1 bepaalde functies en doorloopt systematisch de gehele BIO2. Vooraf bepaalt hij welke vragen aan welke functies worden voorgelegd — zodat de belasting voor de opdrachtgever minimaal blijft. Per overheidsmaatregel wordt de actuele status vastgelegd. Niet-van-toepassing zijnde maatregelen worden geregistreerd voor de verplicht op te stellen Verklaring van Toepasselijkheid (VvT).
🎙️ Gestructureerde interviewsAnalyse en (prio)rapportage
Renco analyseert de uitkomsten en vraagt waar nodig aanvullende documentatie op. Het rapport bevat een visuele weergave per hoofdstuk, een Verklaring van Toepasselijkheid (VvT) en een geprioriteerd overzicht van nog te implementeren maatregelen. Op basis van best practices, frameworks en volwassenheidsmodellen levert de GAP-analyse directe input voor je jaarplan of roadmap.
📊 Visueel rapport + VvT + prioriteringPresentatie aan management
Renco hecht eraan dat uitkomsten leiden tot concrete verbetering. Daarom presenteert hij de resultaten ook graag aan het (hoger) management of bestuur. Dit levert naast inhoudelijk inzicht ook de betrokkenheid op die met de komst van de Cyberbeveiligingswet niet langer optioneel maar verplicht is. De presentatie wordt vooraf afgestemd met de CISO en vindt bij voorkeur op locatie plaats.
📍 Bij voorkeur op locatieAanpassingen normenkader
Renco kan op verzoek ook een framework (lees er meer over) of ander normenkader hanteren dan de BIO2. Het normenkader wordt gezamenlijk bepaald voorafgaand aan de opdrachtverstrekking. Renco denkt graag met u mee. Hieronder vindt u enkele opties.
Een BIO2 GAP-analyse laten uitvoeren?
Neem contact op met qeep IT safe voor een vrijblijvend kennismakingsgesprek.
Neem contact op →