GAP-analyse op de maatregelen
Renco Schoemaker is een ervaren adviseur informatiebeveiliging en privacy. Hij heeft tientallen nulmetingen, GAP-analyses en scans uitgevoerd, kent de BIO(2) door en door en weet daardoor waar hij moet doorvragen.
Wat is de BIO versie 2?
De Baseline Informatiebeveiliging Overheid 2 is eind 2025 vastgesteld in het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO). Op vier punten wijkt de BIO2 wezenlijk af van haar voorganger.
Nieuwe structuur
De maatregelen volgen de indeling van NEN-EN-ISO/IEC 27002:2022.
Juridische grondslag
Via de Cyberbeveiligingswet (Cbw), het Cbb en de Regeling wordt de BIO2 regelgeving.
Afgestemd op NIS2
Inhoudelijk in lijn met de NIS2-richtlijn, in het bijzonder artikel 21.
ISMS verplicht
Het managementsysteem wordt toegepast conform NEN-EN-ISO/IEC 27001.
Inzicht geven en prioriteiten stellen
Veel organisaties zien door de bomen (maatregelen) het bos (in control komen) niet meer. Een goed uitgevoerde GAP-analyse maakt zichtbaar wat er nog moet gebeuren om aan de BIO2-overheidsmaatregelen te voldoen. Daarmee stel je een jaarplan op met geprioriteerde maatregelen.
Zoek je iets anders? Kijk dan naar de volwassenheidsmeting of de GAP-analyse op het ISMS.
Het stappenplan
Vooronderzoek en afbakening
Renco brengt eerst in kaart hoe de organisatie is gestructureerd en hoe de governance voor informatiebeveiliging op hoofdlijnen is ingericht. Ook wordt gekeken wat is uitbesteed aan marktpartijen, SSC's of zuster- en moederorganisaties. Hij vraagt documenten op, minimaal het informatiebeveiligingsbeleid. Voor de application controls kiest de opdrachtgever maximaal drie taakapplicaties. Op basis hiervan bakent hij de GAP-analyse af en stelt hij een lijst op van te interviewen functies.
Werkvorm: documentenanalyse
Interviews
Renco spreekt de functies uit stap 1 en loopt systematisch de hele BIO2 door. Vooraf bepaalt hij welke vragen bij welke functie horen, zodat de belasting voor de opdrachtgever beperkt blijft. Per overheidsmaatregel legt hij de actuele status vast. Maatregelen die niet van toepassing zijn, worden geregistreerd voor de verplichte Verklaring van Toepasselijkheid (VvT).
Werkvorm: gestructureerde interviews
Analyse en rapportage
Renco analyseert de uitkomsten en vraagt waar nodig aanvullende documentatie op. Het rapport bevat een visuele weergave per hoofdstuk, een VvT en een geprioriteerd overzicht van nog te implementeren maatregelen. Dat overzicht is direct bruikbaar als input voor je jaarplan of roadmap.
Oplevering: visueel rapport, VvT en prioritering
Presentatie aan management
Uitkomsten moeten tot verbetering leiden. Daarom presenteert Renco de resultaten graag aan het (hoger) management of bestuur. Onder de Cyberbeveiligingswet is die bestuurlijke betrokkenheid verplicht. De presentatie wordt vooraf afgestemd met de CISO en vindt bij voorkeur op locatie plaats.
Locatie: bij voorkeur bij de opdrachtgever
Ander normenkader?
Op verzoek hanteert Renco een ander framework of normenkader dan de BIO2. Dat bepalen we samen, voordat de opdracht wordt verstrekt. Enkele mogelijkheden:
- ISO/IEC 27001 Annex A
- Cbw (NIS2) Control Framework (ADR/BZK/NOREA)
- IEC 62443 (OT)
- CSIR
- NIST Cybersecurity Framework
Een BIO2 GAP-analyse laten uitvoeren?
Neem contact op voor een vrijblijvend kennismakingsgesprek.
Neem contact op