Meting volwassenheidsniveau

Wat verandert er met de BIO versie 2?

De Baseline Informatiebeveiliging Overheid 2 is eind 2025 vastgesteld in het Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO). Dit zijn de belangrijkste wijzigingen.

Groeien met oog voor waar je staat

Veel organisaties werken van audit naar audit en proberen tegelijk meer structuur te krijgen via een ISMS. Informatiebeveiliging hangt echter samen met veel andere (IT-)processen, en die zijn niet altijd op het juiste niveau. Een volwassenheidsmodel maakt zichtbaar hoe professioneel die processen zijn en hoe goed informatiebeveiliging erin is ingebed. Zo stimuleert het stapsgewijze groei: van ad hoc naar volledig geborgd en geoptimaliseerd.

Zoek je iets anders? Kijk dan naar de GAP-analyse op de maatregelen of de GAP-analyse op het ISMS.

Het stappenplan

1. Vooronderzoek en afbakening

   Renco brengt eerst in kaart hoe de organisatie is gestructureerd en hoe de governance voor informatiebeveiliging op hoofdlijnen is ingericht. Ook wordt gekeken wat is uitbesteed aan marktpartijen, SSC's of zuster- en moederorganisaties. Hij vraagt documenten op, minimaal het informatiebeveiligingsbeleid. Daarna wordt per domein het gewenste volwassenheidsniveau vastgesteld. De afbakening kan het hele vakgebied informatiebeveiliging beslaan of een selectie van domeinen daarbinnen.

   Werkvorm: documentenanalyse en bepalen van het doelniveau

2. Interviews

   Renco loopt de gekozen domeinen systematisch door aan de hand van 'practices': beschrijvingen van activiteiten die bij een bepaald volwassenheidsniveau horen. Vooraf bepaalt hij welke practices met welke functie worden besproken, zodat de belasting voor de opdrachtgever beperkt blijft. De meting steunt op algemeen geaccepteerde modellen zoals NIST-CSF, het NBA-LIO/NOREA-volwassenheidsmodel en C2M2.

   Werkvorm: gestructureerde interviews per domein

3. Analyse en rapportage

   Renco analyseert de uitkomsten en vraagt waar nodig aanvullende documentatie op. Het rapport bevat een visuele weergave per domein en een overzicht van de practices die nog nodig zijn om het gewenste niveau te bereiken. De prioritering volgt uit het verschil tussen het gewenste en het actuele niveau: stap voor stap omhoog, tot het streefniveau is bereikt. Daarmee is het rapport direct bruikbaar voor je implementatiestrategie.

   Oplevering: visueel rapport, delta-analyse en prioritering

4. Presentatie aan management en bestuur

   Management en bestuur sturen en stellen de kaders. Daarom vindt Renco een eindpresentatie aan hen noodzakelijk, naast het eindrapport. Dat levert inzicht, betrokkenheid en eigenaarschap op. Onder de Cyberbeveiligingswet is die bestuurlijke betrokkenheid verplicht. De presentatie wordt vooraf afgestemd met de CISO en vindt bij voorkeur op locatie plaats.

   Locatie: bij voorkeur bij de opdrachtgever

Beperkte meting en koppeling met een normenkader

Renco kan ook een beperkte meting uitvoeren op basis van het Cbw (NIS2) Control Framework van de Auditdienst Rijk (ADR), het ministerie van BZK en NOREA. Welk framework wordt gebruikt, bepalen we samen voordat de opdracht wordt verstrekt.

De volwassenheidsmeting gaat uit van practices, niet van normen. Desgewenst levert Renco op basis van die practices ook een geprioriteerd overzicht van beheersmaatregelen uit de BIO2 of NEN-EN-ISO/IEC 27001/2.

• NIST-CSF
• NBA-LIO / NOREA volwassenheidsmodel
• C2M2
• Cbw (NIS2) Control Framework
• BIO2
• NEN-EN-ISO/IEC 27001/2