BIO2 versus VIR-BI: de lat omhoog

BIO2 is het normenkader dat elke overheidsorganisatie op orde moet hebben. Voor bijzondere informatie, denk aan staatsgeheimen en departementaal vertrouwelijke stukken, geldt daarnaast voor de Rijksoverheid het Voorschrift Informatiebeveiliging Rijksdienst Bijzondere Informatie 2025 (VIRBI 2025). VIRBI 2025 verving in september 2025 het oude VIRBI uit 2013 en werkt met vier rubriceringsniveaus:

• Departementaal VERTROUWELIJK (DepV)
• Staatsgeheim CONFIDENTIEEL (Stg.C)
• Staatsgeheim GEHEIM (Stg.G)
• Staatsgeheim ZEER GEHEIM (Stg.ZG)

O ja, check ook eens deze gereedschapskist voor implementatie van de VIRBI 2025. Het gereedschap in deze kist is tot stand gekomen door een brede werkgroep van professionals uit de BVA en CISO-teams Rijk. Andere overheidslagen die DepV (of hoger) gerubriceerde informatie verwerken in (bijv.) een keten met de Rijksoverheid, zijn daarbij ook gehouden aan het VIRBI.

Hoe ik de vergelijking heb opgezet

Staatscourant versus Excel

Ik heb de bijlage van VIRBI 2025 (126 losse maatregelen, verdeeld over acht hoofdstukken) met behulp van AI omgezet naar een Excelbestand (zie hieronder). Vervolgens heb ik die vergeleken met de actuele BIO2-overheidsmaatregelen die al als Excel te downloaden zijn. Wat dan al snel opvalt is de lat niet overal in dezelfde mate omhoog gaat.

Op sommige plekken zegt VIRBI voor DepV dat de BIO2-maatregelen zelf volstaan, zonder daar een aparte VIRBI-eis bovenop te leggen. Voor Staatsgeheim (ik neem Stg.C, Stg.G en Stg.ZG even samen) stelt VIRBI soms op datzelfde onderwerp wél een eigen, dwingende eis, los van of bovenop wat BIO2 daarover zegt. Op andere plekken legt de BIO2 niets op en vult VIRBI dat gat op, zogezegd.

"Op sommige plekken zegt VIRBI voor DepV dat de BIO2-maatregelen zelf volstaan, zonder daar een aparte VIRBI-eis bovenop te leggen. Voor Staatsgeheim stelt VIRBI soms op datzelfde onderwerp wél een eigen, dwingende eis, los van of bovenop wat BIO2 daarover zegt."

Zeven thema's met verschillen

In meer of mindere mate

Hieronder loop ik zeven thema's langs waarin het verschil tussen de BIO2 en de VIRBI 2025 concreet wordt. Het gaat om de volgende 7 thema's:

1. Personele beveiliging
2. Bedrijfsmiddelen
3. Fysieke beveiliging
4. Toegangsbeveiliging
5. ICT-voorzieningen
6. Communicatiebeveiliging
7. Beheer en incidenten

1) Personele beveiliging

BIO2-maatregel 6.01.01 stelt dat een organisatie een screeningsbeleid heeft en dat bij indiensttreding "op basis van een risicoafweging" een Verklaring Omtrent het Gedrag (VOG) gevraagd kán worden. Vrijblijvend en geen harde verplichting dus, met ruimte voor een eigen afweging.

VIRBI 2025 sluit aan bij die BIO2-lijn voor DepV: wie in aanraking komt met DepV-informatie heeft een VOG nodig. Voor Stg-niveaus ligt het anders. Daar volstaat een VOG niet meer; wie structureel met staatsgeheimen werkt heeft een geldige Verklaring van geen bezwaar (VGB) nodig voor de betreffende vertrouwensfunctie. De VGB vervangt hier de VOG. Let wel, dit is dus inculusief een veiligheidsonderzoek door de AIVD of MIVD en met een eigen leidraad voor het aanwijzen van vertrouwensfuncties.

2) Bedrijfsmiddelen

BIO2-maatregel 5.09.01 vraagt een inventaris van bedrijfsmiddelen, inclusief cloud-omgevingen en OT. Voor de daarop uit te voeren actualiteitscontrole geldt "met tussenpozen die passend zijn voor de frequentie waarmee wijzigingen optreden". Een risicogestuurde norm dus, zonder een vaste frequentie.

VIRBI 2025 leunt voor DepV ook hier op de BIO2. Voor Stg wordt hetzelfde onderwerp dwingender: een centraal register is verplicht, inclufief een jaarlijkse actualiteitscontrole. De risicogestuurde 'ruimte' die BIO2 biedt is bij VIRBI (Stg) verdwenen. Bij Stg.ZG komt daar nog een extra verplichting bovenop: vanwege de need-to-know-scheiding wordt het overzicht van Stg.ZG-middelen los van de rest geregistreerd.

3) Fysieke beveiliging

Bij dit thema is het verschil tussen BIO2 en VIRBI 2025 op alle rubriceringsniveaushet grootst. Van de zeventien fysieke-beveiligingsmaatregelen in BIO2 staat bij tien letterlijk "Geen overheidsmaatregel, zie inleiding deel 2 BIO-overheidsmaatregelen". BIO2 laat de fysieke beveiliging dus grotendeels over aan de eigen risicoafweging van de organisatie gebruikmakend van bestaande NEN-normen (27001/2, 7510) als bron voor implementatierichtlijnen.

VIRBI 2025 komt daarentegen wél met eigen maatregelen, en wel bij: zonering (Zone 2 voor DepV, een "extra beveiligd werkgebied" voor Stg), sleutelbeheer, fysieke netwerkbescherming en controles op onderhoud. Een deel daarvan geldt al bij DepV: bezoekersregistratie, concentratie van bijzondere informatie, het tegengaan van afluisteren en de sleuteluitgifte. Een ander deel start pas bij Stg waaronder TEMPEST-maatregelen tegen compromitterende straling en een TSCM-onderzoek (Technical Surveillance Counter-Measures, opsporing van afluisterapparatuur) voorafgaand aan de ingebruikname én periodiek daarna.

4) Toegangsbeveiliging

Hier is de "hogere lat" van de VIRBI cijfermatig zichtbaar. BIO2-maatregel 5.17.03 schrijft voor dat wachtwoordeisen geautomatiseerd worden afgedwongen, zonder een getal te noemen voor het aantal toegestane foutieve inlogpogingen. VIRBI 2025 laat dat bij DepV ook zo en sluit dus aan bij de BIO2-norm. Voor Stg worden de spreekwoordelijke duimschroeven aangedraaid: vijf pogingen bij Stg.C, vier bij Stg.G, drie bij Stg.ZG. Ofwel: hoe hoger de rubricering, hoe minder ruimte voor foutieve inlogpogingen.

Hetzelfde patroon zit in de automatische vergrendeling van een werkstation: tien minuten bij DepV en Stg.C en vijf minuten bij Stg.G en Stg.ZG. Nog een verschil zie je bij groepslidmaatschap voor toegang (RBAC): BIO2 vindt dat prima mits herleidbaar tot een individu. De VIRBI stelt dat dit vanaf Stg.G simpelweg "niet toegestaan" is.

5) ICT-voorzieningen

BIO2-maatregel 5.35.02 vraagt een auditplan waarin jaarlijks gekozen wordt welke systemen welk soort beveiligingsaudit krijgen, zonder voor te schrijven wie die audit uitvoert. VIRBI 2025 doet dat juist wel: voor DepV volstaat een self-assessment maar voor alle Stg-niveaus is een onafhankelijke deskundige verplicht.

Datzelfde geldt voor configuratiebeheer, wijzigingsbeheer, de autorisatiematrix en uitbesteding: bij DepV verwijst de VIRBI terug naar de bestaande BIO2-eisen, maar bij Stg stelt de VIRBI daarvoor een eigen eis. En voor de inkoop van ICT-middelen en extern personeel geldt op alle Stg-niveaus een extra stap die de BIO2 (logischerwijs) niet kent: voorafgaand contact met de beveiligingsautoriteit (BVA) om het accreditatieproces te starten.

6) Communicatiebeveiliging

Hier is de BIO2 tamelijk kort: verwijderbare media worden onherstelbaar gewist (7.10.01, 7.10.02) en koeriers voor geclassificeerde informatie voldoen aan "vooraf opgestelde betrouwbaarheidseisen" (7.10.03), zonder die eisen zelf te benoemen. VIRBI 2025 vult dat in/aan met maar liefst 41 maatregelen: uniek genummerde exemplaren met opsteller en ontvanger vanaf Stg.C, sealbags voor fysieke verzending op elk niveau, aangetekende en traceerbare verzending binnen Nederland bij Stg.C, verzending per door het ministerie aangewezen koerier bij Stg.G en bij Stg.ZG transport uitsluitend per ministerieel aangewezen koerier binnen Nederland of als diplomatieke zending daarbuiten. Dat is toch heel wat steviger!

Bij cryptografie ziet het er weer anders uit: BIO2-maatregel 8.24.04 baseert de sterkte van cryptografie op de actuele adviezen van het NCSC en de Unit Weerbaarheid van het NBV: een advies om te volgen, maar geen goedkeuringsproces. VIRBI 2025 maakt daar op alle niveaus, inclusief DepV, een formele autorisatie van: het cryptografisch middel wordt namens de minister van BZK goedgekeurd door het hoofd van de AIVD op basis van advies van de Werkgroep Bijzondere Informatiebeveiliging.

7) Beheer en incidenten

Binnen dit laatste thema vallen twee dingen op. Ten eerste het register van bijzondere informatie uit tabel 9 (afgiftedatum, wie het heeft afgenomen, teruggavedatum, vernietigingsstatus): dat geldt vanaf Stg en (dus) daarover wordt niet gerept in de BIO2. Bij DepV bestaat deze registratieplicht niet.

Ten tweede de meldketen bij incidenten. BIO2-maatregel 5.24 eist een generiek meldloket en een proceseigenaar die het incident oplost en er maandelijks over rapporteert. VIRBI 2025 voegt daar op elk rubriceringsniveau een verplichte tweede meldlijn aan toe: de BVA meldt incidenten met bijzondere informatie direct bij de aangewezen toezichthouders, en als de informatie "krachtens een verdrag" is verkregen, ook direct bij de NSA.

"Wie uitzoomt bij bovenstaande vergelijking tussen BIO2 en VIRBI ziet twee verschillen. Het eerste verschil is verticaal te noemen: dezelfde norm wordt strenger naarmate de rubricering stijgt. Het tweede verschil is horizontaal: op plekken waar BIO2 geen overheidsmaatregel heeft vult VIRBI dat gat op."

Twee normenkaders die elkaar aanvullen

Met horizontale en verticale verschillen

Wie uitzoomt bij bovenstaande vergelijking tussen BIO2 en VIRBI ziet twee verschillende soorten verschillen (volg je 'em nog?). Het eerste verschil is verticaal te noemen: dezelfde norm wordt strenger naarmate de rubricering stijgt. Vijf, vier, drie inlogpogingen. Tien minuten, dan vijf. Self assessment, dan onafhankelijke deskundige. Het tweede verschil is horizontaal: op plekken waar BIO2 geen overheidsmaatregel heeft, zoals fysieke beveiliging, vult VIRBI dat gat al bij DepV volledig in en heeft (een hogere) rubricering daar minder invloed dan je zou verwachten.

In vijftien van de 126 maatregelen zegt VIRBI 2025 voor DepV met zoveel woorden: gebruik gewoon de BIO2-baseline. Voor diezelfde vijftien maatregelen staat bij Stg vrijwel steeds een harde verplichting. Je zou kunnen stellen dat DepV op enkele punten veeleisender (of: meer oplegt) is dan de BIO2, maar dat het echte verschil vooral optreedt vanaf Stg. Dat is een open deur; dat snap ik zelf ook wel. Maar het is toch aardig deze verschillen eens scherp op een rijtje te hebben.

Tot slot: rubricering gebeurt op het niveau van informatie (elders ook wel dataclassificatie genoemd) terwijl het BIO2 beveiligingsniveau van toepassing is op informatiesystemen. Toch lees je hier in de VIRBI het volgende:

In dit voorschrift wordt met ‘informatie’ bedoeld: dat het onafhankelijk is van het gebruikte medium en onafhankelijk of de informatie is vastgesteld. De term informatie kan ook slaan op data, metadata, gegevens et cetera. Het voorschrift betreft dus informatie in ruste (bijvoorbeeld opgenomen in documenten of databases), in bewerking (bijvoorbeeld in het geheugen van een computer) of in communicatie (telefoongesprekken, digitale of fysieke vergaderingen of gesprekken, datacommunicatie, andere elektromagnetische signalen et cetera). Een systeem of proces dat bijzondere informatie verwerkt moet hier ook als informatie worden gelezen.

Die laatste zin trekt het nog snel even in lijn met de definitie van een informatiesysteem in de BIO2 die je hieronder vindt. En toch zit er gevoelsmatig wel degelijk een verschil in, maar deze blog is al lang zat. Tot een volgende keer!

Een informatiesysteem is ‘een samenhangend geheel van gegevensverzamelingen, en de daarbij behorende personen, procedures, processen en programmatuur alsmede de voor het informatiesysteem getroffen voorzieningen voor opslag, verwerking en communicatie.’ Het gaat dus expliciet niet alleen om technische (ICT-)systemen, maar informatie en organisatie.