De Baseline Informatiebeveiliging Overheid (BIO) is vanaf 1 januari 2020 het nieuwe normenkader voor de gehele overheid. Deze baseline is ten opzichte van de Baseline Informatiebeveiliging Gemeenten (BIG) meer gericht op risicomanagement. De bestuurders en de (afdelings)managers hebben een prominente rol met betrekking tot informatiebeveiliging en met de komst van de BIO2 een cruciale rol met betrekking tot risicomanagement. Hierbij maken het bestuur en het management op voorhand keuzes en continu afwegingen of informatie in bestaande en nieuwe processen adequaat beveiligd zijn in termen van beschikbaarheid, integriteit en vertrouwelijkheid.
De BIO2 helpt het management bij het nemen van haar verantwoordelijkheid ten aanzien van informatiebeveiliging. In de BIO2 zijn op basis van de generieke schades en dreigingen voor de overheid standaard basisbeveiligingsniveaus gedefinieerd met bijbehorend verplicht in te richten beveiligingsmaatregelen. Dit wil zeggen dat het belang van afdelingsmanagers om te werken volgens de aanpak van de ISO 27001 groter is geworden en daarbij is risicomanagement van belang. Dit houdt voor het management in dat men op voorhand keuzes maakt en continu afwegingen maakt of informatie in bestaande en nieuwe processen adequaat beveiligd zijn in termen van beschikbaarheid, integriteit en vertrouwelijkheid. Indien naleving (nog) niet volledig mogelijk is, maakt het management de aanwezige risico’s inzichtelijk aan hun stakeholders.
Het management legt verantwoording af over de risicoafweging en over de effectieve invulling van de beheersmaatregelen. Deze verantwoording is onderdeel van de bestuurlijke verantwoording over informatiebeveiliging. De BIO2 biedt hiermee de basis om te zorgen dat informatiebeveiliging geïmplementeerd en geborgd wordt.