Een informatiebeveiligingsadviseur van een waterschap zet de Verklaring van Toepasselijkheid om naar de BIO2. Bij maatregel 5.23.01, over clouddiensten, vraagt een collega van inkoop waar ChatGPT eigenlijk staat. Er is geen contract en geen offerteaanvraag. Wel weet iedereen dat de afdeling communicatie er dagelijks persberichten mee herschrijft, en dat een paar beleidsmedewerkers Copilot gebruiken binnen Microsoft 365.
De BIO2 geeft daar geen apart hoofdstuk voor. Het woord AI staat er niet in. Toch zijn er acht overheidsmaatregelen die over precies deze situatie gaan, en wie ze bij nummer kent, weet ook welk bewijsstuk er nog ontbreekt.
#Wat is de BIO2, en waarom staat AI er niet in?
De Baseline Informatiebeveiliging Overheid 2 is het basisnormenkader voor informatiebeveiliging van Rijk, gemeenten, provincies en waterschappen. Versie 1.3 is van 9 januari 2026 en werd op 5 maart 2026 gepubliceerd in de Staatscourant (Gecontroleerd op 3 november 2026). Volgens het Centrum Informatiebeveiliging en Privacybescherming (CIP) vervangt die versie de BIO v1.04 in het digitale verkeer met het Rijk, en ook de versie 1.2 die het Overheidsbreed Beleidsoverleg Digitale Overheid op 23 september 2025 vaststelde.
De tekst van de BIO2 (Gecontroleerd op 3 november 2026) bestaat uit twee verplichtende delen. Deel 1, het BIO2-kader, volgt ISO 27001:2023 en gaat over het managementsysteem, risicomanagement en governance. Deel 2 bevat de BIO-overheidsmaatregelen, gekoppeld aan de beheersmaatregelen uit ISO 27002:2022. De eerste cijfers van een nummer verwijzen naar die beheersmaatregel: 5.23.01 hoort bij 5.23, het gebruik van clouddiensten.
AI, kunstmatige intelligentie en algoritme komen in de tekst niet voor. Dat is geen omissie, want de baseline beschrijft hoe je informatie beschermt, niet in welk systeem ze staat. Wat wel veranderde ten opzichte van de vorige BIO: het begrip basisbeveiligingsniveau komt in de tekst van de BIO2 niet meer voor. Classificatie gebeurt nu met een expliciete risicoafweging en een vastgestelde methodiek. Voor een chatbot betekent dat geen vast niveau om naar te verwijzen, maar een afweging die je per soort informatie maakt en vastlegt.
Acht overheidsmaatregelen raken AI-gebruik direct. De tabel noemt ze met nummer, met wat er staat en met de vraag die ze bij AI-gebruik oproepen.
Bij een aantal beheersmaatregelen staat in deel 2 "Geen overheidsmaatregel". Dat geldt bijvoorbeeld voor 8.12, het voorkomen van datalekken, en voor 5.34, privacy en de bescherming van persoonsgegevens. Volgens de inleiding van deel 2 gebruik je dan de implementatierichtlijn uit ISO 27002 zelf, en onderbouw je met een risicoanalyse als je hem niet toepast.
#Waar loopt het vast bij een gratis ChatGPT-account?
De leveranciersmaatregelen gaan uit van een vaste volgorde: eerst een offerteaanvraag met eisen (5.19.01), dan een contract met die eisen erin (5.20.01), dan een jaarlijkse beoordeling door de proceseigenaar (5.22.01) en een registratie van leveranciers en contracten (5.22.02). Een medewerker die op een persoonlijk ChatGPT-account een persbericht laat herschrijven, slaat die hele volgorde over. Er is geen offerte, geen contract en geen beoordeling, terwijl de dienst wel overheidsinformatie verwerkt.
Inkoop kan daar niets aan toevoegen, want er valt niets in te kopen. Er zijn twee routes die wel passen. De organisatie besluit dat de tool niet is toegestaan en wijst een alternatief aan dat wel door de inkoop is gegaan. Of ze koopt een zakelijke variant in en doorloopt dan 5.19 tot en met 5.23 zoals bij elke andere leverancier. Wat er tussen een gratis en een zakelijk account verandert voor je gegevens, staat in ChatGPT Business, Plus of gratis.
Voor beide routes moet je eerst weten dat de tool in gebruik is. Daarom begint het bij 5.09.01. Volgens de BIO2 staan in de inventaris uitdrukkelijk ook bedrijfsmiddelen op afstand en cloud-omgevingen, en wordt de volledigheid ervan periodiek gecontroleerd. Een AI-dienst die medewerkers alleen via de browser gebruiken, is ook een cloud-omgeving waarin overheidsinformatie terechtkomt.
#Wat vraagt de BIO2 bij Copilot binnen Microsoft 365?
Bij Copilot ligt het andersom. Een organisatie die Microsoft 365 gebruikt, heeft het contract al, en Microsoft hoort dan al in de registratie van 5.22.02 en in het cloudbeleid van 5.23.01. Wat de BIO2 hier vraagt, staat ook in 5.23.01: treden er belangrijke wijzigingen bij de leverancier op, dan beoordeel je de risico's daarvan en neem je passende maatregelen. Een AI-assistent die in de bestaande apps verschijnt en daar met documenten en mail werkt, is zo'n wijziging, ook als er geen nieuw contract bij komt.
Dat is ook het moment voor 5.12.01. Volgens Microsoft (Gecontroleerd op 3 november 2026) toont Copilot alleen organisatiegegevens waarvoor de gebruiker minstens leesrechten heeft. Een map op SharePoint die te breed is gedeeld, wordt dan een map die een assistent ook kan samenvatten. De classificatie en de rechten op die informatie bepalen dus wat Copilot kan gebruiken. Welke Copilot-functies medewerkers al hebben zonder aparte licentie, staat in Copilot Chat zonder licentie.
#Wat verandert er als je software levert aan de overheid?
Voor een leverancier komt de BIO2 binnen via de aanbesteding en het contract. Maatregel 5.21.02 vraagt dat je vóór het afsluiten van de overeenkomst inzicht geeft in de keten van toeleveranciers en de risico's daarin, en de overheidsorganisatie beoordeelt of die risico's acceptabel zijn. Volgens 5.21.03 gelden de beveiligingseisen ook voor die keten, tenzij ze niet relevant zijn voor wat een toeleverancier doet. Tijdens de looptijd geef je volgens 5.21.04 veranderingen in de keten door, met minimaal kwetsbaarheden en beveiligingsincidenten die de dienstverlening kunnen raken.
Een taalmodel van een andere partij dat in je zaaksysteem notities samenvat, hoort in die keten. Een nieuwe AI-functie op basis van een aanbieder die er bij de ondertekening nog niet was, is dan een wijziging in de keten die je doorgeeft. Daarbij komt 5.20.03: in het contract staat dat je jaarlijks aantoont dat je aan de eisen voldoet, op basis van onderzoeken door onafhankelijke derden, met uitdrukkelijk aandacht voor hoe je je eigen leveranciers beheert.
#Hoe pas je bewustwording en logging toe zonder medewerkers te volgen?
De BIO2 vraagt twee dingen aantoonbaar: medewerkers zijn gewezen op de gedragsregels (5.10.03), en ze volgen binnen drie maanden na indiensttreding een training I-bewustzijn (6.03.02). Afspraken over AI-tools passen in allebei. Wie in de training laat zien welke tools zijn toegestaan en welke informatie er niet in hoort, dekt beide maatregelen met hetzelfde materiaal.
De training vindt plaats op de eerste werkdagen, en het AI-gebruik weken later, onder tijdsdruk. Wat dan helpt, is dat de medewerker het besluit over een tool ziet op het moment dat de tool opengaat. Daarvoor is eerst een besluit per tool nodig.
Logging is in de BIO2 maatregel 8.15, en die gaat over de logbestanden van je eigen informatiesystemen: wat een logregel minimaal bevat, hoe lang je hem bewaart, en hoe je ziet of iemand hem wijzigt. Voor de vraag welke externe AI-diensten in gebruik zijn, zijn de inventaris en de registratie het aanknopingspunt, en daarvoor zijn tellingen per tool genoeg. AI-gebruik per persoon vastleggen is toezicht op medewerkers, waarvoor je een eigen grondslag onder de AVG nodig hebt. Het verschil staat in AI-monitoring versus medewerkersmonitoring.
#Wat leg je vast in de Verklaring van Toepasselijkheid?
Volgens deel 1 van de BIO2 legt de Verklaring van Toepasselijkheid (VvT) vast welke beheersmaatregelen zijn geselecteerd en geïmplementeerd. Afwijkingen en maatregelen die niet van toepassing zijn, komen in de bijlage "Uitzonderingen op de VvT", met een verwijzing naar de risicoanalyse. Overheidsorganisaties gebruiken de VvT ook om elkaar inzicht te geven in de getroffen maatregelen.
Voor AI-gebruik is het bewijs per maatregel concreet te maken:
- 5.09.01: een lijst van AI-diensten die in gebruik zijn, gevoed door wat er werkelijk wordt geopend, niet alleen door wat inkoop kent.
- 5.12.01 en 5.10.03: per soort informatie de AI-omgeving die is aangewezen, opgenomen in de gedragsregels.
- 5.19.01 tot en met 5.22.02: voor elke ingekochte AI-dienst de eisen, het contract en de jaarlijkse beoordeling; voor elke dienst zonder contract een besluit.
- 5.23.01: een cloudbeleid dat AI-diensten uitdrukkelijk meeneemt, met een beoordeling bij nieuwe AI-functies in bestaande diensten.
- 6.03.02: een training waarin de besluiten over AI-tools staan.
De lijst bij 5.09.01 is het moeilijkste stuk, want een dienst die niemand heeft ingekocht, staat nergens. BeeSensible koppelt een catalogus van meer dan 1.000 AI-tools aan het gebruik dat in de organisatie wordt waargenomen: alleen het domein van de tool, hooguit één keer per dag per apparaat, zonder gebruikers-id en zonder inhoud. In de Inbox staat elke tool die de afgelopen 30 dagen is gebruikt en waarover nog niets is besloten. De beheerder legt het besluit vast, toegestane tools komen in het AI-register, en wie de tool daarna opent, ziet het besluit in de browser. Bij een niet-toegestane tool staat daar het alternatief dat de organisatie koos. BeeSensible blokkeert niet uit zichzelf; of een medewerker na de melding bij een niet-toegestane tool kan doorgaan, stelt de organisatie in. Hoe de vier BIO-thema's zich tot elkaar verhouden, staat in AI-governance en de BIO; wat er in een register hoort, in AI-register: wat is het en wat leg je erin vast?.
Begin bij de VvT met de vraag die de collega van inkoop stelde: staat ChatGPT erin? Is het antwoord nee, dan weet je bij welke van de acht maatregelen het eerste bewijsstuk ontbreekt.
