SUE levert BIO2-conforme en soevereine cloudomgevingen voor de overheid

BIO2 is de nieuwe Baseline Informatiebeveiliging Overheid en vervangt sinds 23 september 2025 BIO 1.04. Hij is gebaseerd op ISO 27001 en ISO 27002 uit 2022. De drie vaste basisbeveiligingsniveaus verdwijnen: je kiest maatregelen op basis van een risicoanalyse en vult die aan met de overheidsmaatregelen die op jou van toepassing zijn.

BIO2 is wettelijk gekoppeld aan de Cyberbeveiligingswet en is daarmee voor overheidsorganisaties de invulling van de zorgplicht.

Onder BIO2 toon je aan dat maatregelen zijn ontworpen, bestaan en werken. Begin bij de risicoanalyse, want die bepaalt welke maatregelen je nodig hebt. In de cloud lever je het bewijs het makkelijkst uit het platform zelf: een Landing Zone als code, policies die afwijkingen blokkeren of melden, centrale logging als audit trail en versleuteling met eigen sleutels.

Zo hoef je voor een audit geen losse documenten bij te houden. SUE bouwde voor een overheidsorganisatie een BIO-compliant cloudomgeving op deze manier.

Ja, onder voorwaarden. Sinds 3 juli 2026 geldt een strenger Rijkscloudbeleid. Gebruik je een publieke clouddienst, dan leg je eerst in een cloudstrategie vast waarom, welke risico's dat geeft en hoe je die beperkt. Denk aan afhankelijkheid van één leverancier of van een leverancier onder niet-Europees recht. Voor belangrijke clouddiensten is een exitplan verplicht.

Bronbestanden van basisregistraties zoals de BRP en de BRK mogen niet in de public cloud, en voor e-mail en documenten raadt het Rijk public cloud af. Bestaande diensten krijgen vier jaar om aan het beleid te voldoen.

De Cyberbeveiligingswet geldt sinds 15 augustus 2026, ook voor gemeenten, provincies, waterschappen en het Rijk. Het bestuur wordt expliciet verantwoordelijk voor het beheersen van cyberrisico's, en ernstige incidenten moet je melden. BIO2 is de norm waarmee je de zorgplicht invult.

Bij gemeenten houdt de gemeenteraad toezicht en houdt de Rijksinspectie Digitale Infrastructuur toezicht op de hele overheid. De Informatiebeveiligingsdienst (IBD) ondersteunt gemeenten bij incidenten.

Haven is de VNG-standaard voor platformonafhankelijke cloudhosting voor gemeenten, gebaseerd op Kubernetes. Een applicatie die in de ene Haven-omgeving draait, werkt in elke andere, of die nu bij een hyperscaler, een Nederlandse provider of in je eigen datacenter staat. Gemeenten passen de standaard toe of leggen uit waarom niet.

De Haven Compliancy Checker toetst je cluster onder meer op een recente Kubernetes-versie, meerdere availability zones, minimaal drie control-plane- en drie worker-nodes, RBAC, Linux-hardening, ReadWriteMany-storage, logging en monitoring. SUE bouwt en beheert Kubernetes-platformen en richt ze zo in dat ze die checks halen.