Normenkader
De baseline staat in het beleid.
De maatregel staat in de tenant.
BIO2 is sinds 5 maart 2026 het basisnormenkader voor informatiebeveiliging bij alle overheidslagen. Het beschrijft wat er geregeld moet zijn. Of het in uw Microsoft 365-omgeving ook daadwerkelijk zo staat, is een andere vraag en die wordt in de praktijk zelden volledig beantwoord.
Het knelpunt
Waar de verantwoording dun wordt
Niet omdat er slecht wordt gewerkt, maar omdat de verantwoording leunt op wat mensen opgeven en het systeem ondertussen doorloopt.
De zelfevaluatie
De verantwoording komt tot stand op basis van beleid, procesbeschrijvingen en wat beheerders invullen. Dat een maatregel is vastgesteld betekent niet dat hij nu technisch actief is.
De uitzondering die bleef staan
Voor een migratie of een leverancier wordt tijdelijk een uitzondering gemaakt. Het project loopt af, de uitzondering blijft. Een jaar later staat hij er nog.
Aansluiting op de Cyberbeveiligingswet
BIO2 is aangescherpt op de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is. Maatregelen vaststellen is daarmee niet langer genoeg.
De toetsing
Wat wij in uw omgeving vaststellen
Wij toetsen de inrichting van uw Microsoft 365-omgeving aan de maatregelen uit BIO2 en leggen per controle vast wat wij aantreffen.
Toegang
en identiteit
Wie kan waarbij, met welke voorwaarden en welke accounts vallen buiten het beleid dat u heeft vastgesteld. Inclusief de rechten die ooit tijdelijk zijn verleend.
Bescherming
van gegevens
Hoe informatie is geclassificeerd, versleuteld en afgeschermd en waar gegevens de organisatie kunnen verlaten zonder dat daar een maatregel op staat.
Bescherming
tegen dreigingen
De inrichting van de beveiligingsonderdelen in uw omgeving en of de functies die u denkt te hebben ook daadwerkelijk aanstaan en zijn afgestemd op uw situatie.
Vastlegging
en herleidbaarheid
Welke gebeurtenissen worden vastgelegd, hoe lang ze bewaard blijven en of u achteraf kunt reconstrueren wat er is gebeurd en door wie.
Wij lezen de configuratie van uw Microsoft 365-omgeving als code uit. Daarmee komen ook de instellingen in beeld die via de beheerportalen en Microsoft Graph niet zichtbaar zijn.
Voor de verantwoording
Wat de toezichthouder uiteindelijk wil zien
Geen momentopname, maar een reeks. Een rapportage die laat zien dat de inrichting het hele jaar door is gebleven zoals u hem heeft vastgesteld.
Een vaste rapportage
Elke maand hetzelfde rapport, in dezelfde opbouw, met per maatregel de stand en de technische onderbouwing eronder. Vergelijkbaar over de tijd, ook een jaar later.
Configuratiemonitoring
Wij vergelijken uw omgeving dagelijks met de inrichting die u zelf heeft vastgesteld. Wijkt er iets af, dan ziet u dat binnen een dag in plaats van bij de volgende audit.
Evergreen as a Service
Microsoft wijzigt het platform doorlopend. Wij volgen die wijzigingen, vertalen ze naar wat ze voor uw maatregelen betekenen en melden het wanneer er iets van u wordt gevraagd.
De nulmeting
Begin met de stand van vandaag
De nulmeting laat zien hoe uw Microsoft 365-omgeving er nu voor staat, afgezet tegen BIO2. U ziet per maatregel wat er staat, met de onderbouwing eronder.
Voor de nulmeting zijn uitsluitend leesrechten op uw Microsoft 365-omgeving nodig. Wij presenteren de bevindingen in een afsluitende sessie.
Ook voor andere kaders
Dezelfde meting leggen wij langs ISO 27001, BIO2, NEN 7510, DORA, de Cyberbeveiligingswet en het SURFaudit toetsingskader.
Werkt u met meerdere kaders tegelijk, dan meten wij eenmaal en rapporteren wij per kader.