Baseline

Een baseline in de context van cybersecurity is een vastgesteld referentieniveau van beveiligingsmaatregelen waaraan een organisatie minimaal moet voldoen. Het begrip wordt breed toegepast: van de basisconfiguratie van een server tot een landelijk normenkader voor overheidsorganisaties. In Nederland is de bekendste baseline de Baseline Informatiebeveiliging Overheid (BIO), het verplichte normenkader voor alle overheidslagen. Een baseline definieert het minimale beschermingsniveau en biedt een gestructureerd startpunt voor het verbeteren van je informatiebeveiliging. Zonder baseline ontbreekt een meetlat om te beoordelen of je beveiligingsmaatregelen toereikend zijn.

Hoe werkt een baseline? Stappen

Het opstellen en implementeren van een baseline volgt een gestructureerd proces. De eerste stap is het selecteren of ontwikkelen van een geschikt baseline-framework. Voor overheidsorganisaties is de BIO2 het verplichte kader. Voor private organisaties zijn frameworks als ISO 27001, CIS Controls of het NIST Cybersecurity Framework beschikbaar als basis voor een eigen baseline.

De tweede stap is een nulmeting: het in kaart brengen van je huidige beveiligingsniveau ten opzichte van de gekozen baseline. Dit gebeurt via een gap-analyse waarbij je per beveiligingsmaatregel vaststelt of deze is geimplementeerd, gedeeltelijk is geimplementeerd of ontbreekt. Het resultaat is een overzicht van tekortkomingen dat de basis vormt voor een verbeterplan.

De derde stap is het opstellen van een implementatieplan op basis van de gap-analyse. Prioriteer de maatregelen op basis van risico: begin met de maatregelen die het grootste risico afdekken en die relatief snel te implementeren zijn. De BIO2 hanteert hiervoor een risicomanagement-benadering waarbij je zelf de impact en waarschijnlijkheid van dreigingen beoordeelt en op basis daarvan prioriteiten stelt.

De vierde stap is implementatie en documentatie. Voer de maatregelen uit, documenteer wat je hebt gedaan en zorg voor bewijsvoering. Bij de BIO2 gaat het om zowel technische maatregelen (firewalls, encryptie, toegangsbeheer) als organisatorische maatregelen (beleid, procedures, bewustwording). De vijfde stap is continue monitoring en evaluatie. Een baseline is geen eenmalig project maar een doorlopend proces. Voer regelmatig herbeoordelingen uit om vast te stellen of je nog steeds aan de baseline voldoet, en pas aan wanneer het dreigingslandschap verandert.

Wanneer voer je een baseline uit?

Een baseline-assessment is relevant bij verschillende gebeurtenissen. Bij de opstart van een nieuw informatiebeveiliging programma biedt een baseline het startpunt. Na een reorganisatie of fusie moet je vaststellen of de gecombineerde IT-omgeving aan de baseline voldoet. Bij de introductie van nieuwe systemen of applicaties moet je verifiieren dat de baseline-configuratie is toegepast. Na een security-incident is een baseline-assessment waardevol om vast te stellen welke maatregelen onvoldoende waren.

Voor Nederlandse overheidsorganisaties is de BIO2 sinds maart 2026 het verplichte normenkader, ter vervanging van de BIO v1.04. De BIO2 is gebaseerd op de internationale normen ISO 27001:2023 en ISO 27002:2022 en krijgt via de Cyberbeveiligingswet (Cbw), de Nederlandse vertaling van de NIS2-richtlijn, een wettelijke basis. Dit betekent dat naleving niet langer vrijblijvend is maar juridisch afdwingbaar wordt.

In de private sector wordt een baseline vaak gevraagd door klanten, toezichthouders of verzekeraars. Een cyberverzekering vereist steeds vaker dat een organisatie kan aantonen dat basismaatregelen zijn getroffen. Accountants beoordelen bij de jaarrekening of IT-risico's adequaat zijn beheerst. Grote opdrachtgevers eisen van leveranciers dat ze aan een bepaalde baseline voldoen als voorwaarde voor samenwerking. De NIS2-richtlijn breidt dit uit door ook toeleveranciers van vitale organisaties aan beveiligingseisen te houden.

Wat kost een baseline?

De kosten voor een baseline-implementatie hangen af van de omvang van je organisatie, het gekozen framework en je huidige volwassenheidsniveau. Een initieel baseline-assessment voor een MKB-organisatie kost tussen de vijfduizend en vijftienduizend euro wanneer je dit uitbesteedt aan een gespecialiseerde consultant. De implementatie van de gevonden tekortkomingen is doorgaans het duurste onderdeel en kan variieren van tienduizenden tot honderdduizenden euro's, afhankelijk van de omvang van de gap.

Voor overheidsorganisaties die de BIO2 implementeren, zijn de kosten afhankelijk van het type organisatie. Kleine gemeenten besteden jaarlijks enkele tienduizenden euro's aan BIO-compliance, terwijl grote uitvoeringsorganisaties budgetten van honderdduizenden tot miljoenen euro's reserveren. Hulpmiddelen zoals de ENSIA-verantwoordingstool en standaard implementatiegidsen helpen de kosten te beheersen door het proces te stroomlijnen.

De terugverdientijd van een baseline-investering is lastig exact te berekenen maar wordt concreet wanneer je kijkt naar de kosten van een security-incident. De gemiddelde kosten van een datalek in Europa liggen boven de vier miljoen euro. Een baseline die voorkomt dat je het slachtoffer wordt van een vermijdbare aanval, verdient zichzelf meerdere keren terug.

De technische implementatie van een baseline omvat ook het hardenen van systemen. Hardening betekent het configureren van servers, werkstations en netwerkapparatuur volgens een vooraf gedefinieerde beveiligingsstandaard. De CIS Benchmarks bieden gedetailleerde configuratierichtlijnen voor vrijwel elk besturingssysteem en elke applicatie. Door deze benchmarks als technische baseline te gebruiken en naleving te monitoren met configuration management-tools, zorg je ervoor dat nieuwe systemen automatisch aan de baseline voldoen en afwijkingen direct worden gedetecteerd.

Een baseline is niet statisch maar evolueert mee met het dreigingslandschap en technologische ontwikkelingen. Wat vandaag als adequaat beschermingsniveau geldt, kan morgen onvoldoende zijn door nieuwe aanvalstechnieken of veranderde compliance-eisen. Bouw daarom een review-cyclus in waarbij je de baseline minimaal jaarlijks herbeoordeelt en aanpast aan nieuwe inzichten, eisen en technologische veranderingen. Documenteer elke wijziging en communiceer updates naar alle betrokken afdelingen.

Veelgestelde vragen over baselines

Wat is het verschil tussen een baseline en een framework?

Een framework is een overkoepelend raamwerk met principes en richtlijnen, zoals ISO 27001 of NIST CSF. Een baseline is een concrete set minimummaatregelen afgeleid van een framework, specifiek toegepast op een organisatie of sector. De baseline vertaalt het framework naar actiepunten.

Is de BIO2 verplicht voor alle Nederlandse organisaties?

De BIO2 is verplicht voor alle Nederlandse overheidsorganisaties: Rijk, gemeenten, provincies en waterschappen. Private organisaties zijn niet verplicht om de BIO te volgen, maar kunnen het wel als referentiekader gebruiken. NIS2 stelt vergelijkbare eisen aan private organisaties in vitale sectoren.

Hoe vaak moet je een baseline-assessment herhalen?

Voer minimaal jaarlijks een volledige baseline-assessment uit. Bij significante wijzigingen in je IT-omgeving, na security-incidenten of bij veranderingen in wet- en regelgeving is een tussentijdse beoordeling nodig. Continue monitoring via geautomatiseerde compliance-tools is aan te bevelen.

Wat is het verschil tussen de BIO en de BIO2?

De BIO2 is de opvolger van de BIO v1.04 en is gebaseerd op de nieuwere ISO 27001:2023 en ISO 27002:2022 normen. De drie basis beveiligingsniveaus (BBN's) zijn afgeschaft ten gunste van een risicomanagement-benadering. Daarnaast krijgt de BIO2 een wettelijke basis via de Cyberbeveiligingswet.

Kan ik een baseline zelf implementeren of heb ik een consultant nodig?

Kleine organisaties met interne IT-expertise kunnen een basisimplementatie zelf uitvoeren met behulp van beschikbare handleidingen en tools. Voor complexere omgevingen of wanneer objectieve beoordeling nodig is, is een externe consultant aan te raden. De initieel assessment laat je bij voorkeur extern uitvoeren voor onafhankelijkheid.

Vind een specialist voor informatiebeveiliging via Governance, Risk & Compliance op IBgidsNL.