Czym jest BIO2?
BIO (Baseline Informatiebeveiliging Overheid) to jednolity zbiór wymagań bezpieczeństwa informacji dla holenderskiej administracji publicznej. Pierwsza wersja obowiązuje od 1 stycznia 2020 roku i zastąpiła cztery wcześniejsze, odrębne zestawy bazowe poszczególnych warstw administracji: BIR (administracja centralna), BIG (gminy), IBI (prowincje) i BIWA (zarządy wodne). Dzięki temu urzędy różnych szczebli mówią o bezpieczeństwie jednym językiem, co ma ogromne znaczenie przy wymianie danych między instytucjami i wspólnych usługach cyfrowych.
BIO2 to zaktualizowana wersja tego zestawu bazowego, dostosowana do nowych wydań norm ISO/IEC 27001:2022 i ISO/IEC 27002:2022. Przejmuje ich strukturę kontroli (tematy: organizacyjne, osobowe, fizyczne i technologiczne) i uzupełnia je o środki specyficzne dla administracji (overheidsmaatregelen). W stosunku do pierwszej wersji BIO2 mocniej akcentuje zarządzanie ryzykiem po stronie organizacji zamiast sztywnych, z góry przypisanych poziomów zabezpieczeń. To organizacja, na podstawie analizy ryzyka, decyduje o środkach ponad wspólny poziom bazowy.
Kogo obowiązuje?
BIO jest wiążąca dla całego holenderskiego sektora publicznego na mocy uzgodnień międzyadministracyjnych i decyzji rządowych. Standard stosują także dostawcy IT pracujący dla administracji. Wymagania BIO trafiają do zamówień publicznych i umów, więc firmy obsługujące sektor publiczny w Holandii muszą umieć wykazać zgodność.
- Administracja centralna (Rijksoverheid): ministerstwa i podległe im służby oraz agencje.
- Gminy (gemeenten): wszystkie 342 holenderskie gminy, wspierane przez sektorowy zespół IBD (Informatiebeveiligingsdienst) przy VNG.
- Prowincje (provincies) i zarządy wodne (waterschappen).
- Organizacje wykonujące zadania publiczne oraz dostawcy, którym administracja stawia wymagania BIO w umowach i przetargach.
Struktura: ISO 27001/27002 plus środki dla administracji
BIO2 nie wymyśla bezpieczeństwa od nowa. Jej fundamentem jest system zarządzania bezpieczeństwem informacji zgodny z ISO/IEC 27001 oraz katalog kontroli ISO/IEC 27002:2022. Kontrole są pogrupowane w cztery tematy: organizacyjne (rozdział 5, 37 kontroli: polityki, role, ryzyko, dostawcy, incydenty, ciągłość, zgodność z prawem), osobowe (rozdział 6, 8 kontroli: weryfikacja, świadomość, praca zdalna), fizyczne (rozdział 7, 14 kontroli: strefy, sprzęt, nośniki) i technologiczne (rozdział 8, 34 kontrole: dostęp uprzywilejowany, kryptografia, kopie zapasowe, logowanie, podatności, rozwój oprogramowania).
Do tego dochodzą środki specyficzne dla administracji, doprecyzowujące jak dana kontrola ma być wdrożona w realiach sektora publicznego, na przykład wymogi wobec weryfikacji pracowników (VOG), stosowanie obowiązkowych otwartych standardów z listy Forum Standaardisatie (jak HTTPS z HSTS, DNSSEC czy standardy bezpiecznej poczty) czy zasady rozliczalności wobec organów przedstawicielskich. Organizacja, która wdrożyła ISO 27001, ma więc za sobą zdecydowaną większość drogi do zgodności z BIO2.
Rozliczalność: ENSIA i cykl planowania
BIO nie przewiduje certyfikacji. Zgodność weryfikuje się w ramach mechanizmów rozliczalności właściwych dla danej warstwy administracji. Gminy rozliczają się co roku przez ENSIA (Eenduidige Normatiek Single Information Audit): jedną, ujednoliconą samoocenę obejmującą BIO i kluczowe systemy krajowe (na przykład DigiD i Suwinet), na podstawie której zarząd gminy (college) składa oświadczenie wobec rady gminy, a wybrane obszary bada niezależny audytor IT.
W administracji centralnej stan bezpieczeństwa informacji raportuje się w ramach rocznego cyklu planowania i rozliczalności resortów, a nadzór sprawują między innymi Audytdienst Rijk i Algemene Rekenkamer (izba obrachunkowa), której raporty regularnie wskazują niedociągnięcia w bezpieczeństwie informacji jako jeden z najczęstszych problemów zarządzania. Prowincje i zarządy wodne mają analogiczne mechanizmy horyzontalnej rozliczalności.
BIO2 a NIS2 (Cyberbeveiligingswet) i AVG
Dyrektywa NIS2 jest w Holandii wdrażana ustawą Cyberbeveiligingswet, która obejmuje także znaczną część administracji publicznej i wprowadza obowiązek zarządzania ryzykiem cyberbezpieczeństwa, zgłaszania poważnych incydentów (wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny) oraz odpowiedzialność zarządów. BIO2 jest pomyślana jako praktyczny sposób realizacji obowiązku staranności: organizacja, która rzetelnie wdrożyła BIO2, pokrywa zasadniczą część wymagań ustawy.
Równolegle każdy podmiot publiczny przetwarza dane osobowe i podlega AVG (RODO), nadzorowanemu przez Autoriteit Persoonsgegevens, z obowiązkiem zgłaszania naruszeń w 72 godziny i prowadzenia rejestrów przetwarzania. Wymagania te w dużej mierze pokrywają się z kontrolami BIO2 dotyczącymi klasyfikacji, dostępu, szyfrowania i incydentów, więc jeden dobrze prowadzony system zarządzania obsługuje wszystkie trzy reżimy.
Jak pomaga Guardiso?
Guardiso prowadzi organizację publiczną przez wdrożenie i utrzymanie BIO2: od samooceny, przez rejestry i polityki, po dowody na potrzeby rozliczalności rocznej.
- Wszystkie kontrole BIO2 (93 kontrole w czterech tematach ISO 27002:2022) tworzone automatycznie po włączeniu standardu, ze statusami i właścicielami.
- Polityki generowane z szablonów dopasowanych do sektora publicznego, z wersjonowaniem i zatwierdzeniem zarządu.
- Rejestr ryzyk wspierający podejście risk-based BIO2: analizy ryzyka, plany postępowania i akceptacja ryzyk rezydualnych przez zarząd.
- Zadania cykliczne z przypomnieniami: przeglądy uprawnień, testy kopii zapasowych, szkolenia świadomości, przeglądy dostawców.
- Rejestr incydentów ze ścieżkami zgłoszeń zewnętrznych (Autoriteit Persoonsgegevens, NCSC/IBD) i pilnowaniem terminów.
- Repozytorium dowodów gotowe na samoocenę i audyt IT: jedno źródło prawdy zamiast rozproszonych arkuszy.
- Mapowanie krzyżowe na ISO 27001, NIS 2 i RODO/AVG: praca wykonana dla BIO2 zalicza pokrywające się wymagania pozostałych ram.