# BIO2 awareness training: aantoonbaar trainen bij de overheid (2026)

> BIO2 eist aantoonbare I-bewustzijn-training binnen drie maanden na indiensttreding (6.03.02) en regelmatige scholing (5.04.01). Zo voldoen overheden en hun leveranciers.

- Canoniek: https://cyberpulse.it/bio2-awareness-training
- Engelse versie: https://cyberpulse.it/en/bio2-awareness-training
- Gepubliceerd: 2026-08-08
- Bijgewerkt: 2026-08-25
- Uitgever: CyberPulse (https://cyberpulse.it)

BIO2, de Baseline Informatiebeveiliging Overheid 2, eist dat alle medewerkers en contractanten binnen drie maanden na indiensttreding aantoonbaar een training I-bewustzijn succesvol volgen (maatregel 6.03.02). De baseline geldt sinds 2 maart 2026 voor de hele Nederlandse overheid en werkt via contracten door naar leveranciers. Op deze pagina zetten we de twee trainingsmaatregelen op een rij en laten we zien hoe je ze aantoonbaar maakt.

## Wat is BIO2 en voor wie geldt het?

De Baseline Informatiebeveiliging Overheid 2 (versie 1.3) is sinds 2 maart 2026 geldend, vastgelegd in een circulaire (BWBR0052376). BIO2 vervangt de oude BIO 1.04 en geldt voor de hele Nederlandse overheid: het Rijk, gemeenten, provincies en waterschappen. Minstens zo belangrijk: de baseline werkt via contractuele afspraken door naar de leveranciers van die overheden: daarover verderop meer.

Per 15 augustus 2026 krijgt BIO2 bovendien een wettelijke verankering. De Cyberbeveiligingsregeling overheid verwijst dan naar BIO2 voor de invulling van de zorgplicht uit de Cyberbeveiligingswet (Cbw). Daarmee verschuift BIO2 van een afspraak binnen de overheid naar de concrete invulling van een wettelijke plicht. Hoe die Cbw-zorgplicht in elkaar zit, inclusief meldplicht en bestuurlijke verantwoordelijkheid, lees je in [Cyberbeveiligingswet: de trainingseisen](/cyberbeveiligingswet-training-eisen).

Voor awareness-training zijn twee maatregelen direct relevant: 6.03.02 (aantoonbare training bij indiensttreding) en 5.04.01 (regelmatige scholing voor bestuur en werknemers). We lopen ze allebei langs, want ze vragen elk om iets anders in je organisatie.

## Maatregel 6.03.02: aantoonbaar binnen 3 maanden na indiensttreding

De kern van de trainingseis staat in maatregel 6.03.02:

> “Alle medewerkers en contractanten … hebben binnen drie maanden na indiensttreding aantoonbaar een training I-bewustzijn succesvol gevolgd”
> – BIO2, maatregel 6.03.02

Vier onderdelen van deze zin doen het werk:

- **“Alle medewerkers en contractanten”**: de eis beperkt zich niet tot ambtenaren in vaste dienst. Ook inhuur en externe krachten die voor je organisatie werken vallen eronder. Dat betekent dat je ook zicht moet hebben op de instroom van externen, niet alleen op je eigen HR-proces.
- **“Binnen drie maanden na indiensttreding”**: een concrete termijn per persoon. Koppel de training daarom aan je onboarding, niet aan een jaarlijkse campagne die toevallig ergens in het jaar valt: wie in april start, kan niet wachten op de sessie van november.
- **“Aantoonbaar”**: je moet per persoon kunnen laten zien dát de training is gevolgd. Dat vraagt om registratie: wie, wanneer, met welk resultaat. Een algemene mededeling dat “iedereen de e-learning heeft gekregen” is geen aantoonbaarheid.
- **“Succesvol gevolgd”**: uitnodigen is niet genoeg, en aanwezig zijn ook niet. Je legt vast dat de training daadwerkelijk en met goed gevolg is afgerond.

In de praktijk betekent dit: maak de training I-bewustzijn een vast onderdeel van onboarding, met automatische registratie van afronding en bewaking van de drie-maandentermijn per persoon. Dan is de maatregel geen jaarlijkse actie meer, maar een proces dat zichzelf bewijst.

### Zo ziet “aantoonbaar binnen drie maanden” er operationeel uit

De termijn van drie maanden haal je alleen structureel als de training in je onboardingproces zit, niet in een losse campagne. Een werkbare opzet:

1. **Dag 1: account aan, training aan.** Koppel de uitnodiging voor de training I-bewustzijn aan het aanmaken van het account. Geen apart lijstje dat iemand moet bijhouden: wie toegang krijgt, zit automatisch in het programma.
2. **Week 1: starten, niet alleen uitnodigen.** Neem de eerste module op in het inwerkschema, naast het uitreiken van de laptop en de rondleiding. Zo is de training vanaf het begin iets dat hier hoort, geen mailtje dat wegzakt.
3. **Maand 2: voortgang controleren.** Eén vast controlemoment: wie is gestart maar niet op koers? Een herinnering in maand 2 kost niets; ontdekken in maand 4 dat iemand nooit begonnen is, betekent dat de termijn al verstreken is.
4. **Maand 3: afgerond én geregistreerd.** Bewaak de afronding én de vastlegging: datum, resultaat en persoon. Dat is het “aantoonbaar” uit de maatregel.
5. **Bij uitdiensttreding en wisseling: administratie bij.** Houd de lijst actueel, anders vervuilt je rapportage en lijken er gaten te zitten waar geen mensen meer werken.

Vergeet de instroom buiten HR om niet: contractanten en inhuur komen vaak binnen via inkoop of een detacheerder en missen daardoor het HR-onboardingproces. Spreek af dat ook hun toegang pas volgt als ze in het trainingsprogramma staan.

Voor een gemiddelde gemeente of mkb-leverancier met tientallen instromers per jaar is dit handmatig nét te doen, en gaat het dus een keer mis. Automatisering is hier geen luxe: het is het verschil tussen “we doen ons best” en “hier is per persoon de datum van afronding”.

## Maatregel 5.04.01: regelmatige scholing voor bestuur en werknemers

Naast de onboarding-eis kent BIO2 maatregel 5.04.01: bestuur en werknemers volgen regelmatig scholing. Twee dingen vallen op.

Ten eerste staat het bestuur er expliciet in. Bewustwording is dus niet iets dat je alleen naar de werkvloer uitrolt terwijl de top toekijkt: de bestuurders doen zelf mee, en ook hun deelname wil je kunnen laten zien.

Ten tweede noemt de maatregel geen frequentie. “Regelmatig” vul je zelf in, maar die invulling moet je wel kunnen verdedigen. Een doorlopend programma met korte, terugkerende leermomenten maakt dat eenvoudig: je hoeft nooit uit te leggen waarom er elf maanden niets gebeurde, en je dekt 6.03.02 en 5.04.01 in één beweging af: nieuwe mensen starten direct bij indiensttreding, bestaande medewerkers en bestuurders blijven in het ritme.

## Wat betekent dit voor leveranciers van overheden?

BIO2 geldt niet alleen voor overheidsorganisaties zelf, maar via contractuele doorwerking ook voor hun leveranciers. En maatregel 6.03.02 noemt contractanten bovendien expliciet.

Lever je diensten aan het Rijk, een gemeente, provincie of waterschap? Dan kun je in contracten en uitvragen eisen tegenkomen om aantoonbaar volgens BIO2 te werken, inclusief training van de mensen die voor die overheidsklant aan de slag gaan. Wie zijn trainingsbewijs per medewerker paraat heeft, beantwoordt zulke vragen met één rapportage in plaats van een inhaalslag onder tijdsdruk.

Voor de overheidsorganisatie geldt het spiegelbeeld: regel de doorwerking in je leverancierscontracten en vraag het trainingsbewijs actief op. De eis dat contractanten binnen drie maanden aantoonbaar getraind zijn, kun je alleen waarmaken als je leveranciers daarin meebeweegt.

### Zo regel je het in inkoop en contracten

De doorwerking naar de keten regelt zichzelf niet; die staat of valt met wat er in je contracten en uitvragen staat. Praktische aanknopingspunten voor de inkopende overheidsorganisatie:

- **Neem de trainingseis expliciet op** in het contract of de verwerkersafspraken: medewerkers van de leverancier die voor jou werken, zijn aantoonbaar getraind conform de eisen die jij vanuit BIO2 stelt.
- **Vraag bewijs op vaste momenten**, bijvoorbeeld bij de start van de opdracht en daarna periodiek, niet pas als er een incident of controle speelt.
- **Wees concreet over de vorm**: een overzicht per medewerker met datum en resultaat, niet een algemene verklaring op briefpapier.
- **Regel ook personeelswisselingen**: vervangt de leverancier iemand op de opdracht, dan geldt voor de vervanger dezelfde eis.

Als leverancier draai je dit om: wacht niet tot de uitvraag komt, maar zorg dat je het overzicht nu al kunt uitdraaien. In een aanbesteding is “dat zoeken we uit” een slechter antwoord dan een rapportage die klaarstaat, en dezelfde registraties gebruik je bij elke volgende overheidsklant opnieuw.

Werk je als leverancier daarnaast aan een ISO 27001-certificering? De eisen aan aantoonbare training lijken sterk op elkaar: een goede trainingsregistratie die je voor BIO2 bijhoudt, is ook voor je ISO-auditor bruikbaar bewijs. Lees [ISO 27001 awareness training](/iso-27001-awareness-training) voor wat daar precies gevraagd wordt.

## Zo maak je het aantoonbaar

De rode draad in beide maatregelen is aantoonbaarheid: niet “we hebben een training”, maar per persoon kunnen laten zien dat die binnen de termijn succesvol is afgerond en daarna wordt herhaald.

CyberPulse registreert per medewerker trainingsdeelname, quizresultaten, certificaten en de uitkomsten van phishing-simulaties. Nieuwe medewerkers doorlopen het programma vanaf dag één, en de rapportage laat per persoon zien of de training binnen de termijn is afgerond: precies het bewijs dat 6.03.02 vraagt. [Start een gratis trial](/trial).

### Checklist

- Breng in kaart wie onder de eis valt: eigen medewerkers én contractanten en inhuur.
- Maak de training I-bewustzijn een vast onderdeel van onboarding, met bewaking van de drie-maandentermijn (6.03.02).
- Leg per persoon vast: deelname, succesvolle afronding en resultaat.
- Plan regelmatige herhaalscholing voor werknemers én bestuur (5.04.01) en registreer ook die deelname.
- Ben je een overheidsorganisatie: neem de BIO2-doorwerking op in leverancierscontracten en vraag trainingsbewijs op.
- Ben je leverancier: houd je trainingsregistraties per medewerker paraat voor overheidsklanten.
- Houd het bewijs centraal en direct opvraagbaar, zodat een controle of contractvraag geen zoektocht wordt.

Wil je het bredere plaatje (welke andere wetten en normen naast BIO2 training eisen, van NIS2 tot ISO 27001) lees dan [security awareness training verplicht](/security-awareness-training-verplicht).

## Veelgestelde vragen

### Voor wie geldt BIO2?

BIO2 geldt voor de hele Nederlandse overheid: het Rijk, gemeenten, provincies en waterschappen. Via contractuele doorwerking geldt de baseline daarnaast voor leveranciers van die overheden. BIO2 (versie 1.3) is sinds 2 maart 2026 geldend via een circulaire en vervangt de oude BIO 1.04. Per 15 augustus 2026 verwijst de Cyberbeveiligingsregeling overheid bovendien naar BIO2 als invulling van de zorgplicht uit de Cyberbeveiligingswet.
### Wat eist BIO2 precies aan awareness-training?

Twee maatregelen. Maatregel 6.03.02: alle medewerkers en contractanten hebben binnen drie maanden na indiensttreding aantoonbaar een training I-bewustzijn succesvol gevolgd. Maatregel 5.04.01: bestuur en werknemers volgen regelmatig scholing. Samen vragen ze om een trainingsproces dat bij onboarding start, daarna blijft doorlopen en per persoon geregistreerd wordt.
### Geldt de trainingseis ook voor externe inhuur en leveranciers?

Ja. Maatregel 6.03.02 noemt contractanten expliciet naast medewerkers, dus ook inhuur en externe krachten moeten binnen drie maanden aantoonbaar getraind zijn. BIO2 werkt bovendien via contracten door naar leveranciers van overheden: die kunnen in contracten en uitvragen de eis tegenkomen om aantoonbaar BIO2-conform te werken, inclusief trainingsbewijs van hun mensen.
### Wat betekent 'aantoonbaar' in maatregel 6.03.02?

Dat je per persoon kunt laten zien dat de training I-bewustzijn daadwerkelijk en succesvol is afgerond, binnen drie maanden na indiensttreding. In de praktijk: een registratie of certificaat per medewerker met datum en resultaat. Een algemene verklaring dat iedereen is uitgenodigd voor een e-learning volstaat niet: de maatregel spreekt van succesvol gevolgd, dus je moet afronding kunnen bewijzen.
### Is BIO2 wettelijk verplicht?

BIO2 is sinds 2 maart 2026 geldend via een circulaire (BWBR0052376). Per 15 augustus 2026 komt daar een wettelijke verankering bij: de Cyberbeveiligingsregeling overheid verwijst naar BIO2 voor de invulling van de zorgplicht uit de Cyberbeveiligingswet. Voor overheden is BIO2 daarmee niet vrijblijvend; voor leveranciers werkt de baseline door via contractuele afspraken met hun overheidsklanten.
### Hoe vaak moeten bestaande medewerkers trainen onder BIO2?

Maatregel 5.04.01 zegt dat bestuur en werknemers regelmatig scholing volgen, maar noemt geen frequentie. Die invulling is aan jou: mits verdedigbaar. Een doorlopend programma met korte, terugkerende leermomenten is de eenvoudigste route: het maakt 'regelmatig' vanzelfsprekend, dekt tegelijk de onboarding-eis van 6.03.02 af en levert doorlopend registraties op waarmee je de naleving kunt aantonen.

## Bronnen

- [Wetten.overheid.nl, circulaire BIO2 (BWBR0052376)](https://wetten.overheid.nl/BWBR0052376/)
- [BIO-overheid.nl, Baseline Informatiebeveiliging Overheid](https://www.bio-overheid.nl/)
- [Rijksoverheid, Cyberbeveiligingswet vanaf 15 augustus 2026 van kracht](https://www.rijksoverheid.nl/actueel/nieuws/2026/07/07/cyberbeveiligingswet-en-wet-weerbaarheid-kritieke-entiteiten-vanaf-15-augustus-2026-van-kracht)