Volgens VIR-BI 2025 (Staatscourant, 8 september 2025) kent bijzondere informatie vier rubriceringsniveaus: Staatsgeheim Zeer Geheim, Staatsgeheim Geheim, Staatsgeheim Confidentieel en Departementaal Vertrouwelijk. ABRO 2026 hanteert vier categorieën voor het Te Beschermen Belang, TBB 1 tot en met 4, die volgens het NIDV op diezelfde niveaus aansluiten. BIO2 kent de oude basisbeveiligingsniveaus (BBN’s) niet meer en werkt risicogebaseerd: een organisatie leidt de maatregelen af uit de eigen risicoanalyse. De ARBIT-2022 kent helemaal geen classificatie, maar legt de leverancier een zorgplicht op: het niveau van informatiebeveiliging dat van een redelijk handelende en bekwame IT-leverancier mag worden verwacht (artikel 19). Lees de BIO2-uitleg bij bio-overheid: https://www.bio-overheid.nl/bio2/veelgestelde-vragen-over-de-bio2/
Wat betekent dit? Eén leverancier kan onder meerdere systemen tegelijk vallen, met eisen die elkaar overlappen of tegenspreken. Een praktische aanpak is leveranciers te classificeren op drie aspecten: de hoogste rubricering of TBB-categorie waarmee zij in aanraking komen, de aard van hun toegang en de afhankelijkheid van hen, en het dreigingsbeeld rond hen. Leg per leverancier vast welk kader geldt en welke eisen daaruit volgen. Zonder die vertaalslag krijgen leveranciers dubbele of tegenstrijdige eisen en weet de opdrachtgever niet wat hij moet toetsen. Onze dienst Beheersen leveranciers- en ketenrisico’s / Supply chain risk helpt om een classificatie op te zetten die deze kaders in één leverancierslabel samenbrengt.
AI en AVG als aanvullende classificatievragen
Naast TBB, rubricering, BIO2 en ARBIT komen twee vragen uit de AVG en de AI-verordening: verwerkt de leverancier persoonsgegevens als verwerker of subverwerker (artikel 28 en 32 AVG), en levert de leverancier een AI-component of gebruikt die AI in de dienst (artikel 25 lid 4 en artikel 15 AI-verordening)? Dit is onze voorgestelde uitbreiding van de classificatie en geen wettelijke indeling. Lees de uitwerking in ons artikel over AI-verordening en AVG in de leveranciersketen.