Een BIV-classificatie geeft per systeem, proces of gegevensverzameling aan hoe zwaar beschikbaarheid, integriteit en vertrouwelijkheid wegen. Je scoort elk van de drie op een schaal, meestal laag, midden en hoog. Uit die score volgen de maatregelen: een systeem met hoge beschikbaarheid krijgt een kortere hersteltijd, data met hoge vertrouwelijkheid strengere toegangsregels.
De methode hoort bij de basis van informatiebeveiliging en komt terug in ISO 27001, de BIO2 voor de overheid en het normenkader voor het onderwijs.
Laatst gecontroleerd op 13 oktober 2026.
Waar BIV voor staat: de drie aspecten
BIV is de afkorting van beschikbaarheid, integriteit en vertrouwelijkheid. Het Engelse model met dezelfde drie aspecten heet de CIA-triad: confidentiality, integrity en availability. Bij het classificeren beantwoord je per aspect één vraag.
| Aspect | Vraag bij het classificeren | Gevolg als het misgaat |
|---|---|---|
| Beschikbaarheid (continuïteit) | Hoe lang mag het systeem of de informatie onbereikbaar zijn? | Het werk ligt stil, klanten kunnen niet bestellen of betalen |
| Integriteit (juistheid en volledigheid) | Hoe erg is het als gegevens onjuist, onvolledig of ongemerkt gewijzigd zijn? | Verkeerde betalingen, besluiten op basis van foute cijfers |
| Vertrouwelijkheid (exclusiviteit) | Wie mag de informatie zien, en wat gebeurt er als een ander haar ziet? | Een datalek, een melding aan de toezichthouder, verlies van vertrouwen |
De drie aspecten scoor je los van elkaar. Een openbare website bevat niets geheims en kan toch hoog scoren op beschikbaarheid, als de webwinkel zonder site geen orders binnenkrijgt.
De schaal: van laag, midden, hoog tot 0 tot 4
Geen wet of norm schrijft één schaal voor. Je kiest er één, legt vast wat elk niveau betekent en gebruikt die voor alle systemen. Deze vier varianten kom je in Nederlandse normenkaders en handreikingen tegen.
- Laag, midden, hoog: het Normenkader IBP voor scholen vraagt om deze drie niveaus. De code bestaat uit drie letters, zoals MHH.
- 1 tot 3: dezelfde drie niveaus in cijfers. Een BIV-score van 333 is de hoogste, 111 de laagste.
- Openbaar, laag, midden, hoog: SURF en de referentiearchitectuur voor het hoger onderwijs (HORA) voegen openbaar toe als vierde niveau, vooral voor vertrouwelijkheid.
- 0 tot 4: het NCSC geeft een vijfpuntsschaal van geen tot zeer hoog als voorbeeld bij het waarderen van systemen per proces.
De volgorde in de code is altijd B, I, V. MHH betekent beschikbaarheid midden, integriteit hoog en vertrouwelijkheid hoog.
Voorbeeld van een schaal met drie niveaus
Beschrijf elk niveau in gevolgen die iemand buiten IT herkent. Zonder die beschrijving scoort elke afdeling naar eigen gevoel.
| Niveau | Beschikbaarheid | Integriteit | Vertrouwelijkheid |
|---|---|---|---|
| Laag | Een dag uitval is op te vangen | Een fout is hinderlijk en snel hersteld | Openbare of algemene interne informatie |
| Midden | Een paar uur uitval raakt klanten of collega’s | Een fout kost herstelwerk of geld | Informatie voor een afgebakende groep, zoals personeelszaken |
| Hoog | Een uur uitval legt het primaire proces stil | Een fout leidt tot verkeerde besluiten, betalingen of juridische gevolgen | Bijzondere persoonsgegevens, bedrijfsgeheimen of toetsmateriaal |
Een BIV-classificatie maken in vijf stappen
De stappen volgen de aanpak van het NCSC en het Normenkader IBP van Kennisnet.
- Kies een proces. Begin bij werk waar de organisatie op draait, zoals orders verwerken of salarissen uitbetalen. Noteer welke systemen, gegevens en leveranciers daarbij horen. Het NCSC raadt aan met één proces te starten.
- Wijs een eigenaar aan. De eigenaar van het proces of de informatie stelt de classificatie vast. IT adviseert: beheerders kennen de techniek, de proceseigenaar kent de gevolgen van stilstand voor het werk.
- Scoor B, I en V apart. Stel per aspect de vraag uit de eerste tabel en kies het niveau bij het ergste gevolg dat realistisch is.
- Koppel maatregelen aan elk niveau. Leg per niveau een vaste set maatregelen vast, een zogeheten securitybaseline. Een nieuw systeem met code MHH krijgt dan direct de maatregelen voor midden en hoog.
- Herhaal bij elke wijziging. Classificeer opnieuw bij een nieuw systeem, een nieuwe leverancier of nieuwe soorten gegevens, en verder jaarlijks.
Kennisnet gebruikt de classificatie om voor elk systeem een aparte risicoanalyse te besparen: de standaardmaatregelen per niveau dekken het gangbare risico. Voor systemen met een hoge score loont een volledige risicoanalyse, die ook dreigingen en kansen meeweegt. Begeleiding bij het classificeren bieden de bureaus in het overzicht van adviesbureaus voor ISO 27001 en NIS2.
Voorbeeld: BIV-classificatie van een mkb-bedrijf
Zo kan de classificatie uitvallen bij een groothandel met een webwinkel en dertig medewerkers. De scores zijn een voorbeeld: dezelfde applicatie komt in een andere organisatie anders uit.
| Systeem | B | I | V |
|---|---|---|---|
| Webwinkel en orderverwerkingUitval kost direct omzet, een prijsfout gaat meteen naar klanten | H | H | M |
| Boekhouding en betalingenEen dag uitval is op te vangen, een gewijzigd rekeningnummer kost geld | M | H | M |
| SalarisadministratieBevat burgerservicenummers en salarissen van medewerkers | M | H | H |
| E-mail en Microsoft 365Klantcontact loopt via mail, offertes en contracten staan in de cloud | H | M | H |
| CRM met klantgegevensPersoonsgegevens en afspraken met klanten | M | M | H |
| Openbare websiteDe inhoud is openbaar, een gehackte homepage schaadt wel het vertrouwen | M | M | L |
| Intranet met nieuws en roostersEen fout rooster geeft verwarring, de inhoud is weinig gevoelig | L | M | L |
Twee uitkomsten vallen op. De openbare website scoort laag op vertrouwelijkheid en toch midden op beschikbaarheid. E-mail scoort hoog op vertrouwelijkheid, omdat offertes, contracten en persoonsgegevens als bijlage door de mailbox gaan.
Van BIV-score naar maatregelen
Elk aspect vraagt om eigen maatregelen. De tabel toont voorbeelden bij niveau hoog. Bij midden en laag vallen maatregelen af of worden de termijnen ruimer.
| Hoog op | Voorbeelden van maatregelen |
|---|---|
| Beschikbaarheid | Een vastgelegde hersteltijd (RTO) en maximaal dataverlies (RPO), back-ups buiten het netwerk, een geteste uitwijk en hersteltermijnen in het contract met de leverancier |
| Integriteit | Logging van wijzigingen, een vier-ogenprincipe bij betalingen, beperkte schrijfrechten, versiebeheer en signalering van afwijkingen |
| Vertrouwelijkheid | Rechten per rol, meerfactorauthenticatie, versleuteling, labels die doorsturen of downloaden blokkeren en geheimhoudingsafspraken met leveranciers |
Microsoft 365 vertaalt vertrouwelijkheid naar gevoeligheidslabels in Microsoft Purview. Een label kan een document versleutelen of het doorsturen buiten de organisatie blokkeren.
Bij ransomware spelen alle drie de aspecten. Systemen liggen stil, data is versleuteld of gewist en criminelen dreigen gestolen bestanden te publiceren. Met een classificatie per systeem weet je vooraf welke systemen na een aanval als eerste terug horen te komen.
BIV-classificatie en de AVG
De AVG gebruikt de term BIV niet. Artikel 32 vraagt wel passende maatregelen om de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van systemen te waarborgen. Daarnaast vraagt het artikel om de beschikbaarheid van persoonsgegevens na een incident tijdig te herstellen en de maatregelen regelmatig te testen.
Een BIV-classificatie per verwerking onderbouwt wat jij passend vindt. Die onderbouwing heb je nodig bij een vraag van de Autoriteit Persoonsgegevens of na een datalek. Meer over de beveiligingseisen staat bij AVG beveiliging.
SURF publiceerde in 2015, nog onder de Wbp, een lijst met BIV-codes voor 25 veelvoorkomende verwerkingen in het hoger onderwijs. Het digitale toetssysteem krijgt daarin HHH, de salarisadministratie MHH. Zo’n sectorlijst is een bruikbaar startpunt; de instelling stelt de uiteindelijke classificatie zelf vast.
BIV in ISO 27001, BIO2, NEN 7510 en de Cyberbeveiligingswet
De normenkaders hieronder vragen om classificatie of om een risicogerichte keuze van maatregelen. Geen ervan schrijft één vaste BIV-schaal voor.
| Kader | Wat het vraagt |
|---|---|
| ISO 27001:2022 | Beheersmaatregel 5.12 vraagt informatie te classificeren op vertrouwelijkheid, integriteit, beschikbaarheid en eisen van belanghebbenden. Maatregel 5.13 vraagt om labels. |
| BIO2 (overheid) | Een risicogerichte aanpak in plaats van de drie basisbeveiligingsniveaus. Sinds 15 augustus 2026 zijn de overheidsmaatregelen wettelijk verplicht via de Cyberbeveiligingswet. |
| NEN 7510 (zorg) | Gebaseerd op ISO 27001 en ISO 27002, met dezelfde maatregelen voor het classificeren van informatie. |
| Normenkader IBP (onderwijs) | Een vastgesteld BIV-classificatieschema met laag, midden en hoog, en een classificatieproces dat het schoolbestuur goedkeurt. |
| Cyberbeveiligingswet (NIS2) | Passende maatregelen op basis van risico’s. De wet noemt BIV niet; een classificatie maakt ‘passend’ per systeem concreet. |
Onder de oude BIO koos een overheidsorganisatie per systeem een basisbeveiligingsniveau. BBN1 was het minimum, BBN2 gold voor de meeste systemen in het primaire proces en BBN3 voor informatie die als Departementaal Vertrouwelijk was aangemerkt. De BIO2 heeft die niveaus vervangen door een risicoafweging per organisatie. Een BIV-classificatie is een gangbare manier om die afweging vast te leggen.
Welke maatregelen de Cyberbeveiligingswet van bedrijven vraagt, staat punt voor punt in de NIS2 checklist.
BIV-classificatie, labels en rubricering
Een classificatie bepaalt het niveau. Een label maakt dat niveau zichtbaar, op een document, in een bestandsmap of in een systeem. Voor vertrouwelijkheid werken veel organisaties met vier labels: openbaar, intern, vertrouwelijk en geheim.
Rubricering is een aparte regeling voor de rijksoverheid. Het VIR-BI 2013 kent Departementaal Vertrouwelijk en drie niveaus van staatsgeheim: Confidentieel, Geheim en Zeer Geheim. Rubricering gaat alleen over vertrouwelijkheid en geldt voor bijzondere informatie van het Rijk.
Veelgemaakte fouten bij een BIV-classificatie
Deze fouten maken een classificatie onbruikbaar of laten haar snel verouderen.
- Alles krijgt hoog. Dan valt er niets meer te prioriteren en krijgen systemen maatregelen die weinig risico wegnemen.
- Alleen vertrouwelijkheid telt. Uitval en foute gegevens kunnen een bedrijf net zo hard raken als een datalek, zeker bij orderverwerking en betalingen.
- IT classificeert zonder het proces. Een beheerder kent de server, de proceseigenaar kent de gevolgen van een dag stilstand.
- De score heeft geen gevolg. Een classificatie in een spreadsheet zonder gekoppelde maatregelen verandert niets aan de beveiliging.
- De classificatie veroudert. Een systeem dat drie jaar geleden roosters bevatte, kan nu klantgegevens bevatten.
Veelgestelde vragen over BIV-classificatie
Waar staat BIV voor?
BIV staat voor beschikbaarheid, integriteit en vertrouwelijkheid. Het zijn de drie aspecten waarop je informatie en systemen beoordeelt in de informatiebeveiliging. In het Engels heet hetzelfde model de CIA-triad.
Wat betekent een BIV-score van 333?
Op een schaal van 1 tot 3 betekent 333 dat beschikbaarheid, integriteit en vertrouwelijkheid alle drie hoog scoren. Dat systeem krijgt de zwaarste maatregelen. Met letters schrijf je hetzelfde als HHH; 111 of LLL is de laagste score.
Is een BIV-classificatie verplicht?
Geen wet schrijft de term BIV voor. ISO 27001, NEN 7510 en het Normenkader IBP vragen wel om classificatie van informatie. De AVG en de Cyberbeveiligingswet vragen passende maatregelen, en een BIV-classificatie is een praktische manier om te onderbouwen wat passend is.
Wat is het verschil tussen BIV en de CIA-triad?
Inhoudelijk zijn ze gelijk. CIA staat voor confidentiality, integrity en availability: dezelfde drie aspecten in het Engels, in omgekeerde volgorde.
Bestaat er een BIV-certificaat?
Nee. BIV is een methode, geen norm waarop je certificeert. Een certificaat haal je voor ISO 27001 of NEN 7510; de auditor controleert dan of je informatie classificeert. Wat zo’n traject vraagt, staat bij ISO 27001: kosten, audit en checklist.
Wie stelt de BIV-classificatie vast?
De eigenaar van het proces of de informatie. IT en de security officer adviseren. In het onderwijs keurt het schoolbestuur het classificatieproces goed en stelt het formeel vast.
Bronnen
- NCSC, Hoe breng ik mijn technische te beschermen belangen in kaart? Geraadpleegd op 13 oktober 2026.
- Kennisnet, Normenkader IBP, Deelproject 1.7 Classificeren van systemen. Geraadpleegd op 13 oktober 2026.
- SURF, BIV-classificatie veel voorkomende verwerkingen van persoonsgegevens, versie 1.0, 8 mei 2015.
- Algemene verordening gegevensbescherming, artikel 32.
- BIO-overheid, Cyberbeveiligingswet in werking: BIO2 wettelijk verankerd, 1 september 2026, en BIO2 versie 1.3.
- Kiwa, BIO2: vernieuwde Baseline Informatiebeveiliging Overheid gepubliceerd, over het vervallen van de basisbeveiligingsniveaus.
- L2P, Basisbeveiligingsniveaus en BIV-classificaties: hoe zit dat?, 22 januari 2025.
- Voorschrift informatiebeveiliging rijksdienst, bijzondere informatie 2013 (VIR-BI 2013), artikel 4.
- NEN-EN-ISO/IEC 27002:2022, beheersmaatregelen 5.12 en 5.13.
- Microsoft Learn, Learn about sensitivity labels. Geraadpleegd op 13 oktober 2026.
Volg Securiguide in Google
Voeg Securiguide toe als voorkeursbron. Google toont onze artikelen dan eerder bij nieuwsresultaten en in AI-antwoorden.
