Risicobeoordeling uitvoeren: methoden, modellen en tools

Wat is een risicobeoordeling?

Een risicobeoordeling (ook wel risicoanalyse) is het gestructureerde proces waarbij je in kaart brengt wat er mis kan gaan in jouw organisatie, hoe waarschijnlijk dat is, en hoe groot de schade zou zijn. Op basis daarvan beslis je wat je eraan doet.

Het eindresultaat is geen rapport dat in een la verdwijnt. De uitkomst van een risicobeoordeling bepaalt welke beheersmaatregelen je implementeert, wie daarvoor verantwoordelijk is, en hoe je aantoont dat je risico's beheerst.

Bijna elk compliance-framework verplicht het. ISO 27001 stelt het expliciet verplicht in clausule 6.1 - de risicobeoordeling is de basis voor de gehele informatiebeveiligingsaanpak. NIS2 stelt dat organisaties risico's moeten identificeren en beheersen. DORA eist hetzelfde voor financiële instellingen. Tot slot, de AVG/GDPR vraagt om een risicogebaseerde aanpak voor de bescherming van persoonsgegevens.

Het is ook geen eenmalige exercitie. Risico's veranderen als jouw organisatie verandert: nieuwe systemen, nieuwe leveranciers, nieuwe medewerkers, nieuw beleid. Een risicobeoordeling heeft een reviewcadans nodig, minimaal jaarlijks.

Risico = kans x impact

Het meest gebruikte model is ook het eenvoudigste: risico is de combinatie van hoe waarschijnlijk iets is en hoe erg de gevolgen zijn.

Risico = kans × impact

Werk je met een schaal van 1 tot 5 voor beide, dan levert dat een risicoscore op tussen 1 en 25. Hoog-scorende risico's pak je als eerste aan. Laag-scorende risico's accepteer je misschien bewust.

2 begrippen die je in elke serieuze risicobeoordeling tegenkomt:

Inherent risico is het risico vóórdat je enige maatregel hebt getroffen. Het is het startpunt. Je bepaalt hoe groot het risico is in een situatie zonder compenserende maatregelen.

Residueel risico is het risico dat overblijft nádat je maatregelen hebt getroffen. Geen maatregel elimineert een risico volledig - er blijft altijd een rest over. Dat restrisico vergelijk je met de risico bereidheid van jouw organisatie.

Risicobereidheid (ook: risicoacceptatieniveau of risk appetite) is het niveau van risico dat het management bereid is te accepteren. Dit is een bestuurlijke keuze, niet een technische. Zonder gedefinieerde risicobereidheid weet je niet wat je moet accepteren en wat je moet aanpakken.

Als je een risico hebt geïdentificeerd en beoordeeld, heb je 4 behandelingsopties:

• Mitigeren - een beheersmaatregel implementeren die de kans of impact verlaagt
• Accepteren - het risico bewust documenteren en accepteren, omdat het binnen de risicobereidheid valt
• Overdragen - het risico neerleggen bij een derde, via verzekering of contract
• Vermijden - de activiteit die het risico veroorzaakt stoppen

Methoden en modellen

Er is niet één juiste manier om een risicobeoordeling uit te voeren. De aanpak die je kiest, hangt af van de omvang van jouw organisatie, de beschikbare data en het doel van de beoordeling.

Kwalitatieve risicobeoordeling

Bij een kwalitatieve aanpak beoordeel je risico's op een schaal (laag/midden/hoog, of 1 tot 5) op basis van expert judgement. Je hebt geen harde statistische data nodig. Een team van inhoudsdeskundigen bespreekt de risico's en kent scores toe op basis van kennis en ervaring.

Dit is de meest gebruikte aanpak voor kleinere en middelgrote organisaties. Het is sneller op te zetten, makkelijker uit te leggen aan niet-technische stakeholders, en goed bruikbaar als je voor het eerst een risicobeoordeling doet. De beperking is dat de scores subjectief zijn, dit betekent dat twee teams hetzelfde risico anders kunnen beoordelen.

Kwantitatieve risicobeoordeling

Bij een kwantitatieve aanpak druk je risico's uit in geld. De verwachte verlieswaarde is de kans op een incident vermenigvuldigd met de financiële impact.

Dit is nauwkeuriger, maar vereist betrouwbare data over incidentfrequentie en financiële schade. Grotere organisaties met volwassen beveiligingsfuncties gebruiken dit voor beslissingen over grote investeringen. Voor veel organisaties is een volledig kwantitatieve aanpak te complex om mee te beginnen.

Een hybride aanpak (kwalitatief voor de breedte, kwantitatief voor de hoog-scorende risico's) is in de praktijk veelvoorkomend.

Methodologieën

Bovenstaande beschrijving van risico beoordeling stamt af uit een bekende methodologie die ook het Tidal Control platform volgt: IRAMv2 (Information Risk Assessment Methodology). Dit is een gestructureerde methodiek ontwikkeld door het Information Security Forum (ISF). Dat betekent concreet dat je per risico eerst het inherente risico vaststelt, de situatie zonder maatregelen, en daarna het residueel risico. Het verschil tussen die twee laat zien hoeveel een maatregel daadwerkelijk oplevert.

Voor wie een risicobeoordeling doet voor ISO 27001 sluit dit dus naadloos aan. De norm vereist een gedocumenteerde, herhaalbare aanpak waarbij je risico's beoordeelt en behandelt, en het inherent/residueel-model geeft daar structuur aan: je toont niet alleen aan welke risico's je hebt geïdentificeerd, maar ook dat je maatregelen het risico aantoonbaar terugbrengen tot een niveau dat binnen je risicobereidheid valt. Precies wat een auditor wil zien.

Risicobeoordeling stap voor stap

Een risicobeoordeling hoeft niet ingewikkeld te beginnen. De stappen hieronder gelden als basis, of je nu werkt vanuit ISO 27001, NIS2 of een intern kwaliteitsproces.

Stap 1 - Bepaal de scope. Wat valt er wel en niet binnen de beoordeling? Welke systemen, processen, afdelingen of locaties neem je mee? Een duidelijke scope voorkomt dat de beoordeling eindeloos uitdijt, en geeft je ook houvast bij audits.

Stap 2 - Identificeer je assets. Wat moet je beschermen? Denk aan data en kroonjuwelen (klantdata, financiële gegevens, intellectueel eigendom), systemen (servers, applicaties, netwerken), processen (orderverwerkingsproces, HR-processen) en mensen (medewerkers, leveranciers).

Stap 3 - Identificeer bedreigingen en kwetsbaarheden. Wat kan er misgaan? Per asset kijk je welke bedreigingen relevant zijn. Denk hierbij aan een datalek, systeemuitval, menselijke fouten, leveranciersfalen, of een ransomware-aanval. Kwetsbaarheden zijn de zwakke plekken die een bedreiging de kans geven schade te veroorzaken.

Stap 4 - Schat kans en impact in. Gebruik een consistente schaal. Bijvoorbeeld 1 tot 5 voor zowel kans als impact. Vermenigvuldig de scores voor een totaalscore per risico. Zorg dat het team het eens is over de definitie van elke score op de schaal.

Stap 5 - Prioriteer. Focus eerst op de hoog-scorende risico's. Niet alle risico's verdienen dezelfde aandacht. Een risicomatrix helpt om snel te zien welke risico's boven de acceptatiedrempel uitkomen.

Stap 6 - Kies een behandeling. Beslis per risico: mitigeren, accepteren, overdragen of vermijden. Voor risico's die je mitigeert, selecteer je de beheersmaatregelen die je gaat implementeren. Koppel deze maatregelen expliciet aan het risico dat ze adresseren.

Stap 7 - Wijs eigenaarschap toe. Elk risico heeft een eigenaar nodig, dus iemand die verantwoordelijk is voor de behandeling en die de voortgang bijhoudt. Risico's zonder eigenaar worden niet beheerd.

Stap 8 - Documenteer en plan reviews. Leg alles vast: de risico's, de scores, de gekozen behandeling, de eigenaren en de maatregelen. Stel een reviewcadans in. Minimaal jaarlijks, en direct na significante wijzigingen in systemen, processen of het dreigingslandschap.

Veelgemaakte fouten

De meeste organisaties maken dezelfde fouten bij hun eerste risicobeoordeling.

De risicobeoordeling als eenmalig document behandelen. Je maakt een mooie analyse, archiveert het bestand, en kijkt er nooit meer naar. Twee jaar later vraagt een auditor naar je laatste risicobeoordeling en je vindt een verouderd document met systemen die al lang vervangen zijn.

Een template invullen zonder aanpassing. Templates zijn handig als startpunt, maar een risicobeoordeling moet jouw organisatie weerspiegelen. Generieke risico's zonder context zijn weinig waard voor een auditor, of voor jezelf.

Geen eigenaarschap toewijzen. Een risico zonder eigenaar wordt niet behandeld. Het staat op een lijst, maar niemand voelt zich verantwoordelijk voor de maatregel, de voortgang of het bewijs.

Risicobeoordeling verwarren met een kwetsbaarhedenscan. De output van een technische scan is input voor een risicobeoordeling, niet de beoordeling zelf. Een kwetsbaarhedenscan vertelt je welke technische zwakheden er zijn. De risicobeoordeling kijkt naar de bredere context: hoe waarschijnlijk is misbruik, wat zijn de gevolgen, wat ga je eraan doen?

Risicobereidheid nooit gedefinieerd. Als je niet weet wat jouw organisatie bereid is te accepteren, kun je niet beslissen wat je aanpakt en wat je laat liggen. Risicobereidheid moet door het management worden vastgesteld voordat de beoordeling begint.

Risico beheren met software

Een risicobeoordeling in een spreadsheet starten is heel normaal. Maar zodra je meerdere risico's bijhoudt met eigenaren, behandelingen, gekoppelde maatregelen en reviewdata, verliest een spreadsheet de grip.

Wat je nodig hebt in een risicotool:

• Alle risico's op één plek, met kans, impact en risicoscore
• Eigenaarschap per risico vastgelegd en zichtbaar
• Koppeling tussen risico's en de beheersmaatregelen die ze adresseren
• Inzicht in residueel risico na implementatie van maatregelen
• Reviewherinneringen en audittrail

Tidal heeft een risicoregister dat precies dit centraliseert. Per risico leg je vast wat de kans en impact zijn, wie de eigenaar is, welke behandeling gekozen is en welke beheersmaatregelen gekoppeld zijn. Na implementatie van een maatregel zie je direct hoe het residueel risico daalt. De koppelingen met de controls maakt het mogelijk om van een risico naar de bijbehorende maatregelen te navigeren en vice versa. Dat maakt risicomanagement een doorlopend proces, niet een jaarlijkse sprint.

Voor organisaties die werken vanuit een GRC-aanpak biedt een geïntegreerd platform het voordeel dat risico's, maatregelen en frameworks niet in losse documenten leven, maar met elkaar verbonden zijn.

Niet zeker waar te beginnen?

Doe de gratis Quickscan en ontdek in vijf minuten waar jouw organisatie staat en wat je als eerste kunt aanpakken.

Veelgestelde vragen over risicobeoordeling

Wat is het verschil tussen een risicobeoordeling en een risicoanalyse?

In de praktijk worden de termen door elkaar gebruikt. Technisch gezien is een risicoanalyse het onderdeel waarbij je de kans en impact inschat - het is een stap binnen de bredere risicobeoordeling. De risicobeoordeling omvat ook het identificeren van risico's en het vergelijken van de uitkomsten met je risicobereidheid. In veel frameworks wordt de overkoepelende term "risicobeoordeling" gebruikt voor het volledige proces.

Hoe vaak moet ik een risicobeoordeling uitvoeren?

Minimaal jaarlijks. Daarnaast moet je de risicobeoordeling opnieuw bekijken bij significante wijzigingen: een nieuwe IT-omgeving, een fusie, een nieuw product, een incident, of een verandering in de regelgeving. ISO 27001 schrijft voor dat het ISMS - inclusief de risicobeoordeling - periodiek wordt beoordeeld.

Moet ik voor ISO 27001 een kwantitatieve of kwalitatieve risicobeoordeling doen?

ISO 27001 schrijft de methode niet voor - het eist alleen dat je een gedocumenteerde, herhaalbare aanpak hebt en dat je risico's beoordeelt op basis van de CIA-criteria (vertrouwelijkheid, integriteit, beschikbaarheid). De meeste organisaties die ISO 27001 implementeren gebruiken een kwalitatieve aanpak, wat voor de meeste auditors volstaat mits het proces consistent en aantoonbaar is.

Wat is het verschil tussen inherent risico en residueel risico?

Inherent risico is het risico vóórdat je maatregelen hebt getroffen. Residueel risico is het risico dat overblijft nádat je maatregelen zijn geïmplementeerd. Een goede risicobeoordeling laat beide zien: het startpunt (inherent) en het eindpunt na behandeling (residueel). Het residueel risico vergelijk je met de risicobereidheid om te besluiten of het acceptabel is.

Wie stelt de risicobereidheid vast?

Risicobereidheid is een bestuurlijke beslissing, dus die wordt vastgesteld door het management of de raad van bestuur. Niet alleen door de IT- of complianceafdeling. Het is een strategische keuze over hoeveel risico de organisatie bereid is te dragen, en dat is vooral belangrijk bij NIS 2. De rol van de risicobeoordeling is om die risicobereidheid te operationaliseren: per risico bepaal je of de score binnen of buiten het geaccepteerde niveau valt.