Risicoanalyse informatiebeveiliging
Een risicoanalyse informatiebeveiliging brengt in kaart welke dreigingen uw informatie raken, hoe erg de gevolgen zijn en welke risico’s u wel of niet aanvaardt. De uitkomst is geen rapport maar een reeks besluiten, vastgelegd met een eigenaar erbij.
Op deze pagina leest u welke methodes er zijn, hoe wij de analyse in zeven stappen uitvoeren, wat het concreet oplevert en wie binnen uw organisatie het restrisico accepteert. Ook leest u waarin de analyse verschilt van een gap-analyse, een DPIA en een pentest.
Wij komen deze vraag meestal tegen bij organisaties die aan ISO 27001 werken of die onder de Cyberbeveiligingswet (CBW) vallen. Beide vragen om een risicoanalyse, en beide accepteren geen lijstje uit een sjabloon.
Wat is een risicoanalyse informatiebeveiliging?
Een risicoanalyse informatiebeveiliging koppelt wat u wilt beschermen aan wat er mis kan gaan, en weegt dat op een manier die herhaalbaar is.
Die herhaalbaarheid is het punt dat het vaakst wordt onderschat. Een analyse die alleen bestaat uit een gesprek en een onderbuikgevoel geeft elke keer een andere uitkomst. Daarom legt u eerst de methodiek vast: hoe u kans en gevolg weegt, welke schaal u gebruikt, en wanneer een risico onaanvaardbaar is.
De analyse gaat over meer dan techniek. Uitval van een leverancier, een medewerker die vertrekt met kennis die nergens is vastgelegd, of een proces dat op één persoon draait: dat zijn allemaal informatierisico’s. Wie alleen naar systemen kijkt, mist de helft.
Het resultaat is een risicoregister waarin per risico staat wat het is, wie erover gaat, hoe zwaar het weegt en wat u ermee doet. Dat register is een levend document, geen momentopname.
Wanneer u een risicoanalyse uitvoert en welke kaders erom vragen
Drie kaders vragen er expliciet om, en alle drie vragen zij ook om de onderbouwing achteraf.
ISO 27001 vraagt een risicobeoordeling met een vastgelegde methodiek, en het resultaat bepaalt welke maatregelen u kiest. De Verklaring van Toepasselijkheid, waarin u onderbouwt welke beheersmaatregelen wel en niet van toepassing zijn, komt rechtstreeks uit die analyse voort. In de zorg werkt NEN 7510 op dezelfde manier.
De Cyberbeveiligingswet, die vanaf 15 augustus 2026 geldt, noemt risicoanalyse als eerste onderdeel van de zorgplicht. De wet zegt dat u passende maatregelen moet nemen, en passend betekent daar: passend bij uw risico’s. Zonder analyse is er dus geen onderbouwing.
De AVG vraagt om een beoordeling van gegevensbeschermingseffecten bij risicovolle verwerkingen. Dat is een aparte analyse met een eigen invalshoek, maar hij kan dezelfde methodiek en hetzelfde register gebruiken.
Los van de kaders is er een praktische aanleiding. Zodra u moet kiezen waar het beschikbare budget heen gaat, heeft u een onderbouwing nodig die verder gaat dan wie het hardst roept.
Risicoanalyse, gap-analyse, DPIA of pentest: wat kiest u wanneer
Deze vier worden voortdurend door elkaar gehaald. Ze beantwoorden elk een andere vraag.
- Risicoanalyse. Beantwoordt de vraag: Welke risico's lopen wij en wat aanvaarden wij. Kijkt naar: Uw informatie, processen en dreigingen. Wanneer kiest u dit: U moet maatregelen kiezen en die keuze onderbouwen.
- Gap-analyse. Beantwoordt de vraag: Waar voldoen wij nog niet aan de norm. Kijkt naar: Het verschil tussen norm en huidige situatie. Wanneer kiest u dit: U werkt toe naar een certificering of naar naleving van een wet.
- DPIA. Beantwoordt de vraag: Wat betekent deze verwerking voor de betrokkenen. Kijkt naar: Gevolgen voor de mensen van wie u gegevens verwerkt. Wanneer kiest u dit: U start een risicovolle verwerking van persoonsgegevens.
- Penetratietest. Beantwoordt de vraag: Is deze omgeving technisch binnen te komen. Kijkt naar: Een afgebakende technische omgeving op één moment. Wanneer kiest u dit: U wilt weten of maatregelen in de praktijk standhouden.
De volgorde is meestal: eerst de risicoanalyse, want die bepaalt waar u aandacht aan besteedt. Een penetratietest is daarna een manier om te toetsen of een maatregel werkelijk doet wat u ervan verwacht.
Asset-based of scenario-based: welke methode past bij u
Er zijn twee hoofdroutes en een aantal uitwerkingen daarvan. De keuze bepaalt hoeveel werk het is en hoe bruikbaar de uitkomst wordt.
- Asset-based. Werkwijze: U inventariseert systemen en gegevens en beoordeelt per stuk de dreigingen. Sterke kant: Volledig en goed navolgbaar voor een auditor. Wanneer kiest u dit: U werkt naar ISO 27001 en wilt dekking van de hele scope.
- Scenario-based. Werkwijze: U werkt een aantal realistische scenario's uit en kijkt wat die raken. Sterke kant: Herkenbaar voor de directie, snel tot besluiten. Wanneer kiest u dit: U wilt binnen korte tijd de grootste risico's scherp hebben.
- ISO 27005. Werkwijze: Raamwerk dat beide routes ondersteunt met een vaste woordenschat. Sterke kant: Sluit naadloos aan op ISO 27001. Wanneer kiest u dit: U wilt aansluiten bij de norm zonder zelf een methodiek te bedenken.
- Kwantitatief. Werkwijze: U drukt kans en gevolg uit in getallen en bedragen. Sterke kant: Maakt afwegingen vergelijkbaar over de hele organisatie. Wanneer kiest u dit: U heeft betrouwbare cijfers en een directie die daarop stuurt.
Voor de meeste organisaties werkt een combinatie het beste: asset-based als basis voor de volledigheid, aangevuld met een paar scenario’s om de directie mee te krijgen. Kwantitatief werken klinkt aantrekkelijk maar valt vaak tegen, omdat de onderliggende cijfers ontbreken.
Zo voeren wij een risicoanalyse uit, in zeven stappen
De analyse zelf kost minder tijd dan de voorbereiding. Het meeste werk zit in het bij elkaar krijgen van de juiste mensen.
1. Bepaal de scope en de methodiek
Wij leggen vast welke organisatieonderdelen en systemen meedoen en hoe u kans en gevolg weegt. U bevestigt de afbakening en de schaal. Dat levert een methodiek op die een tweede keer hetzelfde resultaat geeft.
2. Breng uw informatie in kaart
Wij inventariseren welke gegevens en systemen er zijn, wie eigenaar is en hoe belangrijk ze zijn voor uw dienstverlening. U levert overzichten en wijst proceseigenaren aan. Dat levert het fundament op waar de hele analyse op steunt.
3. Bepaal de dreigingen
Wij lopen per onderdeel de relevante dreigingen langs, van uitval en fouten tot misbruik en ketenafhankelijkheid. U brengt in wat er in het verleden is misgegaan. Dat levert een lijst op die aansluit bij uw werkelijkheid en niet bij een standaardlijst.
4. Weeg kans en gevolg
Wij begeleiden de weging in sessies met de proceseigenaren en leggen de onderbouwing vast. U zorgt dat de mensen aanschuiven die het proces kennen. Dat levert een weging op die intern gedragen wordt in plaats van opgelegd.
5. Bepaal de behandeling
Wij zetten per risico de opties op een rij: verminderen, overdragen, vermijden of aanvaarden. U kiest, en dat is nadrukkelijk uw keuze. Dat levert een behandelplan op met maatregelen, eigenaren en termijnen.
6. Leg het restrisico vast
Wij bepalen wat er overblijft nadat de maatregelen zijn genomen en leggen dat voor aan de directie. U accepteert het restrisico expliciet, met naam en datum. Dat levert het bewijsstuk op waar auditors standaard naar vragen.
7. Beleg de herbeoordeling
Wij richten het ritme in waarin het register wordt bijgewerkt en de weging opnieuw wordt bekeken. U agendeert die momenten en wijst een beheerder aan. Dat levert een register op dat actueel blijft in plaats van te verouderen.
Wat de risicoanalyse u concreet oplevert
Aan het eind ligt er een aantal documenten. Dit is wat u ermee kunt.
- Risicoregister. Per risico de omschrijving, de eigenaar, de weging, de gekozen behandeling en de status.
- Vastgelegde methodiek. Hoe u weegt, zodat een herhaling of een tweede beoordelaar tot dezelfde uitkomst komt.
- Behandelplan. De maatregelen met eigenaar, termijn en de verwachte werking op het risico.
- Verklaring van Toepasselijkheid. Voor ISO 27001: welke beheersmaatregelen u toepast en waarom, onderbouwd vanuit de analyse.
- Acceptatie van het restrisico. Vastgelegd besluit van de directie, met datum en naam.
- Bestuursrapportage. Een korte samenvatting in gewone taal, bruikbaar in het directieoverleg.
Die documenten vormen samen de kern van uw ISMS. Vrijwel elk ander document dat u later opstelt, verwijst hiernaar terug.
Van analyse naar besluit: wie accepteert het restrisico
Het restrisico accepteren is een besluit van de directie, niet van IT en niet van uw adviseur.
Dit is het punt waar analyses in de praktijk stranden. Er ligt een keurig register, er is een behandelplan, en daarna gebeurt er niets omdat niemand het besluit neemt om iets wel of juist niet te doen.
De reden is meestal onduidelijkheid over de bevoegdheid. Een IT-manager kan niet besluiten dat een risico voor de organisatie aanvaardbaar is, want dat raakt de bedrijfsvoering. Een directielid kan dat wel, maar heeft daarvoor een begrijpelijke voorstelling nodig van wat het risico betekent.
Wat werkt is per risico een eigenaar aanwijzen op het niveau waar het besluit thuishoort. Operationele risico’s bij de proceseigenaar. Risico’s die de dienstverlening of de reputatie raken bij de directie. Leg de acceptatie vast met naam en datum, want onder de Cyberbeveiligingswet ligt die verantwoordelijkheid expliciet bij de leiding.
Ontbreekt er iemand die dit proces kan begeleiden, dan kan die rol tijdelijk worden ingevuld via CISO as a Service.
Vijf valkuilen die wij het vaakst tegenkomen
Deze fouten kosten geen tijd om te voorkomen, en veel tijd om achteraf te herstellen.
- Een sjabloon overnemen. Een risicoregister van een andere organisatie bevat risico's die u niet loopt en mist die van u. Een auditor herkent dat direct.
- Alleen naar techniek kijken. Uitval van een leverancier, kennis die bij één persoon zit en een proces zonder vervanging zijn ook informatierisico's.
- Te fijnmazig beginnen. Honderd risico's op detailniveau leidt tot een register dat niemand onderhoudt. Begin grover en verfijn waar het ertoe doet.
- De weging door één persoon laten doen. Dat maakt de uitkomst kwetsbaar en zorgt dat het resultaat intern niet gedragen wordt.
- Geen eigenaar per risico. Zonder naam gebeurt er niets, hoe goed het behandelplan ook is.
De rode draad is dat een analyse pas waarde heeft als de organisatie hem herkent. Een technisch correct register dat niemand van zichzelf vindt, wordt niet gebruikt.
Doorlooptijd en wat het uw organisatie kost aan tijd
De doorlooptijd wordt bepaald door agenda’s, niet door de analyse zelf. Deze factoren bepalen het verschil.
- Omvang van de scope. Meer processen, systemen en locaties betekent meer sessies met meer mensen.
- Gekozen methode. Asset-based is vollediger en kost meer tijd, scenario-based levert sneller besluiten op.
- Wat er al ligt. Een actueel overzicht van systemen en eigenaren scheelt een aanzienlijk deel van het werk.
- Aantal proceseigenaren. Elke eigenaar levert een sessie op, en die sessies zijn niet samen te voegen zonder aan kwaliteit in te leveren.
- Complexiteit van de keten. Kritieke leveranciers vragen aparte aandacht en soms hun eigen informatie.
- Besluitvorming. De acceptatie van het restrisico hangt aan de agenda van de directie.
Reken voor uw eigen organisatie op ongeveer twee uur per proceseigenaar, plus een sessie met de directie. Wij maken de omvang van uw traject inzichtelijk in een vrijblijvend gesprek.
Zo werkt QENSORA bij uw risicoanalyse
Wij begeleiden de analyse en leggen vast. De weging en de acceptatie blijven van u.
Dat is geen terughoudendheid maar noodzaak. Een adviseur die zelf bepaalt welk risico voor uw organisatie aanvaardbaar is, neemt een besluit dat hij niet kan dragen. Bovendien houdt zo’n analyse geen stand bij een audit, want de norm vraagt om risico-eigenaren binnen uw eigen organisatie.
Wat wij toevoegen is de combinatie van techniek en normkennis. Wij kunnen beoordelen of een technische maatregel werkelijk doet wat u ervan verwacht, en tegelijk of de vastlegging voldoet aan wat een auditor vraagt. Die twee zitten zelden bij dezelfde partij.
René van der Horst werkt dertig jaar in IT-leiderschap en begeleidt organisaties bij ISO 27001, NEN 7510 en de Cyberbeveiligingswet. Hij voert de sessies met de directie zelf, omdat daar de besluiten vallen.
Weet u nog niet welke kaders voor u gelden, dan is een compliance assessment het logische beginpunt. Wilt u de uitkomsten vastleggen in beleid, kijk dan naar het informatiebeveiligingsbeleid.
Van een lijst risico's naar een besluit
Een risicoanalyse is geen document dat u maakt omdat een norm erom vraagt. Het is de manier waarop u bepaalt waar uw aandacht en uw budget heen gaan, en waarom.
Wilt u weten wat er in uw situatie nodig is en wat u van een bestaande analyse kunt hergebruiken? Neem vrijblijvend contact op. In een eerste gesprek wordt meestal snel duidelijk welke methode past en hoeveel sessies er nodig zijn.
Veelgestelde vragen over de risicoanalyse informatiebeveiliging
Hoe vaak moeten wij een risicoanalyse uitvoeren?
Jaarlijks een herbeoordeling van het bestaande register, en een volledige analyse bij grote veranderingen. Denk aan een overname, een nieuwe dienst, een verhuizing naar de cloud of een nieuwe kritieke leverancier. Ook na een ernstig incident is een herbeoordeling op zijn plaats, want dan weet u meer dan daarvoor.
Is een risicoanalyse verplicht onder de Cyberbeveiligingswet?
Ja, risicoanalyse is het eerste onderdeel van de zorgplicht. De wet vraagt passende maatregelen, en wat passend is kunt u alleen onderbouwen vanuit een analyse. De wet schrijft geen methode voor, dus u bent vrij in hoe u het doet, zolang het navolgbaar en herhaalbaar is.
Wat is het verschil met een gap-analyse?
Een risicoanalyse kijkt naar wat er mis kan gaan in uw organisatie. Een gap-analyse kijkt naar het verschil tussen een norm en uw huidige situatie. De eerste bepaalt welke maatregelen nodig zijn, de tweede welke maatregelen ontbreken ten opzichte van een kader. In een certificeringstraject doet u ze allebei.
Hoeveel tijd kost het onze eigen organisatie?
Reken op ongeveer twee uur per proceseigenaar voor de sessies, plus voorbereiding van overzichten. Daarnaast is er een sessie met de directie voor de weging en de acceptatie. Het bijhouden daarna is licht, mits het register bij iemand belegd is.
Wie accepteert het restrisico?
De directie, of de eigenaar van het proces bij operationele risico’s. Nooit uw IT-afdeling en nooit uw adviseur. Leg de acceptatie vast met naam en datum. Onder de Cyberbeveiligingswet ligt die verantwoordelijkheid uitdrukkelijk bij de leiding van de organisatie.
Kunnen wij een bestaande analyse laten toetsen?
Ja, en dat is vaak een efficiënte start. Wij kijken of de methodiek navolgbaar is, of de scope klopt, of er eigenaren zijn aangewezen en of het register nog actueel is. Vaak blijkt een deel bruikbaar en hoeft alleen de onderbouwing en de acceptatie te worden aangevuld.
Hebben wij software nodig voor het risicoregister?
Niet noodzakelijk. Voor kleinere organisaties werkt een goed opgezette spreadsheet met versiebeheer prima. Tooling helpt bij veel risico’s, meerdere locaties of als u vervaldata en acties wilt bewaken. Bepaal eerst wat u wilt beheersen en kijk daarna of een tool daarbij past.
Wat als wij nog helemaal geen overzicht hebben?
Dan begint het traject daar. Het in kaart brengen van uw systemen, gegevens en eigenaren is stap twee, en dat is bij veel organisaties het grootste deel van het werk. Het levert bovendien meteen waarde op los van de analyse, want dat overzicht heeft u voor vrijwel alles nodig.
Improved Security, Smarter Compliance.
Weten waar uw organisatie staat op het gebied van cybersecurity, compliance of IT? Of bent u benieuwd welke risico’s of verplichtingen voor uw organisatie relevant zijn?
Neem vrijblijvend contact op met QENSORA voor een kennismaking of adviesgesprek. Samen kijken we hoe uw organisatie veiliger en slimmer kan worden.
