Risicoanalyse

Een risicoanalyse is een systematisch proces waarmee je cyberdreigingen identificeert, de waarschijnlijkheid en potentiele impact ervan beoordeelt, en bepaalt welke beveiligingsmaatregelen nodig zijn om de organisatie adequaat te beschermen. Het is een van de belangrijkste processen binnen informatiebeveiliging, omdat het de basis vormt voor alle beveiligingsbeslissingen. Zonder een gedegen risicoanalyse neem je maatregelen op basis van aannames in plaats van onderbouwde afwegingen, met het risico dat je te veel investeert in minder relevante maatregelen en te weinig in kritieke gebieden.

Het NCSC beschouwt het in kaart brengen van risico's als het eerste basisprincipe van cybersecurity. De organisatie biedt een stappenplan risicoanalyse aan dat organisaties helpt om hun dreigingen systematisch te inventariseren en te beoordelen. Een risicoanalyse kijkt niet alleen naar technische kwetsbaarheden, maar ook naar organisatorische risico's zoals onvoldoende bewustzijn bij medewerkers, procesmatige zwakheden, en de afhankelijkheid van externe leveranciers in de keten.

Hoe voer je een risicoanalyse uit? Stappen

Het uitvoeren van een risicoanalyse volgt een gestructureerd proces dat begint met het identificeren van de te beschermen assets. Je brengt in kaart welke informatie, systemen en processen essentieel zijn voor de bedrijfsvoering. Dit zijn de zogenaamde kroonjuwelen van de organisatie. Denk aan klantgegevens, intellectueel eigendom, financiele systemen, en bedrijfskritische applicaties. Bepaal per asset de waarde in termen van vertrouwelijkheid, integriteit en beschikbaarheid, zodat je weet welke assets de meeste bescherming verdienen.

De tweede stap is het identificeren van dreigingen en kwetsbaarheden. Dreigingen zijn potentiele gebeurtenissen die schade kunnen veroorzaken, zoals ransomware-aanvallen, datalekken, of insider threats. Kwetsbaarheden zijn zwakheden in systemen, processen of mensen die door dreigingen kunnen worden geexploiteerd. Het NCSC publiceert regelmatig dreigingsbeelden die helpen om relevante dreigingen voor jouw specifieke sector te identificeren en te prioriteren op basis van actuele informatie.

Vervolgens beoordeel je per risico de waarschijnlijkheid dat het zich voordoet en de impact als het zich voordoet. Dit kan kwalitatief, met categorieeen als laag, midden en hoog, of kwantitatief, met numerieke waarden voor waarschijnlijkheid en financiele schade. De combinatie van waarschijnlijkheid en impact bepaalt de risicoscore. Risico's met een hoge score verdienen de meeste aandacht en middelen, terwijl risico's met een lage score mogelijk geaccepteerd kunnen worden na een bewuste afweging.

De laatste stap is het bepalen van de risicobehandeling. Per risico kies je een strategie: mitigeren door beveiligingsmaatregelen te implementeren, vermijden door de risicovolle activiteit te stoppen of anders in te richten, overdragen door het risico te verzekeren of uit te besteden, of accepteren als het restrisico binnen de risicotolerantie van de organisatie valt. Documenteer elke beslissing en de onderbouwing ervan in een risicoregister dat regelmatig wordt gereviewd en geactualiseerd door de verantwoordelijke risico-eigenaren.

Wanneer voer je een risicoanalyse uit?

Een risicoanalyse is geen eenmalige exercitie maar een doorlopend proces dat is ingebed in de reguliere bedrijfsvoering. Je voert de analyse minimaal jaarlijks uit als onderdeel van de beveiligingscyclus. Daarnaast is een risicoanalyse noodzakelijk bij specifieke triggers: de introductie van nieuwe systemen of applicaties, significante veranderingen in de IT-infrastructuur, organisatorische wijzigingen zoals fusies of overnames, en na beveiligingsincidenten die nieuwe risico's aan het licht brengen.

Onder ISO 27001 is het uitvoeren van een risicoanalyse een verplicht onderdeel van het Information Security Management System (ISMS). De norm vereist dat risico's worden geidentificeerd, beoordeeld en behandeld, en dat dit proces regelmatig wordt herhaald om te verzekeren dat de maatregelen actueel en effectief blijven. Ook NIS2 stelt dat organisaties een risicogebaseerde aanpak moeten hanteren voor hun cybersecurity en hier verantwoording over moeten kunnen afleggen aan toezichthouders.

Bij de aanschaf van nieuwe software of diensten is een risicoanalyse eveneens aan te raden. Door vooraf te beoordelen welke risico's een nieuwe applicatie of leverancier met zich meebrengt, voorkom je dat er onverwachte beveiligingsgaten ontstaan in de keten. Dit sluit aan bij het principe van security by design, waarbij beveiliging vanaf het begin wordt meegenomen in plaats van achteraf te worden toegevoegd wanneer de kosten voor aanpassingen hoger liggen.

Wat kost een risicoanalyse?

De kosten van een risicoanalyse varieren afhankelijk van de scope, diepgang en of je de analyse intern of extern uitvoert. Een basale risicoanalyse voor het MKB, uitgevoerd met behulp van beschikbare tools en frameworks, kost voornamelijk interne uren en kan binnen twee tot vijf dagen worden afgerond. Het NCSC en het Digital Trust Center bieden gratis tools en handleidingen die organisaties hierbij ondersteunen en de drempel verlagen om ermee te beginnen.

Een professionele risicoanalyse door een externe consultant kost tussen 5.000 en 30.000 euro voor middelgrote organisaties. Bij grote organisaties met complexe IT-omgevingen, meerdere locaties en uitgebreide leveranciersketens kunnen de kosten oplopen tot 50.000 euro of meer. Deze analyses zijn diepgaander en bieden een objectievere beoordeling dan interne analyses, wat vooral waardevol is bij certificeringstrajecten of wanneer het management onafhankelijke bevestiging zoekt van de beveiligingspositie.

De NOREA heeft specifiek voor de Nederlandse markt het Cyber Security Assessment (CSA) en de Inherente Cyber Risicoanalyse (ICR) ontwikkeld als gestandaardiseerde methoden. Deze helpen om de kosten beheersbaar te houden doordat ze een vast raamwerk bieden dat efficient kan worden doorlopen. De investering in een risicoanalyse weegt altijd op tegen de potentiele kosten van ongeadresseerde risico's die zich manifesteren als daadwerkelijke incidenten met financiele, operationele en reputatieschade tot gevolg.

Veelgestelde vragen over risicoanalyse

Wat is het verschil tussen kwalitatieve en kwantitatieve risicoanalyse?

Bij kwalitatieve analyse gebruik je categorieeen als laag, midden en hoog om risico's te scoren. Bij kwantitatieve analyse bereken je risico's in meetbare waarden, zoals de verwachte financiele schade per jaar. Kwalitatieve analyse is sneller en toegankelijker, kwantitatieve analyse is nauwkeuriger maar vereist meer data en specialistische expertise.

Is een risicoanalyse wettelijk verplicht?

Onder de AVG ben je verplicht om een Data Protection Impact Assessment (DPIA) uit te voeren bij verwerkingen met een hoog privacyrisico. Onder NIS2 moeten essentiele en belangrijke entiteiten een risicogebaseerde aanpak hanteren. ISO 27001 vereist een gedocumenteerde risicoanalyse als onderdeel van het ISMS dat regelmatig wordt herhaald.

Welke methode is het beste voor risicoanalyse?

Er is geen universeel beste methode. ISO 27005 biedt richtlijnen specifiek voor informatiebeveiliging. NIST SP 800-30 is een veelgebruikt Amerikaans framework. Voor Nederland biedt de NOREA CSA een gestandaardiseerde aanpak. Kies de methode die past bij de omvang, sector en volwassenheid van de organisatie.

Hoe vaak moet je een risicoanalyse herhalen?

Minimaal jaarlijks, maar ook bij elke significante verandering in de organisatie, IT-omgeving of dreigingslandschap. Continue monitoring via een SIEM-systeem kan helpen om tussentijds nieuwe risico's te signaleren die een tussentijdse herbeoordeling rechtvaardigen en tot snellere respons leiden.

Kan ik een risicoanalyse zelf uitvoeren?

Ja, voor kleinere organisaties zijn er toegankelijke tools beschikbaar via het NCSC en het Digital Trust Center. Voor complexe omgevingen of wanneer objectiviteit vereist is, zoals bij certificeringstrajecten of rapportage aan het bestuur, is het inschakelen van een externe specialist aan te raden voor een onafhankelijk en deskundig oordeel.

Breng de risico's van je organisatie in kaart. Vergelijk Risk Assessment specialisten op IBgidsNL.