Wat is een Cybersecurity Risk Assessment?
Een Cybersecurity Risk Assessment is het systematisch identificeren, analyseren en evalueren van cyberdreigingen, kwetsbaarheden en de gevolgen daarvan voor IT- en OT-omgevingen, zodat een organisatie kan beslissen welke risico’s aanvaardbaar zijn en welke maatregelen nodig zijn. In industriële context bepaalt het welke digitale risico’s het productieproces, de fysieke veiligheid of het milieu in gevaar kunnen brengen. Het is de cyberspecifieke invulling van de algemene risicobeoordeling en het startpunt van elk beveiligingsprogramma.
Een risk assessment is onmisbaar voor een effectieve Cybersecuritystrategie, in lijn met normen als IEC 62443, ISO 27001 en het NIST CSF: zonder beoordeling is elke investering in beveiliging een gok.
🧠 Wat onderzoekt een cybersecurity risk assessment?
Een cyberrisico ontstaat pas als drie dingen samenkomen: een dreiging (een actor of gebeurtenis), een kwetsbaarheid die die dreiging kan benutten, en een gevolg dat ertoe doet. Het assessment brengt die drie per systeem in kaart en weegt ze tegen de bestaande maatregelen.
ISO 27005 (vierde editie, oktober 2022) onderscheidt twee manieren om risico’s te identificeren:
- Asset-gebaseerd - u begint bij de assets en zoekt per asset naar dreigingen en kwetsbaarheden. Grondig, maar bewerkelijk bij duizenden componenten.
- Gebeurtenis-gebaseerd - u begint bij risicobronnen en strategische scenario’s, zoals “ransomware legt de batchproductie stil”. Sneller en beter te bespreken met het management.
In OT combineert men beide: scenario’s voor het overzicht, een asset-inventaris voor de onderbouwing.
🔧 Hoe voert u een cybersecurity risk assessment stap voor stap uit?
- Scope afbakenen - welke systemen, netwerken en processen vallen binnen de beoordeling? Denk aan PLC, SCADA, HMI, Historian, Remote Access en het Engineering Station. Leg de grenzen en alle toegangspunten vast.
- Assets en dataverkeer inventariseren - welke componenten, firmwareversies en verbindingen zijn er? Een actuele netwerktekening is onmisbaar.
- Dreigingen identificeren - interne en externe dreigingen zoals insiders, Phishing, Ransomware en menselijke fouten. Threat Intelligence en MITRE ATT&CK for ICS maken aanvalspaden concreet.
- Kwetsbaarheden vaststellen - bijvoorbeeld een ontbrekende Firewall, legacy hardware, ongepatchte software, gedeelde of zwakke wachtwoorden en onversleutelde protocollen.
- Impact bepalen - wat gebeurt er als een kwetsbaarheid wordt misbruikt? Denk aan productiestop, milieuschade, een veiligheidsincident of reputatieschade.
- Waarschijnlijkheid inschatten - op basis van blootstelling, dreigingsniveau, benodigde kennis van de aanvaller en de huidige beveiligingsmaatregelen.
- Risico bepalen en evalueren - impact × waarschijnlijkheid geeft een score in een risicomatrix of heatmap, die u vergelijkt met het aanvaardbare risico.
- Maatregelen aanbevelen en vastleggen - technisch (Anomaliedetectie, Zero Trust, Access Control, Encryptie) en organisatorisch (Security Awareness, een Incident Response Plan, Patchmanagement). Prioriteer volgens Defense in Depth of het security level uit IEC 62443, en leg alles vast in een risicoregister.
Herhaal het assessment na grote wijzigingen, nieuwe dreigingen of incidenten, en daarnaast periodiek; één keer per jaar is in de praktijk gangbaar.
📊 Hoe bepaalt u de risicoscore?
Veel organisaties gebruiken een matrix van 5 × 5, waarin impact en waarschijnlijkheid elk een score van 1 tot 5 krijgen. Belangrijk is dat de impactschaal dezelfde is als die van procesveiligheid en het bedrijfsrisicobeleid, zodat een cyberrisico vergelijkbaar is met andere risico’s. Een vereenvoudigd voorbeeld voor een productielocatie:
| Scenario | Impact (1–5) | Waarschijnlijkheid (1–5) | Score | Besluit |
|---|---|---|---|---|
| Ransomware via kantoornetwerk bereikt de SCADA-server | 5 | 4 | 20 | Direct mitigeren: segmentatie en back-ups |
| Leverancier logt in via onbewaakte remote-verbinding | 4 | 3 | 12 | Mitigeren: jump server en MFA |
| Wijziging PLC-logica via engineeringstation | 5 | 2 | 10 | Mitigeren: toegangsbeheer en monitoring |
| Uitlezen van procesdata door onbevoegde | 2 | 3 | 6 | Accepteren en vastleggen |
Twee valkuilen komen vaak voor. Ten eerste is een CVSS-basisscore geen risicoscore: CVSS (sinds november 2023 versie 4.0) beschrijft de technische ernst van een kwetsbaarheid, niet het gevolg in uw installatie. Een kwetsbaarheid uit de KEV-catalogus van CISA verhoogt wel de waarschijnlijkheid. Ten tweede beoordeelt IEC 62443-3-2 eerst het onbeheerste risico, dus zonder bestaande maatregelen, en pas daarna het restrisico. Zo blijft zichtbaar welke maatregel het risico echt draagt.
🏭 Waarin verschilt een OT-assessment van een IT-assessment?
In IT staat vertrouwelijkheid meestal voorop; in OT gaan veiligheid en beschikbaarheid voor. Dat verandert zowel de impactschaal als de werkwijze.
| OT-specifieke factor | Gevolg voor het assessment |
|---|---|
| Legacy systemen | Niet ontworpen met cybersecurity in gedachten; patchen kan jaren duren |
| Real-time vereisten | Niet elke beveiligingsmaatregel is zonder impact op het proces toepasbaar |
| Fysieke veiligheid en milieu | Cyberrisico’s kunnen leiden tot letsel, explosies of lozingen |
| Protocoldiversiteit | Modbus, OPC UA en S7 vragen elk een eigen beoordeling |
| Kwetsbare apparatuur | Actief scannen kan PLC’s laten vastlopen; gebruik passieve monitoring en documentatie |
| Lange levensduur | Installaties draaien vaak twintig jaar of langer met hetzelfde ontwerp |
Veiligheidssystemen verdienen extra aandacht. IEC 61511 vraagt sinds editie 2016 (clausule 8.2.4 van deel 1) een security-risicobeoordeling van het SIS, en verwijst daarvoor naar IEC 62443 en ISA TR84.00.09. Dat de dreiging reëel is, liet TRITON in 2017 zien, toen aanvallers het veiligheidssysteem van een petrochemische fabriek aanvielen. Een goede gewoonte is om de scenario’s uit de HAZOP te hergebruiken: welk gevaarlijk scenario kan een aanvaller opzettelijk veroorzaken?
Voor de meest kritieke functies gaat Cyber-Informed Engineering nog een stap verder. De CCE-methode van het Idaho National Laboratory werkt in vier fasen (gevolgen prioriteren, systeem-van-systemen analyseren, aanvalspaden naar die gevolgen bepalen, maatregelen kiezen) en vertrekt vanuit het ergste gevolg in plaats van vanuit kwetsbaarheden.
OT-risk assessments vereisen nauwe samenwerking tussen Security, operations, procesveiligheid en techniek.
🔐 Welke methoden en normen kunt u gebruiken?
| Norm of kader | Versie | Rol in het assessment |
|---|---|---|
| IEC 62443-3-2 | Editie 1.0, juni 2020 | Security-risicobeoordeling voor systeemontwerp; levert een SL-T per zone en conduit |
| ISO 27005 | 2022 | Risicomanagement voor informatiebeveiliging, aansluitend op ISO 27001 |
| NIST SP 800-30 | Rev. 1, september 2012 | Guide for Conducting Risk Assessments: voorbereiden, uitvoeren, communiceren, bijhouden |
| NIST SP 800-82 | Rev. 3, september 2023 | OT-specifieke toepassing van het NIST-risicobeheer |
| NIST CSF | 2.0, februari 2024 | Categorie ID.RA (Risk Assessment) binnen de functie Identify |
| BIO | BIO2 | Nederlandse baseline voor de overheid, gekoppeld aan de zorgplicht |
| COBIT | 2019 | Governance-kader dat IT-risico koppelt aan bedrijfsdoelen |
IEC 62443-3-2 is specifiek geschreven voor industriële automatisering: het deelt het systeem in volgens het Zone and Conduits-model en vertaalt het risico per zone naar technische eisen uit IEC 62443-3-3. Een business impact analysis levert vooraf de bedrijfsgevolgen en hersteltijden.
⚖️ Wat vraagt de wet van een risk assessment?
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse uitvoering van NIS2. De zorgplicht verplicht essentiële en belangrijke entiteiten om de risico’s voor hun netwerk- en informatiesystemen in kaart te brengen en passende maatregelen te nemen. Het Cyberbeveiligingsbesluit vraagt daarbij uitdrukkelijk om een risicoanalysemethode en criteria voor risicoacceptatie. NIS2 (artikel 21) eist een all-hazards-benadering, dus ook stroomuitval en fysieke dreigingen.
Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt zelf een training om cyberrisico’s te kunnen herkennen en beoordelen (NIS2 artikel 20). De zorgplicht geldt ook voor SCADA-systemen en PLC’s in kritieke processen. Voor Brzo-bedrijven raakt het assessment bovendien de veiligheidsbeheersing, zie Brzo en cybersecurity. Een gedocumenteerd assessment volgens IEC 62443-3-2 is een overtuigende manier om aan toezichthouders te laten zien dat de OT-maatregelen risicogestuurd zijn.
❓ Veelgestelde vragen
Is een cybersecurity risk assessment verplicht?
Voor organisaties onder de Cyberbeveiligingswet is een cybersecurity risk assessment sinds 15 augustus 2026 in feite verplicht, omdat de zorgplicht een risicoanalyse met een vastgestelde methode en acceptatiecriteria vraagt. Daarnaast vraagt de norm IEC 61511 een security-risicobeoordeling van veiligheidssystemen. Voor andere bedrijven is het niet wettelijk verplicht, maar wel de basis van normen als ISO 27001 en IEC 62443, en verzekeraars vragen er vaak naar.
Hoe lang duurt een cybersecurity risk assessment voor een OT-installatie?
De duur van een cybersecurity risk assessment hangt af van de scope en de kwaliteit van de asset-inventaris. Voor één productielijn of pompstation is het werk vaak in enkele weken te doen; een volledige site met meerdere zones kost meestal enkele maanden. De meeste tijd gaat zitten in inventariseren en in de multidisciplinaire sessies.
Wie moet er bij een cybersecurity risk assessment betrokken zijn?
Een cybersecurity risk assessment in OT vraagt minimaal OT-engineering, operations, procesveiligheid en IT-security, onder leiding van de eigenaar van de installatie. Leveranciers en integrators leveren kennis over componenten en remote-toegang. Het management stelt het aanvaardbare risico vast en accepteert het restrisico.
Wat is het verschil tussen een risk assessment en een pentest?
Een risk assessment bepaalt welke risico’s er zijn, hoe groot ze zijn en welke maatregelen prioriteit hebben. Een pentest toont technisch aan of een specifieke kwetsbaarheid werkelijk te misbruiken is. In OT volgt een pentest bij voorkeur op het assessment en vindt hij plaats in een testomgeving of tijdens stilstand.
Hoe vaak moet u een cybersecurity risk assessment herhalen?
Een cybersecurity risk assessment moet actueel blijven, maar normen als IEC 62443-3-2 schrijven geen vaste termijn voor. Gangbaar is een jaarlijkse herziening en een nieuwe beoordeling na grote wijzigingen, nieuwe kwetsbaarheden of dreigingen en na incidenten. Het risicoregister is daarbij het levende document.
Kan een cybersecurity risk assessment met een IT-methode worden uitgevoerd?
Een cybersecurity risk assessment voor OT kan met een IT-methode als ISO 27005 of NIST SP 800-30 worden uitgevoerd, mits de impactschaal veiligheid, milieu en productie meeneemt. IT-methoden missen echter vaak de zone-indeling en de koppeling aan procesveiligheid. Daarom combineren veel organisaties een ISO 27005-kader met IEC 62443-3-2 voor het OT-deel.
📌 Samengevat
Een Cybersecurity Risk Assessment brengt dreigingen, kwetsbaarheden en gevolgen in kaart, zodat u beveiliging richt op de risico’s die in uw OT-omgeving echt tellen. Met een vaste methode zoals IEC 62443-3-2, een impactschaal die veiligheid en productie meeweegt en een levend risicoregister onderbouwt u investeringen en maakt u de zorgplicht uit de Cyberbeveiligingswet aantoonbaar.