Wat is ISO/IEC 27005?
ISO/IEC 27005 is de internationale richtlijn voor het beheren van informatiebeveiligingsrisico’s: zij beschrijft hoe een organisatie risico’s voor haar informatie en systemen identificeert, analyseert, evalueert, behandelt en blijft bewaken. De norm ondersteunt de implementatie van een Information Security Management System (ISMS) volgens ISO 27001, die wél eist dat u risico’s beoordeelt en behandelt, maar niet uitlegt hoe. De huidige versie is ISO/IEC 27005:2022, de vierde editie, opgesteld door de gezamenlijke ISO/IEC-commissie JTC 1/SC 27.
ISO 27005 is toepasbaar in zowel IT- als OT-omgevingen, mits de risicocriteria ook procesverstoring, veiligheid en milieu meewegen.
🧠 Wat beschrijft ISO 27005?
De volledige titel van de 2022-editie luidt Information security, cybersecurity and privacy protection - Guidance on managing information security risks. Het is een richtlijn, geen eisennorm: u kunt zich niet tegen ISO 27005 laten certificeren. Certificering gebeurt tegen ISO 27001; ISO 27005 helpt u om het risicoproces uit die norm aantoonbaar en herhaalbaar in te vullen.
De norm is methodeneutraal. Zij schrijft niet voor hoe u een risico berekent. U mag kiezen voor een kwalitatieve risicomatrix, een semi-kwantitatief scoremodel of een kwantitatieve methode zoals FAIR. Ook bestaande methoden als OCTAVE of NIST SP 800-30 passen binnen het kader, zolang de uitkomsten consistent, geldig en vergelijkbaar zijn.
| Editie | Jaar | Belangrijkste kenmerk |
|---|---|---|
| Eerste editie | 2008 | Eerste uitwerking van risicobeheer voor de ISO 27000-familie |
| Tweede editie | 2011 | Afgestemd op ISO 31000:2009 |
| Derde editie | 2018 | Titel Information technology - Security techniques - Information security risk management |
| Vierde editie | 2022 | Afgestemd op ISO 27001:2022 en ISO 31000:2018, risicoscenario’s, twee identificatiebenaderingen |
| Europese overname | 2024 | EN ISO/IEC 27005:2024, in augustus 2024 door CEN aangenomen zonder wijzigingen |
🔧 Hoe verloopt het risicoproces volgens ISO 27005?
Het proces is iteratief: u doorloopt het periodiek opnieuw en zodra er iets wezenlijks verandert, zoals een nieuwe installatie, een incident of nieuwe wetgeving. De 2022-editie benoemt daarvoor expliciet triggers die een nieuwe ronde starten.
- Context bepalen
- Bedrijfsdoelstellingen, Assets, processen en externe eisen (zoals NIS2, AVG en IEC 62443), plus de risicocriteria: hoe u kans en gevolg schaalt en welk risico acceptabel is
- Risico-identificatie
- Risicobronnen, dreigingen, kwetsbaarheden, bedreigde assets en mogelijke gevolgen, beschreven als risicoscenario’s
- Risicoanalyse
- Kans × gevolg → risiconiveau (kwalitatief, semi-kwantitatief of kwantitatief)
- Risico-evaluatie
- Risico’s vergelijken met de acceptatiecriteria en prioriteiten stellen
- Risicobehandeling
- Kiezen tussen verminderen (mitigerende maatregelen), behouden (bewust accepteren), vermijden (activiteit stoppen) of delen (overdracht, bijvoorbeeld via verzekering of contract)
- Acceptatie van restrisico
- De risico-eigenaar accepteert formeel het risico dat na de maatregelen overblijft (in de editie van 2022 onderdeel van de risicobehandeling, clausule 8.6.3; in eerdere edities een aparte processtap)
- Communicatie, monitoring en review
- Stakeholders informeren, risico’s bewaken en continu verbeteren volgens de PDCA-cyclus
| Hoofdstuk (2022) | Inhoud |
|---|---|
| 6 | Context vaststellen, vooral het bepalen van risicocriteria |
| 7 | Risicobeoordeling: identificatie, analyse, evaluatie |
| 8 | Risicobehandeling, inclusief acceptatie van het restrisico |
| 9 | Operationeel uitvoeren van beoordeling en behandeling |
| 10 | Gebruikmaken van ISMS-processen: leiderschap, communicatie, documentatie, monitoring, managementreview, verbetering |
| Bijlage A | Voorbeelden van risicocriteria en praktische technieken |
🧭 Wat is het verschil tussen de gebeurtenisgerichte en de assetgerichte aanpak?
De 2022-editie introduceert het begrip risicoscenario: een reeks of combinatie van gebeurtenissen die leidt van de oorspronkelijke oorzaak naar het ongewenste gevolg. Dat begrip vervangt het eerdere incident scenario. Om scenario’s te vinden beschrijft de norm twee aanvullende benaderingen.
| Kenmerk | Gebeurtenisgericht (event-based) | Assetgericht (asset-based) |
|---|---|---|
| Startpunt | Risicobronnen en hun doelen, zoals criminelen, statelijke actoren of interne fouten | Inventaris van assets met hun dreigingen en kwetsbaarheden |
| Niveau | Strategisch, top-down, op hoofdlijnen | Operationeel, bottom-up, gedetailleerd |
| Sterk in | Snel strategische scenario’s en hun gevolgen bepalen, zonder volledige assetinventaris | Concrete kwetsbaarheden en maatregelen per asset vinden |
| OT-voorbeeld | ”Ransomwaregroep legt de productie twee weken stil" | "Onbeveiligd Modbus-verkeer naar een PLC zonder authenticatie” |
| Valkuil | Te abstract voor technische maatregelen | Zonder volledige assetlijst blijven risico’s onzichtbaar |
In de praktijk combineert u beide: de gebeurtenisgerichte aanpak bepaalt welke scenario’s voor het bestuur ertoe doen, de assetgerichte aanpak werkt per scenario de kwetsbaarheden, de kans en de maatregelen uit. Technieken als threat modeling en MITRE ATT&CK helpen om realistische aanvalspaden te beschrijven.
🔄 Hoe verhoudt ISO 27005 zich tot ISO 27001 en ISO 31000?
| ISO 27001 | ISO 27005 |
|---|---|
| Bepaalt dat risicobeheer vereist is (clausules 6.1.2, 6.1.3, 8.2 en 8.3) | Beschrijft hoe u risicobeheer uitvoert |
| Richt zich op de ISMS-structuur | Richt zich op de inhoudelijke analyse |
| Vereist een verklaring van toepasselijkheid (Statement of Applicability) | Helpt u de keuze voor of tegen maatregelen te onderbouwen |
| Certificeerbaar | Richtlijn, niet certificeerbaar |
ISO 31000 is de generieke norm voor risicomanagement in elk domein; ISO 27005 vertaalt die principes en termen naar informatiebeveiliging. ISO 27002 beschrijft vervolgens de maatregelen zelf.
Met het risicoproces uit ISO 27005 bepaalt u welke maatregelen nodig zijn; die vergelijkt u vervolgens met Annex A van ISO 27001, met onder meer Access Control, Logging en Backup. De uitwerking van die maatregelen staat in ISO 27002.
🏭 Hoe past u ISO 27005 toe in een OT-omgeving?
In OT draait risicobeheer niet alleen om vertrouwelijkheid, maar vooral om beschikbaarheid, integriteit van het proces en fysieke veiligheid. Dat vraagt om aangepaste risicocriteria en een assetinventaris die verder gaat dan servers en laptops.
| Element | Uitwerking in OT |
|---|---|
| Assets | PLC, HMI, Historian, Engineering Station, netwerkcomponenten en de processen die ze besturen |
| Kwetsbaarheid | Verouderde firmware, standaardwachtwoorden, onversleutelde industriële protocollen |
| Dreiging | Uitbuiting van een bekende kwetsbaarheid, ransomware vanuit het kantoornetwerk |
| Gevolg | Stilstand, procesverstoring, productverlies, milieuschade of gevaar voor personen |
| Kans | Gemiddeld zonder patchbeleid en zonder segmentatie |
| Maatregelen | Patchmanagement, Firewall-regels, Netwerkmonitoring, segmentatie |
Een praktische werkwijze voor een productielocatie:
- Stel OT-specifieke gevolgcriteria op - bijvoorbeeld een 5×5-matrix waarin gevolgniveau 5 staat voor letsel of milieuschade en niveau 4 voor meer dan een dag productieverlies
- Leg de assetlijst vast per zone - volgens het zones-en-conduitsmodel van IEC 62443-3-2, dat met doel-security levels (SL) per zone werkt
- Hergebruik veiligheidsstudies - een HAZOP of Business Impact Analysis laat zien welke processtoringen echt kritiek zijn
- Leg resultaten vast in een risicoregister - met risico-eigenaar, gekozen behandeling, restrisico en reviewdatum
- Herhaal na wijzigingen - elke nieuwe koppeling tussen IT en OT is een trigger voor een nieuwe beoordeling
Combineer ISO 27005 voor het organisatiebrede risicoproces met IEC 62443-3-2 voor de technische risicobeoordeling per zone. IEC 62443-3-2 schrijft geen risicomethode voor, dus een aanpak volgens ISO 27005 past daar goed in, zolang de stappen en resultaten herleidbaar zijn.
🇳🇱 Waarom is ISO 27005 relevant voor de Cyberbeveiligingswet en de BIO?
De Cyberbeveiligingswet en het Cyberbeveiligingsbesluit zijn op 15 augustus 2026 in werking getreden. De zorgplicht vraagt van essentiële en belangrijke entiteiten risicomanagement met een vastgestelde risicoanalysemethode en criteria voor risicoacceptatie. Dat zijn precies de onderdelen die ISO 27005 uitwerkt. ISO 27005 is niet wettelijk verplicht, maar wel een gangbare en controleerbare manier om de zorgplicht aantoonbaar te maken.
Voor overheidsorganisaties werkt de BIO (BIO2) risicogestuurd: een quickscan per proces of systeem en een volledige risicoanalyse waar het basisniveau niet volstaat. Ook daar biedt ISO 27005 de methodische onderbouwing.
✅ Wat zijn de voordelen en beperkingen van ISO 27005?
- Gestructureerde aanpak voor risicobeoordeling die auditors herkennen
- Flexibel in methodekeuze, van eenvoudige matrix tot kwantitatieve analyse
- Ondersteunt Defense in Depth en Security by Design, omdat maatregelen herleidbaar zijn naar risico’s
- Compatibel met NIST CSF, IEC 62443, COBIT en NIS2
- Beperking: de norm levert geen kant-en-klare dreigingscatalogus of rekenmodel; u moet die zelf kiezen of ontwikkelen
- Beperking: zonder OT-specifieke criteria onderschat een IT-gerichte toepassing de gevolgen voor veiligheid en continuïteit
❓ Veelgestelde vragen
Kan een organisatie zich certificeren tegen ISO 27005?
Nee, ISO 27005 is een richtlijn en geen eisennorm, dus certificering is niet mogelijk. Organisaties laten zich certificeren tegen ISO 27001 en gebruiken ISO 27005 om het daarin verplichte risicoproces in te vullen. Een auditor ziet een ISO 27005-aanpak wel als sterke onderbouwing.
Wat is de nieuwste versie van ISO 27005?
De nieuwste versie is ISO/IEC 27005:2022, de vierde editie, gepubliceerd in oktober 2022. Zij is afgestemd op ISO 27001:2022 en ISO 31000:2018. In Europa is deze tekst overgenomen als EN ISO/IEC 27005:2024.
Wat is een risicoscenario in ISO 27005?
Een risicoscenario is in ISO 27005 een reeks of combinatie van gebeurtenissen die leidt van een oorzaak naar een ongewenst gevolg. Het begrip vervangt sinds de editie van 2022 het eerdere incident scenario. Een voorbeeld is phishing die leidt tot ransomware op een engineering station en daarmee tot productiestilstand.
Welke risicomethode schrijft ISO 27005 voor?
ISO 27005 schrijft geen specifieke risicomethode voor. U kiest zelf een kwalitatieve matrix, een semi-kwantitatief model of een kwantitatieve methode zoals FAIR, zolang de uitkomsten consistent en herhaalbaar zijn. Bijlage A van de norm geeft voorbeelden van risicocriteria en technieken.
Is ISO 27005 geschikt voor OT-omgevingen?
ISO 27005 is geschikt voor OT, mits u de risicocriteria uitbreidt met procesbeschikbaarheid, fysieke veiligheid en milieu. Voor de technische beoordeling per zone combineert u de norm meestal met IEC 62443-3-2. Zo sluit het organisatiebrede ISMS aan op de risicoanalyse van het besturingssysteem.
Helpt ISO 27005 bij de Cyberbeveiligingswet?
ISO 27005 helpt bij de Cyberbeveiligingswet, omdat het Cyberbeveiligingsbesluit een risicoanalysemethode en criteria voor risicoacceptatie vraagt. De norm beschrijft precies hoe u die opstelt en vastlegt. Het gebruik van ISO 27005 is niet verplicht, maar maakt de zorgplicht goed aantoonbaar.
📌 Samengevat
ISO/IEC 27005 is de internationale richtlijn die beschrijft hoe u informatiebeveiligingsrisico’s identificeert, analyseert, evalueert en behandelt binnen een ISMS. De editie van 2022 voegt risicoscenario’s en een gebeurtenisgerichte naast een assetgerichte aanpak toe. Met OT-specifieke criteria en IEC 62443-3-2 is zij toepasbaar in zowel IT- als OT-omgevingen en onderbouwt zij de zorgplicht uit de Cyberbeveiligingswet.