Wat is een risicobeoordeling?
Een risicobeoordeling is het systematisch identificeren, analyseren en evalueren van risico’s die de veiligheid, beschikbaarheid, integriteit of vertrouwelijkheid van systemen, processen en mensen kunnen aantasten, zodat een organisatie kan beslissen welke risico’s aanvaardbaar zijn en welke maatregelen vragen. In een OT-context helpt een risicobeoordeling industriële installaties te beschermen tegen technische storingen, menselijke fouten en cyberaanvallen tegelijk. De uitkomst is geen rapport voor de kast, maar een onderbouwde prioritering: welke risico’s eerst, met welke maatregel, en welk restrisico het management bewust accepteert.
Risicobeoordeling is de kernactiviteit binnen Risk Management: zonder beoordeling is elke beveiligingsmaatregel een gok.
🧠 Uit welke stappen bestaat een risicobeoordeling?
De algemene risiconorm ISO 31000:2018 verdeelt risicobeoordeling (clausule 6.4) in drie deelstappen: risico-identificatie, risicoanalyse en risico-evaluatie. Daarvoor komt het vaststellen van scope, context en risicocriteria, daarna de risicobehandeling. Vertaald naar de OT-praktijk:
- Scope en criteria vastleggen - welke installatie, welke assets en welke risicobereidheid? Leg vooraf vast wat “onaanvaardbaar” is, bijvoorbeeld een letselgeval, een milieulozing of meer dan acht uur productiestilstand.
- Risico’s identificeren - welke gebeurtenissen kunnen optreden? Denk aan cyberaanvallen, storingen, menselijke fouten, brand, stroomuitval en sabotage. Gebruik daarvoor Threat Intelligence, incidenthistorie en een actuele asset-inventaris.
- Kwetsbaarheden vaststellen - welke zwakke plekken maken een gebeurtenis mogelijk? Voorbeelden zijn een legacy PLC, onvoldoende Access Control, verouderde Firmware of een vlak netwerk zonder zones.
- Impact bepalen - wat is de schade als het misgaat? Factoren zijn letsel, milieuschade, productieverlies, financiële schade en reputatie.
- Waarschijnlijkheid inschatten - hoe groot is de kans? Bij cyberrisico’s hangt die af van blootstelling, de capaciteiten van aanvallers en bestaande maatregelen; bij technische falen van faalfrequenties.
- Risico evalueren - vergelijk het risiconiveau met de criteria uit stap 1 en bepaal welke risico’s behandeld moeten worden en in welke volgorde.
Het kiezen en invoeren van maatregelen heet formeel risicobehandeling en volgt op de beoordeling. Na invoering beoordeelt u het restrisico opnieuw. Het resultaat landt in een risicoregister, zodat eigenaarschap en voortgang zichtbaar blijven.
📊 Hoe werkt een risicomatrix?
Een veelgebruikte vorm is semi-kwantitatief: impact en waarschijnlijkheid krijgen elk een score van 1 tot 5, en het product (1 tot 25) bepaalt de kleur in een risicomatrix. Dat is een praktische conventie, geen eis: ISO 31000 schrijft geen vermenigvuldiging voor, en in procesveiligheid wordt vaker met frequenties per jaar gerekend.
| Score impact × kans | Risiconiveau | Typische opvolging |
|---|---|---|
| 1–4 | Laag | Accepteren en monitoren |
| 5–9 | Middel | Maatregel plannen binnen het jaarbudget |
| 10–16 | Hoog | Maatregel binnen enkele maanden, eigenaar op managementniveau |
| 20–25 | Kritiek | Direct handelen of tijdelijke compenserende maatregel |
Een valkuil is dat iedereen dezelfde matrix anders invult. Leg daarom per score concrete ankers vast, bijvoorbeeld “impact 5 = dodelijk letsel of meer dan een week stilstand” en “kans 5 = verwacht binnen een jaar”. Bij cyberrisico’s is waarschijnlijkheid lastig te kwantificeren; IEC 62443-3-2 werkt daarom met unmitigated likelihood, de kans zonder bestaande maatregelen, om een eerlijk vertrekpunt te houden.
🔄 Wat is het verschil tussen een safety- en een security-risicobeoordeling?
In OT bestaan twee tradities naast elkaar. Safety kijkt naar toevallige faalwijzen en menselijke fouten, security naar opzettelijke aanvallen. De methoden verschillen, maar de uitkomsten moeten op elkaar aansluiten:
| Aspect | Safety-risicobeoordeling | Security-risicobeoordeling |
|---|---|---|
| Oorzaak | Toevallig falen, procesafwijking, menselijke fout | Opzettelijke aanval, malware, insider |
| Kernnormen | ISO 12100 (machines), IEC 61511 (proces) | IEC 62443-3-2, ISO 27005, NIST SP 800-30 |
| Typische methoden | HAZOP, LOPA, FMEA, risicograaf | Dreigingsscenario’s, Threat Modeling, MITRE ATT&CK for ICS |
| Waarschijnlijkheid | Faalfrequenties, betrekkelijk stabiel | Afhankelijk van aanvaller, verandert snel |
| Uitkomst | Vereist SIL van een veiligheidsfunctie | Doel-Security Level (SL-T) per zone en conduit |
| Nederlandse verankering | RI&E, Seveso-regels | Cyberbeveiligingswet, BIO |
De koppeling is belangrijk: een aanvaller die een veiligheidssysteem uitschakelt, maakt de LOPA-berekening ongeldig. IEC 62443-3-2 noemt bestaande procesveiligheidsanalyses daarom expliciet als input, en een BOW-TIE-analyse is een handige manier om safety- en security-barrières in één beeld te zetten.
⚙️ Waarom is een risicobeoordeling in OT anders dan in IT?
Een OT-risicobeoordeling volgt dezelfde stappen als in IT, maar de weging verschuift. In kantoor-IT staat vertrouwelijkheid vaak voorop; in OT gaan veiligheid en beschikbaarheid van het fysieke proces voor, waardoor de klassieke CIA-triade in omgekeerde volgorde wordt gelezen.
| Aspect | Gevolg voor de risicobeoordeling |
|---|---|
| Industriële processen | Een verstoring kan leiden tot letsel, milieuschade of productieverlies, niet alleen tot een datalek |
| Legacy systemen | Componenten draaien vaak vijftien tot twintig jaar en zijn niet altijd te patchen of te monitoren; compenserende maatregelen wegen daardoor zwaarder |
| Fysieke componenten | Risico’s zijn niet alleen digitaal maar ook mechanisch en elektrisch; een mechanische begrenzing kan een cyberscenario onschadelijk maken |
| Patchmanagement | Patchen vraagt een stilstandvenster en vaak goedkeuring van de leverancier, dus een bekende kwetsbaarheid blijft regelmatig maanden open |
| Compliance-eisen | IEC 62443, ISO 27001, BIO en NIS2 vragen allemaal een risicobeoordeling |
🔧 Hoe verloopt een risicobeoordeling volgens IEC 62443-3-2?
IEC 62443-3-2 (2020) is het deel van de IEC 62443-reeks voor OT-cyberrisicobeoordeling en beschrijft zeven Zone and Conduit Requirements (ZCR):
- ZCR 1 - het System under Consideration (SuC) afbakenen, inclusief grenzen en toegangspunten
- ZCR 2 - een initiële risicobeoordeling op basis van bestaande documentatie, zoals procesveiligheidsanalyses en de bedrijfsrisicomatrix
- ZCR 3 - het systeem opdelen in zones en conduits volgens het zones-en-conduitsmodel
- ZCR 4 - vergelijken of het initiële risico het aanvaardbare risico overschrijdt
- ZCR 5 - een gedetailleerde beoordeling: dreigingen, kwetsbaarheden, gevolgen, kans en risico zonder maatregelen, en vaststelling van het SL-T
- ZCR 6 - beveiligingseisen, aannames en beperkingen documenteren
- ZCR 7 - goedkeuring door de asset owner, die ook het aanvaardbare risico bepaalt
Het SL-T vertaalt zich vervolgens in eisen uit IEC 62443-3-3 en in maatregelen als Netwerksegmentatie en firewalls tussen zones. Een bredere uitwerking voor cyberrisico’s staat in Cybersecurity Risk Assessment.
🛡️ Welke maatregelen volgen uit een risicobeoordeling?
De beoordeling bepaalt welke mitigerende maatregelen nodig zijn. Een evenwichtig pakket dekt vier functies:
- Preventie - bijvoorbeeld een Firewall, Netwerksegmentatie en Security Awareness
- Detectie - bijvoorbeeld Anomaliedetectie en een SIEM
- Reactie - bijvoorbeeld een Incident Response Plan
- Herstel - bijvoorbeeld een Backup en Disaster Recovery
Voor safety-risico’s geldt een vaste volgorde: ISO 12100 schrijft eerst inherent veilig ontwerp voor, daarna technische beveiligingen en pas als laatste informatie voor gebruik. Een waarschuwingssticker is dus nooit de eerste maatregel. Een Business Impact Analysis helpt om herstelprioriteiten en maximaal toelaatbare uitvaltijden vast te stellen.
🏭 Welke wetten en normen eisen een risicobeoordeling?
| Kader | Wat het vraagt | Geldt voor |
|---|---|---|
| Arbowet artikel 5 | Een RI&E met plan van aanpak, getoetst door een gecertificeerde kerndeskundige; vrijstelling van toetsing tot 25 werknemers bij gebruik van een erkend branche-instrument | Elke werkgever met personeel |
| NIS2 / Cyberbeveiligingswet | Beleid voor risicoanalyse en beveiliging van informatiesystemen, volgens een all-hazards-benadering; Cbw van kracht sinds 15 augustus 2026 | Essentiële en belangrijke entiteiten |
| ISO 27001:2022 | Een vastgelegd proces voor risicobeoordeling (clausule 6.1.2), uitgevoerd met geplande tussenpozen (clausule 8.2) | Gecertificeerde organisaties |
| Cyber Resilience Act | Cybersecurity-risicobeoordeling per product, opgenomen in de technische documentatie; volledig van toepassing vanaf 11 december 2027 | Fabrikanten van producten met digitale elementen |
| Machineverordening (EU) 2023/1230 | Risicobeoordeling die ook kwaadwillige manipulatie meeneemt; van toepassing vanaf 20 januari 2027 | Machinebouwers |
| IEC 61511 | Gevaren- en risicobeoordeling als basis voor SIL-toewijzing | Procesindustrie met een SIS |
In de praktijk loont het om één risicomethodiek te kiezen die meerdere kaders tegelijk bedient. De CRA staat zelfs toe dat de cybersecurity-risicobeoordeling deel uitmaakt van een beoordeling die andere EU-regels al eisen, zoals die van de Machineverordening.
🧭 Hoe pakt u een OT-risicobeoordeling praktisch aan?
Een voorbeeld: een drinkwaterbedrijf beoordeelt een pompstation met een SCADA-koppeling en externe toegang voor een leverancier.
- Team samenstellen - operations, procestechnologie, OT-security en de leverancier. Alleen IT aan tafel mist de procesgevolgen.
- Assets en verbindingen in kaart - PLC’s, HMI, router en de route van de leverancier, ingedeeld volgens het Purdue Model.
- Scenario’s formuleren - bijvoorbeeld “aanvaller met gestolen leverancierswachtwoord wijzigt doseersetpoints”. Scenario’s zijn concreter dan losse dreigingen.
- Scoren zonder én met maatregelen - eerst het onbeheerste risico, dan het effect van bestaande barrières zoals mechanische begrenzingen.
- Maatregelen kiezen - bijvoorbeeld MFA en tijdgebonden toegang voor de leverancier, plus segmentatie tussen pompstation en kantoornetwerk.
- Herhalen - bij elke wezenlijke wijziging, na incidenten en minimaal jaarlijks.
Een kleine installatie kost zo enkele workshopdagen; een volledige raffinaderij weken. Begin bij de processen met de grootste gevolgen in plaats van alles tegelijk.
❓ Veelgestelde vragen
Wat is het verschil tussen risicobeoordeling en risicomanagement?
Risicobeoordeling is het identificeren, analyseren en evalueren van risico’s. Risicomanagement is de volledige cyclus daaromheen, inclusief het vaststellen van context, het behandelen van risico’s, monitoring en communicatie. Een risicobeoordeling is dus één stap binnen risicomanagement volgens ISO 31000.
Hoe vaak moet u een risicobeoordeling herhalen?
Een risicobeoordeling moet worden herhaald bij wezenlijke wijzigingen in installatie, netwerk of dreigingsbeeld en na serieuze incidenten. ISO 27001 eist beoordeling met geplande tussenpozen; in OT is jaarlijks een gangbare minimumfrequentie. Een RI&E moet worden bijgewerkt zodra werk of werkomstandigheden veranderen.
Is een risicobeoordeling verplicht onder de Cyberbeveiligingswet?
Ja, de zorgplicht van de Cyberbeveiligingswet vraagt essentiële en belangrijke entiteiten om risicogebaseerde maatregelen te nemen, en NIS2 noemt beleid voor risicoanalyse als eerste maatregel. Zonder gedocumenteerde risicobeoordeling kan een organisatie niet aantonen dat haar maatregelen passend zijn. Voor OT-systemen is een zone-gebaseerde beoordeling volgens IEC 62443-3-2 een gangbare invulling.
Welke methode voor risicobeoordeling past bij OT?
Voor cyberrisico’s in OT is IEC 62443-3-2 de gangbare referentiemethode, omdat die risico’s koppelt aan zones, conduits en security levels. Voor procesveiligheid zijn HAZOP en LOPA gangbaar, voor machines ISO 12100. Veel organisaties combineren deze methoden, zodat safety- en securityscenario’s elkaar versterken.
Wat is restrisico in een risicobeoordeling?
Restrisico is het risico dat overblijft nadat maatregelen zijn ingevoerd. Een risicobeoordeling eindigt met een expliciete beslissing van de risico-eigenaar om dat restrisico te accepteren of verder te verlagen. IEC 62443-3-2 legt die goedkeuring bij de asset owner.
Hoe lang duurt een OT-risicobeoordeling?
Een OT-risicobeoordeling van één installatie met een beperkt aantal zones kost doorgaans enkele workshopdagen plus voorbereiding. Grote complexe locaties vragen weken, vooral voor de asset-inventaris en gedetailleerde scenario’s. Hergebruik van bestaande HAZOP- en LOPA-studies bespaart veel tijd.
📌 Samengevat
Een risicobeoordeling identificeert, analyseert en evalueert risico’s, en vormt de basis voor elke onderbouwde beveiligings- of veiligheidsmaatregel. In OT komen safety-methoden zoals HAZOP, LOPA en ISO 12100 samen met cybermethoden zoals IEC 62443-3-2, en wetgeving van Arbowet tot Cyberbeveiligingswet en CRA maakt de beoordeling verplicht.
Een goede risicobeoordeling maakt keuzes expliciet: welke risico’s u aanpakt, met welke maatregel, en welk restrisico u bewust accepteert.