Risicomanagement

Wat is risicomanagement?

Risicomanagement (risk management) is het doorlopende proces waarmee een organisatie risico’s voor haar doelstellingen systematisch identificeert, analyseert, evalueert en behandelt, en de resterende risico’s bewaakt, zodat zij onderbouwde keuzes maakt over wat ze accepteert en wat ze beheerst. De internationale basisnorm is ISO 31000:2018, die risico definieert als het effect van onzekerheid op doelstellingen. In IT- en OT-omgevingen gaat risicomanagement niet alleen over data en vertrouwelijkheid, maar ook over procesveiligheid, beschikbaarheid van installaties, milieu en de veiligheid van mensen.

Het doel van risicomanagement is niet om elk risico te vermijden, maar om bewust en aantoonbaar te kiezen welke risico’s u accepteert en welke u verkleint.

🧠 Waarom is risicomanagement nodig?

Elke organisatie heeft meer mogelijke risico’s dan budget en mensen om ze allemaal aan te pakken. Risicomanagement maakt de afweging expliciet: welke dreiging raakt de belangrijkste processen het hardst, en welke maatregel levert per euro de grootste risicoreductie op? Zonder die afweging worden maatregelen gekozen op gevoel, op basis van het laatste incident of op aandringen van een leverancier.

🔄 Hoe verloopt het risicomanagementproces?

ISO 31000 beschrijft in clausule 6 een proces dat in vrijwel alle andere kaders terugkomt, van ISO 27005 voor informatiebeveiliging tot IEC 62443-3-2 voor industriële systemen. De kern bestaat uit zes onderdelen:

1. Scope, context en criteria vaststellen - welke installatie, welke processen en welke risicobereidheid? Leg vooraf vast wat onaanvaardbaar is, bijvoorbeeld letsel, een milieulozing of meer dan acht uur productiestilstand.
2. Risico-identificatie - wat kan er misgaan? Denk aan cyberaanvallen, storingen, menselijke fouten, brand, stroomuitval en sabotage.
3. Risicoanalyse - hoe groot zijn kans en gevolg, gegeven de bestaande maatregelen?
4. Risico-evaluatie - welk risico valt boven de criteria en moet worden behandeld, en in welke volgorde?
5. Risicobehandeling - maatregelen kiezen, invoeren en het restrisico opnieuw beoordelen.
6. Monitoren, vastleggen en rapporteren - werken de maatregelen zoals bedoeld, zijn er nieuwe dreigingen, en zijn besluiten en restrisico’s vastgelegd voor bestuur en toezichthouders?

Communicatie en consultatie (clausule 6.2) en monitoren en beoordelen (clausule 6.6) zijn in de norm geen losse eindstappen: ze lopen door alle andere stappen heen. Betrek dus vanaf het begin de mensen die de installatie kennen, zoals operators, onderhoud en procestechnologen.

Stap 2 tot en met 4 vormen samen de risicobeoordeling; daar staat de uitwerking per stap en per methode. De uitkomst landt in een risicoregister, zodat eigenaarschap, deadlines en voortgang zichtbaar blijven. Het proces is cyclisch: een wijziging in de installatie, een nieuw incident of nieuwe dreigingsinformatie is een aanleiding om het opnieuw te doorlopen.

🛠️ Welke behandelopties zijn er?

ISO 31000 noemt zeven opties die u kunt combineren. In de praktijk worden ze vaak samengevat als vermijden, verminderen, overdragen en accepteren.

Delen verschuift vooral de financiële schade: de verantwoordelijkheid voor veiligheid en continuïteit blijft bij de organisatie zelf.

🏭 Wat maakt risicomanagement in OT anders?

In IT staat vertrouwelijkheid vaak bovenaan; in OT gaan veiligheid en beschikbaarheid voor. Een cyberincident kan in een fabriek of waterzuivering fysieke gevolgen hebben, en SCADA- en besturingssystemen draaien vaak tientallen jaren met software die niet zomaar te patchen is. Daarom zijn extra keuzes nodig:

• Samenwerken over disciplines - een risicoanalyse voor OT vraagt kennis van IT-security, procestechniek, onderhoud en productie. Een IT-team alleen overziet de fysieke gevolgen niet.
• Cyber en procesveiligheid koppelen - een HAZOP of LOPA laat zien welke beschermingslagen een gevaarlijke situatie moeten voorkomen. Kan een aanvaller zo’n laag uitschakelen, dan hoort dat scenario ook in de cyberrisicoanalyse. Dat is de kern van Cyber-Informed Engineering.
• Zones en security levels - IEC 62443-3-2 deelt een installatie in zones en conduits volgens het Zone and Conduits-model en legt per zone een doel-security level vast.
• Compenserende maatregelen - waar patchen niet kan, verkleint u kans of gevolg met segmentatie, monitoring en defense in depth.
• Keten en leveranciers - onderhoudsverbindingen en componenten van derden zijn een eigen risicobron; zie supply-chainrisico en Third Party Risk Management.

📋 Hoe verhoudt risicomanagement zich tot normen en wetgeving?

Risicomanagement is het gemeenschappelijke fundament onder vrijwel elk kader voor informatiebeveiliging, veiligheid en kwaliteit. Elk kader vult het proces in voor een eigen domein.

Voor wie onder de Cyberbeveiligingswet valt, geldt sinds 15 augustus 2026 de zorgplicht. Een gedocumenteerd risicomanagementproces is de manier om aan te tonen dat de gekozen maatregelen passend zijn.

🔧 Hoe richt u risicomanagement in de praktijk in?

Een werkbaar risicomanagementproces voor een organisatie met IT en OT bestaat meestal uit de volgende bouwstenen:

1. Leg risicobereidheid en criteria vast - het bestuur bepaalt welke gevolgen onaanvaardbaar zijn. Gebruik één matrix voor IT en OT, bijvoorbeeld 5×5 kans × impact, met impactschalen voor veiligheid, milieu, productie, financiën en reputatie.
2. Breng assets en processen in kaart - zonder actuele asset-inventaris of CMDB mist u risico’s. Een Business Impact Analysis laat zien welke processen het kritiekst zijn.
3. Beoordeel risico’s per proces of zone - combineer dreigingsinformatie, kwetsbaarheden en bestaande maatregelen. Methoden als FMEA, HAZOP, bow-tie en threat modeling helpen elk op een eigen niveau. De begeleidende norm IEC 31010:2019 beschrijft tientallen beoordelingstechnieken met hun sterke en zwakke punten.
4. Wijs eigenaren toe - elk risico krijgt een eigenaar in de lijn, niet alleen bij de CISO of de securityafdeling.
5. Plan en volg maatregelen - leg deadlines vast in het risicoregister en beoordeel het restrisico na invoering.
6. Koppel aan wijzigingsbeheer - elke wijziging via MOC krijgt een korte risicotoets, zodat nieuwe risico’s niet ongemerkt binnenkomen.
7. Rapporteer en herhaal - bespreek de belangrijkste risico’s minstens jaarlijks met het bestuur, en vaker na incidenten of grote wijzigingen. Lessen uit incidentmanagement horen terug te komen in het risicoregister.

Een eenvoudig voorbeeld uit een risicoregister:

❓ Veelgestelde vragen

Wat is het verschil tussen risicomanagement en risicobeoordeling?

Risicomanagement is het complete, doorlopende proces van context bepalen, beoordelen, behandelen, monitoren en rapporteren. Een risicobeoordeling is één onderdeel daarvan: het identificeren, analyseren en evalueren van risico’s. Zonder de stappen eromheen blijft een risicobeoordeling een momentopname zonder opvolging.

Is risicomanagement hetzelfde als risk management?

Ja, risicomanagement is de Nederlandse term voor risk management. Beide termen beschrijven hetzelfde proces volgens ISO 31000; in Nederlandse organisaties worden ze door elkaar gebruikt. Soms wordt ook de term risicobeheer gebruikt, met dezelfde betekenis.

Is risicomanagement verplicht?

Voor veel organisaties wel. De Cyberbeveiligingswet, de Nederlandse uitvoering van NIS2, verplicht essentiële en belangrijke entiteiten om passende maatregelen te nemen op basis van een risicogebaseerde aanpak. Ook ISO 27001-certificering, de BIO voor de overheid en kwaliteitsregels zoals GMP vragen om aantoonbaar risicomanagement.

Welke norm hoort bij risicomanagement?

ISO 31000 is de algemene richtlijn voor risicomanagement en is bruikbaar voor elk type risico, maar u kunt er niet op certificeren. Voor informatiebeveiliging werkt ISO 27005 het proces uit binnen een ISMS volgens ISO 27001. Voor industriële automatisering beschrijft IEC 62443-3-2 de risicobeoordeling per zone en conduit.

Hoe vaak moet u risicomanagement herhalen?

Risicomanagement is een cyclus en geen eenmalig project. Een volledige herbeoordeling gebeurt meestal minstens eens per jaar, en daarnaast bij grote wijzigingen in de installatie, na een ernstig incident of wanneer nieuwe dreigingen bekend worden. Het risicoregister wordt tussendoor actueel gehouden.

Wie is verantwoordelijk voor risicomanagement?

Het bestuur is eindverantwoordelijk voor risicomanagement en stelt de risicobereidheid vast. Onder NIS2 en de Cyberbeveiligingswet moet de bestuurslaag de cybersecuritymaatregelen goedkeuren, toezicht houden op de uitvoering en zelf training volgen. De uitvoering ligt bij risico-eigenaren in de lijn, ondersteund door bijvoorbeeld een CISO of risicomanager.

📌 Samengevat

Risicomanagement verbindt dreigingen, kwetsbaarheden en gevolgen met bewuste keuzes over maatregelen. ISO 31000 levert het proces, ISO 27005 en IEC 62443 werken het uit voor IT en OT, en NIS2 en de Cyberbeveiligingswet maken het voor veel organisaties verplicht.

Risicomanagement is het fundament onder een veilige, betrouwbare en veerkrachtige organisatie: wie risico’s niet structureel beoordeelt en opvolgt, werkt blind, zeker in complexe IT- en OT-omgevingen.