Risicoregister

Wat is een risicoregister?

Een risicoregister (Engels: risk register) is een gestructureerd en actueel overzicht van alle geïdentificeerde risico’s van een organisatie, met per risico de beoordeling van kans en impact, de gekozen beheersmaatregelen, de verantwoordelijke eigenaar en de status. Het register is de uitkomst van risicobeoordeling en het werkdocument van risicomanagement: hier ziet u welke risico’s er zijn, wie ze beheert en of de afgesproken maatregelen op tijd klaar zijn. In IT/OT-omgevingen brengt één register cyberrisico’s, procesveiligheid en beschikbaarheid van de productie samen.

Een risicoregister is een levend document. Het maakt risico’s zichtbaar, beheersbaar en aantoonbaar richting bestuur, auditor en toezichthouder, onder meer bij ISO 27001, NIS2, GMP en IEC 62443.

🎯 Waarvoor gebruikt u een risicoregister?

• Inzicht - één plek met bedreigingen, kwetsbaarheden en hun gevolgen
• Prioriteren - risico’s scoren op kans en impact, zodat budget naar de grootste risico’s gaat
• Plannen en volgen van maatregelen - elke maatregel heeft een eigenaar en een deadline
• Bewijs voor audits en Compliance - een auditor ziet welke risico’s u kent, hoe u ze behandelt en wie het restrisico heeft geaccepteerd
• Continue verbetering - het register is de motor van de PDCA-cyclus: na elke maatregel volgt een herbeoordeling

Het Amerikaanse NIST omschrijft het register in NIST IR 8286 (oktober 2020, in december 2025 herzien als Rev. 1) als het centrale document om risico-informatie door de hele organisatie te volgen en te communiceren. Registers per systeem of afdeling worden daar samengevoegd tot één enterprise risk register voor het bestuur.

📄 Wat staat er in een risicoregister?

Er is geen wettelijk voorgeschreven format, maar de kolommen lijken bij vrijwel elke methode op elkaar. De eerste versie van NIST IR 8286 noemt in zijn voorbeeldsjabloon onder meer ID, prioriteit, risicobeschrijving, categorie, kans, impact, blootstelling, type risicorespons, kosten, eigenaar en status.

Het verschil tussen bruto risico (zonder maatregelen) en restrisico (na maatregelen) is het belangrijkste dat het register laat zien. Zonder die twee kolommen kunt u niet aantonen wat een maatregel heeft opgeleverd.

📊 Hoe werkt de risicomatrix?

Vaak gebruikt u een risicomatrix (heatmap) om scores te classificeren:

De score bepaalt of actie nodig is. Een mogelijke indeling bij een 4×4-matrix is 1–3 acceptabel, 4–6 laag, 8–9 midden en 12–16 hoog, maar de grenzen kiest u zelf in uw risicoacceptatiecriteria. Een 5×5-matrix komt ook veel voor. Let op: kans en impact zijn hier rangordes, geen echte getallen. ISO 31000 en ISO 27005 schrijven geen vaste matrix voor, en een score van 4 is niet “half zo erg” als 8. Leg per stap op de impactschaal vast wat hij betekent, bijvoorbeeld in uren productieverlies, letsel of euro’s.

🔐 Welke risico’s staan in een OT-risicoregister?

In industriële en hybride omgevingen bevat het register vaak risico’s zoals:

• Uitval van een PLC, SCADA-server of Historian zonder werkende back-up
• Ransomware via toegang op afstand van leveranciers of via het updateproces
• Ongeautoriseerde toegang tot het productienetwerk, bijvoorbeeld door een vlak netwerk zonder zones
• Verlies van batchdata of tracking-and-tracing-informatie, met gevolgen voor kwaliteit en terugroepacties
• Overtreden van eisen uit GMP, SIL-beoordelingen of ISO 27001
• Leveranciersrisico - afhankelijkheid van één systeemintegrator, beoordeeld via third-party risk management

OT voegt twee dingen toe aan een klassiek IT-register. De impactschaal moet ook menselijke veiligheid en milieu bevatten, niet alleen vertrouwelijkheid. En veel maatregelen zijn in OT niet direct uitvoerbaar: patchen kan pas bij een geplande stop. Leg dan een compenserende maatregel en de reden vast, en koppel de deadline aan het onderhoudsvenster. Methoden als HAZOP en BOW-TIE uit de procesveiligheid leveren goede scenario’s en impactschattingen aan.

🧱 Welke normen en wetten vragen om een risicoregister?

Geen van de grote kaders schrijft letterlijk een document met de naam “risicoregister” voor. Ze eisen wel vastgelegde resultaten van risicobeoordeling en -behandeling, en het register is de gangbare manier om dat te doen.

De Cyberbeveiligingswet en het Cyberbeveiligingsbesluit gelden sinds 15 augustus 2026. ISO 9001 vraagt alleen dat u risico’s en kansen aanpakt (6.1); een register is daar handig maar niet verplicht.

🔧 Hoe zet u een risicoregister op in de praktijk?

1. Bepaal de scope - welke locaties, installaties en processen vallen erin? Begin bij een actuele asset-inventaris, want een risico zonder asset is niet te beheren.
2. Leg de criteria vast - kans- en impactschalen, de matrix en de grens voor acceptabel risico. Laat het bestuur die grens goedkeuren.
3. Identificeer scenario’s - met workshops, threat modeling, een business impact analysis en input uit vulnerability management. Schrijf scenario’s concreet: “ransomware via de VPN van de leverancier legt de verpakkingslijn stil”, niet “cyberaanval”.
4. Beoordeel bruto risico - volgens één vaste methode, bijvoorbeeld NIST SP 800-30 of de stappen uit IEC 62443-3-2.
5. Kies de respons en maatregelen - vermijden, verminderen, overdragen (bijv. verzekering) of accepteren. Geef elke maatregel een eigenaar en een deadline.
6. Beoordeel en accepteer het restrisico - de risico-eigenaar tekent voor wat overblijft, met datum en naam.
7. Houd het actueel - herzie minstens jaarlijks en bij elke grote wijziging via change management, na incidenten en bij nieuwe dreigingen.

Een voorbeeldregel uit een OT-register:

De impact blijft 4: de maatregel verlaagt de kans, niet de gevolgen. Wilt u ook de impact verlagen, dan zijn offline back-ups en een geteste herstelprocedure nodig.

🛠 Welke tools gebruikt u voor een risicoregister?

• Excel of een spreadsheet - eenvoudig en snel, geschikt voor kleine organisaties; zwak in versiebeheer en het volgen van acties
• GRC-platforms (zoals ServiceNow, Riskonnect of LogicGate) - workflows, herinneringen en rapportages, koppelbaar aan audits en beleid
• ISMS-tools met ingebouwde risicologica en koppeling aan de Verklaring van Toepasselijkheid
• OT-monitoringplatforms (zoals Claroty of Tenable OT Security) - leveren asset- en kwetsbaarheidsgegevens als input; de beoordeling en het accepteren van risico’s blijft mensenwerk

Bij NIST IR 8286 Rev. 1 publiceert NIST ook een spreadsheetsjabloon en JSON-schema’s voor risicoregisters, handig als u registers uit verschillende tools wilt samenvoegen.

❓ Veelgestelde vragen

Is een risicoregister verplicht onder ISO 27001?

ISO 27001 eist geen document met de naam risicoregister, maar wel vastgelegde resultaten van de risicobeoordeling en risicobehandeling, met risico-eigenaren en goedgekeurd restrisico. In de praktijk is een risicoregister de gebruikelijke manier om dat bewijs te leveren. Auditors vragen er vrijwel altijd naar.

Wat is het verschil tussen een risicoregister en een risicobeoordeling?

Een risicobeoordeling is het proces waarin u risico’s identificeert, analyseert en evalueert. Het risicoregister is de vastlegging van de uitkomst, aangevuld met maatregelen, eigenaren en status. De beoordeling gebeurt periodiek; het register wordt doorlopend bijgehouden.

Hoe vaak moet u een risicoregister bijwerken?

Een risicoregister herziet u minstens eens per jaar volledig, en tussendoor bij grote wijzigingen in de installatie, na incidenten en bij nieuwe dreigingen of kwetsbaarheden. Status en deadlines van maatregelen werkt u continu bij. Een register dat een jaar niet is aangeraakt, geldt bij een audit als zwak bewijs.

Wie is eigenaar van een risico in het risicoregister?

De risico-eigenaar is de persoon met het mandaat en het budget om het risico te beheersen, in OT vaak een productie- of engineeringmanager en niet de securityafdeling. De eigenaar besluit over de maatregelen en accepteert het restrisico. De securityafdeling begeleidt het proces en beheert het register.

Kunnen IT- en OT-risico’s in één risicoregister staan?

Ja, één gezamenlijk risicoregister voor IT en OT voorkomt dubbel werk en maakt afhankelijkheden zichtbaar, zoals een gedeelde Active Directory. De impactschaal moet dan wel veiligheid, milieu en productie meewegen naast vertrouwelijkheid. Veel organisaties gebruiken één register met een veld dat aangeeft of een risico IT, OT of beide betreft.

Wat is restrisico in een risicoregister?

Restrisico is het risico dat overblijft nadat de maatregelen zijn uitgevoerd, opnieuw gescoord op kans en impact. Als het restrisico onder de acceptatiegrens ligt, accepteert de risico-eigenaar het formeel. Ligt het erboven, dan zijn extra maatregelen nodig of moet het bestuur bewust akkoord gaan.

📌 Samengevat

Een risicoregister legt per risico het scenario, de kans, de impact, de maatregelen, het restrisico en de eigenaar vast. Normen als ISO 27001, IEC 62443-3-2 en de Cyberbeveiligingswet schrijven het register niet letterlijk voor, maar vragen wel om precies die vastgelegde informatie. In OT hoort ook veiligheid op de impactschaal, en moeten deadlines aansluiten op onderhoudsvensters.

Een risicoregister brengt dreigingen, kwetsbaarheden en gevolgen in kaart en maakt per risico zichtbaar wie wat doet, zodat u risico’s in uw IT/OT-omgeving systematisch beheerst en dat ook kunt aantonen.