Hoe voer je een risicoanalyse uit onder NIS2?

Een risicoanalyse uitvoeren onder NIS2 betekent dat je risico's eerst identificeert, daarna analyseert en tot slot evalueert, voordat je een vorm van behandeling kiest. Dit driestappenproces staat centraal in artikel 21 van de richtlijn en vormt de basis voor passende en proportionele beveiligingsmaatregelen binnen jouw organisatie.

Wat heb je nodig voordat je aan de risicoanalyse begint?

Voordat je start heb je een actueel overzicht van je bedrijfsmiddelen nodig, zicht op mogelijke dreigingen, en betrokkenheid van de top van de organisatie. Asset management is binnen NIS2 een verplicht onderdeel (artikel 21(2i)) en vormt de basis waarop je kwetsbaarheden en risico's later identificeert.

Zonder een actueel assetoverzicht blijft risico-identificatie giswerk. Michiel Benda schrijft in The NIS2 Navigator's Handbook dat 'A risk assessment consists of three steps: risk identification, risk analysis, and risk evaluation.' Zorg dus dat asset management op orde is voordat je verdergaat, en betrek vanaf het begin de juiste rollen binnen de organisatie.

Hoe identificeer je de risico's in jouw organisatie?

Bij risico-identificatie breng je in kaart welke dreigingen welke zwakke plekken in je organisatie kunnen misbruiken, en welke gebeurtenissen daaruit volgen. Voor NIS2 ligt de focus specifiek op cyberdreigingen. Je kijkt naar zowel kleine als grote risico's, zonder op voorhand iets uit te sluiten.

Het boek omschrijft dit proces als volgt: 'In the risk identification process you identify the risks that you have in your organization, regardless of whether they are small or big risks.' Gebruik je asset-overzicht als uitgangspunt: elk bedrijfsmiddel kent mogelijk een kwetsbaarheid die door een dreiging wordt benut.

Hoe analyseer je elk risico dat je hebt gevonden?

In de risicoanalyse ken je een waarde toe aan elk geïdentificeerd risico: de kans dat het optreedt, de gevolgen bij succesvolle uitbuiting en de schade die daaruit voortvloeit. Je bepaalt dit voor vijf elementen: dreiging, kwetsbaarheid, waarschijnlijkheid, gevolgen en de impact-magnitude.

Waarschijnlijkheid is opgebouwd uit meerdere componenten: de kans dat je met een bepaalde dreiging te maken krijgt, de kans dat een actor voldoende gemotiveerd is om aan te vallen, en de kans dat deze een kwetsbaarheid succesvol weet te exploiteren. Pas als je deze factoren per risico hebt vastgelegd, kun je de volgende stap zetten: kiezen hoe je ze waardeert.

Kwalitatief, kwantitatief of semi-kwalitatief: welke methode kies je?

Je kunt een risico kwalitatief beoordelen met labels als hoog, gemiddeld of laag, semi-kwalitatief met een schaal met vaste waarden per niveau, of kwantitatief met meetbare, berekende waarden. De meeste organisaties kiezen voor een semi-kwalitatieve schaal, omdat die sneller werkt dan kwantitatief en consistenter is dan kwalitatief.

Kwalitatieve labels zoals 'hoog' zijn snel toegekend, maar lastig te vergelijken: iedereen interpreteert de term anders. Een kwantitatieve analyse is nauwkeuriger, maar vraagt meer tijd, data en rekenwerk. Een semi-kwalitatieve schaal biedt een praktisch midden, zoals het volgende voorbeeld uit het boek laat zien.

Zo krijgt elk niveau een concrete ondergrens, waardoor de uitkomst van je risicoanalyse reproduceerbaar wordt voor iedereen die hem later raadpleegt.

Hoe bepaal je de impact van een cyberincident op je organisatie?

De impact wordt bepaald door de cybersecurity-gevolgen — aantasting van vertrouwelijkheid, integriteit of beschikbaarheid — te koppelen aan de bedrijfsprocessen die erdoor worden geraakt. Een business impact analyse brengt in kaart hoe de schade toeneemt naarmate een verstoring langer duurt.

Het boek onderscheidt hierbij enterprise risico's — zoals strategische, markt- of operationele risico's — van informatierisico's, waaronder cybersecurity-risico's vallen. Bij een business impact analyse kijk je onder meer naar financiële impact, gevolgen voor gezondheid en veiligheid, reputatieschade, organisatorische impact en de gevolgen voor compliance. Zo bepaal je welke processen bij uitval het eerst aandacht nodig hebben.

Hoe evalueer en behandel je de risico's die uit de analyse komen?

In de evaluatie vergelijk je elk risico met de risicobereidheid van je organisatie en kies je vervolgens een behandeling: accepteren, vermijden, overdragen of mitigeren. De keuze hangt af van de ernst van het risico en de kosten van een maatregel ten opzichte van de schade die het voorkomt.

Zoals het boek het verwoordt: 'There are four basic treatment options: Accept the risk… Avoid the risk… Transfer the risk… Mitigate the risk…' In de praktijk combineren organisaties vaak overdracht, bijvoorbeeld via een verzekering, met zelf genomen mitigerende maatregelen. Leg bij mitigatie altijd vast welk restrisico overblijft en hoe de kosten zich verhouden tot de schade die je voorkomt.

Risicoanalyse is geen eenmalige checklist

NIS2 vraagt om een doorlopend proces van identificeren, analyseren, evalueren en behandelen van risico's — herhaal dit naarmate dreigingen en bedrijfsprocessen veranderen.