Een risicobeoordeling voor NIS2 is een gestructureerde analyse waarbij je in kaart brengt welke dreigingen jouw netwerk- en informatiesystemen kunnen raken, hoe groot de kans is dat die dreigingen zich voordoen, en welke impact dat heeft op de continuïteit van je organisatie. De NIS2-richtlijn, die in Nederland wordt omgezet in de Cyberbeveiligingswet, maakt zo’n risicoanalyse verplicht voor organisaties in aangewezen sectoren. In dit artikel beantwoorden we de meest gestelde vragen over hoe je die beoordeling aanpakt, wie er verantwoordelijk voor is, en hoe je het proces praktisch inricht.
Welke risico’s moet je precies beoordelen onder NIS2?
Onder NIS2 beoordeel je alle risico’s die de beschikbaarheid, integriteit of vertrouwelijkheid van je netwerk- en informatiesystemen kunnen bedreigen. Dat gaat verder dan alleen cyberaanvallen: ook technische storingen, menselijke fouten, fysieke incidenten en risico’s vanuit de toeleveringsketen vallen binnen de scope van een NIS2-risicobeoordeling.
Concreet gaat het om de volgende categorieën:
- Cyberdreigingen zoals ransomware, phishing, DDoS-aanvallen en ongeautoriseerde toegang
- Interne risico’s zoals onbedoelde fouten van medewerkers, zwakke wachtwoorden of het verlies van apparatuur
- Fysieke risico’s zoals brand, overstroming of stroomuitval die systemen platleggen
- Ketenrisico’s zoals kwetsbaarheden bij toeleveranciers of externe dienstverleners die toegang hebben tot jouw systemen
- Procesrisico’s zoals het ontbreken van duidelijke procedures bij incidenten of het niet bijhouden van software-updates
Het gaat er niet om dat je elk denkbaar risico tot in detail uitwerkt, maar dat je een realistisch beeld hebt van wat jouw organisatie kwetsbaar maakt. Dat inzicht vormt de basis voor de maatregelen die je vervolgens treft.
| Afspraak maken |
Hoe verschilt een NIS2-risicobeoordeling van een gewone IT-audit?
Een gewone IT-audit kijkt naar de technische staat van je systemen: werkt alles naar behoren, zijn er kwetsbaarheden, is de beveiliging op orde? Een NIS2-risicoanalyse gaat verder: het is een bestuurlijk proces waarbij je expliciet de impact op bedrijfscontinuïteit en maatschappelijke dienstverlening beoordeelt, en waarbij het management aantoonbaar verantwoordelijkheid draagt voor de uitkomsten.
Enkele concrete verschillen:
- Een IT-audit is vaak eenmalig en technisch gericht; een NIS2-risicobeoordeling is cyclisch en heeft ook een organisatorische en juridische dimensie
- Bij een NIS2-risicobeoordeling documenteer je niet alleen wat je hebt gevonden, maar ook welke beslissingen je op basis daarvan hebt genomen en waarom
- De NIS2-verplichting tot risicobeoordeling vereist dat het bestuur de uitkomsten kent en heeft goedgekeurd, terwijl een IT-audit vaak op het niveau van de IT-afdeling blijft
- NIS2 vraagt expliciet om aandacht voor ketenrisico’s, iets wat buiten de scope van een reguliere technische audit valt
Kortom: een IT-audit is een nuttige input voor een NIS2-risicobeoordeling, maar vervangt die niet. Je hebt beide nodig, en ze vullen elkaar aan.
Welke stappen doorloop je bij een NIS2-risicobeoordeling?
Een NIS2-risicobeoordeling uitvoeren verloopt in vijf herkenbare stappen: inventariseer je systemen en processen, identificeer de dreigingen, beoordeel de kans en impact per risico, bepaal welke maatregelen je treft, en leg alles aantoonbaar vast. Hoe uitgebreid die stappen zijn, hangt af van de omvang en complexiteit van je organisatie.
- Inventarisatie: Breng in kaart welke systemen, gegevens en processen kritisch zijn voor jouw dienstverlening. Denk aan netwerken, applicaties, klantdata en operationele systemen.
- Dreigingsidentificatie: Stel per systeem of proces vast welke dreigingen reëel zijn. Gebruik daarvoor bestaande dreigingslijsten of de kennis van je IT-partner.
- Risico-inschatting: Beoordeel per dreiging hoe groot de kans is dat deze zich voordoet, en hoe ernstig de gevolgen zijn als dat gebeurt. Dit levert een risicorangschikking op.
- Maatregelen bepalen: Koppel aan elk significant risico een concrete maatregel: een technische oplossing, een procedure of een contractuele afspraak met een leverancier.
- Documentatie: Leg de hele analyse vast in een document dat je kunt tonen aan toezichthouders. Zonder documentatie heb je geen bewijs van compliance.
Een goede startpositie is een nulmeting waarbij je jouw huidige situatie vergelijkt met de NIS2-eisen. Plan een gesprek in om te ontdekken waar je organisatie nu staat en wat de volgende stap is.
Hoe bepaal je de impact van een risico voor NIS2-doeleinden?
Voor NIS2-doeleinden bepaal je de impact van een risico door te kijken naar de gevolgen voor de beschikbaarheid van je dienstverlening, de integriteit van je gegevens, de vertrouwelijkheid van informatie en de mogelijke schade voor afnemers of de maatschappij. De impact is hoog als een incident leidt tot uitval van kritische diensten, dataverlies of reputatieschade.
Praktisch werk je met twee assen:
- Kans: Hoe waarschijnlijk is het dat dit risico zich voordoet, gegeven jouw sector, systemen en beveiligingsniveau?
- Impact: Wat zijn de gevolgen als het risico realiteit wordt? Denk aan financiële schade, operationele uitval, juridische aansprakelijkheid en reputatieverlies.
De combinatie van kans en impact bepaalt de prioriteit. Risico’s met een hoge kans en hoge impact pak je als eerste aan. Risico’s met een lage kans en beperkte impact kunnen acceptabel zijn, mits je die keuze bewust maakt en documenteert. NIS2 vraagt niet dat je elk risico elimineert, maar dat je aantoonbaar weloverwogen keuzes maakt.
Wie is verantwoordelijk voor de risicobeoordeling binnen een organisatie?
Onder NIS2 ligt de eindverantwoordelijkheid voor de risicobeoordeling bij het bestuur of de directie van de organisatie, niet bij de IT-afdeling. Bestuurders kunnen worden aangesproken als de organisatie haar verplichtingen niet nakomt. Dit maakt de Cyberbeveiligingswet-risicobeoordeling een bestuurlijk vraagstuk, ook al is de uitvoering technisch van aard.
In de praktijk betekent dit dat de directeur of het managementteam de risicoanalyse moet kennen, begrijpen en formeel goedkeuren. De IT-afdeling of een externe IT-partner kan de analyse uitvoeren en de technische input leveren, maar de beslissing over welke risico’s acceptabel zijn en welke maatregelen worden getroffen, hoort bij het management thuis.
Voor MKB-organisaties zonder eigen compliance-officer is dit een reële uitdaging. TCA ondersteunt organisaties als managed IT-partner bij het hele traject: van de technische analyse tot de bestuurlijke rapportage. Zo draag je als directeur aantoonbaar verantwoordelijkheid, zonder dat je zelf de technische details hoeft te beheersen.
| Afspraak maken |
Hoe vaak moet een NIS2-risicobeoordeling worden herhaald?
Een NIS2-risicobeoordeling is geen eenmalige exercitie. Je herhaalt de analyse minimaal jaarlijks, en ook na significante wijzigingen in je organisatie, systemen of dreigingslandschap. Denk aan een overname, een nieuwe cloudmigratie, een beveiligingsincident of nieuwe wetgeving die je situatie verandert.
De reden daarvoor is eenvoudig: risico’s zijn niet statisch. Dreigingen evolueren, systemen veranderen en je organisatie groeit. Een risicoanalyse die twee jaar geleden actueel was, dekt mogelijk niet meer de huidige situatie. NIS2 verwacht dat compliance een doorlopend proces is, geen afvinkmoment.
In de praktijk betekent dit dat je een ritme opbouwt: een uitgebreide jaarlijkse beoordeling, aangevuld met kortere tussentijdse evaluaties bij relevante wijzigingen. Organisaties die werken met een security baseline hebben daarbij een voordeel: de baseline fungeert als referentiepunt waartegen je periodiek kunt toetsen of je nog op koers ligt.
TCA biedt dit als onderdeel van haar managed dienstverlening aan: periodieke herbeoordelingen, monitoring en bijsturing zitten in het pakket. Zo blijf je compliant zonder dat je er zelf continu bovenop hoeft te zitten. Wil je weten hoe jouw organisatie er nu voor staat? Maak een afspraak voor een vrijblijvende nulmeting en ontvang binnen 48 uur een persoonlijk rapport.