Oktober 2026. De risicobeoordeling is het hart van ISO 27001 en NIS2, en voor veel MKB-bedrijven het onderdeel waar ze het langst over doen. Het kan eenvoudiger. De norm schrijft geen methode voor, alleen dat uw aanpak consistent en herhaalbaar is. Meer achtergrond vindt u bij risicoanalyse.
Stap 1: bepaal scope en criteria
Leg vast welke onderdelen van de organisatie meedoen en definieer vooraf uw schaal voor kans en impact, bijvoorbeeld 1 tot 4. Bepaal ook welk risiconiveau u accepteert. Zonder deze criteria is elke uitkomst discutabel.
Stap 2: inventariseer wat u wilt beschermen
Maak een lijst van uw belangrijkste bedrijfsmiddelen: systemen, gegevenssoorten, leveranciers en processen. Begin met de tien tot twintig die het bedrijf direct raken als ze uitvallen of lekken. U hoeft niet elke laptop te beschrijven.
Stap 3: benoem dreigingen en kwetsbaarheden
Koppel per bedrijfsmiddel de realistische scenario’s: ransomware, accountovername, uitval van een cloudleverancier, menselijke fout. Gebruik een bestaande lijst als vertrekpunt, zoals de dreigingen uit Annex A, en schrap wat niet past.
Stap 4: waardeer en bepaal behandeling
Geef elk scenario een score voor kans en impact en bereken het risiconiveau. Kies per risico: verminderen (maatregel), accepteren, vermijden of overdragen (bijvoorbeeld verzekeren). Koppel de gekozen maatregelen aan Annex A-controls; dat voedt later uw Verklaring van Toepasselijkheid.
Stap 5: laat risico-eigenaren accepteren en herhaal
Een risico-eigenaar tekent voor het restrisico. Leg de acceptatie vast en bespreek de uitkomst in de directiebeoordeling. Herhaal de beoordeling minimaal jaarlijks en na grote wijzigingen, zoals een nieuwe leverancier of een nieuwe AI-toepassing.
Veelgemaakte fouten
Te veel risico’s (honderden regels die niemand onderhoudt), scores zonder onderbouwing, en maatregelen zonder eigenaar of einddatum. Houd het register klein en levend. Wilt u zien hoe uw huidige aanpak scoort, doe dan de readiness-scan.