Cyberrisico­management

Eerst de risicobereidheid

Risicomanagement werkt wanneer duidelijk is hoeveel risico de organisatie bereid is te aanvaarden. Wij helpen het bestuur een verklaring over de risicobereidheid op te stellen, met de toleranties die haar meetbaar maken, en gebruiken die als maatstaf in ons advies over elk behandelbesluit. Het NIST Cybersecurity Framework noemt dit als expliciete uitkomst: verklaringen over risicobereidheid en risicotolerantie worden vastgesteld, gecommuniceerd en onderhouden.¹ Voor financiële entiteiten schrijft DORA voor dat het tolerantieniveau voor ICT-risico wordt vastgesteld in overeenstemming met de risicobereidheid van de entiteit.²

Waarom niet elk risico verkleinen

Wie elk risico wil afdekken, krijgt kosten die geen organisatie kan dragen en een programma waarin niemand nog kan prioriteren. NIS2 vraagt om passende en evenredige maatregelen, rekening houdend met de stand van de techniek, relevante Europese en internationale normen en de kosten van de uitvoering.³ Economisch onderzoek wijst dezelfde kant op: in het model van Gordon en Loeb kan uiterst kwetsbare informatie buitensporig duur zijn om te beschermen, en suggereert de analyse dat een onderneming het best slechts een klein deel van het verwachte verlies door een inbreuk besteedt.⁴ Besturen vinden die balans lastig te beoordelen: slechts 10% van de commissarissen en niet-uitvoerende bestuurders heeft sterk vertrouwen in de waarde van de cybersecurity-investeringen en vindt dat de balans tussen bescherming en kosten klopt.⁵

Wat wij inbrengen

• Het bestuur bijstaan bij het opstellen van een verklaring over de risicobereidheid en de toleranties die haar meetbaar maken.
• Kritische waardestromen, digitale afhankelijkheden, bedrijfsmiddelen en relevante aanvalspaden in kaart brengen.
• Het dreigingslandschap beoordelen en realistische aanvallersscenario’s, tactieken en technieken modelleren, met MITRE ATT&CK als gedeeld referentiekader.
• Gestructureerde methoden zoals ISO/IEC 27005, EBIOS Risk Manager en NIST SP 800-30 toepassen om kans en impact te beoordelen.
• Business impact analyses uitvoeren om te begrijpen hoe verstoring doorwerkt in mensen, processen en systemen.
• Per risico het besluit voorbereiden om het te verkleinen, te aanvaarden, over te dragen of te vermijden binnen de risicobereidheid, ter besluitvorming door de risico-eigenaar, en een geprioriteerde roadmap opstellen die securityuitgaven koppelt aan risicoreductie en bedrijfswaarde.

Het resultaat

Een door het bestuur vastgestelde risicobereidheid, en een geprioriteerd, onderbouwd beeld van cyberrisico dat daaraan wordt gemeten: de leiding investeert waar het ertoe doet, en de uitvoerende teams krijgen een concreet pad van bevinding naar oplossing.

Wanneer deze dienst past

Organisaties die een steviger risicobasis nodig hebben voor securityinvesteringen, een risicobereidheid voor cyberrisico, een grote transformatie, risicorapportage aan het bestuur of continuïteitsplanning.

Bronnen

1. NIST, The NIST Cybersecurity Framework (CSF) 2.0, NIST CSWP 29, februari 2024, uitkomst GV.RM-02. doi.org/10.6028/NIST.CSWP.29 (opent in een nieuw tabblad) ↩︎

2. Verordening (EU) 2022/2554 (DORA), artikel 6, lid 8, onder b. eur-lex.europa.eu (opent in een nieuw tabblad) ↩︎

3. Richtlijn (EU) 2022/2555 (NIS2), artikel 21, lid 1. eur-lex.europa.eu (opent in een nieuw tabblad) ↩︎

4. Gordon, L.A. en Loeb, M.P. (2002), “The economics of information security investment”, ACM Transactions on Information and System Security 5(4), 438–457. doi.org/10.1145/581271.581274 (opent in een nieuw tabblad) ↩︎

5. Gartner, 2026 Board of Directors Survey, persbericht van 24 november 2025 (330 niet-uitvoerende bestuurders). Oorspronkelijke formulering: “strong confidence in the value of cybersecurity investments or initiatives, stating they have the right balance of protection and cost”. gartner.com (opent in een nieuw tabblad) ↩︎