Wat is een risicoanalyse?
Een risicoanalyse is het onderdeel van risicomanagement waarin je risico's beoordeelt op kans en impact. De stap volgt op de risico-inventarisatie, het moment waarop je in kaart brengt welke risico's er überhaupt zijn, en gaat vooraf aan het kiezen van maatregelen. Zonder risicoanalyse is die keuze giswerk: je weet dan niet welk risico het zwaarst weegt.
Risicoanalyse is een van de stappen binnen het bredere en doorlopende proces van identificeren tot monitoren. In veel risicoanalysemethoden wordt een risico beoordeeld aan de hand van de waarschijnlijkheid of frequentie van een scenario en de gevolgen daarvan. De ISO 27005 is één van de standaarden die hiervoor richting geeft.
Een belangrijke voorwaarde voor het analyseren van een risico is dat het scherp genoeg is beschreven. Een bruikbaar scenario heeft vier elementen: een dreiging, een asset of bedrijfsmiddel, een methode waarmee de dreiging zich voltrekt, en een effect op de organisatie. "Ransomware" is geen scenario. "Ransomware op de productieomgeving via een phishingmail, met productie-uitval als gevolg" is dat wel. Wie dit liever niet blanco doet, gebruikt de gratis scenariobouwer van Polar Risk om scenario's volgens deze structuur op te stellen.
Deze structuur werkt goed voor cyberrisico's en veel andere operationele en beveiligingsrisico's. Het verschil zit in de dreigingen en de assets die je invult, niet in de methode zelf. Organisaties die meerdere risicoanalyses naast elkaar leggen, ontdekken meestal snel dat ongestructueerde risico's lastig te vergelijken zijn, en dat een gedeelde structuur per scenario juist wel vergelijking mogelijk maakt.
Waarom is een risicoanalyse belangrijk?
Een organisatie heeft nooit budget en tijd voor elk denkbaar risico. Een risicoanalyse is een middel om een keuze te maken op basis van kans en impact, in plaats van op onderbuikgevoel of wie op de gang het hardst om aandacht vraagt. Het NCSC positioneert risicoanalyse als een belangrijk onderdeel van risicomanagement voor digitale veiligheid: pas als je weet welk risico het zwaarst weegt, weet je waar de eerste euro aan besteding naartoe moet.
Een risicoanalyse heeft daarnaast een interne functie die vaak onderbelicht blijft: ze geeft IT, security en de business een gedeelde taal. Zonder analyse verdedigt iedere afdeling het eigen risico op eigen gevoel, en wint meestal degene die het hardst roept, niet degene met het grootste risico. Een risicoanalyse van twee jaar geleden vertelt bovendien weinig over vandaag. Systemen, leveranciers en dreigingen veranderen sneller dan de meeste organisaties hun risicoregister bijwerken.
Een risicoanalyse uitvoeren in vijf stappen
Stap 1: inventariseer je belangrijkste bedrijfsprocessen. Breng de dienstverlening en ondersteunende bedrijfsmiddelen in kaart die er echt toe doen: klantdata, het ERP-systeem, de webshop die omzet genereert. Niet alles is een kroonjuweel en een risicoanalyse die met alles tegelijk begint, komt nergens aan toe. Betrek hier bewust meerdere afdelingen: een IT-manager ziet andere bedrijfsmiddelen als kritiek dan een operationeel manager of een financieel directeur.
Stap 2: bepaal de relevante risicoscenario's. Beschrijf per dienstverlening welke dreigingen relevant zijn, en formuleer ze als scenario met de vier elementen uit de vorige sectie: dreiging, asset, methode, effect. Een vage dreiging levert een vage analyse op. Reken op meerdere scenario's per dienstverlening: een productieomgeving loopt risico via ransomware, maar net zo goed via een kwetsbaarheid bij een leverancier.
Stap 3: schat de kans in. Hoe vaak doet dit scenario zich naar verwachting voor, per jaar? Gebruik historische data waar die er is (incidentregistraties, dreigingsrapporten) en marktdata waar data ontbreekt. Leg vooraf vast wat "hoog" of "laag" precies betekent, anders scoort iedereen anders. Doe dit met een brede groep: één persoon overziet nooit alle risico's, en scoort bovendien vanuit een eigen bias.
Stap 4: schat de impact in. Wat kost het als het scenario zich voordoet? Denk in categorieën: productieverlies, herstelkosten, omzetverlies, boetes, reputatieschade. Werk waar mogelijk met een bandbreedte (minimum, maximum, meest waarschijnlijk) in plaats van één bedrag. Voor cyberrisico's specifiek werkt de FAIR-methode dit uit in directe en indirecte verliezen, verderop in deze post.
Stap 5: prioriteer en koppel maatregelen. Voor elk risico zijn er vier routes: accepteren, verminderen, overdragen (bijvoorbeeld via een verzekering) of vermijden. Een score zonder vervolgactie is een invuloefening: elk risico boven de afgesproken grens krijgt een eigenaar en een maatregel met deadline. Herhaal de hele exercitie minimaal jaarlijks, want dreigingen en de organisatie veranderen allebei.
Kwalitatieve versus kwantitatieve risicoanalyse
Een risicoanalyse kan kwalitatief, semi-kwantitatief of kwantitatief worden uitgevoerd. Het verschil zit in hoe je kans en impact uitdrukt. Een kwalitatieve risicoanalyse werkt met labels: laag, midden, hoog, vaak in een risicomatrix gezet. Een kwantitatieve risicoanalyse rekent kans en impact door naar cijfers: een percentage kans per jaar en een bedrag aan verwachte schade, met een bandbreedte in plaats van één getal.
Kwalitatieve labels zijn lastig vergelijkbaar. Twee risico's die allebei "hoog" scoren, kunnen in werkelijkheid een factor tien verschillen in verwachte schade. Voor een bestuurder over budget is dat onvoldoende onderbouwing: een bestuurder kan een investering afwegen tegen een bedrag, niet tegen een kleur.
Risicokwantificatie is vakwerk. Het is geen Excel-oefening die je er even bij doet: de FAIR-methode werkt met kansverdelingen (minimum, maximum, meest waarschijnlijke waarde), niet met een educated guess op een schaal van één tot vijf. Het volgende voorbeeld laat zien wat dat verschil in de praktijk oplevert.
Praktijkvoorbeeld: risicoanalyse van een ransomwarescenario
Stel: cybercriminelen voeren een ransomware aanval uit op het ERP-systeem van een fabrikant, ACME Industries, via een phishingmail, met productie-uitval als effect. Kwalitatief scoort dit scenario op "Hoog" (impact) en "Gemiddeld" (kans): score Hoog. Dat is de conclusie waar de meeste risicomatrices bij blijven staan.
Kwantitatief gaat de analyse een stap verder. Het scenario heeft een jaarlijkse kans van 9% en een verwachte uitvalduur van circa 14 dagen. De financiële schade als het scenario optreedt bedraagt in dit voorbeeld naar verwachting circa €2,4 miljoen, met een bandbreedte van €0,4 miljoen tot €7,1 miljoen. Omdat ook de frequentie van het scenario is gemodelleerd, kan vervolgens de jaarlijkse financiële risico-exposure worden bepaald. Juist die combinatie van frequentie en verliesomvang maakt verschillende scenario's financieel vergelijkbaar.
Een ander risico dat toevallig ook op "Hoog" scoort, kan in werkelijkheid een tiende van dat bedrag aan schade opleveren. Zonder de kwantitatieve stap staan beide risico's identiek op de lijst, en gaat het budget mogelijk naar het verkeerde risico eerst.
Nadelen van kwalitatieve scores
Kwalitatieve risicoscores zijn gevoelig voor cognitieve bias en verschillen tussen beoordelaars. Twee professionals kunnen hetzelfde scenario verschillend interpreteren en daardoor tot een andere score komen, zeker wanneer scoringscriteria onvoldoende concreet zijn. Er is uitgebreid onderzoek gedaan naar cognitieve bias bij het inschatten van cyberrisico's, met steeds dezelfde conclusie: verschillende beoordelaars scoren hetzelfde risico structureel verschillend.
Er zit ook een praktische kant aan: zet een risico eenmaal op "Hoog", en het verlaat het risicoregister zelden nog uit zichzelf, ook niet zodra de onderliggende situatie allang is veranderd. Een label is nu eenmaal makkelijker neer te zetten dan opnieuw ter discussie te stellen.
Dit is precies waarom de scoringscriteria uit stap 3 zo belangrijk zijn. Leg voor de hele groep vast wat "hoog" betekent in frequentie en in schadecategorie, vóórdat het scoren begint. Doe je dat niet, dan meet de risicoanalyse uiteindelijk vooral de risicoperceptie van wie toevallig aan tafel zat, niet het risico zelf.
Risicoanalyse kwantificeren met de FAIR-methode
De FAIR-methode (Factor Analysis of Information Risk) is een internationaal erkende methode om cyberrisico's te kwantificeren. De kernformule: risico is een uitkomst van dreigingsfrequentie, kwetsbaarheid en impact. Dreigingsfrequentie en kwetsbaarheid samen bepalen de Loss Event Frequency, hoe vaak een verlies zich naar verwachting voordoet. De Loss Magnitude telt directe verliezen (herstel, uitval) en indirecte verliezen (boetes, aansprakelijkheid) bij elkaar op.
FAIR werkt niet met één schijnbaar exact getal, maar maakt onzekerheid expliciet. Inputs worden waar mogelijk gebaseerd op interne incidentdata, externe bronnen en historische informatie, aangevuld met onderbouwde expertinschattingen wanneer data ontbreekt. Door scenario's meerdere keren te simuleren met Monte Carlo-simulaties ontstaat vervolgens een verdeling van mogelijke uitkomsten in plaats van één puntschatting.
Gartner erkent dat kwantificering de communicatie met bestuurders verbetert, PwC ziet er aantoonbare business value in, en het World Economic Forum noemt het een manier om cybersecurity van kostenpost naar groei-enabler te transformeren. Dat sluit aan bij wat de meeste risicoanalyses in de praktijk missen: niet de identificatie van risico's, maar de vertaling naar een bedrag waar een bestuurder een besluit op kan nemen.
Wie zijn eigen risico's op deze manier wil laten kwantificeren, leest verder over de Cyber Risk Assessment, een traject van 4 tot 8 weken dat cyberrisico's identificeert en vertaalt naar euro's, of over Cyber Economics, een traject van 2 tot 4 weken voor een gerichte kwantificering bij één strategische beslissing zoals een cloudmigratie, overname of verzekeringskeuze. Beide trajecten volgen dezelfde vier fases: intake, data-verzameling, analyse en een bestuursklaar rapport. Lees hier meer over hoe Polar Risk FAIR gebruikt.
Risicoanalyse en ISO 27001
ISO 27001 maakt, na het bepalen van de scope een risicoanalyse verplicht als startpunt van een ISMS: pas op basis van de uitkomst kies je welke beheersmaatregelen uit Annex A daadwerkelijk nodig zijn, vastgelegd in de Verklaring van Toepasselijkheid. Zonder risicoanalyse is die keuze niet te onderbouwen richting een certificerende instelling, en daar vragen auditors bij een certificeringsaudit doorgaans het eerst naar.
De norm schrijft zelf geen methode voor. Een ISO 27001 risicoanalyse mag kwalitatief, met bijvoorbeeld een risicomatrix, zolang de scoringscriteria vooraf zijn vastgelegd en consistent worden toegepast. Voor organisaties die de uitkomst ook naar het bestuur moeten vertalen in euro's, bijvoorbeeld bij een investeringsbeslissing over een nieuwe beveiligingsmaatregel, is de kwantitatieve variant met FAIR de aanvulling die de norm niet afdwingt maar de praktijk wel vraagt.
Risicoanalyse en de Cyberbeveiligingswet (NIS2/Cbw)
De Cyberbeveiligingswet, die op 15 augustus 2026 in werking is getreden, verplicht organisaties in 18 sectoren om cyberrisico's te analyseren en op basis daarvan passende en evenredige maatregelen te nemen, met bestuurlijke goedkeuring en aandacht voor leveranciersrisico's. Meer over de volledige vereisten staat op de pagina over NIS2/Cbw.
De Cyberbeveiligingswet schrijft geen specifieke methode voor risicoanalyse voor. Organisaties moeten wel kunnen onderbouwen dat hun maatregelen passen bij de risico's en evenredig zijn aan de mogelijke gevolgen. Een kwalitatieve of semi-kwantitatieve analyse kan daarvoor een bruikbare basis vormen. Bij grote investeringsbeslissingen kan financiële risicokwantificering de onderbouwing versterken, omdat bestuurders daarmee risico, maatregelkosten en restrisico in dezelfde financiële context kunnen vergelijken.
Veelgestelde vragen over risicoanalyse
Wat is een risicoanalyse?
Een risicoanalyse is de stap waarin je voor een risico bepaalt hoe groot de kans is dat het zich voordoet en wat de gevolgen zijn. Dat gebeurt kwalitatief, met een label zoals hoog of laag, of kwantitatief, met een percentage en een bedrag aan verwachte schade.
Wat is het verschil tussen een kwalitatieve en een kwantitatieve risicoanalyse?
Een kwalitatieve risicoanalyse werkt met labels als laag, midden en hoog. Een kwantitatieve risicoanalyse rekent kans en impact door naar een percentage per jaar en een bedrag aan verwachte schade, met een bandbreedte in plaats van één getal.
Wat zijn de stappen van een risicoanalyse?
De vijf stappen zijn: bepaal wat je wilt beschermen, breng de dreigingen per bedrijfsmiddel in kaart, schat de kans in, schat de impact in, en koppel op basis daarvan maatregelen en een eigenaar aan elk risico. Herbeoordeel risico's periodiek én zodra relevante omstandigheden veranderen.
Wat is het verschil tussen risicoanalyse en risicomanagement?
Risicoanalyse is de stap waarin je kans en impact per risico inschat. Risicomanagement is het volledige, doorlopende proces eromheen: identificeren, analyseren, maatregelen kiezen en monitoren.
Is een risicoanalyse verplicht onder NIS2/CBW?
Ja, voor organisaties in de 18 sectoren die onder de Cyberbeveiligingswet vallen. De wet, die op 15 augustus 2026 in werking treedt, verplicht een risicoanalyse als basis voor passende en evenredige maatregelen met bestuurlijke goedkeuring.
Hoe vaak moet je een risicoanalyse herhalen?
Minimaal jaarlijks, en direct opnieuw bij een grote verandering: een nieuw systeem, een reorganisatie, een overname of een incident. Dreigingen en de organisatie veranderen allebei, en een risicoanalyse van twee jaar oud zegt weinig over de situatie van vandaag.
