Wat is een risicomatrix?
Een risicomatrix is een raster met kans op de ene as en impact op de andere. De meest gebruikte variant is 5x5: vijf niveaus voor kans, vijf niveaus voor impact, 25 vakjes in totaal. Elk risico krijgt een score op beide assen en landt in één vakje. Dat vakje krijgt een kleur, van groen voor laag risico tot rood voor kritiek.
De methode is gebaseerd op hetzelfde uitgangspunt als de internationale risicomanagementnorm ISO 31000: risico is een functie van kans en impact. Een risicomatrix maakt dat uitgangspunt visueel en snel te gebruiken, zonder rekenwerk.
Waarom gebruiken organisaties een risicomatrix?
Een risicomatrix geeft in één oogopslag overzicht over tientallen risico's naast elkaar. Dat overzicht is precies waarom de matrix in kwaliteitsmanagement, audits en compliance zo vaak terugkomt: hij dwingt je om risico's op dezelfde twee dimensies systeematig te beoordelen.
Voor cyberrisico's specifiek komt er een wettelijke reden bij. De Cyberbeveiligingswet (Cbw) verplicht organisaties in 18 sectoren om cyberrisico's te analyseren en passende, evenredige maatregelen te nemen met bestuurlijke goedkeuring. Een risicomatrix is een middel die vaak gebruikt wordt tijdens de analyse. Het NCSC adviseert risicomanagement dan ook als basis van elk cybersecuritybeleid.
Een risicomatrix opstellen in vier stappen
Stap 1: Identificeer cyberrisico's en risicoscenario's.
Een risico is pas te scoren als het scherp genoeg is beschreven. Een scenario heeft vier elementen nodig: een dreiging, een asset of bedrijfsmiddel, een methode waarmee de dreiging zich voltrekt, en een effect op de organisatie. "Ransomware" is geen goede risicobeschrijving. "Ransomware op de productieomgeving via een phishingmail, met verlies van productie als gevolg" is al een stuk beter. Wie dit liever niet blanco doet, kan de gratis scenariobouwer van Polar Risk gebruiken om scenario's volgens deze structuur op te stellen.
Stap 2: Definieer je schalen voor kans en impact.
Leg vooraf vast wat hoog, midden en laag betekent op elke as, bijvoorbeeld in frequentie (eens per jaar, eens per tien jaar) en in schadecategorie (productieverlies, reputatieschade, boetes). Zonder die definitie scoort iedereen anders.
Stap 3: Scoor de risico's met een brede groep.
Eén persoon overziet nooit alle risico's. Een IT-manager ziet andere risico's dan een operationeel manager of een financieel directeur. Scoor daarom samen, niet alleen vanuit de securityafdeling.
Stap 4: Koppel maatregelen en houd de matrix levend.
Een score zonder vervolgactie is een invuloefening. Elk risico in het rode vakje krijgt een eigenaar en een maatregel met deadline. Herhaal de exercitie minimaal jaarlijks, want dreigingen en de organisatie veranderen allebei.
Voorbeeld van een risicomatrix
Een simpel voorbeeld van een 5x5-matrix, met impact op de horizontale as en kans op de verticale as:
Een ransomwarescenario op de productieomgeving zou hier bijvoorbeeld op "Hoog" (impact) en "Mogelijk" (kans) landen: score Hoog. Precies dat woord, "Hoog", is waar het bij cyberrisico's misgaat. Meer daarover in de volgende 2 secties.
Waarom een risicomatrix bij cyberrisico's vaak tekortschiet
Stel dat we het ransomwarescenario uit de vorige sectie concreet maken. De jaarlijkse kans op een ransomwareaanval op de productieomgeving bedraagt 13%, met een verwachte uitvalduur van circa 14 dagen. De totale financiële impact, denk aan herstelkosten, reputatieschade en productieverlies, is geschat op ongeveer € 2,4 miljoen. Afhankelijk van de snelheid van het herstel en de omvang van de omzetderving ligt de bandbreedte tussen € 0,4 miljoen en € 7,1 miljoen.
Een ander risico dat toevallig ook op "Hoog" scoort, kan in werkelijkheid een tiende van dat bedrag aan schade opleveren. De matrix behandelt ze identiek. Voor een bestuurder is een label "hoog" overvoldoende onderbouwing om budget te verantwoorden.
De grootste valkuil: een risicomatrix gebruiken voor het inschatten van risico's
Onderzoek heeft aangetoond dat mensen niet goed zijn in het inschatten van cyberrisico's op een schaal van 1 tot 5. Zo'n schaal simplificeert een cyberrisico tot één cijfer. Bias speelt daarin een grote rol: iedereen heeft een andere achtergrond en een andere risicoperceptie, dus scoort iedereen anders. Er is uitgebreid onderzoek gedaan naar bias bij het inschatten van cyberrisico's, en de conclusie is steeds dezelfde: mensen zijn hier structureel niet goed in. Een risicomatrix kan in sommige gevallen worden gebruikt om cyberrisico’s te visualiseren. Let er echter op dat je de risico’s daarbij niet oversimplificeert.
Van risicomatrix naar concreet bedrag: kwantificeren met FAIR
De FAIR-methode (Factor Analysis of Information Risk) is een internationaal erkende methode voor het kwantificeren van cyberrisico’s. Met deze methode kun je cyberrisico's onderbouwen op basis van objectieve data en uitdrukken in cijfers. Het resultaat is geen kleur in een vakje, maar een verwacht schadebedrag met een bandbreedte, zoals in het ransomwarevoorbeeld hierboven.
Risicokwantificatie is vakwerk. Het vraagt om dezelfde scenariostructuur als stap 1 van de matrix (dreiging, asset, methode, effect), maar dan onderbouwd met data in plaats van een schatting op een schaal van één tot vijf. Meer over de methode staat op de pagina over de FAIR-methode. Wie de eigen risico's wil laten kwantificeren, leest verder over de Cyber Risk Assessment of, voor een specifieke beslissing zoals een cloudmigratie of een cyberverzekering, over Cyber Economics.
22% van de Nederlandse organisaties liep in 2024 al significante schade op door een cyberaanval (CBS, 2024), en het aantal digitale koppelingen is sinds 2019 verdrievoudigd (ENISA, 2024). De vraag is dus niet of dit "Hoog" scorende risico volgend jaar weer op de lijst staat, maar wat het kost als het misgaat.
Veelgestelde vragen over de risicomatrix
Wat is een risicomatrix?
Een risicomatrix is een tabel waarin je risico's afzet tegen kans en impact, meestal in vijf niveaus per as. De plek waar kans en impact elkaar kruisen bepaalt de prioriteit van het risico: laag, midden, hoog of kritiek.
Wat zijn de voor- en nadelen van een risicomatrix?
Het voordeel is snelheid: in een uur heb je een overzicht van tientallen risico's naast elkaar. Het nadeel is dat de scores subjectief zijn en dat twee risico's met hetzelfde label heel verschillende bedragen aan schade kunnen vertegenwoordigen.
Welke schaal gebruik je voor een risicomatrix, 3x3 of 5x5?
5x5 is de meest gebruikte schaal, omdat die genoeg onderscheid geeft tussen risico's zonder de discussie te compliceren. 3x3 werkt voor een snelle eerste inventarisatie, maar dwingt risico's met heel verschillende impact vaak in hetzelfde vakje.
Is een risicomatrix geschikt voor cyberrisico's?
Voor een eerste overzicht wel. Voor een besluit over budget of maatregelen niet, omdat de matrix geen bedrag geeft en dus geen antwoord op de vraag of een investering zich terugbetaalt.
Wat is het verschil tussen een risicomatrix en kwantitatieve risicoanalyse?
Een risicomatrix werkt met labels zoals hoog, midden en laag. Kwantitatieve risicoanalyse, zoals de FAIR-methode, rekent kans en impact door naar een bedrag in euro's met een bandbreedte, waardoor risico's ook onderling eerlijk te vergelijken zijn.
Wil je weten wat jouw "Hoog" scorende risico's daadwerkelijk kosten? Praat met een expert.
