Van risicoanalyse naar aantoonbare naleving
Risico en compliance draait om twee vragen: welke digitale risico’s loopt je organisatie, en hoe laat je zien dat je je aan wetten en normen houdt? Dat laatste heet compliance. Ga direct naar alle onderwerpen.
Twee wetten bepalen de eisen
- Cyberbeveiligingswet. De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en geldt sinds 15 augustus 2026. Ruim 8.000 organisaties in 18 sectoren maken een risicoanalyse en nemen maatregelen die zij kunnen aantonen.
- AVG. De AVG vraagt sinds 2018 om passende beveiliging van persoonsgegevens. Een datalek meld je binnen 72 uur bij de toezichthouder.
Beide wetten beginnen bij dezelfde vraag: welke risico’s loop je, en welke maatregelen horen daarbij?
De volgorde die tijd bespaart
Compliancetrajecten lopen vast wanneer ze bij de norm starten. Begin daarom bij het risico.
- Inventariseer. Breng systemen, gegevens en leveranciers in kaart en bepaal wat er stilvalt bij uitval.
- Weeg de risico’s. Voer een risicoanalyse informatiebeveiliging uit: wat kan er misgaan, hoe groot is de kans en wat is het gevolg? Leg vast welke risico’s je accepteert en wie daarover besluit.
- Test de techniek. Bij vulnerability scanning zoekt software automatisch naar bekende zwakke plekken. Bij een penetratietest proberen ethische hackers daadwerkelijk binnen te komen.
- Test het gedrag. Een phishing simulatie laat zien hoeveel medewerkers op een nagemaakte phishingmail klikken. Oefen daarnaast een aanval met ransomware (gijzelsoftware) met directie en IT samen.
- Leg bewijs vast. Cybersecurity audits toetsen of je doet wat je hebt afgesproken. Een certificaat volgens ISO 27001, de internationale norm voor informatiebeveiliging, maakt dat zichtbaar voor klanten.
Wie houdt toezicht
- Cyberbeveiligingswet. Het toezicht is per sector verdeeld. De Rijksinspectie Digitale Infrastructuur (RDI) dekt onder meer energie, digitale infrastructuur en overheid. De Inspectie Leefomgeving en Transport (ILT) dekt transport en drinkwater, De Nederlandsche Bank (DNB) de banken en de Inspectie Gezondheidszorg en Jeugd (IGJ) de zorg.
- AVG. De Autoriteit Persoonsgegevens (AP) houdt toezicht.
Een incident waarbij persoonsgegevens zijn betrokken, vraagt daarom twee meldingen: één onder de Cyberbeveiligingswet en één bij de AP, elk met een eigen termijn.
Begeleiding nodig bij normen of de Cyberbeveiligingswet? In het overzicht met cybersecurity bedrijven vind je ruim 120 Nederlandse aanbieders, waaronder adviesbureaus die zich op risico en compliance richten.
Alle onderwerpen over risico en compliance
Elk onderwerp heeft een eigen pagina met uitleg.
Risicoanalyse informatiebeveiliging
Welke systemen en gegevens heb je, wat kan er misgaan en hoe erg is dat? Met bekende methoden en het vastleggen van risico’s die je accepteert.
Cyber risico analyse
Uitrekenen wat een incident kost. Scenario’s, de verwachte schade per jaar en de afweging tussen een maatregel nemen en het risico verzekeren.
Vulnerability scanning
Software zoekt automatisch naar bekende zwakke plekken in je systemen. Welke soorten scans er zijn en waarom een deel van de meldingen loos alarm is.
Vulnerability management
Het werk ná de scan: bepalen welke zwakke plekken je als eerste herstelt, termijnen afspreken en uitzonderingen vastleggen.
Penetratietest
Ethische hackers proberen in opdracht binnen te komen. De drie testvormen en wat er in een bruikbaar rapport staat.
Phishing simulatie
Een nagemaakte phishingmail meet hoe medewerkers reageren. Wat je meet, wat je afstemt met de ondernemingsraad en wat je met de uitkomst doet.
Security awareness training
Medewerkers leren aanvallen herkennen. Herhaling door het jaar heen, verdieping per functie en cijfers over gedrag. Met de opzet en de kostenposten.
Cybersecurity audits
Een onafhankelijke controle van je beveiliging. Interne audit, leveranciersaudit en certificeringsaudit, en hoe je bewijs vooraf klaarzet.
ISO 27001
De internationale norm voor informatiebeveiliging, met 93 maatregelen in vier thema’s. Het traject, de doorlooptijd en de interne uren voor certificering.
NIS2 en Cyberbeveiligingswet
Van kracht sinds 15 augustus 2026. Registreren, maatregelen nemen (zorgplicht) en ernstige incidenten binnen 24 uur melden.
AVG en beveiliging
De privacywet vraagt om passende beveiliging van persoonsgegevens. Afspraken met leveranciers, bewaartermijnen en toegangsbeheer.
Datalek
Persoonsgegevens gelekt? Melden bij de Autoriteit Persoonsgegevens binnen 72 uur, betrokkenen informeren en het lek vastleggen in je register.
Ransomware
Gijzelsoftware zet je bestanden op slot en dreigt met publicatie van gestolen gegevens. Herstellen vanuit een losse back-up en de vraag rond losgeld.
Malware
Schadelijke software, zoals trojans, wipers en programma’s die opgeslagen wachtwoorden stelen. Herkennen, indammen en opruimen.