Wat is een cyberrisicoanalyse en hoe voer je die uit?

Een cyberaanval voorkomen begint niet met het aanschaffen van zoveel mogelijk beveiligingssoftware. Je moet eerst weten wat je binnen je bedrijf wilt beschermen, welke digitale risico’s je loopt en welke gevolgen een incident kan hebben. Een cyberrisicoanalyse helpt je om dat inzicht te krijgen.

Een cyberrisicoanalyse is een systematische beoordeling van de digitale risico’s waaraan een organisatie wordt blootgesteld. Je brengt belangrijke systemen, gegevens en bedrijfsprocessen in kaart, onderzoekt welke dreigingen en kwetsbaarheden er zijn en beoordeelt vervolgens hoe groot de kans en mogelijke impact van deze risico’s zijn.

Met die informatie kun je bepalen welke beveiligingsmaatregelen prioriteit hebben.

Dat maakt een cyberrisicoanalyse interessant voor vrijwel iedere onderneming. Voor organisaties die onder de Cyberbeveiligingswet vallen is het belang nog groter: de risicoanalyse vormt daar een belangrijk onderdeel van de zorgplicht.

Maar hoe voer je zo’n risicoanalyse uit? In dit artikel nemen we het proces stap voor stap door.

Wat is een cyberrisicoanalyse?

Een cyberrisicoanalyse, ook wel cybersecurity-risicoanalyse genoemd, brengt de digitale risico’s van een organisatie gestructureerd in kaart.

Je probeert daarbij antwoord te krijgen op vragen zoals:

• Welke gegevens en systemen zijn belangrijk voor mijn bedrijf?
• Welke bedrijfsprocessen zijn afhankelijk van IT?
• Welke cyberdreigingen zijn voor mijn bedrijf relevant?
• Welke kwetsbaarheden bestaan er?
• Welke beveiligingsmaatregelen hebben we al?
• Hoe waarschijnlijk is het dat een bepaald incident optreedt?
• Wat zijn de gevolgen als dat gebeurt?
• Welke risico’s zijn acceptabel?
• Voor welke risico’s moeten aanvullende maatregelen worden genomen?

Een cyberrisicoanalyse is daarmee onderdeel van het bredere risicomanagement binnen een onderneming.

Het doel is niet om ieder denkbaar digitaal risico volledig uit te sluiten. Dat is in de praktijk vrijwel onmogelijk.

Je wilt vooral weten welke risico’s voor jouw onderneming het belangrijkst zijn, zodat je tijd en geld kunt besteden aan maatregelen die daadwerkelijk verschil maken.

Wil je eerst meer weten over het grotere geheel? Lees dan onze uitgebreide uitleg over wat cybersecurity is.

Waarom is een cyberrisicoanalyse belangrijk?

Zonder risicoanalyse is cybersecurity al snel een verzameling losse maatregelen.

Je installeert antivirussoftware, maakt back-ups, stelt een firewall in en verplicht medewerkers misschien om ingewikkelde wachtwoorden te gebruiken. Dat zijn op zichzelf nuttige maatregelen, maar je weet nog niet automatisch of ze aansluiten op de belangrijkste risico’s van je onderneming.

Een webshop loopt bijvoorbeeld andere risico’s dan een accountantskantoor of productiebedrijf.

Bij een webshop kunnen de website, betaalomgeving en klantendatabase cruciaal zijn. Een productiebedrijf kan sterk afhankelijk zijn van machines en operationele technologie, terwijl bij een adviesbureau juist e-mail, documenten en cloudomgevingen tot de belangrijkste bedrijfsmiddelen behoren.

Met een risicoanalyse probeer je daarom de verbinding te leggen tussen:

wat belangrijk is → wat ermee kan gebeuren → hoe groot dat risico is → wat je eraan gaat doen.

Het NCSC adviseert organisaties eveneens eerst hun belangrijkste belangen en ICT-onderdelen te inventariseren en vervolgens een risicoanalyse uit te voeren. NCSC

Wat zijn de ‘kroonjuwelen’ van je bedrijf?

Een belangrijk begrip binnen cybersecurity is kroonjuwelen.

Daarmee worden de gegevens, systemen, processen en andere bedrijfsmiddelen bedoeld die bijzonder belangrijk zijn voor het functioneren van je onderneming.

Dat kunnen bijvoorbeeld zijn:

• klantgegevens;
• personeelsgegevens;
• financiële administratie;
• intellectueel eigendom;
• ontwerpen en technische tekeningen;
• productiegegevens;
• bedrijfssoftware;
• e-mail;
• website of webshop;
• CRM-systeem;
• cloudomgeving;
• machines en productiesystemen;
• toegangscodes en accounts.

Maar denk ook verder dan alleen tastbare digitale bestanden.

De beschikbaarheid van je dienstverlening en zelfs de reputatie van je bedrijf kunnen belangrijke belangen zijn.

Het NCSC adviseert bij een risicoanalyse eveneens te beginnen met het vaststellen van deze te beschermen belangen. NCSC

Cyberrisico = dreiging, kwetsbaarheid én gevolgen

Om cyberrisico’s goed te begrijpen, moet je onderscheid maken tussen enkele begrippen.

Dreiging

Een dreiging is iets wat schade kan veroorzaken.

Voorbeelden zijn:

• cybercriminelen;
• ransomware;
• phishing;
• een kwaadwillende medewerker;
• diefstal van apparatuur;
• een DDoS-aanval;
• aanvallen via leveranciers.

Het NCSC noemt onder andere criminelen, hacktivisten, insiders en statelijke actoren als mogelijke bronnen van cyberdreigingen. NCSC

Kwetsbaarheid

Een kwetsbaarheid is een zwakke plek waardoor een dreiging schade kan veroorzaken.

Denk aan:

• verouderde software;
• zwakke wachtwoorden;
• ontbreken van MFA;
• verkeerd ingestelde cloudopslag;
• te ruime toegangsrechten;
• onvoldoende getrainde medewerkers;
• onbeveiligde apparaten;
• slechte back-ups.

Impact

De impact beschrijft wat de gevolgen zijn als het incident daadwerkelijk plaatsvindt.

Dat kan bijvoorbeeld leiden tot:

• omzetverlies;
• productiestilstand;
• verlies van gegevens;
• reputatieschade;
• herstelkosten;
• claims;
• juridische gevolgen;
• verlies van klanten.

Het risico ontstaat uiteindelijk uit de combinatie van deze factoren.

Een kwetsbaarheid hoeft bijvoorbeeld weinig prioriteit te hebben wanneer deze betrekking heeft op een onbelangrijk systeem zonder gevoelige gegevens. Dezelfde kwetsbaarheid in een bedrijfskritisch systeem kan juist onmiddellijke aandacht vereisen.

Hoe voer je een cyberrisicoanalyse uit?

Er bestaan verschillende uitgebreide methodieken voor risicomanagement. Voor een gemiddelde ondernemer hoeft een eerste cyberrisicoanalyse echter niet onnodig ingewikkeld te worden.

Je kunt onderstaande stappen gebruiken om een eerste analyse te maken.

Stap 1: bepaal de omvang van de risicoanalyse

Bepaal eerst wat je gaat onderzoeken.

Je kunt een cyberrisicoanalyse uitvoeren voor:

• de volledige onderneming;
• één vestiging;
• een bedrijfsproces;
• een IT-omgeving;
• een nieuw softwaresysteem;
• een webshop;
• een specifieke afdeling.

Voor kleinere ondernemingen is het vaak praktisch om direct naar de hele organisatie te kijken.

Bij grotere organisaties kan het verstandiger zijn om verschillende bedrijfsonderdelen afzonderlijk te beoordelen en de resultaten later samen te brengen.

Stap 2: inventariseer je systemen, gegevens en processen

Vervolgens moet je weten wat je daadwerkelijk gebruikt.

Maak bijvoorbeeld een overzicht van:

• laptops en computers;
• smartphones;
• servers;
• netwerkapparatuur;
• software;
• websites;
• domeinnamen;
• cloudopslag;
• e-mail;
• administratiesoftware;
• CRM-systemen;
• personeelssoftware;
• databases;
• machines;
• externe IT-diensten.

Vergeet daarbij externe leveranciers niet.

Veel bedrijven gebruiken tientallen online diensten zonder dat er één centraal overzicht bestaat van welke bedrijfsinformatie waar wordt verwerkt.

Juist dat overzicht is essentieel om risico’s goed te kunnen beoordelen.

Stap 3: bepaal wat je absoluut wilt beschermen

Nu bepaal je welke onderdelen het belangrijkst zijn voor je onderneming.

Stel jezelf bijvoorbeeld de vraag:

Wat zou er gebeuren wanneer dit systeem morgen een week niet beschikbaar is?

Doe hetzelfde met gegevens:

Wat gebeurt er wanneer deze informatie wordt gestolen of openbaar wordt gemaakt?

En:

Wat gebeurt er wanneer deze informatie ongemerkt wordt aangepast?

Hiermee kijk je naar drie klassieke aspecten van informatiebeveiliging:

Beschikbaarheid: kunnen bevoegde gebruikers bij systemen en gegevens wanneer ze deze nodig hebben?

Integriteit: kun je erop vertrouwen dat informatie juist en niet ongewenst gewijzigd is?

Vertrouwelijkheid: kunnen uitsluitend bevoegde personen de informatie bekijken?

Deze indeling helpt je om per systeem of dataset te bepalen waarom deze belangrijk is.

Stap 4: breng cyberdreigingen in kaart

Vervolgens onderzoek je wat er mis kan gaan.

Denk niet alleen aan spectaculaire hacks.

Voor veel bedrijven zijn alledaagse scenario’s minstens zo relevant:

• een medewerker klikt op een phishinglink;
• een wachtwoord wordt gestolen;
• ransomware besmet het netwerk;
• een laptop raakt kwijt;
• een cloudaccount wordt overgenomen;
• een medewerker verwijdert belangrijke bestanden;
• software bevat een kwetsbaarheid;
• een leverancier wordt getroffen door een cyberaanval;
• een website wordt onbereikbaar;
• een medewerker krijgt meer toegangsrechten dan noodzakelijk.

Probeer daarbij scenario’s te bedenken die daadwerkelijk bij jouw organisatie passen.

Een dreiging die voor een internationaal energiebedrijf belangrijk is, hoeft voor een lokale zakelijke dienstverlener niet dezelfde prioriteit te hebben.

Stap 5: zoek naar kwetsbaarheden

Nu kijk je waarom een dreiging daadwerkelijk schade zou kunnen veroorzaken.

Stel bijvoorbeeld dat je het volgende risico hebt geïdentificeerd:

Een cybercrimineel krijgt toegang tot het zakelijke e-mailaccount van een medewerker.

Onderzoek vervolgens waardoor dat mogelijk kan zijn.

Bijvoorbeeld:

• er wordt alleen een wachtwoord gebruikt;
• MFA staat niet aan;
• hetzelfde wachtwoord wordt elders gebruikt;
• medewerkers herkennen phishing onvoldoende;
• verdachte inlogpogingen worden niet gemonitord.

Daarmee wordt het risico ineens veel concreter.

Stap 6: kijk welke maatregelen al bestaan

Een risicoanalyse moet niet alleen kijken naar wat er fout kan gaan.

Breng ook in kaart welke maatregelen je al hebt genomen.

Bijvoorbeeld:

• MFA;
• firewalls;
• endpointbeveiliging;
• beveiligingsupdates;
• toegangsbeheer;
• encryptie;
• phishingtraining;
• monitoring;
• back-ups;
• incidentprocedures.

Een dreiging kan ernstig zijn, maar door bestaande maatregelen kan het daadwerkelijke resterende risico veel kleiner zijn.

Back-ups zijn daar een goed voorbeeld van. Ze voorkomen ransomware niet, maar kunnen wel grote invloed hebben op je herstelmogelijkheden. Lees daarom ook meer over het nut van een back-up maken voor jouw bedrijf.

Stap 7: bepaal de kans en impact

Nu kun je de risico’s beoordelen.

Een eenvoudige methode is om zowel kans als impact een score te geven.

Bijvoorbeeld:

Vervolgens kun je bijvoorbeeld werken met:

risicoscore = kans × impact

Een risico met:

• kans 3;
• impact 4;

krijgt dan een score van 12.

Een risico met kans 1 en impact 2 krijgt een score van 2.

Zo ontstaat een eerste prioritering.

Dit is een vereenvoudigde methode. Professionele risicoanalyses kunnen aanzienlijk uitgebreider zijn en zowel kwalitatieve omschrijvingen als kwantitatieve waarden gebruiken. Het NCSC maakt in zijn risicomanagementaanpak eveneens onderscheid tussen kwalitatieve en kwantitatieve analyse. NCSC

Stap 8: maak een risicomatrix

De resultaten kun je overzichtelijk maken in een risicomatrix.

Bijvoorbeeld:

Belangrijk: dit zijn uitsluitend voorbeelden. De scores moet je voor je eigen organisatie bepalen.

Voor een webshop kan een onbereikbare website bijvoorbeeld een veel grotere impact hebben dan voor een bedrijf dat nauwelijks klanten via zijn website krijgt.

Stap 9: bepaal wat je met ieder risico doet

Nadat je risico’s hebt beoordeeld, bepaal je wat je ermee gaat doen.

Globaal heb je vier mogelijkheden.

Risico verminderen

Je neemt maatregelen waardoor de kans of impact kleiner wordt.

Bijvoorbeeld:

Risico: accountovername.
Maatregel: MFA invoeren.

Of:

Risico: gegevensverlies.
Maatregel: betere back-upstrategie.

Risico vermijden

Je stopt met de activiteit die het risico veroorzaakt.

Gebruik je bijvoorbeeld verouderde software die niet meer veilig kan worden bijgewerkt? Dan kun je besluiten het systeem volledig te vervangen.

Risico overdragen

Een deel van een risico kan worden overgedragen.

Denk bijvoorbeeld aan bepaalde werkzaamheden uitbesteden of een cyberverzekering afsluiten.

Dat betekent overigens niet automatisch dat je zelf geen verantwoordelijkheid meer hebt.

Risico accepteren

Sommige risico’s zijn zo klein dat aanvullende maatregelen niet in verhouding staan tot het mogelijke verlies.

Je kunt dan bewust besluiten het resterende risico te accepteren.

Het belangrijke woord is hier bewust.

Je accepteert het risico nadat je het hebt onderzocht, niet omdat je niet wist dat het bestond.

Stap 10: maak een concreet verbeterplan

Een risicoanalyse heeft weinig waarde wanneer het document vervolgens in een map verdwijnt.

Vertaal de belangrijkste risico’s daarom naar concrete acties.

Bijvoorbeeld:

Hiermee verandert de risicoanalyse van een theoretische exercitie in een praktisch verbeterplan.

Vergeet leveranciers niet in je cyberrisicoanalyse

Moderne bedrijven zijn sterk met elkaar verbonden.

Misschien is je eigen IT goed beveiligd, maar wat gebeurt er wanneer je:

• hostingprovider;
• cloudleverancier;
• IT-beheerder;
• salarisverwerker;
• softwareleverancier;
• boekhoudplatform;

wordt getroffen?

Het NCSC adviseert bij ketenbeveiliging daarom ook de kritieke bijdrage van leveranciers mee te nemen in de risicoanalyse. NCSC

Breng in ieder geval in kaart welke leveranciers toegang hebben tot gevoelige gegevens of essentieel zijn voor belangrijke bedrijfsprocessen.

Vraag vervolgens bijvoorbeeld:

• Welke gegevens verwerkt deze leverancier?
• Welke toegang heeft de leverancier?
• Hoe afhankelijk zijn we van deze dienst?
• Wat gebeurt er wanneer de leverancier uitvalt?
• Welke beveiligingsafspraken zijn gemaakt?
• Hoe worden incidenten gemeld?
• Kunnen we overstappen wanneer de dienst langdurig uitvalt?

Zo neem je ook ketenrisico’s mee in je analyse.

Hoe vaak moet je een cyberrisicoanalyse uitvoeren?

Een risicoanalyse is geen eenmalige activiteit.

Je bedrijf verandert voortdurend. Je neemt medewerkers aan, gebruikt nieuwe software, wisselt van leveranciers en slaat steeds meer gegevens digitaal op. Tegelijkertijd veranderen cyberdreigingen.

Het NCSC adviseert bij zijn eerste basisprincipe om de ICT-inventarisatie minimaal iedere zes maanden te actualiseren. NCSC

Dat betekent niet dat iedere onderneming precies iedere zes maanden een volledig nieuwe uitgebreide risicoanalyse moet uitvoeren. Wel is het verstandig de analyse periodiek te controleren en daarnaast opnieuw te bekijken bij belangrijke veranderingen.

Bijvoorbeeld wanneer je:

• nieuwe bedrijfskritische software invoert;
• naar een andere cloudomgeving verhuist;
• een bedrijf overneemt;
• sterk groeit;
• een belangrijke leverancier wisselt;
• nieuwe soorten gegevens gaat verwerken;
• een cyberincident hebt gehad.

Cyberrisicoanalyse en NIS2

Voor organisaties die onder de Cyberbeveiligingswet vallen is de risicoanalyse extra belangrijk.

De Cyberbeveiligingswet, waarmee Nederland NIS2 heeft geïmplementeerd, is op 15 augustus 2026 in werking getreden. De zorgplicht verlangt van organisaties waarop de wet van toepassing is dat zij risico’s onderzoeken en passende maatregelen nemen. De RDI omschrijft het uitvoeren van een risicoanalyse expliciet als het beginpunt van deze zorgplicht. Rijksinspectie Digitale Infrastructuur

Daarbij gaat het niet uitsluitend om technische maatregelen. Onder de zorgplicht vallen ook onderwerpen zoals incidentrespons, bedrijfscontinuïteit, ketenbeveiliging, cyberhygiëne, toegangsbeheer en het beoordelen van de effectiviteit van maatregelen. Rijksinspectie Digitale Infrastructuur

Weet je niet of jouw onderneming onder deze wet valt? Lees dan onze uitgebreide uitleg over NIS2 en de Cyberbeveiligingswet.

Moet ieder bedrijf een cyberrisicoanalyse uitvoeren?

Niet ieder bedrijf heeft vanwege de Cyberbeveiligingswet automatisch dezelfde wettelijke verplichting om een formele cyberrisicoanalyse uit te voeren.

Toch is het voor vrijwel iedere onderneming verstandig om digitale risico’s periodiek in kaart te brengen.

Ook een klein bedrijf kan immers afhankelijk zijn van:

• e-mail;
• boekhoudsoftware;
• klantgegevens;
• online betalingen;
• cloudopslag;
• een webshop;
• digitale bedrijfsdocumenten.

Je analyse hoeft daarbij niet dezelfde omvang te hebben als die van een multinational.

Een zzp’er kan soms met een relatief eenvoudige inventarisatie en risicomatrix al veel inzicht krijgen. Bij een grotere organisatie met meerdere vestigingen, complexe IT-systemen en veel leveranciers zal een uitgebreidere methodiek nodig zijn.

Cyberrisicoanalyse voor het mkb

Voor het mkb is vooral belangrijk dat een risicoanalyse werkbaar blijft.

Een spreadsheet met honderden theoretische dreigingen waar niemand meer naar kijkt, heeft weinig toegevoegde waarde.

Begin liever met tien of twintig realistische scenario’s.

Bijvoorbeeld:

1. Wat gebeurt er wanneer onze e-mail wordt gehackt?
2. Wat gebeurt er wanneer onze belangrijkste cloudsoftware drie dagen uitvalt?
3. Wat gebeurt er wanneer ransomware onze bestanden versleutelt?
4. Wat gebeurt er wanneer klantgegevens worden gestolen?
5. Wat gebeurt er wanneer onze IT-leverancier wordt getroffen?
6. Wat gebeurt er wanneer een medewerker zijn laptop verliest?
7. Wat gebeurt er wanneer onze website of webshop uitvalt?
8. Wat gebeurt er wanneer een medewerker per ongeluk belangrijke gegevens verwijdert?

Bepaal vervolgens per scenario de kans, impact, bestaande beveiliging en eventuele aanvullende maatregelen.

Daarmee heb je al een bruikbaar begin.

Voor kleinere bedrijven heeft het NCSC bovendien de Risicoklassenindeling Digitale Veiligheid. Met negen vragen wordt een indicatie gegeven van de risicoklasse van een onderneming en de daarbij passende beveiligingsmaatregelen. NCSC

Voorbeeld van een eenvoudige cyberrisicoanalyse

Stel dat je een klein adviesbureau hebt met tien medewerkers.

De administratie, documenten en e-mail draaien vrijwel volledig in de cloud.

Een van je belangrijkste risico’s kan dan zijn:

Scenario: een medewerker wordt slachtoffer van phishing en zijn zakelijke account wordt overgenomen.

Te beschermen belang: e-mail, documenten en klantgegevens.

Dreiging: phishing en diefstal van inloggegevens.

Kwetsbaarheid: onvoldoende herkenning van phishing en geen MFA.

Kans: hoog.

Impact: hoog.

Bestaande maatregelen: spamfilter en wachtwoordbeleid.

Aanvullende maatregelen: MFA invoeren, phishingtraining organiseren en verdachte inlogpogingen monitoren.

Resterend risico: na invoering opnieuw beoordelen.

Op deze manier maak je een abstract begrip als “cyberrisico” concreet en koppel je het direct aan acties.

Veelgemaakte fouten bij een cyberrisicoanalyse

Een risicoanalyse hoeft niet perfect te zijn, maar enkele fouten komen regelmatig voor.

Alleen naar technologie kijken

Cybersecurity draait ook om mensen, processen en leveranciers.

Alleen risico’s opschrijven

Een lijst met twintig risico’s zonder prioriteiten vertelt je nog steeds niet waar je moet beginnen.

Alleen naar de kans kijken

Een gebeurtenis met een kleine kans kan door een extreem grote impact alsnog veel aandacht verdienen.

Bestaande maatregelen vergeten

Je wilt weten wat het resterende risico is nadat bestaande beveiligingsmaatregelen zijn meegenomen.

Leveranciers buiten beschouwing laten

Je digitale bedrijfsvoering is waarschijnlijk afhankelijk van meerdere externe organisaties.

Geen eigenaar aanwijzen

Als niemand verantwoordelijk is voor een risico of maatregel, is de kans groter dat er niets gebeurt.

De analyse nooit meer actualiseren

Een risicoanalyse is een momentopname. Nieuwe software, medewerkers, leveranciers en dreigingen kunnen het risicoprofiel veranderen.

Checklist cyberrisicoanalyse

Gebruik onderstaande checklist als eerste controle:

• Hebben we onze belangrijkste bedrijfsprocessen in kaart?
• Weten we welke IT-systemen deze processen ondersteunen?
• Weten we waar belangrijke bedrijfsgegevens worden opgeslagen?
• Hebben we onze belangrijkste ‘kroonjuwelen’ bepaald?
• Hebben we relevante cyberdreigingen benoemd?
• Hebben we kwetsbaarheden onderzocht?
• Hebben we bestaande beveiligingsmaatregelen vastgelegd?
• Hebben we per risico de kans bepaald?
• Hebben we per risico de mogelijke impact bepaald?
• Hebben we risico’s geprioriteerd?
• Hebben we bepaald welke risico’s we verminderen, vermijden, overdragen of accepteren?
• Heeft ieder belangrijk risico een verantwoordelijke?
• Zijn aanvullende maatregelen voorzien van een deadline?
• Hebben we belangrijke leveranciers meegenomen?
• Is afgesproken wanneer de analyse opnieuw wordt bekeken?

Kun je deze vragen beantwoorden, dan heb je al een stevige basis voor structureel cyberrisicomanagement.

Van cyberrisicoanalyse naar betere cybersecurity

Een cyberrisicoanalyse is geen doel op zichzelf.

Het belangrijkste resultaat is dat je beter begrijpt waar je onderneming kwetsbaar is en welke maatregelen de meeste toegevoegde waarde hebben.

Begin daarom met wat je wilt beschermen. Breng vervolgens dreigingen, kwetsbaarheden en bestaande maatregelen in kaart en beoordeel welke risico’s de grootste kans en impact hebben. Vervolgens kun je prioriteiten stellen en gericht maatregelen nemen.

Daarmee voorkom je dat cybersecurity bestaat uit willekeurige investeringen en losse beveiligingsproducten.

Een risicoanalyse vormt juist het vertrekpunt voor een bredere aanpak van cybersecurity binnen je bedrijf.

Meer artikelen over digitale veiligheid, cyberdreigingen en relevante wetgeving vind je in onze categorie Cybersecurity.

Bronnen en meer informatie

Voor de inhoud van dit artikel is gebruikgemaakt van actuele informatie van het Nationaal Cyber Security Centrum (NCSC) en de Rijksinspectie Digitale Infrastructuur (RDI). Het NCSC heeft verschillende praktische hulpmiddelen voor risicomanagement; de RDI geeft informatie over de verplichtingen vanuit de Cyberbeveiligingswet. Rijksinspectie Digitale Infrastructuur

• NCSC – Stappenplan risicoanalyse
• NCSC – Basisprincipe 1: Breng je risico’s in kaart
• NCSC – Risicobeoordeling
• NCSC – Risicoklassenindeling Digitale Veiligheid
• RDI – Zorgplicht Cyberbeveiligingswet