Cybersecurity & Data binnen de RI&E

Digitale risico’s vormen een steeds groter onderdeel van veilig en gezond werken. Cyberaanvallen, datalekken of uitval van systemen kunnen directe gevolgen hebben voor de continuïteit van de organisatie én voor medewerkers. Binnen de RI&E wordt daarom expliciet aandacht besteed aan cybersecurity en dataveiligheid.

Deze pagina legt uit wat er wordt beoordeeld, hoe dit terugkomt in een RI&E-rapport en wat organisaties hiermee kunnen verbeteren.

Wat valt onder Cybersecurity & Data?

Binnen dit RI&E-thema wordt gekeken naar risico’s die ontstaan door het gebruik van digitale middelen, systemen en gegevens. Denk onder andere aan:

• Beveiligingsupdates van systemen en software
• Gebruik van tweestapsverificatie (MFA)
• Beveiliging bij werken op openbare netwerken of werken vanuit huis
• Back-ups en herstelmogelijkheden
• Bescherming van persoonsgegevens
• Aanwezigheid van protocollen bij datalekken
• Bewustwording en gedrag van medewerkers

Het doel is niet om technische audits uit te voeren, maar om inzicht te krijgen in kwetsbaarheden die kunnen leiden tot incidenten.

Hoe wordt Cybersecurity beoordeeld in een RI&E?

In de RI&E wordt dit thema beoordeeld aan de hand van gerichte vragen. De antwoorden worden vertaald naar scores, waarmee twee kernindicatoren worden berekend:

Themascore

De themascore is het gemiddelde van alle antwoorden binnen dit thema. Deze score laat zien in hoeverre cybersecurity structureel is ingericht en beheerst.

• Lage score: verhoogd risico of onvoldoende borging
• Middelhoge score: basis op orde, maar verbeteringen nodig
• Lage score: goede beheersing, monitoring volstaat

Prioriteit (kans × gevolg)

Binnen de RI&E worden altijd vragen opgenomen over kans en gevolg. Op basis van deze twee kernvragen wordt per thema een prioriteitscore berekend:

• Kans: hoe waarschijnlijk is een cyberincident?
• Gevolg: wat is de impact op de organisatie?

Deze score bepaalt hoe urgent actie nodig is, los van het gemiddelde.

Cybersecurity & Data in de risicomatrix

In het RI&E-rapport worden themascore en prioriteit gecombineerd in een risicomatrix.

• Thema’s rechtsboven vragen directe aandacht
• Thema’s linksonder zijn beter beheerst
• De matrix helpt om focus aan te brengen in maatregelen

Zo wordt voorkomen dat alleen wordt gestuurd op gemiddelden, terwijl urgente risico’s blijven liggen.

Voorbeeld uit een RI&E-rapport

In een voorbeeld-RI&E zien we het thema Cybersecurity & Data als volgt terugkomen:

• Regelmatige beveiligingsupdates zijn aanwezig
• Medewerkers gebruiken geen VPN op openbare netwerken
• Er is geen vast protocol voor datalekken
• Back-ups worden wel automatisch uitgevoerd

Dit leidt tot:

• Themascore: 1,86 (middelmatig risico)
• Prioriteit: middel
• Conclusie: basis aanwezig, maar kwetsbaar bij incidenten