ISO 27001 risicoanalyse
ISO 27001-risicoanalyse die standhoudt bij de audit
De risicoanalyse is het hart van uw ISMS en het eerste waar de auditor naar kijkt. Wij voeren de analyse samen met uw team uit en leveren een risicoregister, behandelplan en Verklaring van Toepasselijkheid op die op elkaar aansluiten.
- Een workshop van een dagdeel met uw sleutelpersonen
- Methode volgens ISO 27005, die u zelf elk jaar kunt herhalen
- Binnen drie weken klaar, tegen een vaste prijs
Vertrouwd door 500+ bedrijvenISO/IEC 27001:2022 en ISO 27005Ook bruikbaar voor NIS2
De lijnen met Nestor Security waren kort. De organisatie is pragmatisch ingesteld en een nuchtere partij om zaken mee te doen.
Pascal KamphuisCorpoflow
Plan een vrijblijvend gesprek
Een van onze ISO 27001-experts neemt binnen een werkdag contact met u op. We bespreken uw situatie, de aanpak en de kosten.
Waar kunnen we u mee helpen?
Binnen een werkdag reactie van een ISO 27001-consultant. Vrijblijvend en zonder verkooppraatje.
Ontdek waarom 500+ bedrijven op Nestor Security vertrouwen voor IT-security en compliance
Zo verhoudt onze aanpak zich tot de alternatieven
Een risicoanalyse kunt u ook zelf maken, met een template of in software. Dit zijn de verschillen die bij de audit het verschil maken.
| Nestor Security | Zelf met een template | Compliance-platform | |
|---|---|---|---|
| Uitgangspunt | Uw eigen processen, systemen en leveranciers | Een generieke lijst uit een template | Een standaardbibliotheek in de software |
| Methode | Vaste criteria volgens ISO 27005, herhaalbaar | Vaak geen vastgelegde criteria | De vaste methode van de leverancier |
| Betrokkenheid team | Een workshop met uw sleutelpersonen | Vaak een enkele collega achter een spreadsheet | Invullen door uw eigen team |
| Koppeling met Annex A | Elke maatregel herleidbaar tot een risico | Vaak los van elkaar | Automatische koppeling, zonder toetsing |
| Verklaring van Toepasselijkheid | Met onderbouwing per maatregel | Vaak zonder onderbouwing | Standaardteksten |
| Bij de audit | Gebouwd op wat auditors toetsen | Een veelvoorkomende bron van afwijkingen | Afhankelijk van uw eigen invulling |
| Kosten | Vaste prijs, vooraf bekend | Geen kosten, wel veel uren | Jaarlijkse licentie |
Van losse zorgen naar een register met prioriteiten
Na de risicoanalyse weet u waar uw grootste risico zit, wie ervoor verantwoordelijk is en welke maatregelen u eerst neemt. Alles is vastgelegd zoals de norm het vraagt.
- Risicomethode met criteria voor kans, impact en acceptatie
- Risicoregister met eigenaar en risiconiveau per risico
- Risicobehandelplan met maatregelen en planning
- Verklaring van Toepasselijkheid met onderbouwing per maatregel
Wordt verminderdKritiek
Wordt verminderdHoog
Wordt gedeeldMidden
Wordt geaccepteerdLaag
Zo verloopt uw risicoanalyse
In vier stappen en gemiddeld drie weken. Van uw team vragen we vooral kennis van de eigen processen, niet van de norm.
Methode en criteria
- Risicomethode afgestemd op uw organisatie, volgens ISO 27005
- Criteria voor kans, impact en risicoacceptatie
- Afbakening van processen, informatie en systemen binnen de scope
Workshop met uw team
- Een dagdeel met directie, IT en proceseigenaren
- Dreigingen en kwetsbaarheden per proces en informatiemiddel
- Classificatie op beschikbaarheid, integriteit en vertrouwelijkheid
Analyse en evaluatie
- Kans en impact per risico, met een risico-eigenaar
- Vergelijking met uw acceptatiecriteria
- Prioriteiten op een rij
Behandelplan en Verklaring van Toepasselijkheid
- Maatregelen per risico, gekoppeld aan Annex A
- Onderbouwing per maatregel in de Verklaring van Toepasselijkheid
- Akkoord van de risico-eigenaren op het restrisico
- Overdracht, zodat u de analyse zelf jaarlijks herhaalt
Klaar voor de audit
Uw risicoanalyse voldoet aan de clausules 6.1.2, 6.1.3 en 8.2 van de norm. Herhaal de analyse elk jaar, en ook bij grote veranderingen zoals een nieuw kernsysteem, een overname of een nieuwe belangrijke leverancier.
Ook de basis voor de Cyberbeveiligingswet
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet voor ruim 8.000 organisaties. De wet vraagt om maatregelen op basis van een risicoanalyse, en bestuurders moeten de uitkomst daarvan kunnen beoordelen. Een risicoanalyse volgens ISO 27001 legt daarvoor de basis.
Succesverhaal van Effectory
Feedback analytics developers met een team van meer dan 250 mensen
Maanden voor een traject met ISO 27001 en ISO 27701
Nieuwe beveiligingsmaatregelen geïmplementeerd
Succes tijdens de externe audit
De uitdaging
Effectory verwerkt gevoelige medewerkersdata voor ruim 1.200 organisaties. De uitdaging was om het informatiebeveiligingssysteem continu te versterken en te laten meegroeien met de hoge eisen van klanten, zonder de dagelijkse dienstverlening te verstoren.
De aanpak
In nauwe samenwerking hebben we het managementsysteem aangescherpt voor zowel ISO 27001 als ISO 27701. Met een vast aanspreekpunt zijn verantwoordelijkheden helder vastgelegd, processen beveiligd en is de organisatie voorbereid op de externe audit om gecertificeerd te worden.
De uitkomst
Effectory behaalde binnen 6 maanden ISO 27001 certificering zonder enige sprake van knelpunten. Richting klanten is de beveiliging nu aantoonbaar op orde, security-vragenlijsten worden sneller beantwoord en er ligt een stevige, toekomstbestendige basis.
Nestor Security heeft voor ons de interne audits van zowel ISO 27001 als ISO 27701 verzorgd. Ze raken voor ons echt de juiste snaar met een goede combinatie van kwaliteit en uitvoerbaarheid. Ze zijn pragmatisch, denken goed mee met onze behoeften en de audits zijn goed verzorgd.
Wouter BuzingCISO, Effectory
Waar risicoanalyses op stranden bij de audit
Een risicoanalyse uit een template is snel gemaakt, maar zelden overtuigend. Auditors zien direct of de analyse over uw organisatie gaat, en of elke maatregel in de Verklaring van Toepasselijkheid terug te voeren is op een risico.
Met een template
Snel ingevuld, lastig te verdedigen
Met Nestor Security
Herkenbaar, onderbouwd en herhaalbaar
Ook hulp bij de rest van uw ISMS?
De risicoanalyse is vaak de eerste stap. Wij begeleiden ook de volledige implementatie, van nulmeting tot certificaat, gemiddeld in 4 tot 5 maanden.
Neem het niet alleen van ons aan
U bent in goed gezelschap bij Nestor.
De lijnen met Nestor Security waren kort. De organisatie is pragmatisch ingesteld en een nuchtere partij om zaken mee te doen. Daardoor is het proces soepel en vrij snel verlopen.
Wij werken het liefst zoveel mogelijk regionaal samen en doen meetings graag face-to-face. Als je kijkt naar partners in het Noorden, blijven er een aantal over, en daar stak Nestor Security met kop en schouders bovenuit.
Nestor Security heeft voor ons de interne audits van ISO 27001 en ISO 27701 verzorgd. Ze raken voor ons echt de juiste snaar met een goede combinatie van kwaliteit en uitvoerbaarheid. Ze zijn pragmatisch, denken goed mee met onze behoeften en de audits zijn goed verzorgd.
Uw vragen beantwoord
FAQs
Werken jullie met software?
Dat hoeft niet. Wij leveren het register op in een vorm die u zelf kunt beheren, zoals Excel, of we werken in de GRC-tool die u al gebruikt. U bent niet afhankelijk van een licentie om uw eigen risicoanalyse bij te houden.
Wat eist ISO 27001 van de risicoanalyse?
Clausule 6.1.2 vraagt om een vastgelegd proces met criteria voor risicoacceptatie en voor het uitvoeren van de analyse. De uitkomsten moeten herhaalbaar en vergelijkbaar zijn. Per risico legt u een eigenaar vast, schat u kans en impact in en bepaalt u het risiconiveau.
Clausule 6.1.3 vraagt vervolgens om een behandelplan en een Verklaring van Toepasselijkheid, met akkoord van de risico-eigenaren op het restrisico.
Wat is de Verklaring van Toepasselijkheid?
De Verklaring van Toepasselijkheid, ook wel VvT of Statement of Applicability, is een overzicht van alle 93 maatregelen uit Annex A. Per maatregel legt u vast of die van toepassing is, waarom, en of die al is geïmplementeerd.
Auditors gebruiken de VvT als routekaart voor hun steekproeven, dus de onderbouwing moet kloppen met uw risicoanalyse.
Wat bepaalt de prijs van een risicoanalyse?
Vooral de scope en het aantal processen en systemen dat we meenemen. Na het eerste gesprek ontvangt u een vaste prijs, zodat u vooraf weet waar u aan toe bent.
Hoeveel tijd kost de risicoanalyse ons team?
Vooral de workshop van een dagdeel met directie, IT en de belangrijkste proceseigenaren. Daarnaast vragen we een korte intake en een terugkoppelsessie van een uur. De uitwerking doen wij.
Hoe vaak moeten we de risicoanalyse uitvoeren?
Met geplande tussenpozen, in de praktijk minimaal jaarlijks, en daarnaast bij grote veranderingen. Denk aan een nieuw kernsysteem, een verhuizing naar de cloud of een nieuwe belangrijke leverancier.
Omdat wij de methode en criteria vastleggen, kunt u die herhaling zelf uitvoeren.
Kunnen we de risicoanalyse ook gebruiken voor NIS2?
Ja. De Cyberbeveiligingswet vraagt om maatregelen die aansluiten op uw risicoanalyse, en een analyse volgens ISO 27001 is daarvoor een goede basis. Wij nemen de onderwerpen uit de wet, zoals leveranciers en incidentmelding, direct mee in de workshop.
Een risicoanalyse die de auditor overtuigt
Plan een vrijblijvend gesprek. U ontvangt binnen een werkdag reactie en na het gesprek een vaste prijs.
Plan een vrijblijvend gesprekBekijk wat u krijgt
Vaste prijs voorafBinnen drie weken klaarVolgens ISO 27005