Risicoanalyse onder de Cyberbeveiligingswet: zo pakt een telecombedrijf het aan

Wat vragen de regels?

De eerste zorgplichtmaatregel in de wet is "beleid inzake risicoanalyse en beveiliging van informatiesystemen" (artikel 21, derde lid, onder a, Cbw). In de NIS2-richtlijn staat dezelfde maatregel in artikel 21, tweede lid, onder a. Het Cyberbeveiligingsbesluit (Cbb) werkt dit uit in twee artikelen:

• Artikel 6 Cbb: een schriftelijk vastgesteld beveiligingsbeleid, met rollen, verantwoordelijkheden en bevoegdheden. Conflicterende rollen houdt u zoveel mogelijk gescheiden. U werkt met een managementsystematiek, zodat u aantoonbaar voldoet.
• Artikel 7 Cbb: beleid over risicomanagement, met ten minste een risicomanagementmethodiek en criteria voor risicoacceptatie. U legt processen vast voor risicoanalyse, risicobeoordeling en risicobehandeling, maakt een overzicht van de risico's en stelt op basis daarvan beveiligingseisen.

Voor telecomaanbieders voegt artikel 3 van de Regeling cyberbeveiliging EZK toe dat u vastlegt welke maatregelen u monitort en meet, hoe, wanneer en door wie.

De regels schrijven geen vaste methode voor. U mag een eigen methode gebruiken, zolang u die consequent toepast en kunt laten zien.

Waarom de risicoanalyse zo belangrijk is

De beveiligingseisen uit uw risicoanalyse komen terug in andere onderdelen. U gebruikt ze om leveranciers te toetsen (artikel 10 Cbb), bij inkoop (artikel 11 Cbb) en bij het opdelen van uw netwerk in zones (artikel 5, vierde lid, Regeling cyberbeveiliging EZK). De RDI schrijft dat zij bij een inspectie vraagt hoe u de risicoanalyse heeft gedaan, en dat zij bewijs kan opvragen.

Een aanpak in vijf stappen

Stap 1: Bepaal wat u beschermt

Maak een lijst van uw diensten en de systemen waar ze op draaien. Voor een telecombedrijf zijn dat bijvoorbeeld: core-routers en switches, SBC's en het telefonieplatform, DNS- en DHCP-servers, het klantportaal, beheer- en monitoringsystemen, en de koppelingen met carriers. Deze lijst is meteen een begin van uw assetinventaris (artikel 16 Cbb).

Stap 2: Bedenk wat er mis kan gaan

Kijk per systeem naar dreigingen. De wet vraagt een benadering "die alle gevaren omvat" (artikel 21, derde lid, Cbw). Dus niet alleen hackers, maar ook stroomuitval, brand, een fout bij een wijziging en uitval van een leverancier. Typische telecomrisico's zijn misbruik van SIP-accounts, DDoS-aanvallen, inbraak via beheertoegang, uitval van 112-routering en een fout in een routeringswijziging.

Stap 3: Schat kans en gevolg

Gebruik een eenvoudige schaal, bijvoorbeeld 1 tot en met 4 voor kans en voor gevolg. Leg vast wat elk getal betekent. Een gevolg van 4 kan bijvoorbeeld betekenen: veel klanten zonder dienst of 112 niet bereikbaar. Zo weet ook een collega later waarom u een risico hoog of laag inschatte.

Stap 4: Kies wat u doet

Per risico kiest u: verminderen met maatregelen, overdragen (bijvoorbeeld via een contract of verzekering), vermijden, of accepteren. Accepteren mag, maar alleen volgens de criteria die u vooraf vastlegde. Bijvoorbeeld: alleen risico's met een lage score, en altijd met akkoord van de directie.

Stap 5: Leg vast en herhaal

Zet alles in een risico-overzicht: risico, score, maatregel, eigenaar en datum. Herhaal de analyse op vaste momenten en bij grote wijzigingen, zoals een nieuwe dienst, een nieuwe leverancier of na een incident.

Voorbeeld van een risico-overzicht

Voorbeeldregels (verzonnen, ter illustratie)

Risico	Kans	Gevolg	Maatregel	Eigenaar
Gestolen SIP-wachtwoord leidt tot belfraude	3	3	Bestedingslimiet, bestemmingen dicht, monitoring	Hoofd VoIP
Beheerinterface router bereikbaar vanaf internet	2	4	Beheer alleen via jumphost met MFA	Netwerkbeheer
Uitval enige upstream-carrier	2	4	Tweede carrier, uitwijkplan	Directie

Meer over toll fraud leest u in Toll fraud voorkomen, en over beheertoegang in MFA en beheertoegang.

Laat het bestuur meekijken

De maatregelen hebben de goedkeuring van het bestuur nodig (artikel 24 Cbw). Bespreek daarom ook de geaccepteerde risico's met de directie. Een bestuurder moet risico's kunnen herkennen en maatregelen kunnen beoordelen. Dat lukt alleen als het overzicht begrijpelijk is. Zie ook NIS2 en het bestuur.

Veelgestelde vragen

Welke methode moet ik gebruiken?

De regels schrijven geen methode voor. Een eigen eenvoudige methode mag, zolang u die vastlegt, consequent toepast en criteria voor risicoacceptatie heeft (artikel 7 Cbb).

Hoe vaak moet ik de risicoanalyse herhalen?

De wet noemt geen vaste frequentie. Een gangbare eigen afspraak is jaarlijks en daarnaast bij grote wijzigingen of na een groot incident. Leg uw keuze vast.

Is een ISO 27001-risicoanalyse genoeg?

Die kan een goede basis zijn. Volgens de RDI bewijst een ISO-certificaat niet dat u aan de zorgplicht voldoet. Controleer of uw analyse alle tien onderwerpen uit artikel 21 Cbw en de telecomregels dekt.