Een risicobehandelingsplan is een gedocumenteerd overzicht van de maatregelen die een organisatie neemt om geïdentificeerde informatiebeveiligingsrisico’s te beheersen of te verminderen. Het is verplicht voor ISO 27001-certificering: zonder dit plan voldoe je niet aan de norm. Het risicobehandelingsplan werkt altijd samen met een risicobeoordeling en het Statement of Applicability, en vormt daarmee de kern van je informatiebeveiligingsmanagementsysteem. In dit artikel beantwoorden we de meest gestelde vragen over dit plan, zodat jij precies weet wat er van je verwacht wordt. Heb je direct een vraag? Neem gerust contact op en we helpen je graag verder.
Wat moet er precies in een risicobehandelingsplan staan?
Een risicobehandelingsplan beschrijft voor elk geïdentificeerd risico welke behandeloptie is gekozen, welke beheersmaatregelen worden ingezet, wie verantwoordelijk is voor de uitvoering, en wat de planning en de resterende risico’s zijn. ISO 27001 schrijft voor dat het plan aantoonbaar aansluit op de uitkomsten van de risicobeoordeling.
Concreet bevat een volledig risicobehandelingsplan doorgaans de volgende elementen:
- De gekozen behandeloptie per risico: accepteren, vermijden, overdragen (bijvoorbeeld via verzekering) of mitigeren.
- De geselecteerde beheersmaatregelen uit Annex A van ISO 27001 of een vergelijkbare bronnenlijst.
- Verantwoordelijke eigenaren per maatregel of risicogroep.
- Een tijdlijn of prioritering voor implementatie.
- Het restrisico na toepassing van de maatregelen, inclusief een bewuste acceptatie door het management.
De koppeling met het Statement of Applicability (SoA) is daarbij essentieel. In het SoA leg je vast welke beheersmaatregelen van toepassing zijn en waarom. Het risicobehandelingsplan en het SoA zijn twee documenten die je altijd in samenhang moet zien: het plan beschrijft wat je doet, het SoA onderbouwt welke keuzes je hebt gemaakt.
Is een risicobehandelingsplan verplicht voor ISO 27001-certificering?
Ja, een risicobehandelingsplan is expliciet verplicht voor ISO 27001-certificering. Clausule 6.1.3 van de norm eist dat organisaties een risicobehandelingsproces uitvoeren en de resultaten documenteren. Zonder dit gedocumenteerde plan zal een auditor een non-conformiteit vaststellen die certificering blokkeert.
Hetzelfde geldt voor NEN 7510, de norm voor informatiebeveiliging in de zorgsector. NEN 7510 is grotendeels gebaseerd op ISO 27001 en stelt vergelijkbare eisen aan risicobehandeling en documentatie. Organisaties in de zorg die een informatiebeveiligingscertificering nastreven, moeten dus eveneens een volledig risicobehandelingsplan kunnen overleggen.
Het plan hoeft overigens niet perfect te zijn op het moment van de audit. Wat telt, is dat het aantoonbaar tot stand is gekomen op basis van een gedegen risicobeoordeling, dat het management de restrisico’s heeft goedgekeurd, en dat de implementatie traceerbaar is of planmatig wordt opgepakt.
Wat is het verschil tussen een risicobeoordeling en een risicobehandelingsplan?
Een risicobeoordeling identificeert en analyseert risico’s: wat kan er misgaan, hoe groot is de kans, en wat is de impact? Een risicobehandelingsplan beschrijft vervolgens wat je met die risico’s doet. De beoordeling is de input, het behandelingsplan is de output en het actieoverzicht.
Concreet: tijdens de risicobeoordeling stel je vast dat een risico bestaat en hoe ernstig het is. In het risicobehandelingsplan besluit je of je dat risico accepteert, vermijdt, overdraagt of mitigeert, en wie dat wanneer regelt. Beide documenten zijn verplicht en onlosmakelijk met elkaar verbonden.
Een veelgemaakte fout is dat organisaties de risicobeoordeling uitvoeren, maar het behandelingsplan vervolgens te summier invullen, of omgekeerd: een uitgebreid behandelingsplan opstellen zonder dat de onderliggende beoordeling goed is onderbouwd. Voor een succesvolle certificering informatiebeveiliging moeten beide documenten consistent en traceerbaar zijn.
Hoe gedetailleerd moet een risicobehandelingsplan zijn?
Een risicobehandelingsplan moet gedetailleerd genoeg zijn om aantoonbaar te maken dat risico’s bewust zijn behandeld, maar het hoeft geen roman te zijn. De norm vraagt om traceerbaarheid en onderbouwing, niet om ellenlange beschrijvingen. De diepgang hangt af van de complexiteit van de organisatie en de ernst van de risico’s.
Kleine organisaties met een beperkt aantal systemen en processen kunnen volstaan met een overzichtelijk plan van enkele pagina’s. Grotere organisaties met complexe IT-omgevingen, meerdere vestigingen of gevoelige gegevensstromen zullen meer detail nodig hebben om de samenhang tussen risico’s, maatregelen en verantwoordelijkheden inzichtelijk te maken.
Wat altijd aanwezig moet zijn, ongeacht de organisatieomvang:
- Een duidelijke koppeling tussen elk risico en de gekozen behandeloptie.
- Een verwijzing naar de specifieke beheersmaatregel(en) die worden ingezet.
- Een eigenaar of verantwoordelijke per maatregel.
- Een expliciete acceptatie van het restrisico door het management.
Wanneer moet je het risicobehandelingsplan bijwerken?
Een risicobehandelingsplan is geen statisch document. Je moet het bijwerken wanneer de organisatie verandert, nieuwe risico’s ontstaan, of bestaande maatregelen niet meer effectief blijken. ISO 27001 vereist dat het plan actueel blijft en aansluit op de werkelijke situatie van de organisatie.
Concrete momenten waarop een update noodzakelijk is:
- Na een significante organisatiewijziging, zoals een fusie, een nieuwe dienst, of uitbreiding van de IT-infrastructuur.
- Na een beveiligingsincident dat aantoont dat een risico onderschat was of een maatregel onvoldoende werkte.
- Bij de jaarlijkse managementbeoordeling, waarbij de effectiviteit van het ISMS integraal wordt beoordeeld.
- Wanneer de dreigingsomgeving verandert, bijvoorbeeld door nieuwe wetgeving, nieuwe aanvalstechnieken, of wijzigingen in de sector.
- Voorafgaand aan een herbeoordelingsaudit, om te zorgen dat het plan de actuele situatie weerspiegelt.
In de praktijk raden wij organisaties aan om het risicobehandelingsplan minimaal jaarlijks te herzien, ook als er geen grote wijzigingen zijn geweest. Zo blijft het een levend document dat echt waarde toevoegt in plaats van een eenmalige compliance-exercitie.
Welke fouten worden het vaakst gemaakt bij het opstellen van dit plan?
De meest voorkomende fout bij het opstellen van een risicobehandelingsplan is dat het wordt behandeld als een papieren exercitie: het document wordt opgesteld voor de audit, maar sluit niet aan op de werkelijke situatie of de dagelijkse praktijk van de organisatie. Andere veelgemaakte fouten zijn:
- Geen duidelijke eigenaren benoemen. Als niemand verantwoordelijk is voor een maatregel, wordt die maatregel zelden daadwerkelijk uitgevoerd.
- Restrisico’s niet expliciet accepteren. Het management moet aantoonbaar akkoord zijn gegaan met de risico’s die overblijven na behandeling. Ontbreekt deze stap, dan is het plan formeel onvolledig.
- Slechte koppeling met de risicobeoordeling. Als het behandelingsplan andere risico’s beschrijft dan de beoordeling heeft geïdentificeerd, is de traceerbaarheid weg.
- Het SoA en het behandelingsplan inconsistent houden. Maatregelen die in het SoA als van toepassing zijn aangemerkt, moeten ook terugkomen in het behandelingsplan en omgekeerd.
- Te generieke maatregelen beschrijven. “Wij zorgen voor goede beveiliging” is geen beheersmaatregel. Beschrijf concreet wat er wordt gedaan, door wie, en hoe dit wordt geverifieerd.
- Het plan nooit bijwerken. Een plan dat drie jaar oud is en de huidige IT-omgeving niet meer weerspiegelt, biedt geen houvast voor een auditor of voor de organisatie zelf.
Herken je een van deze valkuilen? Wij helpen organisaties dagelijks om hun risicobehandelingsplan op orde te krijgen en klaar te stomen voor certificering. Neem contact op en bespreek vrijblijvend wat wij voor jouw organisatie kunnen betekenen.
Veelgestelde vragen
Wat is het verschil tussen een risicobehandelingsplan en een risicobeoordeling?
Een risicobeoordeling brengt in kaart wat er mis kan gaan en hoe groot de kans en impact zijn, terwijl een risicobehandelingsplan beschrijft welke maatregelen je neemt om die risico’s te beheersen. Beide documenten zijn verplicht voor ISO 27001-certificering en moeten consistent en traceerbaar met elkaar verbonden zijn.
Hoe vaak moet ik mijn risicobehandelingsplan bijwerken om aan ISO 27001 te blijven voldoen?
Het risicobehandelingsplan moet minimaal jaarlijks worden herzien, maar ook direct na een beveiligingsincident, een organisatiewijziging of een verandering in de dreigingsomgeving. Zo blijft het plan een actueel en werkbaar document dat de werkelijke situatie van je organisatie weerspiegelt en niet slechts een eenmalige compliance-exercitie.
Waarom is het belangrijk dat het management restrisico's expliciet accepteert?
Zonder aantoonbare goedkeuring van het management voor de resterende risico’s is het risicobehandelingsplan formeel onvolledig en voldoet het niet aan de eisen van ISO 27001. Deze stap maakt duidelijk dat risico’s bewust en weloverwogen zijn geaccepteerd, wat een auditor nodig heeft om de conformiteit van je informatiebeveiligingsmanagementsysteem te kunnen vaststellen.
Hoe gedetailleerd moet mijn risicobehandelingsplan zijn om te slagen voor een ISO 27001-audit?
Het plan moet traceeerbaar en onderbouwd zijn, maar hoeft niet uitgebreid te zijn: kleine organisaties kunnen volstaan met een overzicht van enkele pagina’s, mits elke maatregel gekoppeld is aan een risico, een eigenaar heeft en het restrisico expliciet is geaccepteerd door het management. De diepgang moet aansluiten bij de complexiteit en de omvang van je organisatie.
