5.5.2. Minimale maatregelen voor het proces risicobeheer

 Klasse 1 en Klasse 2 kennen dezelfde maatregelen:

• Analyse van de zakelijke omgeving;

• Toepassen van de minimale maatregelen volgens Vo informatieclassificatie raamwerk;

• Validatie: maturiteit bepalen van de minimale maatregelen.

Klasse 3 en Klasse 4 kennen dezelfde maatregelen:

Alle maatregelen van Klasse 1 / Klasse 2 +

• Risico identificatie met alle stakeholders inclusief CISO;
  

• Risicoanalyse met alle stakeholders inclusief CISO;
  

• Risico evaluatie waarbij minimaal het huidig risiconiveau, het gewenste risiconiveau en het restrisico bepaald wordt;
  

• Formele aanvaarding van het restrisico door topmanagement;
  

• Risicostrategie bepalen: risico's worden gemitigeerd, geaccepteerd, vermeden of overgedragen;
  

• Risico behandelen volgens gekozen risicostrategie met rapportering aan het topmanagement en aan CISO;
  

• Communicatie en overleg met alle stakeholders;
  

• Opvolgen implementatie risicostrategie;
  

• Beoordelen risicostrategie met rapportering aan topmanagement en aan CISO.

Alle maatregelen van Klasse 1 / Klasse 2 + Klasse 3 / Klasse 4 +

• Risicostrategie bepalen: mitigeren, accepteren of vermijden (overdragen is niet toegestaan voor klasse 5)

 Klasse 1 en Klasse 2 kennen dezelfde maatregelen:

• Analyse van de zakelijke omgeving;

• Toepassen van de minimale maatregelen volgens Vo informatieclassificatie raamwerk;

• Validatie: maturiteit bepalen van de minimale maatregelen.

Klasse 3 en Klasse 4 kennen dezelfde maatregelen:

Alle maatregelen van Klasse 1 / Klasse 2 +

• Risico identificatie met alle stakeholders inclusief CISO;
  

• Risicoanalyse met alle stakeholders inclusief CISO;
  

• Risico evaluatie waarbij minimaal het huidig risiconiveau, het gewenste risiconiveau en het restrisico bepaald wordt;
  

• Formele aanvaarding van het restrisico door topmanagement;
  

• Risicostrategie bepalen: risico's worden gemitigeerd, geaccepteerd, vermeden of overgedragen;
  

• Risico behandelen volgens gekozen risicostrategie met rapportering aan het topmanagement en aan CISO;
  

• Communicatie en overleg met alle stakeholders;
  

• Opvolgen implementatie risicostrategie;
  

• Beoordelen risicostrategie met rapportering aan topmanagement en aan CISO.

Alle maatregelen van Klasse 1 / Klasse 2 + Klasse 3 / Klasse 4 +

• Risicostrategie bepalen: mitigeren, accepteren of vermijden (overdragen is niet toegestaan voor klasse 5)

Klasse 1 en Klasse 2 kennen dezelfde maatregelen:

• Analyse van de zakelijke omgeving;

• Toepassen van de minimale maatregelen volgens Vo informatieclassificatie raamwerk;

• Validatie: maturiteit bepalen van de minimale maatregelen.

Klasse 3 en Klasse 4 kennen dezelfde maatregelen:

Alle maatregelen van Klasse 1 / Klasse 2 +

• Beschikbaarheid proces beheer van risico’s (10ux5dagen); 

• Risicoanalyse met alle stakeholders inclusief CISO;
  

• Risico evaluatie waarbij minimaal het huidig risiconiveau, het gewenste risiconiveau en het restrisico bepaald wordt;
  

• Formele aanvaarding van het restrisico door topmanagement;
  

• Risicostrategie bepalen: risico's worden gemitigeerd, geaccepteerd, vermeden of overgedragen;
  

• Risico behandelen volgens gekozen risicostrategie met rapportering aan het topmanagement en aan CISO;
  

• Communicatie en overleg met alle stakeholders;
  

• Opvolgen implementatie risicostrategie;
  

• Beoordelen risicostrategie met rapportering aan topmanagement en aan CISO.

Alle maatregelen van Klasse 1 / Klasse 2 + Klasse 3 / Klasse 4 +

• Risicostrategie bepalen: mitigeren, accepteren of vermijden (overdragen is niet toegestaan voor klasse 5)

Klasse 1 en Klasse 2 kennen dezelfde maatregelen:

• Geen maatregelen maar ter herinnering: jaarlijks moet een revaluatie uitgevoerd worden van de informatieklasse en waar nodig bijgestuurd. 

Klasse 3, Klasse 4 en Klasse 5 kennen dezelfde maatregelen:

Alle maatregelen van Klasse 1 / Klasse 2 +

• Risico identificatie met alle stakeholders inclusief CISO en DPO;

• Risicoanalyse met alle stakeholders inclusief CISO en DPO;

• Risicobehandeling volgens gekozen risicostrategie met rapportering aan het topmanagement en aan CISO en DPO;

• Beoordelen risicostrategie met rapportering aan topmanagement en aan CISO en DPO.