Risicobeheer is de basis van elke beveiligingsbeslissing. We volgen de methodiek van ISO/IEC 27005, de internationale richtlijn voor het beheer van informatiebeveiligingsrisico's en de onderbouwing van het risicoproces dat ISO 27001 vereist. Zo blijft de aanpak consistent, herhaalbaar en verdedigbaar tegenover auditors en toezichthouders.

Concreet leggen we eerst de context en de aanvaardingscriteria vast. Daarna identificeren, analyseren en evalueren we de risico's op basis van impact en waarschijnlijkheid, vertrekkend vanuit de CIA-S-prioriteiten. Per risico beslist u bewust: vermijden, beperken, overdragen of aanvaarden, met een duidelijke eigenaar en een behandelplan.

Een risicoregister is geen momentopname. Bij nieuwe systemen, leveranciers, incidenten of regelgeving herbekijken we de risico's, en het management krijgt periodiek een helder overzicht van het restrisico.

Een incident vraagt een snelle en gecontroleerde reactie, en die bereidt u voor vóór het misgaat. We stellen een incidentresponsplan op met rollen, escalatiepaden en contactlijsten, afgestemd op uw IT- en OT-omgeving. Bij een incident coördineren wij de afhandeling en komen wij ter plaatse waar nodig.

We richten de meldprocedures in voor NIS2 (CCB) en voor datalekken onder GDPR (GBA), zodat u binnen de wettelijke termijnen kunt melden. Met oefeningen en tabletop-scenario's toetsen we het plan samen met management en technische teams.

Na elk incident volgt een evaluatie. De lessen vloeien terug naar het risicobeheer en de roadmap, zodat elk incident uw organisatie sterker maakt.

Uw beveiliging is maar zo sterk als die van uw leveranciers. Cloudplatformen, IT-dienstverleners, OT-integratoren en softwareleveranciers hebben vaak rechtstreeks toegang tot uw systemen of gegevens. NIS2 vraagt daarom uitdrukkelijk aandacht voor de beveiliging van de toeleveringsketen.

We brengen uw leveranciers in kaart en delen ze in volgens hun belang voor uw organisatie, vertrekkend vanuit de CIA-S-prioriteiten. De beoordeling is in verhouding tot het risico: een kritieke leverancier wordt grondig doorgelicht, een kleine leverancier niet met een lijvige vragenlijst belast.

Beveiligingsafspraken leggen we vast in contracten en verwerkersovereenkomsten, met aandacht voor toegangsbeheer, meldplicht bij incidenten en exit-afspraken. Kritieke leveranciers worden periodiek herbeoordeeld, en wijzigingen vloeien terug naar het risicoregister.

Wij werken samen met de IT-leveranciers die u al heeft. Wij vervangen hen niet; wij zorgen dat beveiliging bij iedereen op dezelfde manier wordt aangepakt.

Voor gespecialiseerde technische vragen doen wij een beroep op een netwerk van partners. Zonder commerciële binding en zonder commissies: u kiest zelf met wie u werkt.