6.1.3 - Risicobehandeling
Dit document beschrijft het proces voor het behandelen van risico’s conform ISO 27001 clausule 6.1.3. De risicobeoordeling-methodiek en de behandelzones staan in 6.1.2-methodiek.md.
Behandelopties
Section titled “Behandelopties”| Optie | Wanneer | Voorbeeld |
|---|---|---|
| Accepteren | Risico valt in zone 1-2, of kosten behandeling disproportioneel | Beperkt risico op stroomuitval kantoor (geen servers on-prem) |
| Vermijden | Risico te hoog, geen effectieve mitigatie mogelijk | Dienst niet aanbieden, technologie niet inzetten |
| Mitigeren | Maatregelen beschikbaar die risico tot acceptabel niveau brengen | EDR implementeren, MFA afdwingen, backup testen |
| Overdragen | Risico verzekerbaar of beter beheersbaar door derde partij | Cyberverzekering, uitbesteding aan specialist |
Acceptatie van risico’s wordt altijd formeel vastgelegd. Bij hoog en kritiek risico (zone 4-5) beslist de directie.
Selectie van maatregelen
Section titled “Selectie van maatregelen”Maatregelen worden geselecteerd uit:
- ISO 27001:2022 Annex A (93 controls, beschreven in
controls/) - NEN7510:2024 aanvullingen (beschreven in
nen7510/) - Best practices en leveranciersaanbevelingen
De Statement of Applicability (controls/_index.yaml) documenteert welke controls zijn geselecteerd, geïmplementeerd of uitgesloten.
Behandelplan per risico
Section titled “Behandelplan per risico”Voor elk te behandelen risico legt de IB-coördinator vast:
- Risico-ID en beschrijving
- Gekozen behandelstrategie
- Concrete maatregelen met verwijzing naar Annex A controls
- Verantwoordelijke en deadline
- Verwacht residueel risico
- Monitoring-indicatoren
Tracking vindt plaats in Jira (project ISMS, epic ISMS-323). Resultaten worden vastgelegd in het risico-register (risico-register.yaml).
Goedkeuring
Section titled “Goedkeuring”Volgt de behandelzones uit 6.1.2-methodiek.md:
| Zone | Goedkeuring door |
|---|---|
| Zone 1 (groen) | Risico-eigenaar; gemeld aan directie in de kwartaalrapportage |
| Zone 2 (geel) | Risico-eigenaar en directie |
| Zone 3 t/m 5 (oranje, rood, donkerrood) | Directie |
Restrisico
Section titled “Restrisico”Na behandeling wordt het residueel risico herbeoordeeld. Als het restrisico binnen de risicobereidheid valt, wordt het formeel geaccepteerd. Geaccepteerde risico’s worden periodiek gereviewed:
- Laag: jaarlijks
- Gemiddeld: halfjaarlijks
- Hoog: per kwartaal
Huidige status
Section titled “Huidige status”Er zijn nog geen formele behandelplannen; de eerste volledige risicobeoordeling moet nog worden uitgevoerd (ISMS-371). Bestaande maatregelen zijn vastgelegd in de 93 control-beschrijvingen. Eén restrisico is al vastgelegd: de combinatie van Directie, IB-coördinator en DevOps Lead in één persoon (zie 05-leiderschap/5.3-rollen.md).
Vastgesteld door: Directie YipYip B.V. Datum: 2026-01-29