8.2 - Risicobeoordeling informatiebeveiliging
GedeeltelijkIB-coördinator
Dit document beschrijft hoe YipYip risicobeoordelingen uitvoert. De methodiek staat in 06-planning/6.1-risicobeoordeling/6.1.2-methodiek.md.
Wanneer
Section titled “Wanneer”- Jaarlijks: volledige beoordeling van alle assets binnen de ISMS-scope
- Ad hoc: bij significante wijzigingen, incidenten of nieuwe dreigingsinformatie
Triggers voor een tussentijdse beoordeling:
- Beveiligingsincident met impact
- Nieuwe dienst of systeem in productie
- Grote organisatiewijziging
- Relevante audit-bevindingen
- IB-coördinator bepaalt scope en verzamelt input (asset register, incidenten, audit-bevindingen)
- Dreigingsanalyse per component volgens de methodiek (BIA, kans × impact per BIV-aspect)
- Risico’s scoren en behandelzone bepalen
- Resultaten vastleggen in
06-planning/6.1-risicobeoordeling/risico-register.yaml - Behandelbesluiten voor zone 3-5 vastleggen in het behandelplan
Betrokkenen
Section titled “Betrokkenen”| Rol | Bijdrage |
|---|---|
| IB-coördinator | Coördinatie, uitvoering, rapportage |
| Developers / DevOps | Technische input over systemen en dreigingen |
| Directie | Goedkeuren behandelbesluiten bij hoog/kritiek risico |
Huidige status
Section titled “Huidige status”Er is nog geen volledige formele risicobeoordeling uitgevoerd in het nieuwe ISMS. De methodiek is gemigreerd uit het vorige ISMS. De eerste volledige beoordeling loopt als ISMS-371 en moet zijn afgerond vóór de onafhankelijke interne audit (eind 2026 of begin 2027).
NEN7510
Section titled “NEN7510”Bij de beoordeling wordt extra aandacht besteed aan:
- Risico’s voor patiëntveiligheid en zorgcontinuïteit
- Privacy-risico’s medische gegevens
- Risico’s door medische apparatuur en e-health systemen
Vastgesteld door: Directie YipYip B.V. Datum: 2026-01-29