8.3 - Risicobehandeling informatiebeveiliging

Dit document beschrijft hoe YipYip risicobehandelplannen uitvoert. Het behandelproces en de opties staan in 06-planning/6.1-risicobeoordeling/6.1.3-behandelplan.md.

Proces

1. Risico-eigenaar ontvangt behandelplan met maatregelen, deadline en verwacht resultaat
2. Maatregelen implementeren (verwijzing naar Annex A controls waar van toepassing)
3. Voortgang bijhouden in Jira
4. Na implementatie: effectiviteit verifiëren
5. Residueel risico herbeoordelen
6. Bij acceptabel restrisico: goedkeuring volgens de behandelzones in 06-planning/6.1-risicobeoordeling/6.1.3-behandelplan.md

Tracking

Behandelacties worden bijgehouden in Jira (project ISMS, Task onder epic ISMS-323):

• Koppeling: risico-ID uit het risico-register in de titel of beschrijving
• Velden: eigenaar (assignee), deadline (due date), status

Statement of Applicability

De SoA (controls/_index.yaml) wordt bijgewerkt wanneer:

• Een nieuwe control wordt geïmplementeerd als maatregel
• Een control-status wijzigt
• Een control wordt uitgesloten (met onderbouwing)

Huidige status

Er zijn nog geen formele behandelplannen in uitvoering; de eerste volledige risicobeoordeling moet nog plaatsvinden (ISMS-371). De bestaande maatregelen zijn vastgelegd in de 93 control-beschrijvingen maar nog niet gekoppeld aan beoordeelde risico’s. De verbeteracties uit de zelfbeoordeling van Q2 2026 lopen al onder epic ISMS-323.

---

Vastgesteld door: Directie YipYip B.V. Datum: 2026-01-29