RI&E-thema

Cybersecurity & data

Cyberaanvallen, datalekken of uitval van systemen kunnen directe gevolgen hebben voor uw organisatie en medewerkers. Binnen de RI&E brengt u digitale kwetsbaarheden en de voorbereiding op incidenten overzichtelijk in kaart.

Aanvullend RIEklaar-thema

Cybersecurity is als zelfstandig IT-domein niet automatisch een wettelijk verplicht RI&E-onderwerp. RIEklaar neemt dit thema aanvullend mee; waar digitale risico’s gevolgen hebben voor de veiligheid of gezondheid van medewerkers (zoals thuiswerken, werkdruk na incidenten of systeemuitval), kunnen ze wél relevant zijn voor de RI&E.

01 — Onderwerp

Wat valt onder cybersecurity en data?

Dit thema kijkt naar de dagelijkse bescherming van systemen, accounts en gegevens.

Technische maatregelen werken alleen goed als updates, procedures en het handelen van medewerkers op elkaar aansluiten.

Beveiligingsupdates van systemen en software
Gebruik van tweestapsverificatie (MFA)
Veilig werken op openbare netwerken of vanuit huis
Back-ups en herstelmogelijkheden
Bescherming van persoonsgegevens
Protocollen bij datalekken
Bewustwording en gedrag van medewerkers

02 — Beoordeling

Wat beoordeelt de RI&E?

De definitieve vragenlijst bevat voor dit thema 9 vragen. Uw antwoorden bepalen de themascore en de prioriteit.

Updates en systemen

Tijdige beveiligingsupdates en vervanging van verouderde middelen.

Veilige toegang

Tweestapsverificatie en veilige verbindingen buiten kantoor.

Back-ups

Automatische back-ups die ook periodiek worden getest.

Incidentprocedure

Een bekende en bruikbare werkwijze bij een datalek of hack.

Hoe leest u de uitkomst?

Bij cybersecurity kunnen aandachtspunten liggen in techniek, gedrag of werkprocessen. Een beveiligingsvoorziening biedt minder houvast als medewerkers niet weten hoe zij een incident moeten melden. De vraagtypen helpen om technische voorzieningen en werkwijzen apart te bekijken.

Een lage of middelmatige themascore sluit een urgente afzonderlijke bevinding niet uit. Lees de themascore, kans × gevolg en de afzonderlijke vragen daarom altijd naast elkaar.

De exacte grenzen en formules staan op de pagina Rekenmethode.

Bekijk de 9 vragen, antwoordopties en punten

Vraag 27. Hoe vaak worden beveiligingsupdates uitgevoerd?

Altijd (1 punt) · Soms (2 punten) · Zelden (3 punten)

Vraag 28. Wat is de impact van een datalek of hack?

Beperkt (1 punt) · Tijdelijke stilstand (2 punten) · Grote schade (3 punten)

Vraag 29. Gebruiken medewerkers MFA (tweestapsverificatie)?

Nee (3 punten) · Ja (1 punt) · Deels (2 punten) · Niet van toepassing (0 punten)

Vraag 30. Gebruiken medewerkers VPN bij openbare netwerken?

Nee (3 punten) · Ja (1 punt) · Deels (2 punten) · Niet van toepassing (0 punten)

Vraag 31. Is er een protocol voor datalekken?

Ja (1 punt) · Nee (3 punten) · Deels (2 punten) · Niet van toepassing (0 punten)

Vraag 32. Worden back-ups automatisch én periodiek getest?

Nee (3 punten) · Ja (1 punt) · Onregelmatig (2 punten) · Niet van toepassing (0 punten)

Vraag 64. Worden verouderde laptops/telefoons/software tijdig vervangen?

Ja (1 punt) · Soms (2 punten) · Nee (3 punten) · Niet van toepassing (0 punten)

Vraag 154. Weten medewerkers hoe en waar zij een beveiligingsincident of vermoedelijk datalek moeten melden?

Ja (1 punt) · Deels / niet iedereen (2 punten) · Nee (3 punten) · Niet van toepassing (0 punten)

Vraag 155. Is duidelijk wie verantwoordelijk is voor informatiebeveiliging en de opvolging van beveiligingsincidenten?

Ja (1 punt) · Deels (2 punten) · Nee (3 punten) · Niet van toepassing (0 punten)

03 — Aanpak

Van controle naar concrete actie

1
Inventariseer
Breng systemen, accounts, gegevensstromen en verantwoordelijken in kaart.
2
Controleer
Toets updates, toegangsbeveiliging, back-ups en de incidentprocedure in de praktijk.
3
Leg verbeteringen vast
Wijs per digitaal risico een eigenaar en een passende termijn toe.

Van antwoord naar advies

Een ontbrekend datalekprotocol vraagt om duidelijke stappen voor melden en opvolgen. Krijgt deze bevinding 3 punten bij kans × gevolg 4, dan is de voorgestelde termijn 30 dagen.

Het doel is geen technische audit, maar inzicht in kwetsbaarheden die tot incidenten kunnen leiden.

04 — Uitkomst

Wat staat in het rapport?

Fictieve voorbeeldwaarden. Alle cijfers, antwoorden en acties hieronder zijn berekend met voorbeeldantwoorden. Ze horen niet bij een echt bedrijf en zijn geen beoordeling van uw organisatie.

Voorbeeld uit het RI&E-rapport

Cybersecurity & data

Themascore

1,20/ 3

Laag

Prioriteit

Kans 2 × gevolg 2

Thema-urgentie

Middelmatige urgentie

Geen deadline; termijnen staan per actie.

Aandachtspunten in het voorbeeldactieplan

Vraag 27. Hoe vaak worden beveiligingsupdates uitgevoerd?
Voorbeeldantwoord: Soms · Vraagtype: Proces
Actie: Breng in kaart welke systemen niet structureel worden geüpdatet en stel een vast update-moment of automatische updateprocedure in. (Binnen 3 maanden)
2 pt
Vraag 28. Wat is de impact van een datalek of hack?
Voorbeeldantwoord: Tijdelijke stilstand · Vraagtype: Proces
Actie: Analyseer welke data risico loopt en welke aanvullende technische of organisatorische maatregelen nodig zijn om schade te beperken. (Binnen 3 maanden)
2 pt
Vraag 64. Worden verouderde laptops/telefoons/software tijdig vervangen?
Voorbeeldantwoord: Soms · Vraagtype: Budget & Middelen
Actie: Inventariseer verouderde middelen en stel een vervangingsplanning op om beveiligingsrisico’s te beperken. (Binnen 3 maanden)
2 pt

In het volledige rapport ziet u daarnaast alle antwoorden, de vergelijking met andere geselecteerde thema’s en de analyse per vraagtype.

Kans × gevolg is de beoordelingsmethode van RIEklaar om risico’s te prioriteren; de Arbowet schrijft geen specifieke rekenformule voor. Lees hoe de rekenmethode werkt.

05 — Samenhang

Wat levert inzicht in cybersecurity & data op?

Digitale risico’s worden tijdig zichtbaar
Er ontstaat duidelijkheid over prioriteiten
Incidenten kunnen worden voorkomen
Bevindingen en vervolgstappen worden vastgelegd

In samenhang met andere RI&E-thema’s

Cyberrisico’s hangen samen met afspraken, gedrag en werkplekken. Bekijk dit thema daarom in samenhang met:

Alleen Cybersecurity & data onderzoeken?

Start de vragenlijst, kies Cybersecurity & data en download na afronding direct uw rapport. Dit thema bevat 9 vragen.

Start vragenlijst

Lees meer over cyberrisico’s Bekijk het voorbeeldrapport