Hoe werkt risicoacceptatie binnen het NEN 7510 raamwerk?

Risicoacceptatie binnen het NEN 7510-raamwerk betekent dat een organisatie bewust besluit een geïdentificeerd informatiebeveiligingsrisico te accepteren in plaats van het weg te nemen of te verminderen. Dit is een legitieme en soms verstandige keuze, mits de beslissing formeel wordt goedgekeurd, goed gedocumenteerd is en periodiek opnieuw wordt beoordeeld. In dit artikel beantwoorden we de meest gestelde vragen over risicoacceptatie binnen NEN 7510, van risiconiveaus en goedkeuringsprocessen tot de relatie met NIS2.

Welke risiconiveaus komen in aanmerking voor acceptatie binnen NEN 7510?

Binnen het NEN 7510-raamwerk komen in principe alle risiconiveaus in aanmerking voor acceptatie, maar in de praktijk betreft het vrijwel altijd lage tot middelmatige risico’s. Hoge risico’s mogen alleen worden geaccepteerd als er een expliciete, onderbouwde beslissing van het management aan ten grondslag ligt en als aanvullende beheersmaatregelen onhaalbaar of onevenredig kostbaar zijn.

NEN 7510 sluit nauw aan bij ISO 27001 op het gebied van risicobeheer. Net als bij ISO 27001 schrijft NEN 7510 voor dat organisaties een risicobehandelingsplan opstellen en per risico een bewuste keuze maken. Risicoacceptatie is daarbinnen één van de vier behandelingsopties. De drempel voor acceptatie hangt af van de risicobereidheid die de organisatie zelf heeft vastgesteld, ook wel de risk appetite genoemd.

Een zorgorganisatie die werkt met patiëntgegevens heeft doorgaans een lage risicobereidheid voor alles wat de vertrouwelijkheid van medische informatie raakt. Risico’s die de beschikbaarheid van een intern planningssysteem beïnvloeden, kunnen daarentegen sneller voor acceptatie in aanmerking komen. De context en de gevoeligheid van de betrokken informatie zijn dus bepalend voor welke risico’s acceptabel zijn.

Hoe verloopt het formele goedkeuringsproces voor geaccepteerde risico’s?

Het formele goedkeuringsproces voor risicoacceptatie binnen NEN 7510 vereist dat een bevoegde functionaris op managementniveau de beslissing expliciet goedkeurt en ondertekent. Dit mag niet op operationeel niveau worden afgehandeld. De risico-eigenaar documenteert het risico, de onderbouwing voor acceptatie en de eventuele resterende beheersmaatregelen, waarna het management de definitieve goedkeuring geeft.

In de praktijk verloopt dit proces in een aantal stappen. Eerst identificeert en beoordeelt de verantwoordelijke medewerker of afdeling het risico op basis van kans en impact. Vervolgens wordt bepaald of risicoacceptatie de meest passende behandelingsoptie is, gegeven de vastgestelde risicobereidheid van de organisatie. Daarna wordt het risico met alle relevante informatie voorgelegd aan het management.

Het management weegt de zakelijke belangen, de kosten van alternatieve maatregelen en de potentiële schade bij een incident. Pas na expliciete goedkeuring is het risico formeel geaccepteerd. Zonder die formele stap voldoet de organisatie niet aan de eisen van het NEN 7510-raamwerk. Een handtekening of digitale goedkeuring in een informatiebeheersysteem geldt als bewijs van deze beslissing.

Wat is het verschil tussen risicoacceptatie en de andere risicobehandelingsopties?

Risicoacceptatie is één van de vier risicobehandelingsopties binnen NEN 7510 en houdt in dat een organisatie het risico bewust laat bestaan zonder aanvullende technische of organisatorische maatregelen te treffen. De andere drie opties zijn risicobehandeling (het risico verminderen via maatregelen), risicooverdracht (bijvoorbeeld via verzekering of uitbesteding) en risicomijding (de activiteit die het risico veroorzaakt staken).

Het kernverschil zit in de actie die volgt op de risicobeoordeling:

• Risicobehandeling betekent dat je maatregelen implementeert om de kans of impact te verlagen, zoals encryptie, toegangscontrole of monitoring.
• Risicooverdracht betekent dat je de financiële of operationele gevolgen van een incident bij een derde partij belegt, zonder het risico zelf weg te nemen.
• Risicomijding betekent dat je de activiteit of het systeem dat het risico introduceert volledig stopt of niet start.

Risicoacceptatie is geen passieve keuze of het gevolg van nalatigheid. Het is een actieve, gedocumenteerde beslissing waarbij de organisatie aantoont dat ze het risico kent, heeft beoordeeld en bewust heeft gekozen om het te accepteren binnen de vastgestelde risicobereidheid. Dat onderscheidt het wezenlijk van een situatie waarin risico’s simpelweg over het hoofd worden gezien.

Welke documentatie is verplicht bij risicoacceptatie onder NEN 7510?

Bij risicoacceptatie onder NEN 7510 is documentatie verplicht en moet deze minimaal de beschrijving van het risico, de onderbouwing van de acceptatiebeslissing, de naam en functie van de goedkeurende functionaris en de datum van goedkeuring bevatten. Zonder deze vastlegging is risicoacceptatie niet aantoonbaar en voldoet de organisatie niet aan de norm.

Concreet betekent dit dat elk geaccepteerd risico moet worden opgenomen in het risicoregister van de organisatie. Dit register is een centraal overzicht van alle geïdentificeerde risico’s en de bijbehorende behandelingsbesluiten. Voor NEN 7510-compliance is dit register een kernonderdeel van het informatiebeveiligingsmanagementsysteem (ISMS).

Naast het risicoregister is ook het risicobehandelingsplan een verplicht document. Hierin staat beschreven welke risico’s zijn geaccepteerd, welke zijn behandeld en op basis van welke overwegingen die keuzes zijn gemaakt. Bij een audit of toetsing door een externe partij zijn dit de eerste documenten die worden opgevraagd. Zorg er dus voor dat de documentatie actueel, volledig en toegankelijk is.

Wanneer moet een geaccepteerd risico opnieuw beoordeeld worden?

Een geaccepteerd risico moet opnieuw worden beoordeeld zodra de omstandigheden veranderen die aan de oorspronkelijke acceptatiebeslissing ten grondslag lagen. Daarnaast schrijft NEN 7510 voor dat alle risico’s periodiek worden herzien, doorgaans minimaal eenmaal per jaar als onderdeel van de reguliere managementreview.

Veranderingen die een herbeoordeling kunnen triggeren zijn onder andere nieuwe dreigingen of kwetsbaarheden die het risico groter maken, wijzigingen in de systemen of processen waarop het risico betrekking heeft, veranderingen in wet- en regelgeving, of een incident dat aantoont dat het risico zich daadwerkelijk heeft gematerialiseerd. Ook een verandering in de risicobereidheid van de organisatie, bijvoorbeeld na een strategische heroriëntatie, is een aanleiding voor herbeoordeling.

Het is verstandig om in het risicoregister een reviewdatum op te nemen per geaccepteerd risico. Zo voorkom je dat risico’s die ooit terecht zijn geaccepteerd, jarenlang ongewijzigd blijven staan terwijl de context ingrijpend is veranderd. Risicobeheer is een continu proces, geen eenmalige exercitie.

Hoe verhoudt risicoacceptatie binnen NEN 7510 zich tot NIS2-verplichtingen?

Risicoacceptatie binnen NEN 7510 en de verplichtingen onder NIS2 vullen elkaar aan, maar NIS2 stelt strengere eisen aan de onderbouwing en het beheer van risico’s voor organisaties in essentiële sectoren. Waar NEN 7510 risicoacceptatie toestaat mits goed gedocumenteerd, verwacht NIS2 dat organisaties aantoonbaar passende technische en organisatorische maatregelen treffen en risico’s actief beheersen.

Voor zorgorganisaties die onder NEN 7510 vallen en tegelijkertijd NIS2-plichtig zijn, betekent dit dat risicoacceptatie extra zorgvuldig moet worden onderbouwd. NIS2 legt de nadruk op proportionaliteit: de genomen maatregelen moeten in verhouding staan tot de risico’s. Een risico accepteren zonder enige maatregel te treffen kan onder NIS2 als onvoldoende worden beschouwd, zelfs als het risico formeel laag is.

Praktisch gezien is het raadzaam om bij het opstellen van het risicobehandelingsplan expliciet te toetsen of geaccepteerde risico’s ook voldoen aan de NIS2-eisen. Dit voorkomt dat een beslissing die intern als acceptabel wordt beschouwd, bij een externe toetsing toch als tekortkoming wordt aangemerkt. De overlap tussen beide kaders biedt ook kansen: een goed ingericht ISMS op basis van NEN 7510 legt een solide basis voor NIS2-compliance.

Hoe Hofsecure helpt bij risicoacceptatie en NEN 7510-compliance

Risicoacceptatie klinkt eenvoudig, maar in de praktijk struikelen veel organisaties over de juiste documentatie, het goedkeuringsproces of de afstemming met bredere compliance-verplichtingen zoals NIS2. Hofsecure helpt organisaties om dit proces goed in te richten, van de eerste risicoanalyse tot de periodieke herbeoordeling.

Wat we voor je doen:

• We voeren een GAP-analyse uit om te bepalen waar jouw organisatie nu staat op het gebied van risicobeheer en NEN 7510.
• We helpen bij het opstellen en bijhouden van een volledig risicoregister en risicobehandelingsplan dat voldoet aan de norm.
• We begeleiden het management bij het formele goedkeuringsproces voor risicoacceptatie, zodat beslissingen aantoonbaar en auditproof zijn.
• Via onze CISO as a service blijven we betrokken en voeren we periodieke risicoanalyses en controles uit.

Met meer dan 20 jaar ervaring bij defensiebedrijven en zorgorganisaties weet Hofsecure precies wat er nodig is om informatiebeveiliging op orde te krijgen én te houden. Wil je weten hoe jouw organisatie er nu voor staat? Neem vrijblijvend contact met ons op en we vertellen je direct wat de mogelijkheden zijn.