Waarom veel MKB-bedrijven hun cyberrisico verkeerd inschatten

Welk NCSC-basisprincipe staat centraal?

In deze blog staat het actuele NCSC-basisprincipe Breng je risico’s in kaart centraal. Het NCSC adviseert om je kroonjuwelen, risico’s en afhankelijkheden te bepalen. Met dat inzicht kun je afgewogen keuzes maken over maatregelen en investeringen.

Een risico bestaat in de praktijk uit meer dan de vraag of iemand je organisatie bewust als doelwit kiest. Kijk naar drie onderdelen:

• Wat kan er gebeuren? Denk aan een gestolen account, malware, een fout van een medewerker, uitval bij een leverancier of verlies van een apparaat.
• Hoe waarschijnlijk is dat? Welke zwakke plekken, toegangen en dreigingen zijn relevant voor jouw situatie?
• Wat zijn de gevolgen? Denk aan stilstand, herstelwerk, gemiste omzet, extra kosten, fouten in informatie en problemen voor klanten.

Het NCSC benoemt ook technische afhankelijkheden van leveranciers. Je digitale omgeving stopt immers niet bij je eigen voordeur. Een cloudapplicatie, hostingpartij, softwareleverancier of ICT-dienstverlener kan onmisbaar zijn voor je dagelijkse werk.

Wat zegt de RKIDV hierover?

De Risicoklassenindeling Digitale Veiligheid, kortweg RKIDV, is een risicoclassificatiemodel voor het midden- en kleinbedrijf. De actuele openbare tool gebruikt 9 vragen om een inschatting te maken van het risico op een cyberincident. De uitkomst is een indeling in risicoklasse 1 tot en met 4, met maatregelen die bij de risicoklasse passen.

De vragen gaan onder meer over de grootte van de organisatie, gegevens, toegang tot gegevens en bedrijfscontinuïteit. Dat helpt om verder te kijken dan alleen het aantal medewerkers of computers. Een klein bedrijf kan sterk afhankelijk zijn van één planningstool, één specialistische applicatie of één leverancier. De mogelijke impact kan dan groot zijn, ook als de organisatie zelf klein is.

De RKIDV helpt om je risico gestructureerd in te schatten en passende maatregelen te kiezen. Het is geen garantie dat je organisatie veilig is. De uitkomst blijft alleen bruikbaar als de antwoorden actueel zijn en de maatregelen ook werkelijk worden uitgevoerd, onderhouden en gecontroleerd.

Waarom is dit belangrijk voor het MKB?

In het MKB zijn processen vaak compact georganiseerd. Dat werkt prettig en snel, maar het kan ook betekenen dat veel afhankelijk is van een beperkt aantal mensen, systemen of leveranciers. Als één onderdeel wegvalt, kan het effect direct merkbaar zijn.

Denk bijvoorbeeld aan:

• een planning die alleen via één cloudapplicatie beschikbaar is;
• een branchepakket dat nodig is voor offertes, orders en facturen;
• Microsoft 365 als centrale plek voor e-mail, documenten en samenwerking;
• een leverancier met beheerrechten op belangrijke systemen;
• een medewerker met unieke kennis of uitgebreide toegangsrechten;
• een internetverbinding die noodzakelijk is voor vrijwel het hele werkproces.

Daarom is “we zijn maar klein” geen risicoanalyse. Een bruikbare beoordeling laat zien waar je bedrijfsvoering kwetsbaar is, welke gevolgen acceptabel zijn en waar je als eerste maatregelen wilt nemen.

Wat kun je praktisch doen?

1. Begin bij je belangrijkste processen

Kies de processen waarmee je klanten bedient en je organisatie draaiend houdt. Denk aan verkoop, planning, productie, dienstverlening, salarisverwerking en facturatie. Noteer per proces welke systemen, informatie, mensen en leveranciers nodig zijn.

2. Werk met herkenbare scenario’s

Maak de risicoanalyse niet onnodig technisch. Bespreek per belangrijk proces een paar concrete situaties:

• een account wordt overgenomen;
• een applicatie is een werkdag niet beschikbaar;
• gegevens worden per ongeluk verwijderd of gewijzigd;
• een laptop raakt kwijt;
• een leverancier kan tijdelijk geen ondersteuning leveren;
• een medewerker met belangrijke kennis is onverwacht afwezig.

Vraag steeds wat dit betekent voor klanten, medewerkers, planning, levering, financiën en herstel.

3. Beoordeel kans en impact apart

Gebruik een eenvoudige schaal, bijvoorbeeld laag, gemiddeld en hoog. Beoordeel eerst hoe aannemelijk een scenario is en daarna hoe groot de gevolgen zijn. Zo voorkom je dat een situatie met een kleinere kans maar zeer grote impact automatisch onderaan de lijst belandt.

4. Kijk buiten je eigen organisatie

Breng per kritisch proces de belangrijkste leveranciers en digitale diensten in kaart. Leg vast welke dienst zij leveren, welke toegang zij hebben, wie je contactpersoon is en wat je doet als de dienstverlening uitvalt. Controleer ook of belangrijke contact- en contractgegevens beschikbaar zijn wanneer je normale systemen niet bereikbaar zijn.

5. Kies maatregelen die passen bij het risico

Koppel aan de grootste risico’s concrete verbeteringen. Denk aan multifactorauthenticatie, beperktere rechten, veilige instellingen, tijdige updates, bescherming tegen malware, back-ups, hersteltests en een eenvoudige noodprocedure. Verdeel acties over korte en langere termijn en wijs per actie een eigenaar aan.

6. Leg ook geaccepteerde risico’s vast

Niet ieder risico hoeft meteen opgelost te worden. Soms accepteer je een risico tijdelijk omdat een vervanging tijd kost of omdat andere verbeteringen meer prioriteit hebben. Leg dan vast waarom je die keuze maakt, wie verantwoordelijk is en wanneer je haar opnieuw beoordeelt.

Waar gaat het vaak mis?

• Alleen naar bedrijfsgrootte kijken. Afhankelijkheid en mogelijke impact blijven daardoor buiten beeld.
• Alleen technische storingen bespreken. Ook menselijke fouten, leveranciers, toegangsrechten en ontbrekende kennis kunnen een proces stilzetten.
• Alles hoog inschalen. Als ieder risico dezelfde prioriteit krijgt, helpt de analyse niet bij het maken van keuzes.
• Alleen de kans beoordelen. Een minder waarschijnlijke gebeurtenis kan nog steeds grote gevolgen hebben.
• Leveranciers vergeten. Daardoor ontbreekt een belangrijk deel van de keten en het herstelplan.
• Geen eigenaar aanwijzen. De analyse wordt dan een document zonder opvolging.
• De beoordeling niet actualiseren. Nieuwe software, medewerkers, leveranciers en processen veranderen je risicoprofiel.

Hoe maak je hier een vast ritme van?

Een risicoanalyse is een momentopname. Het NCSC adviseert om de inventarisatie van ICT-onderdelen en risico’s minstens elke 6 maanden te actualiseren en dat moment in de agenda te zetten.

Gebruik ieder halfjaar dezelfde korte agenda:

1. Welke belangrijke processen, systemen en gegevens zijn veranderd?
2. Welke nieuwe leveranciers, koppelingen en toegangen zijn erbij gekomen?
3. Welke incidenten, storingen of bijna-incidenten hebben we gezien?
4. Welke risico’s zijn groter of kleiner geworden?
5. Welke maatregelen zijn uitgevoerd en werken ze zoals bedoeld?
6. Welke drie verbeteringen krijgen de komende periode prioriteit?

Beoordeel risico’s ook tussentijds bij grote veranderingen, zoals een nieuwe applicatie, verhuizing, overname, nieuwe leverancier of ingrijpende proceswijziging. Zo wordt risicomanagement geen jaarlijkse papieren oefening, maar een vast onderdeel van je bedrijfsvoering.