Heeft de onderneming beleid voor risicoanalyse en de beveiliging van informatiesystemen?

Risicoanalysebeleid is de basis onder de andere negen maatregelen

Ja, in de meeste gevallen is hier iets over te zeggen, want risicoanalyse staat als eerste maatregel genoemd in artikel 21 lid 2 NIS2 en is daarmee het fundament waarop de rest van het beleid rust. De vraag test niet alleen of er een document "risicobeleid" bestaat, maar of de onderneming systematisch nagaat welke informatiesystemen en processen kwetsbaar zijn, en welke maatregelen daar tegenover staan. Een klant die dit vraagt, wil dus eigenlijk weten of beveiliging op basis van een risico-inschatting is ingericht, of ad hoc.

In de praktijk is dit veld vaak lastig te beantwoorden met een simpel ja, omdat risicoanalyse meestal geen los beleidsstuk is maar verweven zit in andere onderdelen: is het toegangsbeleid vastgelegd, inclusief het beheer van bedrijfsmiddelen, is er een proces voor het opsporen en verhelpen van kwetsbaarheden, en wordt de doeltreffendheid van de beveiligingsmaatregelen periodiek getoetst. Zonder onderliggend document dat de risicobeoordeling beschrijft — al is het een simpel intern overzicht — is een "ja" hier niet te onderbouwen. Ontbreekt dat stuk, dan is "nee" of "gedeeltelijk" het eerlijke antwoord, met eventueel een toelichting over welke onderdelen wel al staan.

Waar dit precies uit artikel 21 lid 2 volgt

Artikel 21 lid 2 sub a van Richtlijn (EU) 2022/2555 noemt "beleid inzake risicoanalyse en beveiliging van informatiesystemen" als eerste van de tien verplichte maatregelen, en is daarmee de meest directe vindplaats voor deze vraag. De richtlijn zelf werkt niet uit hoe een risicoanalyse moet worden opgezet — dat detail wordt overgelaten aan nationale uitvoeringsregels of aan normen zoals ISO 27001, die overigens iets anders is dan deze beleidsvraag: zie is de onderneming ISO 27001-gecertificeerd. Wie wil nagaan of de onderneming zelf al onder de richtlijn valt, vindt dat bij valt de onderneming zelf onder de NIS2-richtlijn of de nationale omzetting daarvan.