Onder de Cyberbeveiligingswet draagt het bestuur de verantwoordelijkheid voor de maatregelen. Veel organisaties hebben risicoanalyses, maar geen besluit over hoeveel risico acceptabel is. Zonder dat besluit is elke maatregel een gok en elke uitzondering een discussie.
Wat betekent dit? Leg de risicoappetijt in vijf stappen vast. Stap 1: kies een schaal voor impact, bijvoorbeeld financieel, operationeel en voor de continuïteit van vitale processen. Stap 2: bepaal per niveau welke reactie hoort, zoals accepteren, beheersen of escaleren naar het bestuur. Stap 3: koppel de schaal aan uw risicoanalyse, zodat elk risico dezelfde taal gebruikt. Stap 4: laat het bestuur het besluit formeel nemen en vastleggen. Stap 5: toets jaarlijks of de appetijt nog past bij de dreiging en de keten. Het resultaat is een kader waarmee u richting toezicht kunt laten zien dat risico’s bewust zijn gewogen. Onze dienst Inrichten risicomanagement & GRC helpt om de risicoappetijt vast te stellen en in de risicoanalyse en bestuurlijke rapportage te verankeren.