Met de vernieuwde Baseline Informatiebeveiliging Overheid (BIO2) veranderen de regels. Vaste beveiligingsniveaus verdwijnen; daarvoor in de plaats komt een aanpak die uitgaat van risico’s. De BIO2 is afgestemd op NIS2 en krijgt een wettelijke grondslag in de Cyberbeveiligingswet. Daarnaast gelden de AVG en de rechtmatigheidseisen. Voor gemeenten betekent dit dat ze moeten kunnen aantonen dat ze hun risico’s in beeld hebben en beheersen. Een risicoregister in een losse Excel-sheet schiet daarvoor tekort.

Procesgericht risicomanagement in het kort

Bij een procesgerichte aanpak hang je risico’s en beheersmaatregelen rechtstreeks aan je processen op, en waar dat zinvol is aan de afzonderlijke processtappen. Procesmanagement beschrijft hoe dienstverlening en werk in de organisatie verlopen. Risicomanagement brengt in kaart wat daarbij fout kan gaan en de beheersmaatregelen.

De nadelen van een los register

Een apart register zorgt voor versnipperde documentatie en dubbel werk. Het laat niet zien op welk punt in het dagelijkse werk een risico ontstaat. En doordat processen steeds vaker veranderen, veroudert zo’n register snel en is het nauwelijks actueel te houden. Neem processen als inkoop, uitkeringen of vergunningverlening: daarin gaan persoonsgegevens en geld om, en ze worden regelmatig bijgesteld.

Vier redenen om te starten vanuit je processtructuur

1. Wendbaar zonder grip te verliezen
   Verandert een proces, dan zie je meteen de gevolgen voor risico’s en compliance. Rapportages en inzichten passen zich mee aan en blijven actueel.
2. Zicht op de uitzonderingen
   Juist afwijkingen van de standaardwerkwijze bevatten vaak gevoelige gegevens of een hoger risico. Beschrijf je ze per processtap, dan raak je ze niet uit het oog.

Deze versturen we 3-4x per jaar.