Functies inbegrepen vanaf Business: Risicomanagement, pakketten vergelijken
Risicomanagement
Risico's identificeren, beoordelen en behandelen met de methode die bij uw bedrijf past, verbonden met assets, kwetsbaarheden en maatregelen.
Bijna elk normenkader vereist een risicogebaseerde aanpak, en de beoordeling moet aansluiten op de assets, kwetsbaarheden en maatregelen die u al documenteert.
Hoe Complass helpt
Risicoregister met context
Risico's gekoppeld aan assets, zones en locaties, verbonden met kwetsbaarheden, incidenten en de verklaring van toepasselijkheid.
Methode naar keuze
Matrix van 3 × 3 tot 5 × 5 met sjablonen volgens ISO/IEC 27005, IEC 62443-3-2 en BSI-Standard 200-3. Kwalitatief, kwantitatief als verwachte jaarlijkse schade in euro's met bandbreedtes (P50/P90), of gecombineerd.
Risicobereidheid en acceptatie
Vrij te definiëren risicobereidheid en acceptatiecriteria met goedkeuringsniveaus. Vanaf de klasse die u instelt, en altijd boven de risicobereidheid, stemt een tweede persoon in (vierogenprincipe).
Behandeling met kosten-batenanalyse
Maatregelen en taken per risico, restrisico met de uitgevoerde maatregelen, doelrisico na alle geplande maatregelen met goedkeuring door de risico-eigenaar en kosten-batenanalyse (ROSI). Risicobehandelplan en risicobeoordelingsrapport als PDF.
Heatmap en zonerisicobeoordeling
Heatmap voor inherent risico, restrisico en doelrisico, risicobeoordeling per zone volgens IEC 62443-3-2. Aanvalstechnieken volgens MITRE ATT&CK kunnen worden vastgelegd.
Wettelijke en normatieve basis
- § 30 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Origineel openen (gesetze-im-internet.de) ↗
- Art. 21 NIS2-RichtlinieArtikel 21 NIS 2-richtlijn Maatregelen voor het beheer van cyberbeveiligingsrisico’s1. De lidstaten zorgen ervoor dat essentiële en belangrijke entiteiten passende en evenredige technische, operationele en organisatorische maatregelen nemen om de risico’s voor de beveiliging van de netwerk- en informatiesystemen die deze entiteiten voor hun werkzaamheden of voor het verlenen van hun diensten gebruiken, te beheren en om incidenten te voorkomen of de gevolgen van incidenten voor de afnemers van hun …Origineel openen (EUR-Lex) ↗
- Art. 13 CRAArtikel 13 Verordening cyberweerbaarheid Verplichtingen van fabrikanten1. Wanneer fabrikanten een product met digitale elementen in de handel brengen, zorgen zij ervoor dat dat product is ontworpen, ontwikkeld en geproduceerd overeenkomstig de essentiële cyberbeveiligingsvereisten van deel I van bijlage I. 2. Met het oog op de naleving van de in lid 1 vastgestelde verplichting beoordelen fabrikanten de cyberbeveiligingsrisico’s die verbonden zijn aan een product met digitale elementen, …Origineel openen (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- ISO/IEC 27001:2022, 6.1 und 8.2–8.3
- ISO/IEC 27005
- IEC 62443-3-2
- BSI-Standard 200-3
MITRE ATT&CK als normenkader en dreigingsbeeld
MITRE ATT&CK beschrijft hoe aanvallers daadwerkelijk te werk gaan. Complass verbindt deze openbare kennisbank met uw maatregelen, kwetsbaarheden en incidenten – configureerbaar per bedrijf, voor IT, OT of beide.
Heatmap tactiek × techniek
Enterprise voor IT, ICS voor besturingen en installaties: welke aanvalstechnieken dekken uw maatregelen af, waar zitten de gaps? Filters op platform en assettype zoals PLC, HMI of engineeringwerkstation.
Mitigaties als eisen
Status, motivering, bewijs en taken per mitigatie, vooraf ingevuld op basis van uw implementatie van ISO 27001 bijlage A en IEC 62443-3-3.
Kwetsbaarheden, incidenten, risico's
Technieken die door openstaande kwetsbaarheden mogelijk worden, waargenomen technieken bij incidenten en risicoscenario's die rechtstreeks uit een techniek worden aangemaakt.
© The MITRE Corporation. ATT&CK® is a registered trademark of The MITRE Corporation.
Veelgestelde vragen
Kwalitatief of kwantitatief – wat is juist?
Beide zijn toegestaan. Veel bedrijven beginnen met een matrix en beoordelen belangrijke risico's aanvullend in euro's. Complass ondersteunt beide benaderingen en de combinatie ervan.
Kunnen we onze bestaande methode behouden?
Ja, u definieert zelf de matrixgrootte, niveaus, risicobereidheid en acceptatiecriteria, of u begint met een sjabloon.
Hoe verhoudt risicomanagement zich tot de normenkaders?
Risicobehandelingen verwijzen naar maatregelen en eisen, bijv. in de verklaring van toepasselijkheid. Zo blijft traceerbaar waarom een maatregel wordt geïmplementeerd.
Test Complass met uw eigen gegevens
Maak uw proefaccount zelf aan, desgewenst met een voorbeeldproject per kader. Wilt u Complass liever eerst zien, vraag dan een demo aan.