Een ISO-risk-register dat werkt (en er niet uitziet als een consultant-export)

Een risk register hoeft geen 300-regelige spreadsheet te zijn. Voor een MKB zijn 30-60 risico's realistisch. Hier het format dat een audit overleeft én dagelijks bruikbaar is.

Het risk register is de centrale lijst van "wat kan er misgaan". Consultants leveren soms 300-regelige sheets met theoretische risico's. Voor het MKB is 30-60 realistisch. Elk risico moet concreet kunnen worden uitgelegd aan een niet-technische CFO.

Per risico leg je vast

• Korte omschrijving ("verlies van laptop met klant-data")
• Welk asset of proces raakt het
• Dreiging (diefstal) en kwetsbaarheid (geen disk-encryption)
• Kans (1-5) × impact (1-5) = score
• Huidige maatregelen
• Eigenaar (naam)
• Restrisico-score
• Verdere actie (optioneel) + deadline

Realistische scoring

Kans: 1 = zeer zeldzaam, 3 = kan eens per jaar, 5 = dagelijkse realiteit. Impact: 1 = ongemak, 3 = dagwerk verlies, 5 = bedrijf in gevaar. Een score 15+ is actie-vereist.

Review-cadans

• Elk kwartaal: lopend nalopen, nieuwe risico's toevoegen.
• Jaarlijks: volledige review in de management review.
• Na elk incident: risk-register bijwerken met de lesson learned.

Voorbeelden van realistische MKB-risico's

1. Ransomware op een medewerker-laptop via phishing-mail
2. Ex-medewerker heeft nog toegang tot klant-data (offboarding-gap)
3. Boekhoud-admin wordt maandenlang niet gereviewd (review-lag)
4. Cloud-provider valt uit tijdens hoogseizoen
5. Medewerker klikt op phishing-mail en MFA-fatigue-attack slaagt
6. Gedeeld wachtwoord lekt via Slack-paste

Zie voor incident-registratie: incidentenlog opzetten.