Informatiebeveiliging · Domein 3

RM.02 Risicobeoordeling

Norm RM.02 gaat over dreigingen, kwetsbaarheden, kans en impact consistent beoordelen en vertalen naar geaccepteerde of behandelde risico's. Voor een schoolbestuur betekent dit dat beleid, dagelijkse uitvoering en controle op elkaar moeten aansluiten. Niveau 3 is pas aannemelijk als de werkwijze bestuurlijk is vastgesteld, aantoonbaar wordt uitgevoerd en afwijkingen zichtbaar worden opgevolgd.

Praktische vertaling

Wat betekent RM.02 in de praktijk?

Risico's worden herkenbaar, vergelijkbaar en bestuurbaar wanneer beoordeling en behandeling dezelfde werkwijze volgen.

Voor risicobeoordeling betekent dit dat het bestuur niet alleen een wens of document vastlegt, maar kan aanwijzen waar de werkwijze is ingericht, wie beslissingen neemt en hoe de werking wordt gecontroleerd. De context verschilt per schoolbestuur; de bewijslogica blijft hetzelfde: besluit, uitvoering en controle moeten herleidbaar bij elkaar horen.

Aantoonbaarheid

Welk bewijs maakt deze norm sterk?

Een auditor of bestuurder moet zonder mondelinge toelichting kunnen volgen wat is afgesproken, wat werkelijk gebeurt en hoe afwijkingen worden behandeld.

Bewijsvoorbeeld 1

Een vastgesteld risicoraamwerk met criteria en risicobereidheid.

Bewijsvoorbeeld 2

Actuele risicoanalyses met eigenaar, score en gekozen behandeling.

Bewijsvoorbeeld 3

Managementbesluiten en voortgangsbewijs van risicomaatregelen.

Route naar niveau 3

Van afspraak naar aantoonbare uitvoering

Gebruik deze volgorde als praktische werklijn. De officiële criteria per volwassenheidsniveau blijven leidend.

Definieer uniforme criteria voor kans, impact en acceptatie

Definieer uniforme criteria voor kans, impact en acceptatie.

Identificeer risico's samen met proces- en systeemeigenaren

Identificeer risico's samen met proces- en systeemeigenaren.

Kies behandeling, eigenaar, deadline en restrisico

Kies behandeling, eigenaar, deadline en restrisico.

Herbeoordeel na maatregelen en bij relevante wijzigingen

Herbeoordeel na maatregelen en bij relevante wijzigingen.

Bestuurlijke mini-check

Vier vragen om de kwaliteit te toetsen

Met deze vragen toets je niet alleen of er documentatie bestaat, maar vooral of de norm bestuurbaar en controleerbaar is ingericht. Een positief antwoord is geen formeel oordeel over het volwassenheidsniveau; daarvoor moet ieder officieel criterium bij Kennisnet afzonderlijk tegen actueel bewijs worden beoordeeld.

Is expliciet belegd dat dreigingen, kwetsbaarheden, kans en impact consistent beoordelen en vertalen naar geaccepteerde of behandelde risico's, inclusief mandaat en vervanging?
Kan risico-eigenaren en ibp-verantwoordelijke zonder aanvullende toelichting zowel het besluit als recente uitvoering laten zien?
Zijn een vastgesteld risicoraamwerk met criteria en risicobereidheid. en actuele risicoanalyses met eigenaar, score en gekozen behandeling. actueel, onderling consistent en herleidbaar?
Is de werking gecontroleerd volgens het ritme ‘minimaal jaarlijks en bij belangrijke veranderingen’ en zijn afwijkingen aantoonbaar opgevolgd?

Kwaliteitscontrole

Veelgemaakte fouten

Risico's verwarren met ontbrekende maatregelen.
Scores aanpassen zonder motivatie of besluit.
Geen restrisico en formele acceptatie vastleggen.

In Edufort

Risicomanagement: van norm naar opvolging

Koppel normtekorten aan risico's, behandeling, bewijs en bestuurlijke acceptatie. Zo blijven normstatus, eigenaar, bewijs en verbeteractie in dezelfde bestuurlijke lijn zichtbaar.

Bekijk Risicomanagement →

Veelgestelde vragen

Vragen over RM.02

Wat betekent norm RM.02 voor een schoolbestuur?

Deze norm vraagt om dreigingen, kwetsbaarheden, kans en impact consistent beoordelen en vertalen naar geaccepteerde of behandelde risico's. De precieze normtekst en volwassenheidscriteria staan bij Kennisnet; Edufort vertaalt dit naar uitvoering en bewijs.

Welk bewijs helpt bij RM.02?

Gebruik minimaal een vastgesteld kader, operationeel bewijs en een periodieke beoordeling. Op deze pagina staan drie voorbeelden die passen bij risicobeoordeling.

Wie is eigenaar van RM.02?

Een passende inrichting is: Risico-eigenaren en IBP-verantwoordelijke. Het schoolbestuur blijft eindverantwoordelijk voor besluitvorming, middelen en toezicht.