Risicoanalyse ISO 27001 in Excel
De risicobeoordeling is de kern van ISO 27001 (6.1.2): elke maatregel die u kiest, volgt eruit. Deze Excel bevat een risicoregister met kans, impact, risiconiveau, behandeling en restrisico, een risicomatrix en voorbeelden. Gratis.
Door Niels Maas (LinkedIn) · Laatst bijgewerkt op 18 oktober 2026
Inhoud van deze pagina
Een risicoanalyse voor ISO 27001 is de stap waarin u vaststelt welke risico's de vertrouwelijkheid, integriteit en beschikbaarheid van uw informatie bedreigen, hoe groot die zijn, en wat u ermee doet. ISO/IEC 27001:2022 vraagt dat in clausule 6.1.2 (beoordelen) en 6.1.3 (behandelen), en dat u het met geplande tussenpozen herhaalt (8.2 en 8.3). Deze gratis Excel geeft u een werkend risicoregister om mee te beginnen.
Wat ISO 27001 vraagt
| Clausule (in eigen woorden) | Waar in de Excel |
|---|---|
| 6.1.2 a: criteria vastleggen, ook wanneer u een risico accepteert | Blad Criteria: schalen, matrix en niveaus |
| 6.1.2 b: herhaalde beoordelingen geven vergelijkbare uitkomsten | Vaste schalen; niet per beoordeling aanpassen |
| 6.1.2 c: risico's en risico-eigenaren vaststellen | Bedrijfsmiddel, dreiging, kwetsbaarheid, gevolg, eigenaar |
| 6.1.2 d: gevolgen en kans inschatten, niveau bepalen | Kans, impact, risico |
| 6.1.2 e: risico's vergelijken met de criteria en prioriteren | Niveau en het blad Overzicht |
| 6.1.3: behandeling kiezen, maatregelen bepalen, plan, akkoord eigenaar | Behandeling, maatregelen, actie, restrisico, akkoord |
| 8.2 en 8.3: uitvoeren met tussenpozen en bij wijzigingen | Volgende beoordeling |
Wat er in de Excel staat
- Risicoregister: 18 kolommen, vijf fictieve voorbeelden en 45 lege regels. Risico (kans × impact), niveau en restrisico rekent de Excel zelf uit; kans, impact en behandeling kiest u uit een lijst.
- Criteria: de schalen voor kans en impact, de risicomatrix en per niveau wat u doet. Een voorstel dat u aanpast aan uw organisatie.
- Overzicht: hoeveel risico's er per niveau zijn, vóór en na de maatregelen.
Zo vult u hem in
- Bepaal de reikwijdte van uw managementsysteem (4.3): welke processen, systemen en locaties doen mee?
- Stel de criteria vast op het blad Criteria, met de directie. Leg vast tot welk niveau u een risico accepteert.
- Benoem de risico's per bedrijfsmiddel of proces: wat kan er gebeuren, waardoor, en wat raakt het (vertrouwelijkheid, integriteit of beschikbaarheid)? Wijs per risico een eigenaar aan.
- Schat kans en impact in met de schalen. Het niveau volgt vanzelf.
- Kies de behandeling en de maatregelen, met het nummer uit bijlage A. Neem die maatregelen over in de verklaring van toepasselijkheid.
- Schat het restrisico in na de maatregelen en laat de eigenaar het accepteren.
- Plan de volgende beoordeling, en doe er een bij elke grote wijziging.
Begin met tien tot twintig risico's op de belangrijkste processen in plaats van met honderd regels: een register dat u bijhoudt, is meer waard dan een volledig register dat niemand gebruikt.
Criteria, matrix en kolommen
Hieronder staan de schalen, de matrix en alle kolommen van het register. In de ISO 27001 Toolkit (€ 595 excl. btw) zitten daarnaast de procedure risicomanagement en het risicoregister met behandelplan als Word- en Excel-document, met een ingevuld voorbeeld.
Kans
| Score | Naam | Omschrijving |
|---|---|---|
| 1 | Zeer klein | Nog nooit gebeurd en niet te verwachten; minder dan eens in de tien jaar. |
| 2 | Klein | Kan gebeuren, maar zelden; eens in de vijf tot tien jaar. |
| 3 | Mogelijk | Komt bij vergelijkbare organisaties voor; eens in de één tot vijf jaar. |
| 4 | Waarschijnlijk | Gebeurt naar verwachting elk jaar. |
| 5 | Bijna zeker | Gebeurt meerdere keren per jaar of gebeurt nu al. |
Impact
| Score | Naam | Omschrijving |
|---|---|---|
| 1 | Verwaarloosbaar | Geen merkbare gevolgen voor klanten of werk; binnen een uur opgelost. |
| 2 | Klein | Kleine verstoring of schade, binnen een dag hersteld; geen persoonsgegevens of vertrouwelijke informatie naar buiten. |
| 3 | Merkbaar | Werk ligt deels stil of een klant merkt het; beperkte financiële schade of een melding nodig. |
| 4 | Ernstig | Belangrijke dienst dagen niet beschikbaar, vertrouwelijke gegevens gelekt, forse schade of boete mogelijk. |
| 5 | Zeer ernstig | Voortbestaan van de organisatie of veiligheid van mensen in gevaar; langdurige uitval of grootschalig datalek. |
Risicomatrix: kans × impact
| Kans \ impact | 1 Verwaarloosbaar | 2 Klein | 3 Merkbaar | 4 Ernstig | 5 Zeer ernstig |
|---|---|---|---|---|---|
| 5 Bijna zeker | 5 · ! Midden | 10 · ! Hoog | 15 · ! Hoog | 20 · ✕ Zeer hoog | 25 · ✕ Zeer hoog |
| 4 Waarschijnlijk | 4 · ✓ Laag | 8 · ! Midden | 12 · ! Hoog | 16 · ✕ Zeer hoog | 20 · ✕ Zeer hoog |
| 3 Mogelijk | 3 · ✓ Laag | 6 · ! Midden | 9 · ! Midden | 12 · ! Hoog | 15 · ! Hoog |
| 2 Klein | 2 · ✓ Laag | 4 · ✓ Laag | 6 · ! Midden | 8 · ! Midden | 10 · ! Hoog |
| 1 Zeer klein | 1 · ✓ Laag | 2 · ✓ Laag | 3 · ✓ Laag | 4 · ✓ Laag | 5 · ! Midden |
Niveaus en wat u doet
- ✓ LaagAccepteren mag; vastleggen en bij de volgende beoordeling opnieuw bekijken.
- ! MiddenMaatregelen overwegen; accepteren alleen met reden en akkoord van de risico-eigenaar.
- ! HoogBehandelen met maatregelen en een plan met eigenaar en datum.
- ✕ Zeer hoogDirect behandelen; directie informeren en het risico niet accepteren zonder besluit van de directie.
Behandelopties (6.1.3 a)
- Verminderen
- Maatregelen nemen die de kans of de impact verkleinen, bijvoorbeeld uit bijlage A.
- Vermijden
- Stoppen met de activiteit of het systeem waar het risico uit voortkomt.
- Delen
- Een deel van het risico bij een ander leggen, bijvoorbeeld via een verzekering of een contract met een leverancier.
- Accepteren
- Het risico bewust dragen, met akkoord van de risico-eigenaar (6.1.3 f).
De 18 kolommen van het risicoregister
Nr.
Vast nummer per risico, zodat u in het behandelplan en de verklaring van toepasselijkheid ernaar kunt verwijzen.
Bedrijfsmiddel of proces
Waarop het risico betrekking heeft: een systeem, een proces, informatie of een locatie binnen de reikwijdte.
4.3
Dreiging
Wat er kan gebeuren, bijvoorbeeld phishing, uitval van de leverancier of verlies van een laptop.
6.1.2 c
Kwetsbaarheid of oorzaak
Waardoor de dreiging kan slagen, bijvoorbeeld geen meerfactorauthenticatie of geen back-up buiten het netwerk.
6.1.2 c
Gevolg voor V, I of B
Of het risico de vertrouwelijkheid, de integriteit of de beschikbaarheid van informatie raakt.
6.1.2 c
Risico-eigenaar
De persoon die over het risico beslist en het restrisico accepteert.
6.1.2 c, 6.1.3 f
Kans (1-5)
Hoe waarschijnlijk het is, volgens de schaal op het blad Criteria.
6.1.2 d
Impact (1-5)
Hoe ernstig de gevolgen zijn, volgens de schaal op het blad Criteria.
6.1.2 d
Risico
Kans maal impact; rekent de Excel zelf uit.
6.1.2 d
Niveau
Laag, midden, hoog of zeer hoog volgens de grenzen op het blad Criteria; rekent de Excel zelf uit.
6.1.2 e
Behandeling
Verminderen, vermijden, delen of accepteren.
6.1.3 a
Maatregelen
Welke maatregelen u neemt, met het nummer uit bijlage A (bijvoorbeeld A.8.13 back-up). Neem ze over in de verklaring van toepasselijkheid.
6.1.3 b, c, d
Actie en datum
Wat er nog moet gebeuren, door wie en wanneer: het risicobehandelplan.
6.1.3 e, 8.3
Restkans
De kans na de maatregelen.
6.1.3
Restimpact
De impact na de maatregelen.
6.1.3
Restrisico
Restkans maal restimpact, met het niveau; rekent de Excel zelf uit.
6.1.3
Restrisico geaccepteerd
Akkoord van de risico-eigenaar op het plan en het restrisico, met datum.
6.1.3 f
Volgende beoordeling
Wanneer u het risico opnieuw bekijkt, en in elk geval bij een grote wijziging.
8.2
De risicobeoordeling hoort bij een vastgelegde aanpak. De ISO 27001 Toolkit bevat daarvoor ISB-P01 Procedure risicomanagement, RSK-002 Risicoregister en behandelplan, ISB-001 Verklaring van toepasselijkheid, met een ingevuld voorbeeld. Bekijk de ISO 27001 Toolkit
Licentie en bronnen
De Excel valt onder CC BY 4.0: gebruiken, aanpassen en delen mag, ook commercieel, met vermelding van MaasISO en een link naar deze pagina. Alle teksten zijn eigen woorden van MaasISO en geen normtekst; de norm zelf is te koop bij NEN. Meer over de andere eisen leest u in ISO 27001 eisen.
Feiten en bronnen
| Norm | ISO/IEC 27001:2022, Information security management systems | iso.org |
|---|
Veelgestelde vragen
Wat is een risicoanalyse in ISO 27001?
De stap waarin u de risico's voor de vertrouwelijkheid, integriteit en beschikbaarheid van informatie vaststelt, de kans en de gevolgen inschat en het risiconiveau bepaalt (clausule 6.1.2). Daarna kiest u per risico een behandeling en maatregelen (6.1.3).
Schrijft ISO 27001 een methode of schaal voor?
Nee. U legt zelf vast hoe u kans en impact beoordeelt en welk risico u accepteert (6.1.2 a), en gebruikt dat daarna steeds op dezelfde manier, zodat de uitkomsten vergelijkbaar zijn (6.1.2 b). De schalen in deze Excel zijn een voorstel dat u kunt aanpassen.
Hoe vaak moet ik de risicoanalyse doen?
Met geplande tussenpozen, bijvoorbeeld elk jaar, en daarnaast bij grote wijzigingen, zoals een nieuw systeem of een nieuwe leverancier (8.2). Leg de uitkomsten vast als gedocumenteerde informatie.
Wat is het verschil met de verklaring van toepasselijkheid?
De risicoanalyse bepaalt welke maatregelen u nodig hebt. De verklaring van toepasselijkheid legt per maatregel uit bijlage A vast of die nodig is, waarom, en of die is ingevoerd (6.1.3 d). De verklaring volgt dus uit de risicoanalyse.
Wie accepteert het restrisico?
De risico-eigenaar: degene die u bij elk risico aanwijst (6.1.2 c). Die keurt het behandelplan goed en accepteert het restrisico (6.1.3 f).
Leer ISO 27001 in 6 korte lessen
Een gratis e-mailcursus: om de drie dagen één les van een paar minuten, met de clausules en één concrete stap. Het ISMS, scope en directie, risico's, de verklaring van toepasselijkheid, invoeren en verbeteren, en certificering. De laatste les noemt onze toolkits.
Verder
Gratis: welke normen en wetten passen bij uw organisatie? Start de ISO-selector
Meer in de kennisbank
Deze pagina geeft algemene informatie en is geen juridisch advies. Uw organisatie blijft zelf verantwoordelijk voor de toepassing van normen en wetgeving.