Onderdeel van GRC voor security, privacy en continuïteit: één risicogestuurde PDCA-ronde · Markdown-bron
Bijlage bij GRC voor security, privacy en continuïteit. Gemeente Duinstad bestaat niet; alle risico's, bevindingen en getallen zijn verzonnen. De sleutels van de maatregelen zijn echt. Peildatum 01-10-2026. De gegevens staan in voorbeeld-register.json, de regels in het model, en dezelfde uitkomst is door te klikken in de verkenner.
Stand. 3 strategische risico's, 7 operationele risico's, 16 maatregelen, 3 controls en 6 bevindingen, waarvan 5 meetellen. 5 van de 7 operationele risico's hebben een aangetoond gat; de andere zijn niet beoordeeld.
De lijst die je aan de directie laat zien. Eerst de maatregelen onder een risico met een aangetoond gat, dan de rest op het gewicht van het strategische risico. Bij gelijke stand het laagste niveau eerst.
| # | Maatregel | Wat | Risico | Niveau | Bevinding | Waarom hier |
|---|---|---|---|---|---|---|
| 1 | BIO2:8.08.01 | Technische kwetsbaarheden tijdig signaleren | OR-01 | 0 · niet in orde | B-02 | OR-01 heeft een aangetoond gat (score 20) |
| 2 | BIO2:8.08.02 | Patches binnen de afgesproken termijn installeren | OR-01 | 2 · bestaan | B-02 | OR-01 heeft een aangetoond gat (score 20) |
| 3 | BCM:8.5 | Plannen oefenen en herstel testen | OR-02 | 0 · niet in orde | B-03 | OR-02 heeft een aangetoond gat (score 15) |
| 4 | BCM:8.4.4 | Continuïteitsplan per kritiek proces | OR-02 | 1 · opzet | B-03 | OR-02 heeft een aangetoond gat (score 15) |
| 5 | BCM:8.2.2 | Bedrijfsimpactanalyse van de kritieke processen | OR-02 | 2 · bestaan | OR-02 heeft een aangetoond gat (score 15) | |
| 6 | BIO2:8.02.01 | Beheerrechten apart toekennen en beperken | OR-05 | 0 · niet in orde | B-05 | OR-05 heeft een aangetoond gat (score 12) |
| 7 | BIO2:8.16.01 | Afwijkend gedrag opsporen en opvolgen | OR-06 | 0 · niet in orde | B-05 | OR-06 heeft een aangetoond gat (score 12) |
| 8 | BIO2:5.15.01 | Toegangsbeleid vastgesteld en toegepast | OR-05 | 2 · bestaan | OR-05 heeft een aangetoond gat (score 12) | |
| 9 | BIO2:5.18.01 | Toegangsrechten toekennen, herzien en intrekken | OR-05 | 2 · bestaan | B-01 | OR-05 heeft een aangetoond gat (score 12) |
| 10 | BIO2:8.15.01 | Gebeurtenissen vastleggen in logbestanden | OR-06 | 2 · bestaan | OR-06 heeft een aangetoond gat (score 12) | |
| 11 | BIO2:8.05.01 | Sterke authenticatie voor toegang | OR-05 | 3 · werking | OR-05 heeft een aangetoond gat (score 12) | |
| 12 | AVG:A12 | Betrokkenen tijdig en begrijpelijk informeren over hun verzoek | OR-03 | 1 · opzet | B-04 | OR-03 heeft een aangetoond gat (score 8) |
| 13 | AVG:A15 | Inzageverzoeken binnen de wettelijke termijn afhandelen | OR-03 | 2 · bestaan | B-04 | OR-03 heeft een aangetoond gat (score 8) |
| 14 | AVG:A29 | Verwerkers werken alleen in opdracht | OR-04 | 1 · opzet | OR-04 niet beoordeeld; gewicht van SR-02 (score 12) | |
| 15 | AVG:A28 | Verwerkersovereenkomst met elke verwerker | OR-04 | 2 · bestaan | OR-04 niet beoordeeld; gewicht van SR-02 (score 12) | |
| 16 | BIO2:7.02.01 | Fysieke toegang tot ruimtes met apparatuur | OR-07 | 2 · bestaan | OR-07 niet beoordeeld en buiten de SRA; laagste gewicht |
Kans 4 × impact 5 = 20 (Kritiek).
Kans 3 × impact 4 = 12 (Hoog).
Kans 3 × impact 5 = 15 (Hoog).
Risico's uit de standaardlijst zonder passend strategisch risico. Dat is een bevinding over de risicoanalyse zelf: ontbreekt er een strategisch risico, of hoort dit erbij?
Een bevinding is een aangetoond feit over een maatregel die niet werkt. Het risico volgt uit de maatregel: de eerste maatregel bepaalt het primaire risico. Alleen open en in behandeling tellen mee.
| Maatregel | Wat | Risico | Stand in de bron | Niveau | Waar het niveau vandaan komt | Beheerseigenaar |
|---|---|---|---|---|---|---|
| BIO2:8.08.01 | Technische kwetsbaarheden tijdig signaleren | OR-01 | niet geïmplementeerd | 0 · niet in orde | stand in de bron | teamleider technisch beheer |
| BIO2:8.08.02 | Patches binnen de afgesproken termijn installeren | OR-01 | geïmplementeerd | 2 · bestaan | stand in de bron | teamleider technisch beheer |
| BCM:8.2.2 | Bedrijfsimpactanalyse van de kritieke processen | OR-02 | voltooid | 2 · bestaan | stand in de bron | BCM-coördinator |
| BCM:8.4.4 | Continuïteitsplan per kritiek proces | OR-02 | deels | 1 · opzet | stand in de bron | BCM-coördinator |
| BCM:8.5 | Plannen oefenen en herstel testen | OR-02 | niets | 0 · niet in orde | stand in de bron | BCM-coördinator |
| AVG:A12 | Betrokkenen tijdig en begrijpelijk informeren over hun verzoek | OR-03 | opzet groen, bestaan oranje, werking rood | 1 · opzet | stand in de bron | privacy officer |
| AVG:A15 | Inzageverzoeken binnen de wettelijke termijn afhandelen | OR-03 | opzet groen, bestaan groen, werking rood | 2 · bestaan | stand in de bron | privacy officer |
| AVG:A28 | Verwerkersovereenkomst met elke verwerker | OR-04 | opzet groen, bestaan groen, werking oranje | 2 · bestaan | stand in de bron | contractmanager |
| AVG:A29 | Verwerkers werken alleen in opdracht | OR-04 | opzet groen, bestaan rood, werking rood | 1 · opzet | stand in de bron | contractmanager |
| BIO2:5.15.01 | Toegangsbeleid vastgesteld en toegepast | OR-05 | geïmplementeerd | 2 · bestaan | control C-03 (toets 01-06-2026, werking verlopen (cyclus gemist)) | informatiemanager |
| BIO2:5.18.01 | Toegangsrechten toekennen, herzien en intrekken | OR-05 | geïmplementeerd | 2 · bestaan | zwakste control C-01 (toets 15-07-2026) | teamleider functioneel beheer |
| BIO2:8.02.01 | Beheerrechten apart toekennen en beperken | OR-05 | niet geïmplementeerd | 0 · niet in orde | stand in de bron | teamleider technisch beheer |
| BIO2:8.05.01 | Sterke authenticatie voor toegang | OR-05 | geïmplementeerd | 3 · werking | control C-02 (toets 01-09-2026) | teamleider technisch beheer |
| BIO2:8.15.01 | Gebeurtenissen vastleggen in logbestanden | OR-06 | geïmplementeerd | 2 · bestaan | stand in de bron | teamleider technisch beheer |
| BIO2:8.16.01 | Afwijkend gedrag opsporen en opvolgen | OR-06 | niet geïmplementeerd | 0 · niet in orde | stand in de bron | teamleider technisch beheer |
| BIO2:7.02.01 | Fysieke toegang tot ruimtes met apparatuur | OR-07 | geïmplementeerd | 2 · bestaan | stand in de bron | facilitair manager |
Een control is de toetsbare activiteit die laat zien dat een maatregel werkt. De zwakste getoetste control bepaalt het niveau van de maatregel. Werking vervalt als de volgende toets niet op tijd komt.
| Control | Wat | Toetst | Frequentie | Laatste toets | Niveau | Bewijs |
|---|---|---|---|---|---|---|
| C-01 | Kwartaalcontrole van toegangsrechten per afdeling | BIO2:5.18.01 | elke 92 dagen | 15-07-2026, tweede lijn | 2 · bestaan (toets 15-07-2026) | steekproef Q2: 2 van 6 afdelingen niet gecontroleerd |
| C-02 | Aanmelden alleen met phishingbestendige MFA | BIO2:8.05.01 | elke 183 dagen | 01-09-2026, tweede lijn | 3 · werking (toets 01-09-2026) | export aanmeldbeleid en aanmeldlog over 30 dagen |
| C-03 | Uitdienstmelding leidt binnen een werkdag tot blokkade | BIO2:5.18.01, BIO2:5.15.01 | elke 31 dagen | 01-06-2026, tweede lijn | 2 · bestaan (toets 01-06-2026, werking verlopen (cyclus gemist)) | vergelijking HR-uitstroom met blokkades, mei |
Geen.