EBIOS Risk Manager (EBIOS RM) is de Franse referentiemethode voor de beoordeling en behandeling van cyberrisico's. EBIOS RM werd in 2018 gepubliceerd door ANSSI, is afgestemd op ISO/IEC 27005 en wordt gebruikt door Franse overheidsinstanties, OIV's (Operators of Vital Importance), OSE's (Operators of Essential Services) en in toenemende mate door grote ondernemingen die op zoek zijn naar een methode die beter aansluit bij moderne cyberdreigingen dan historische benaderingen.
Deze gids beschrijft in detail de 5 workshops van de methode, de verwachte deliverables en veelgemaakte fouten.
Waarom EBIOS RM in plaats van een andere methode?
EBIOS RM onderscheidt zich door drie kenmerken:
- Scenariogerichte aanpak — in plaats van een lijst met generieke dreigingen bouwt EBIOS RM realistische risicoscenario's op met concrete risicobronnen (aanvallers)
- Expliciete aandacht voor het ecosysteem — leveranciers, partners en toeleveringsketens worden behandeld als potentiële risicobronnen
- Gericht op besluitvorming — de methode levert strategische opties op voor het management, niet louter een technische lijst
In vergelijking met ISO 27005 of FAIR is EBIOS RM bijzonder geschikt wanneer:
- De organisatie onder een Franse regelgevende scope valt (LPM, REN-wet, omgezette NIS2)
- Risicobronnen identificeerbaar zijn (APT-groepen, cybercriminelen, insiders)
- De behoefte ligt bij scenariomodellering eerder dan bij financiële kwantificering
Voor een diepgaande methodologische vergelijking, zie ons artikel FAIR vs ISO 27005.
Overzicht van de 5 workshops
| Workshop | Naam | Doel | Indicatieve duur |
|---|---|---|---|
| 1 | Afbakening & beveiligingsbaseline | Scope bepalen + bedrijfswaarden identificeren | 2-5 dagen |
| 2 | Risicobronnen | Potentiële aanvallers karakteriseren | 3-5 dagen |
| 3 | Strategische scenario's | Macroscenario's dreiging × waarde opbouwen | 3-5 dagen |
| 4 | Operationele scenario's | Technische aanvalspaden uitwerken | 5-10 dagen |
| 5 | Risicobehandeling | Behandelopties kiezen en opvolgen | 2-5 dagen |
Een volledige EBIOS RM-cyclus op een matig complexe scope duurt 6-12 weken, exclusief de besluitvorming door het management.
Workshop 1 — Afbakening en beveiligingsbaseline
Doel
De scope van de studie bepalen en de te beschermen bedrijfswaarden identificeren. Dit is het fundament: een verkeerde afbakening maakt alles wat volgt onbruikbaar.
Activiteiten
1.1 Bepaling van de scope
- Organisatorische scope (een dochteronderneming, een functioneel domein…)
- Technische scope (een informatiesysteem, een applicatie…)
- Tijdshorizon (3, 5, 10 jaar)
1.2 Identificatie van missies en bedrijfswaarden
Een bedrijfswaarde is een element dat belangrijk is voor de organisatie. Types:
- Bedrijfsprocessen (bv. orderverwerking)
- Informatie (bv. klantendatabanken, O&O-gegevens)
- Essentiële technische assets (systemen die processen en informatie ondersteunen)
Documenteer voor elke bedrijfswaarde:
- Beschrijving
- Business owner
- Missies die ze ondersteunt
- Gevoeligheid (CIAP-schaal: Confidentiality, Integrity, Availability, Proof — vertrouwelijkheid, integriteit, beschikbaarheid, bewijs)
1.3 Identificatie van gevreesde gebeurtenissen
Een gevreesde gebeurtenis (FE) is een ongewenste gebeurtenis die een bedrijfswaarde treft op een van haar gevoeligheidsdimensies.
Voorbeeld:
- Bedrijfswaarde: "Klantendatabank"
- FE1: Onbeschikbaarheid > 4 uur
- FE2: Openbaarmaking aan onbevoegde derden
- FE3: Ongeoorloofde wijziging
1.4 Bepaling van de beveiligingsbaseline
Kaders, beleid en normen waaraan de organisatie al onderworpen is (ISO 27001, GDPR, sectorale verplichtingen). De baseline legt het minimaal verwachte niveau vast.
Deliverables van workshop 1
- Afbakeningsnota
- Kaart van de bedrijfswaarden
- Lijst van gevreesde gebeurtenissen met CIAP-beoordeling
- Referentie van de beveiligingsbaseline
Workshop 2 — Risicobronnen en beoogde doelen
Doel
Identificeren wie de organisatie kan aanvallen en waarom. EBIOS RM onderscheidt zich hier door zijn benadering vanuit de tegenstander, niet louter vanuit de dreiging.
Activiteiten
2.1 Identificatie van risicobronnen (RS)
Soorten bronnen:
- Staten en staatsentiteiten (APT's, inlichtingendiensten)
- Criminele organisaties (cybercriminelen, ransomwaregroepen)
- Hacktivisten (ideologische groeperingen)
- Kwaadwillige insiders (medewerkers, contractanten)
- Concurrenten (industriële spionage)
- Amateurs (script kiddies, opportunisten)
2.2 Bepaling van de beoogde doelen (TO)
Wat zijn voor elke risicobron de doelen?
- Financieel (losgeld, diefstal, fraude)
- Operationeel (verstoring, sabotage)
- Strategisch (spionage, beïnvloeding)
- Politiek (destabilisatie, druk)
2.3 Beoordeling van RS/TO-paren
Beoordeel voor elk paar:
- Motivatie (laag / aanzienlijk / sterk)
- Middelen (laag / aanzienlijk / sterk)
- Activiteit (laag / aanzienlijk / sterk)
Een relevant RS/TO-paar wordt behouden voor de volgende workshops als het totaal een drempel overschrijdt (doorgaans "aanzienlijk" of hoger).
Deliverables van workshop 2
- Lijst van relevante risicobronnen
- Lijst van beoogde doelen
- Beoordelingen van de RS/TO-paren
- Selectie van relevante paren voor de volgende stap
Workshop 3 — Strategische scenario's
Doel
Macroscenario's opbouwen die het volgende combineren:
- Een behouden risicobron
- Een behouden beoogd doel
- Een getroffen bedrijfswaarde (via haar ecosysteem)
Activiteiten
3.1 Mapping van het ecosysteem
Identificeer derden (leveranciers, partners, contractanten) die interageren met de bedrijfswaarden. Elke derde partij is een potentiële aanvalsvector.
Voorbeeld: een outsourcingpartner kan een aanvalsdoelwit zijn om bij de gegevens van zijn klant te komen.
3.2 Opbouw van strategische scenario's
Een strategisch scenario beschrijft de macroketen: RS → compromitteert stakeholder → compromitteert bedrijfswaarde.
Voorbeeld:
- RS: Ransomware-cybercrimineel
- TO: Financiële afpersing
- Keten: RS → compromitteert boekhoudkantoor → compromitteert financiële databank → boekhouding geblokkeerd → losgeld
3.3 Beoordeling van de ernst
Elk strategisch scenario krijgt een ernstscore (S1 tot S4) op basis van de impact op de bedrijfswaarde.
Deliverables van workshop 3
- Kaart van het ecosysteem
- Lijst van behouden strategische scenario's
- Ernstbeoordeling
- Selectie van scenario's om uit te werken in workshop 4
Workshop 4 — Operationele scenario's
Doel
De technische aanvalspaden van de behouden strategische scenario's uitwerken. Dit is de meest technische workshop.
Activiteiten
4.1 Opbouw van operationele scenario's
Elk strategisch scenario wordt opgesplitst in chronologische elementaire technische acties:
Voorbeeld (ransomware via boekhoudkantoor):
- Gerichte phishing bij het boekhoudkantoor → compromittering van een werkstation
- Privilege-escalatie → compromittering van een beheerdersaccount van het kantoor
- Laterale beweging → toegang tot het netwerk van de klant via gedeelde VPN
- Verkenning → identificatie van de servers van de klant
- Uitrol van ransomware → versleuteling van de servers van de klant
4.2 Beoordeling van de waarschijnlijkheid
Beoordeel voor elk operationeel scenario de waarschijnlijkheid (L1 tot L4) op basis van:
- Vereiste technische capaciteiten
- Vereiste middelen
- Opportuniteiten (aanvalsoppervlak)
- Dekking door bestaande maatregelen
4.3 Bruikbare kaders
EBIOS RM maakt kruisverwijzingen mogelijk met:
- MITRE ATT&CK voor tactieken/technieken
- CVSS voor technische kwetsbaarheden
- Specifieke dreigingskaders (ANSSI, Microsoft, CrowdStrike…)
Deliverables van workshop 4
- Gedetailleerde operationele scenario's (aanvalspaden)
- Waarschijnlijkheidsbeoordeling
- Mapping met kaders (MITRE ATT&CK)
- Risicomatrix (ernst × waarschijnlijkheid)
Workshop 5 — Risicobehandeling
Doel
Voor elk risico dat als significant wordt beschouwd, een behandeling kiezen en de uitvoering ervan aansturen.
Activiteiten
5.1 Behandelopties
- Vermijden — de activiteit die aan de oorsprong van het risico ligt schrappen
- Verminderen — maatregelen invoeren (technisch, organisatorisch)
- Overdragen — verzekering, outsourcing
- Aanvaarden — aanvaardbaar restrisico
5.2 Actieplan
Voor elke verminderingsmaatregel:
- Beschrijving
- Eigenaar
- Deadline
- Geraamde kostprijs
- Effectiviteitsindicator (KPI/KRI)
5.3 Opvolging en herziening
- Frequentie van de risicoreview (doorgaans jaarlijks of naar aanleiding van gebeurtenissen)
- Criteria om een EBIOS RM-studie te heropenen
- Koppeling met de rapportering aan het management
Deliverables van workshop 5
- Risicobehandelingsplan
- Roadmap van maatregelen
- KPI's/KRI's voor opvolging
- Validatie door het management
EBIOS RM en andere kaders
| Kader | Samenhang met EBIOS RM |
|---|---|
| ISO 27005 | EBIOS RM is conform ISO 27005. U kunt EBIOS RM gebruiken om te voldoen aan de vereiste risicoanalyse van ISO 27001 |
| NIS2 | EBIOS RM wordt door ANSSI uitdrukkelijk erkend als NIS2-conforme methode |
| DORA | EBIOS RM kan input leveren voor de DORA-beoordeling, met name voor de pijler ICT-risicobeheer |
| NIST CSF 2.0 | EBIOS RM levert input voor de functie "Identify" (ID.RA — Risk Assessment) |
| ISO 22301 | De operationele scenario's van EBIOS RM leveren input voor de BIA |
Veelgemaakte fouten bij EBIOS RM
1. Te brede scope
De hele organisatie in één cyclus willen behandelen. Kies liever voor thematische cycli: "productie-IS", "e-commerceapplicatie", "leveranciersecosysteem"…
2. Generieke bedrijfswaarden
"Gegevens" of "het informatiesysteem" zijn geen bruikbare bedrijfswaarden. Er zijn concrete benamingen nodig: "B2B-klantenbestand", "O&O-recepturen molecule X", "Boekingsplatform".
3. Fantasierijke risicobronnen
20 risicobronnen in kaart brengen voor 2 interne applicaties is overengineering. Richt u op bronnen die echt relevant zijn voor uw sector en bekendheid.
4. Scenario's los van het ecosysteem
Contractanten, SaaS-ketens en API-integraties negeren is een grote methodologische fout. EBIOS RM werd net ontworpen om deze afhankelijkheden te vatten.
5. Niet prioriteren
Workshop 4 afsluiten met 150 niet-geprioriteerde operationele scenario's. Dwing een prioritering af op basis van ernst × waarschijnlijkheid en focus op de top 20.
6. Geen koppeling met het actieplan
Een workshop 5 die eindigt met "we moeten de beveiliging verbeteren" engageert niemand. Elke maatregel moet een eigenaar, een deadline en een budget hebben.
Hoe ResiPlan EBIOS RM operationaliseert
- EBIOS RM-module gestructureerd per workshop (1 tot 5)
- Voorgevulde bibliotheken: gangbare risicobronnen, beoogde doelen, MITRE ATT&CK-tactieken
- Matrix ernst × waarschijnlijkheid met dynamische visualisatie
- Geïntegreerd actieplan met workflow voor eigenaar/deadline
- Koppeling met de BIA — operationele scenario's leveren automatisch input voor de BIA
- ANSSI-compatibele exports voor OIV/OSE/NIS2-audits
ResiPlan ondersteunt 28 methodologieën voor risicobeheer (EBIOS RM, FAIR, ISO 27005, Bow-Tie, Monte Carlo…) in één tool. Start een gratis proefperiode.
Conclusie
EBIOS RM is een rigoureuze, scenariogerichte methode die door ANSSI erkend is. De 5 workshops leveren een strategisch en operationeel beeld van cyberrisico's op, dat rechtstreeks bruikbaar is om beveiligingsinvesteringen af te wegen en te voldoen aan de vereisten van NIS2, DORA en LPM.
De sleutel tot succes: streef niet naar perfectie in de eerste cyclus. Een iteratieve EBIOS RM-cyclus — een beperkte scope per jaar, die jaarlijks wordt verrijkt — levert meer waarde op dan een monolithisch project van 18 maanden dat nooit wordt opgeleverd.
Om verder te lezen: