EBIOS Risk Manager — de ANSSI-methode 2026, ondersteund en auditeerbaar
De 5 EBIOS RM-workshops in één platform: afbakening, risicobronnen, strategische en operationele scenario's, behandeling. Automatische scoring, export van het verslag, integratie NIS2 / DORA / ISO 27001.
De 5 EBIOS RM-workshops
Elke workshop levert een ondertekend verslag op dat de volgende voedt.
Afbakening en beveiligingsbasis
Studiegebied, missies, bedrijfswaarden, ondersteunende middelen, gevreesde gebeurtenissen. Identificatie van de bestaande beveiligingsbasis (referentiekaders, aanwezige beschermingsmaatregelen). Deliverable: afbakeningsnota + matrix bedrijfswaarden / ondersteunende middelen.
Risicobronnen en beoogde doelen
In kaart brengen van risicobronnen (staten, hacktivisten, criminelen, concurrentie, insiders…) en hun doelen (spionage, sabotage, financieel gewin…). Relevantie van de paren bron/doel beoordeeld. Deliverable: register van de weerhouden paren.
Strategische scenario's
Aanvalsschema's op hoog niveau: wie valt aan, welke bedrijfswaarde wordt getroffen, via welk pad, met welke nevenschade in het ecosysteem. Scoring ernst × waarschijnlijkheid. Deliverable: kaart van het ecosysteem + strategische scenario's.
Operationele scenario's
Werkwijzen opgesplitst in elementaire acties (Kennen, Binnendringen, Vinden, Uitbuiten), gekoppeld aan ondersteunende middelen en MITRE ATT&CK-technieken. Waarschijnlijkheid beoordeeld volgens de expresmethode, de standaardmethode (slaagkans) of de geavanceerde methode (slaagkans × technische moeilijkheid) van methodefiche 8 van ANSSI. Deliverable: beoordeelde operationele scenario's en het meest waarschijnlijke aanvalspad.
Risicobehandeling
Te implementeren beveiligingsmaatregelen, prioritering, actieplan, opvolging. Strategie voor het restrisico (aanvaarden, overdragen, vermijden, verminderen). Deliverable: behandelplan + restrisico bekrachtigd door de directie.
Risicoscoring (ANSSI-schaal)
| Waarschijnlijkheid | Beschrijving |
|---|---|
| Zeer hoog (V4) | De aanvaller heeft de middelen en de motivatie; er zijn gedocumenteerde reële gevallen. |
| Hoog (V3) | Middelen beschikbaar, waarschijnlijke motivatie, weinig obstakels. |
| Aanzienlijk (V2) | De aanvaller zou de middelen en de motivatie kunnen verwerven. |
| Minimaal (V1) | Uitzonderlijk geval, onwaarschijnlijke aanvaller of sterke maatregelen. |
De ernst (G1 verwaarloosbaar → G4 catastrofaal) volgt een parallelle schaal. Het restrisico wordt in de 4×4-matrix E × W gepositioneerd en gekwalificeerd.
Behandelde referentiekaders
Veelgestelde vragen over EBIOS RM
Hoe schrijft u een verslag van workshop 1 van EBIOS RM?
Het verslag van workshop 1 (afbakening en basis) moet bevatten: de gevalideerde studiescope, de lijst van missies en bedrijfswaarden, de inventaris van ondersteunende middelen, de bestaande beveiligingsbasis (referentiekaders, maatregelen), de geprioriteerde gevreesde gebeurtenissen. De handtekening van het bedrijfsmanagement valideert de afbakening vóór workshop 2. Verslagsjabloon downloadbaar in ResiPlan.
Wat zijn aanvalsschema's in EBIOS RM?
Aanvalsschema's (workshop 3) zijn grafische voorstellingen op hoog niveau: wie (risicobron) valt wat aan (bedrijfswaarde), via welk pad in het ecosysteem, met welke nevenschade. Ze worden vervolgens verfijnd tot gedetailleerde operationele scenario's (workshop 4) met MITRE ATT&CK. Zie ResiPlan voor visuele modellering.
Hoe risico's scoren volgens ANSSI?
ANSSI stelt een scoring Ernst × Waarschijnlijkheid voor met elk 4 niveaus (G1–G4 / L1–L4). De ernst weerspiegelt de bedrijfsimpact (juridisch, financieel, reputatie, operationeel); de waarschijnlijkheid weerspiegelt het vermogen en de motivatie van de aanvaller tegenover de bestaande maatregelen. Het risico wordt in een 4×4-matrix gepositioneerd en gekwalificeerd als verwaarloosbaar, matig, hoog of kritiek.
Hoe de waarschijnlijkheid van een operationeel scenario (workshop 4) beoordelen?
Methodefiche 8 van ANSSI biedt drie methoden. Express: de waarschijnlijkheid van het scenario wordt rechtstreeks gescoord. Standaard: elke elementaire actie van de werkwijze krijgt een slaagkans; een reeks is zo sterk als de zwakste schakel en tussen alternatieve paden haalt het voor de aanvaller gunstigste het. Geavanceerd: elke actie krijgt bovendien een technische moeilijkheidsgraad, en de gecumuleerde slaagkans en moeilijkheidsgraad van elke werkwijze worden in een raster gekruist. In ResiPlan zijn de drie methoden, het raster en de schalen per studie aanpasbaar, met acties gekoppeld aan ondersteunende middelen en MITRE ATT&CK-technieken, in de app, de REST API en de MCP-server.
Wat zijn nevenschade en risicobronnen in EBIOS RM?
Risicobronnen (RS) zijn actoren die waarschijnlijk aanvallen (natiestaten, georganiseerde criminelen, hacktivisten, concurrenten, ontevreden insiders…). Nevenschade verwijst naar indirecte impact op het bedrijfsecosysteem (leveranciers, klanten, partners) waarmee rekening moet worden gehouden om de werkelijke ernst van een scenario te beoordelen.
Bestaat er een ANSSI EBIOS RM-toolbox?
ANSSI levert de officiële pdf-gids + methodefiches, maar geen geïntegreerde software. Tools op de markt (ResiPlan, EgeRiS, andere) ondersteunen de methode met begeleide invoer, automatische scoring en ANSSI-export. ResiPlan levert standaard de 5 workshops + scoring + scenario's + export van het verslag.
Is EBIOS RM afgestemd op ISO 27005?
Ja. EBIOS RM v1.5 (2018) is uitdrukkelijk afgestemd op ISO/IEC 27005:2022. De methode voegt 2 onderscheidende invalshoeken toe: aandacht voor gerichte risicobronnen (opzettelijk) en analyse van het ecosysteem (nevenschade). Voor ISO 27001-certificering is EBIOS RM een aanvaarde aanpak.
Hoe sluiten opeenvolgende workshops in EBIOS RM op elkaar aan?
De 5 workshops zijn sequentieel en iteratief. Het verslag van elke workshop voedt de volgende: afbakening → RS/OV → strategische scenario's → operationele scenario's → behandeling. Elke workshop duurt 0,5 tot 2 dagen, afhankelijk van de scope. Een volledige EBIOS-studie op een doelscope vertegenwoordigt 4 tot 8 dagen werk, gespreid over 1 tot 3 maanden.
Vervangt EBIOS RM MEHARI?
EBIOS RM en MEHARI bestaan naast elkaar. MEHARI (CLUSIF) richt zich meer op de beoordeling van bestaande maatregelen; EBIOS RM richt zich meer op de modellering van aanvallers en scenario's. ResiPlan ondersteunt beide methoden (plus FAIR, ISO 27005, Kinney, Bow-Tie en 31 andere) om aan te sluiten bij de maturiteit van uw organisatie.
Start uw eerste EBIOS RM-studie in 2 dagen
Gratis proefperiode van 7 dagen. Vooraf ingestelde ANSSI-sjablonen, automatische scoring, AI om strategische scenario's op te stellen. Rapport klaar voor ondertekening.