Werken als IT Risk Manager

Wat doet een IT Risk Manager?

Een IT Risk Manager vertaalt technische kwetsbaarheden naar risico's die het management kan wegen. De rol kijkt naar systemen die kunnen uitvallen, gegevens die kunnen lekken of verloren gaan, leveranciers waarvan de organisatie afhankelijk is en wijzigingen die iets kunnen breken. Het risico zelf blijft in beheer bij de eigenaar van het systeem of het proces. Testen doet de rol ook niet zelf, dat doen bijvoorbeeld een penetration tester of een IT-auditor.

Er is geen officieel profiel met de titel IT Risk Manager. Het dichtstbijzijnde profiel is de Cybersecurity Risk Manager uit het European Cybersecurity Skills Framework van ENISA, en die beschrijft het beheren van de cybersecuritygerelateerde risico's van de organisatie, afgestemd op de strategie. Hoe de titel per organisatie is ingevuld, verschilt. Bij sommige organisaties hoort de IT Risk Manager bij het risicoteam, bij andere bij het securityteam of de CISO-organisatie, en bij kleinere organisaties is het dezelfde persoon als de Information Security Officer. De vacature laat zien hoe de rol is ingericht.

Bij sommige organisaties ziet een week er zo uit. Scanresultaten en auditbevindingen vertaal je naar risico's. Een nieuw project of een nieuwe leverancier beoordeel je. Je houdt het risicoregister bij, schrijft een rapportage voor het management en bespreekt met IT-beheer waarom een maatregel is vertraagd.

Neem een organisatie die een bedrijfsapplicatie naar een cloudplatform wil verplaatsen. De IT Risk Manager vraagt welke gegevens erin staan, wie er toegang heeft, wat er gebeurt als het platform niet bereikbaar is, welke afspraken in het contract staan en welke maatregelen de organisatie zelf neemt. Samen met IT-beheer en de eigenaar van de applicatie beoordeelt de IT Risk Manager de risico's en stelt maatregelen voor, zoals extra toegangscontrole, een back-upafspraak en een exitplan. Daarna volgen het risicorapport en een actieplan. De eigenaar of het management besluit welk restrisico acceptabel is. Dit is een voorbeeld, geen vaste werkwijze.

Het vakgebied waar deze rol onder valt, staat op de pagina over risicomanagement.

Een IT-risico van begin tot eind

De aanpak van ISO 31000, de norm voor risicomanagement, beschrijft het werk als een reeks stappen: identificeren, analyseren, evalueren, behandelen, monitoren en communiceren. De norm bevat good practice richtlijnen die elke organisatie kan gebruiken, ongeacht omvang, activiteit of sector. Het is geen certificeerbare norm. De editie uit 2018 is volgens ISO in 2023 bevestigd als actueel, en een opvolger is in ontwikkeling, dus kijk voor de actuele editie op de pagina van ISO. Zo loopt één risico er in de praktijk doorheen.

1. Constateren. Wat is er aan de hand? Dat kan een scan zijn, een incident of een wijzigingsvoorstel.
2. Beoordelen. Welk systeem is het, welke gegevens staan erin, welke dreiging speelt en hoe erg is het?
3. Behandelopties voorstellen. Je kunt het risico vermijden, verminderen, delen of accepteren.
4. Besluit. De eigenaar of het management kiest de optie.
5. Maatregel volgen. Je volgt tot de maatregel is uitgevoerd.
6. Vastleggen. Het restrisico en eventuele uitzonderingen krijgen een plek in het register, met een periodieke herbeoordeling.

Een voorbeeld: een scan laat zien dat een oud systeem kwetsbaarheden heeft. Het systeem kan nu niet worden vervangen, omdat een afdeling ervan afhankelijk is. De IT Risk Manager legt het risico vast en stelt tijdelijke maatregelen voor, zoals het systeem afschermen van het netwerk en extra monitoring. De afspraak krijgt een uitzondering met een einddatum en een eigenaar. Daarna volgt de IT Risk Manager of die afspraak wordt nagekomen.

Welke taken horen bij de functie?

Het ECSF-profiel somt de hoofdtaken op. In gewone taal komen ze hierop neer:

• een assetinventaris bijhouden, dus welke systemen, gegevens en diensten de organisatie heeft
• bedreigingen en kwetsbaarheden van ICT-systemen beoordelen en het dreigingslandschap in kaart brengen
• risico's inschatten en behandelopties voorstellen
• de effectiviteit van maatregelen en het risiconiveau volgen
• rapporteren, risicobewustzijn bevorderen en de risicomanagementcyclus bijhouden
• nauw samenwerken met IT-beheer en security

Het profiel noemt twee opleveringen: een Cybersecurity Risk Assessment Report, in het Nederlands een risicobeoordelingsrapport, en een Cybersecurity Risk Remediation Action Plan, een actieplan voor risicoverbetering.

Welke skills heb je nodig?

Technisch heb je begrip van IT-infrastructuur, netwerken, cloud en toegangsbeheer nodig. Je kent kwetsbaarheden en beheersmaatregelen, en je leest wat een scan, een auditrapport of een incidentverslag zegt. Daarbij komen risicobeoordeling en het uitwerken van scenario's. Het ECSF-profiel noemt ook het toepassen van risicomanagementkaders en het borgen van naleving van regelgeving en standaarden.

Niet-technisch leg je een risico uit aan iemand die geen IT kent, en je onderhandelt met een beheerder die weinig tijd heeft. Je legt vast wie waarom iets accepteert en blijft onder tijdsdruk consistent. Het profiel vraagt ook om bedrijfsmiddeleneigenaren en bestuurders in staat te stellen risicogeïnformeerde beslissingen te nemen, en om opties voor risicodeling voor te stellen en te beheren.

Welke kaders en hulpmiddelen gebruikt een IT Risk Manager?

ISO 31000 geeft de algemene aanpak. Voor informatiebeveiligingsrisico's zijn NIST SP 800-39 (maart 2011) en NIST SP 800-30 Rev. 1 (september 2012) relevant. Die laatste gaat over het uitvoeren van risicobeoordelingen. NIST IR 8286 Rev. 1 (december 2025) helpt cyberrisico te koppelen aan het risicoregister van de organisatie. Ook ISO 27001 en het NIST Cybersecurity Framework zijn kaders waar je mee te maken kunt krijgen.

Als hulpmiddel dienen een assetoverzicht en een risicoregister. Een vulnerability scanner is een programma dat systemen controleert op bekende kwetsbaarheden, met Nessus en Qualys als voorbeelden. Een SIEM is een systeem dat logs verzamelt en meldingen maakt, zoals Splunk of Microsoft Sentinel. Welke tools een werkgever gebruikt, staat in de vacature.

ICT-risico en regelgeving in de financiële sector

Verordening (EU) 2022/2554 gaat over digitale operationele weerbaarheid voor de financiële sector, kortweg DORA. Volgens ESMA is de verordening op 16 januari 2023 in werking getreden en geldt ze vanaf 17 januari 2025. ESMA noemt onder meer een raamwerk voor ICT-risicobeheer, het beheer van ICT-risico's bij derden en het melden van ernstige incidenten.

Bij financiële instellingen die onder DORA vallen, betekent dat meer eisen aan vastlegging en aan de keten van ICT-leveranciers. De Nederlandse Bank noemt het melden van ernstige ICT-gerelateerde incidenten, een informatieregister van ICT-diensten van derden en het testen van digitale weerbaarheid. De AFM schrijft dat de eisen rekening houden met de omvang, het risicoprofiel en het systeemrelevante belang van een organisatie. Een andere Europese regeling die je naast DORA tegenkomt, is NIS2.

Voor de exacte tekst, inclusief artikelnummers, kijk je op EUR-Lex en op de pagina's van DNB over DORA en van de AFM over DORA.

Welke opleiding en certificeringen passen bij een IT Risk Manager?

Een hbo- of wo-opleiding in ICT, bedrijfsinformatica, informatiekunde of security is gangbaar. Mensen komen ook uit systeembeheer, netwerkbeheer, security of audit. Certificeringen die bij het werk passen zijn de CRISC (risico en beheersing van informatiesystemen), de CISM (security management), de CISA (audit), de CISSP (breed security) en de ISO 27001 Lead Auditor (audit van een informatiebeveiligingsmanagementsysteem).

Een werkgever stelt eigen eisen, en een certificering vervangt geen ervaring. Lees voor wat elke certificering precies inhoudt de eigen artikelen, en vergelijk die met wat de vacature vraagt.

Hoe word je IT Risk Manager?

Je kunt instromen vanuit systeembeheer of netwerkbeheer, vanuit security zoals een SOC of vulnerability management, vanuit audit of vanuit projectmanagement. Ook een analistenfunctie bij risk of compliance is een route.

Begin klein. Zet een risicoregister op voor een eigen casus, bijvoorbeeld je thuisnetwerk of een fictief project. Vertaal een kwetsbaarheid in drie zinnen naar een risico dat een bestuurder kan begrijpen. Lees ISO 31000 en NIST SP 800-30, en noteer wat je ervan begrijpt en waar je twijfelt.

Laat een helder risicorapport zien en een uitleg die een niet-technische lezer begrijpt.

Waar werk je als IT Risk Manager?

De rol zit bij banken, verzekeraars en pensioenfondsen, bij IT- en SaaS-bedrijven, bij energie- en infrastructuurbedrijven, bij overheden, in de zorg en bij consultancybureaus. Per sector staan vacatures op de pagina's financiële dienstverlening, verzekeringen en pensioenen, IT, SaaS en technologie en energie en infrastructuur. Werkgevers die de rol zoeken, staan op de pagina van IT Risk Managers bij werkgevers.

IT Risk Manager of Risk Manager?

De twee rollen overlappen, maar de reikwijdte en het werk verschillen.

De IT Risk Manager levert de IT-kant aan het risicoregister van de organisatie, en bij kleinere organisaties vervaagt de grens tussen de twee. Beide rollen kunnen bij de tweede lijn horen. Het Three Lines Model Statement of Position van The IIA (2026) schrijft dat organisaties met complexe activiteiten of snel veranderende risicoprofielen een verder ontwikkelde tweede lijn kunnen nodig hebben. Hoe dat per organisatie is ingericht, verschilt.

Doorgroei kan in verschillende richtingen. Dit is een overzicht, geen belofte:

• Senior IT Risk Manager voor complexere omgevingen.
• Information Security Officer, voor de security-organisatie. Zie de vacatures en de rolgids.
• Chief Information Security Officer, voor de leiding van de security-organisatie. Zie de vacatures en de rolgids.
• Risk Manager, met een bredere blik op risico's. Zie de vacatures en de rolgids.
• Third Party Risk Manager, voor de leveranciersketen. Zie de vacatures en de rolgids.
• IT-auditor, voor de overstap naar onafhankelijke assurance. Zie de vacatures en de rolgids.
• GRC Consultant. Zie de vacatures en de rolgids.

Welke route openstaat, hangt af van de organisatie en van wat je laat zien.

Vacatures en werkgevers

Open vacatures voor de rol vind je op de vacaturepagina voor IT Risk Managers. Op de werkgeverspagina zie je welke organisaties de rol zoeken. Lees in de vacature welke tools, certificeringen en sector worden gevraagd, want de vacature laat zien hoe de rol bij die werkgever is ingericht.