Cyber Risk Manager

Functieomschrijving

Als Cyber Risk Manager ben je verantwoordelijk voor het opzetten, verbeteren en uitvoeren van een geïntegreerd cyberrisicomanagementproces. Je richt je op risicoanalyse, business impact analyses, risicobehandeling, rapportage en audit-bewijsvoering, met aandacht voor business continuity en veerkracht.

Belangrijkste taken en verantwoordelijkheden

• Risicometodologie: Ontwikkelen en verbeteren van een consistente cyber risk assessment-methodiek en koppeling aan het bredere risicomanagementkader (inclusief inherent en residueel risico).
• Risicobeoordelingen: Uitvoeren en afronden van risicoassessments voor organisatorische eenheden, inclusief formaliseren van risico- en actie-eigenaarschap.
• Business Impact Analyses (BIA): Identificeren van kritische activiteiten en afhankelijkheden (systemen, data, leveranciers, faciliteiten, mensen) en bepalen van impact, RTO en RPO.
• Risicoregister en behandelplannen: Vastleggen van risico’s met behandelplannen, acties, prioriteiten, eigenaren en targetrisiconiveaus; monitoren van openstaande acties en risico’s buiten de appetijt.
• Managementrapportage en dashboards: Opzetten van dashboards en rapportages die risico-niveaus, trends, kritische risico’s, voortgang en acceptatiebesluiten zichtbaar maken, en die managementreviews en governance ondersteunen.
• Integratie in PDCA: Integreren van risicomanagement in een PDCA-cycle voor risico’s, inclusief review en verbeteracties bij veranderingen (dreigingen, projecten, leveranciers).
• Business continuity & resilience: Prioriteren van aanbevelingen voor continuïteit, disaster recovery, crisismanagement, back-up en redundantie; input leveren voor continuïteits- en herstelscenario’s en oefeningen.
• Compliance en audit: Zorgdragen voor audit-ready documentatie ter ondersteuning van interne audits, externe certificering en toezichthoudende eisen.
• Kennisoverdracht: Enablement van stakeholders, trainen van medewerkers en overdracht van kennis aan interne risicomanagementcollega’s.

Belangrijke eindproducten

• Goedgekeurde cyberrisico-assessmentmethodologie
• Geprioriteerde portfolio van afgeronde risico-assessments en BIA’s
• Goedgekeurde risicobehandelings- en risicoacceptatieregistraties
• Gedocumenteerd risico-PDCA-proces
• Verbeterroadmap voor resterende risico-managementgaps (ISO27001/NIS2-gerelateerd)

Gevraagde competenties en kennis

• Cyber Risk Assessment: Ervaring met beoordelen van kans, impact, inherent en residueel risico volgens een consistente methodiek en met duidelijke eigenaarschap.
• Business Impact Analysis: Ervaring met beoordelen van operationele, financiële, juridische, reputatie-, veiligheids- en informatiebeveiligingsimpact; kennis van RTO en RPO.
• Kennis van ISO27001 en NIS2: Inzicht in risicomanagement, incidentafhandeling, continuïteit, leveranciersbeveiliging en bestuurlijke verantwoording; ervaring met bewijsvoering en auditabiliteit.
• Analytisch en gestructureerd werken: Sterke analytische vaardigheden en aandacht voor kwaliteit en consistentie van risico- en BIA-data; ervaring met risicoregisters, dashboards en GRC-tooling.
• Stakeholdermanagement en faciliteren: Vaardigheid om effectief samen te werken met service-eigenaren, onderzoekers, architecten, engineers en management; heldere communicatiestijl in businesstaal.
• Pragmatische implementatie: Focus op proportionaliteit en vermijding van onnodige complexiteit of administratieve lasten.
• Organisatorische bewustzijn: Inzicht in de specifieke behoeften van onderzoek, onderwijs, laboratoria en operationele technologie; balans tussen security, compliance, resilience en usability.
• Voertaal: Engels (gebruik van de Engelse vakterminologie en communicatie).

Eisen

• A documented and practical risk assessment methodology aligned with ISO
  27001, ISO 27005, NIS2, and the TU/e risk management framework
• Standard templates, scoring criteria, risk categories, impact scales, and
  guidance for assessing inherent and residual risk
• Clear criteria for risk acceptance, escalation, treatment, and management
  approval
• Risk assessments for agreed critical services, systems, projects,
  suppliers, research environments, and organisational units
• Clear documentation of assets, threats, vulnerabilities, existing
  controls, risk scenarios, likelihood, impact, and residual risk
• Prioritised findings and recommendations that can be translated into
  concrete improvement actions
• Formal identification of risk owners and action owners
• Completed BIAs for critical education, research, operational, and
  supporting processes

… lees de volledige omschrijving bij GreenPepper.