De robuustheid van een IT-systeem meten betekent dat je verder kijkt dan alleen het voorkomen van inbraken. RISC, een acroniem voor Réseaux, Informatique, Systèmes de confiance (netwerken, informatica en vertrouwenssystemen), staat voor een onderzoeksbenadering waarin softwarebeveiliging, hardwarebeveiliging en vertrouwensmodellen samenkomen om te beoordelen of een systeem ook onder verslechterde omstandigheden kan blijven functioneren. De focus verschuift: het gaat niet langer alleen om het blokkeren van een aanval, maar om het meten van de mate waarin een systeem weerstand biedt, zich herstelt en zich na een incident aanpast.
Digitale afhankelijkheden en aanvalsoppervlak: wat klassieke audits niet meten
Traditionele auditmethoden beoordelen de beveiliging binnen een afgebakende omgeving: servers, werkstations en firewalls. RISC verruimt deze blik door afhankelijkheden tussen netwerken, diensten en leveranciers mee te nemen als factor voor veerkracht. Een systeem kan intern perfect zijn geconfigureerd en toch kwetsbaar blijven via een externe dienstverlener of een onvoldoende afgeschermde API.
ENISA benadrukt in zijn Threat Landscape 2026, gebaseerd op de analyse van incidenten uit 2025, dat deze digitale afhankelijkheden het aanvalsoppervlak vergroten en zowel het voorkomen als het beperken van incidenten bemoeilijken. De RISC-benadering neemt deze dimensie nadrukkelijk mee door de interacties tussen verspreide componenten in kaart te brengen, terwijl een eenmalige audit slechts een statische momentopname oplevert.
Gespecialiseerde partijen brengen deze uitdagingen in kaart en bieden begeleidingstrajecten aan; meer informatie over hun diensten is te vinden op https://www.risc.lu/, waar verschillende aspecten van IT-beveiliging en -veerkracht aan bod komen.
Softwarebeveiliging, hardwarebeveiliging en vertrouwen: drie RISC-pijlers vergeleken
Het bijzondere aan RISC is dat het drie lagen tegelijk behandelt die in de meeste referentiekaders afzonderlijk worden bekeken. De onderstaande tabel vergelijkt deze pijlers aan de hand van operationele criteria.
| RISC-pijler | Toepassingsgebied | Type dreiging | Voorbeeld van een mechanisme |
|---|---|---|---|
| Softwarebeveiliging | Applicatiecode, bibliotheken, updates | Ongepatchte kwetsbaarheden, injecties | Statische codeanalyse, geautomatiseerde fuzzing |
| Hardwarebeveiliging | Processors, firmware, zijkanalen | Fysieke aanvallen, misbruik van microarchitectuur | Beveiligde enclaves, controle van de bootintegriteit |
| Vertrouwenssystemen | Gedistribueerde protocollen, certificeringsketens | Compromittering van een node, identiteitsvervalsing | Consensusalgoritmen die bestand zijn tegen Byzantijnse fouten |
Een systeem dat alleen de softwarelaag beveiligt, blijft kwetsbaar voor zijkanaalaanvallen op de hardware. Omgekeerd heeft beveiligde hardware weinig waarde als de software die ervan gebruikmaakt bekende kwetsbaarheden bevat. Veerkracht ontstaat door de samenhang tussen de drie lagen, niet door uitmuntendheid op slechts één ervan.
IT-veerkracht bij oude kwetsbaarheden: de rol van RISC-onderzoek
Bij een deel van de recente incidenten wordt misbruik gemaakt van kwetsbaarheden die al jaren bekend zijn. Onderzoeksteams die werken vanuit de RISC-benadering, zoals die van LAAS-CNRS, houden zich bezig met het modelleren van kritieke systemen en het analyseren van de verspreiding van fouten in gedistribueerde architecturen.
Hun onderzoek richt zich onder meer op:
- Virtualisatie en softwarisering van netwerken, die bij elke extra abstractielaag nieuwe aanvalsoppervlakken creëren
- Kunstmatige intelligentie voor anomaliedetectie, waarbij zuinigheid essentieel is om te voorkomen dat het verdedigingsmechanisme zelf een bron van complexiteit wordt
- Gedistribueerde fouttolerante algoritmen, waarmee een systeem kan blijven functioneren wanneer een of meer componenten zijn gecompromitteerd
Dit laatste punt onderscheidt veerkracht van gewone beveiliging. Een veerkrachtig systeem voorkomt niet elke compromittering, maar beperkt de verspreiding ervan en houdt de dienstverlening op een lager, maar functioneel niveau in stand.
Regelgevingskader NIS 2 en RISC-voorbereiding in Frankrijk
De Europese regelgeving stimuleert organisaties om hun aanpak van veerkracht te formaliseren. In Frankrijk heeft ANSSI het Référentiel Cyber France (ReCyF) beschikbaar gesteld als hulpmiddel bij de voorbereiding op de NIS 2-richtlijn. Volgens Certi-Trust was dit referentiekader in november 2026 nog een werkdocument dat kan worden aangepast voordat het definitief wordt aangenomen.
De omzetting van NIS 2 in Franse wetgeving is op dit moment nog niet afgerond. Er is een wetsvoorstel over veerkracht ingediend bij de Assemblée nationale, maar wanneer het daadwerkelijk wordt aangenomen, moet nog worden bevestigd. Voor organisaties die op deze verplichtingen vooruitlopen, biedt de RISC-benadering een gestructureerd kader: ze omvat van nature de onderdelen risicobeheer, gegevensbescherming en kwetsbaarheidsanalyse die NIS 2 vereist.
De kloof tussen technische voorbereiding en naleving van regelgeving
De uitdaging ligt in de kloof tussen de technische volwassenheid van een organisatie en de formele eisen van het toekomstige kader. Een bedrijf kan beschikken over geavanceerde detectietools, maar zijn procedures voor het melden van incidenten niet hebben vastgelegd binnen de termijnen die de richtlijn voorschrijft.
RISC helpt deze kloof te overbruggen door de incidentrespons op te delen in vier meetbare fasen: anticiperen, weerstand bieden, herstellen en aanpassen. Voor elke fase zijn controleerbare indicatoren beschikbaar, waardoor het eenvoudiger wordt om aan toezichthouders aan te tonen dat aan de eisen wordt voldaan.
Huidige beperkingen en ontwikkelingsrichtingen van RISC
De RISC-benadering lost niet alles op. Het in kaart brengen van afhankelijkheden tussen leveranciers stuit op een gebrek aan transparantie: de meeste cloudproviders publiceren geen details over hun eigen ketens van onderaannemers. Zonder die informatie blijft zelfs een geavanceerd vertrouwensmodel onvolledig.
Ook de integratie van AI in verdedigingsmechanismen brengt problemen met zich mee. Modellen voor anomaliedetectie genereren fout-positieven, waardoor beveiligingsteams overbelast raken. Zuinigheid van algoritmen wordt daarmee een criterium voor betrouwbaarheid, en niet alleen voor energie-efficiëntie.
De samenwerking tussen academisch onderzoek en de operationele behoeften van bedrijven neemt toe, maar verloopt nog traag. Het onderzoek van LAAS-CNRS naar kritieke systemen levert solide theoretische resultaten op, maar de vertaling daarvan naar industriële tools duurt meerdere jaren. De kloof tussen een laboratoriumprototype en een product dat in een productieomgeving kan worden ingezet, blijft de belangrijkste belemmering voor een brede toepassing van RISC als standaard voor veerkracht.
