De meest waardevolle KPI’s voor informatiebeveiliging meten gedrag, responstijden en blootstelling aan risico’s, niet alleen het aantal incidenten. Denk aan de gemiddelde tijd om een kwetsbaarheid te verhelpen, het percentage medewerkers dat een phishingtest doorstaat, of de dekkingsgraad van je patchbeleid. Voor elke organisatie die serieus werk maakt van informatiebeveiliging meten, is de keuze van de juiste metrics het startpunt.
In dit artikel beantwoorden we de meest gestelde vragen over security KPI’s: van het verschil tussen KPI’s en KRI’s tot welke metrics zinloos zijn en hoe je rapporteert aan het management.
Welke KPI’s geven een realistisch beeld van je beveiligingsniveau?
KPI’s die een realistisch beeld geven van je beveiligingsniveau meten concrete gedragingen en technische prestaties, niet abstracte activiteiten. De sterkste KPI’s voor informatiebeveiliging zijn tijdgebonden, herhaalbaar en direct gekoppeld aan risico’s die je organisatie loopt.
Hieronder staan de meest waardevolle categorieën:
- Patchsnelheid: Hoeveel dagen zit er gemiddeld tussen de publicatie van een kwetsbaarheid en het doorvoeren van de patch? Hoe lager dit getal, hoe kleiner het aanvalsoppervlak.
- Phishing-slagingspercentage: Welk percentage medewerkers klikt door op een gesimuleerde phishingmail? Dit meet menselijk gedrag direct.
- Mean Time to Detect (MTTD): Hoe snel ontdek je een incident nadat het is begonnen? Een hoge MTTD wijst op blinde vlekken in je monitoring.
- Mean Time to Respond (MTTR): Hoe snel reageer je nadat een incident is gedetecteerd? Dit toont de volwassenheid van je incidentrespons.
- Dekkingsgraad van toegangsbeheer: Welk percentage van de accounts heeft multi-factorauthenticatie (MFA) ingeschakeld?
- Openstaande kritieke kwetsbaarheden: Het absolute aantal kritieke bevindingen dat nog niet is verholpen, uitgesplitst naar ouderdom.
Wat deze metrics gemeen hebben: ze zijn objectief meetbaar en veranderen door concrete acties. Een KPI als “we hebben een firewall” zegt niets over prestaties. “95% van de kritieke patches is binnen 72 uur uitgerold” zegt alles.
Wat is het verschil tussen een KPI en een KRI in informatiebeveiliging?
Een KPI (Key Performance Indicator) meet hoe goed je beveiligingsprocessen presteren, terwijl een KRI (Key Risk Indicator) signaleert hoe groot de kans is dat een risico zich gaat manifesteren. KPI’s kijken terug; KRI’s kijken vooruit. Beide zijn nodig voor een volledig beeld van je cybersecurity metrics.
Het onderscheid is in de praktijk het duidelijkst aan een voorbeeld:
- KPI: 98% van de gebruikersaccounts heeft MFA ingeschakeld. Dit meet een prestatie die al bereikt is.
- KRI: Het aantal accounts met verhoogde rechten dat de afgelopen 30 dagen geen inlogactiviteit heeft vertoond. Dit signaleert een oplopend risico op misbruik.
In de praktijk maken veel organisaties de fout om alleen KPI’s bij te houden. Daarmee stuur je op het verleden. KRI’s geven je de mogelijkheid om bij te sturen voordat een risico een incident wordt. Een goed dashboard voor informatiebeveiliging en compliance bevat altijd een combinatie van beide.
Een vuistregel: als de metric je vertelt wat er al is gebeurd, is het een KPI. Als het je vertelt wat er dreigt te gebeuren, is het een KRI.
Hoe stel je meetbare doelen voor beveiligings-KPI’s in?
Meetbare doelen voor beveiligings-KPI’s stel je in door een beginwaarde (baseline) te meten, een ambitieus maar haalbaar streefcijfer te bepalen, en een tijdsperiode te koppelen aan de verbetering. Zonder baseline is elke doelstelling willekeurig.
Volg deze aanpak stap voor stap:
- Meet de huidige situatie: Voer een nulmeting uit. Wat is de gemiddelde patchtijd nu? Wat is het huidige phishing-slagingspercentage? Zonder dit startpunt kun je geen verbetering aantonen.
- Koppel de KPI aan een risico: Elke KPI moet terug te voeren zijn op een concreet risico. Patchtijd is gekoppeld aan het risico van exploitatie van bekende kwetsbaarheden. Zo blijft de KPI relevant.
- Gebruik het SMART-principe: Specifiek, Meetbaar, Acceptabel, Realistisch en Tijdgebonden. “Verbeteren van security” is geen KPI-doel. “De MTTD terugbrengen van 14 dagen naar 3 dagen binnen zes maanden” wel.
- Bepaal eigenaarschap: Elke KPI heeft een eigenaar nodig, een persoon of team dat verantwoordelijk is voor de meting en de verbetering.
- Stel een meetfrequentie in: Sommige KPI’s meet je dagelijks (openstaande kwetsbaarheden), andere maandelijks (phishingresultaten) of per kwartaal (MFA-dekking).
Een praktische tip: begin met vijf tot zeven KPI’s in plaats van een uitgebreid dashboard van twintig metrics. Meer is niet beter als de data niet betrouwbaar worden bijgehouden of niet leiden tot actie.
Welke KPI’s zijn verplicht of aanbevolen onder NIS2?
De NIS2-richtlijn schrijft geen specifieke KPI’s voor, maar verplicht organisaties wel om aantoonbaar grip te hebben op hun risico’s en maatregelen. Dit betekent dat je beveiligingsprestaties meetbaar en rapporteerbaar moeten zijn, met name op de gebieden die de wet als minimummaatregelen aanmerkt.
Op basis van de NIS2-zorgplicht zijn de volgende meetgebieden sterk aanbevolen:
- Risicoanalyse: Is er een actuele risicoanalyse? Hoe vaak wordt deze bijgewerkt? De wet vereist een beleid voor risicoanalyse en beveiliging van informatiesystemen.
- Supply chain security: Welk percentage van je kritieke leveranciers heeft een cybersecuritybeoordeling ondergaan? NIS2 vereist expliciet inzicht in de beveiligingsmaatregelen van leveranciers.
- MFA-dekking: De wet noemt het gebruik van multi-factorauthenticatie als minimummaatregel. Een KPI op de dekkingsgraad is daarmee direct relevant voor compliance.
- Incidentresponstijd: NIS2 verplicht organisaties om significante incidenten binnen 24 uur te melden bij de nationale autoriteiten. Je MTTR moet dus aantoonbaar onder die grens liggen.
- Bewustzijnstraining: Het percentage medewerkers dat een beveiligingstraining heeft afgerond is een directe indicator voor de verplichting rondom beveiligingsmaatregelen voor personeel.
- Patchbeheer: Dekkingsgraad en snelheid van patches voor kritieke systemen sluiten aan op de verplichting rondom beveiliging bij onderhoud van netwerk- en informatiesystemen.
Voor organisaties die als essentiële of belangrijke entiteit worden aangemerkt, is het bijhouden van deze metrics niet alleen verstandig, maar ook onderdeel van het aantonen van naleving richting toezichthouders. De Cyberbeveiligingswet, die naar verwachting in 2026 in werking treedt, maakt bestuurders verantwoordelijk voor de cyberweerbaarheid van hun organisatie.
Hoe vaak moet je beveiligings-KPI’s rapporteren aan het management?
Beveiligings-KPI’s rapporteer je aan het management op minimaal kwartaalbasis, met een maandelijks operationeel overzicht voor de CISO of verantwoordelijke manager. De frequentie hangt af van de dynamiek van de metric: operationele metrics vragen om een hogere frequentie, strategische metrics om een lagere.
Een werkbare rapportagestructuur ziet er als volgt uit:
- Dagelijks of wekelijks (operationeel niveau): Openstaande kritieke kwetsbaarheden, actieve incidenten, patchstatus van prioritaire systemen. Dit is voor het security team zelf, niet voor het management.
- Maandelijks (tactisch niveau): MTTD, MTTR, phishingresultaten, MFA-dekking, voortgang op openstaande bevindingen uit scans of audits. Dit is geschikt voor de CISO en lijnmanagement.
- Kwartaal (strategisch niveau): Trendanalyse over meerdere maanden, status van compliance-doelstellingen zoals NIS2, risicorapportage, budgetvoortgang. Dit is de rapportage die het bestuur en de directie ontvangt.
Het management heeft geen behoefte aan ruwe data. Wat telt is de trend: gaat het beter of slechter? Waar zijn acties nodig? Een goed managementrapport bevat drie tot vijf kernindicatoren met een duidelijk signaal (groen, oranje, rood) en een korte toelichting op afwijkingen.
Onder NIS2 is bestuurlijke betrokkenheid bij informatiebeveiliging een expliciete verplichting. Bestuurders moeten voldoende kennis hebben om weloverwogen beslissingen te nemen. Regelmatige rapportage is daarvoor de basis.
Welke KPI’s zijn zinloos of misleidend in de praktijk?
KPI’s die activiteit meten in plaats van effectiviteit zijn zinloos of actief misleidend. Ze geven een gevoel van controle zonder dat ze iets zeggen over het werkelijke beveiligingsniveau. Dit zijn de meest voorkomende valkuilen bij het meten van beveiligingsprestaties.
Activiteitsmetrics die niets bewijzen
Het aantal uitgevoerde beveiligingsscans, het aantal bijgewoonde trainingen of het aantal gesloten tickets zegt niets over kwaliteit of effect. Een organisatie kan tien scans per jaar uitvoeren en toch kwetsbaar zijn als de bevindingen niet worden opgepakt. De metric die telt is niet “hoeveel scans”, maar “welk percentage van de kritieke bevindingen is binnen de afgesproken termijn opgelost”.
Compliance-percentages als schijnzekerheid
“We zijn 87% compliant met ons beleid” is een metric die regelmatig in dashboards verschijnt en bijna altijd misleidend is. Ten eerste zegt het niets over welke 13% ontbreekt: zijn dat kleine administratieve punten of kritieke beveiligingsmaatregelen? Ten tweede meet compliance met papieren beleid niet of dat beleid ook in de praktijk werkt. Een penetratietest toont vaak aan dat een organisatie op papier compliant is, maar in de praktijk kwetsbaar.
Andere metrics om kritisch op te zijn:
- Aantal beveiligingsincidenten als succes-indicator: Nul incidenten kan betekenen dat je goed beveiligd bent, maar ook dat je detectiecapaciteit tekortschiet. Een lage MTTD is veelzeggender.
- Percentage medewerkers dat een training heeft “afgerond”: Als de training bestaat uit het klikken door tien slides zonder toets, zegt het afrondingspercentage niets. Koppel dit altijd aan gedragsmeting, zoals phishingresultaten.
- Uptime van beveiligingstools: Dat je SIEM 99,9% beschikbaar is, zegt niets over de kwaliteit van de alerts die het genereert of de opvolging daarvan.
De rode draad: een KPI is alleen waardevol als een verslechtering ervan leidt tot een concrete actie. Als niemand weet wat er moet gebeuren wanneer de metric daalt, is het geen KPI maar decoratie.
Hoe Q-Cyber helpt met het meten van je beveiligingsprestaties
Weten welke KPI’s je moet meten is één ding; ze structureel bijhouden, interpreteren en vertalen naar beleid is iets anders. Wij helpen organisaties bij het opzetten van een meetbaar en werkbaar beveiligingsprogramma, van de eerste nulmeting tot de kwartaalrapportage aan het bestuur.
Wat wij concreet voor je doen:
- Het uitvoeren van vulnerability scans en pentests die de basis leggen voor je openstaande-kwetsbaarheden-KPI en patchsnelheid
- Het opzetten van een KPI-dashboard dat aansluit op jouw risicoprofiel en de eisen vanuit NIS2
- Het begeleiden van bestuurders en management bij het begrijpen en beoordelen van beveiligingsrapportages, zodat zij aan hun trainingsplicht onder de Cyberbeveiligingswet voldoen
- Het leveren van een virtuele CISO via Continuous-Q die maandelijks rapporteert, trends signaleert en bijstuurt waar nodig
- Onafhankelijk advies zonder binding aan softwarepartijen, zodat de metrics die we aanbevelen in jouw belang zijn en niet in dat van een tool
Of je nu net begint met het structureren van je beveiligingsmetrics of je bestaande dashboard wilt aanscherpen: neem contact op en we kijken samen welke aanpak het beste past bij jouw organisatie.
Gerelateerde artikelen
- Hoe weet je of een pentest daadwerkelijk handmatig is uitgevoerd?
- Hoe herken je een oppervlakkige pentest?
- Waarom betekent minder gevonden kwetsbaarheden niet automatisch dat je veiliger bent?
- Hoe werkt incidentmelding onder de NIS2-richtlijn?
- Insider threats: hoe herken en voorkom je ze?
- Wat verwacht een cyberverzekeraar van onze beveiliging?
- Wat is gray box pentesten?
- Is een pentest verplicht?
- Wat is een white hat hacker
- Hoe verifieer je dat fixes effectief zijn?