Compliance is niet alleen voor grote banken: de WWKE geldt ook voor financieel MKB

Compliance voelt vaak als iets voor grote banken met grote teams. Toch raakt nieuwe wetgeving rond weerbaarheid en ketenafhankelijkheden ook het financieel MKB, juist omdat veel processen leunen op cloud, softwareleveranciers en IT-beheer. De Wet weerbaarheid kritieke entiteiten, vaak aangeduid als WWKE-wetgeving, komt voort uit de Europese CER-richtlijn en legt de nadruk op risicoanalyse, continuïteit en incidentaanpak. Dat vraagt om duidelijke afspraken en aantoonbare maatregelen, ook als je organisatie niet groot is. In dit artikel lees je wat de WWKE betekent, hoe je bepaalt of je binnen de scope valt, welke eisen doorwerken naar IT-leveranciers, welke fouten vaak worden gemaakt en een praktisch stappenplan om aantoonbaar in control te komen.

Wat de WWKE betekent voor financieel MKB

De WWKE is de Nederlandse vertaling van de Europese CER-richtlijn. Het doel is dat organisaties die een essentiële dienst leveren weerbaarder worden tegen verstoringen, zoals cyberincidenten, technische storingen en andere ontwrichtingen. In de uitleg van overheid en adviespartijen komt steeds hetzelfde terug: je moet risico’s kennen, plannen hebben en kunnen aantonen dat je voorbereid bent.

Voor financieel MKB is de belangrijkste nuance dat de wet niet alleen over grote instellingen gaat. De gedachte achter de CER-richtlijn is dat ook kleinere organisaties impact kunnen hebben in een keten. Denk aan accountantskantoren, administratiekantoren en verzekeraars die cruciale processen ondersteunen, of die sterk verweven zijn met partijen die wél als kritisch worden aangewezen.

Een paar kernbegrippen die je in de praktijk tegenkomt:

• Uitbesteding. Werk dat je laat uitvoeren door een derde partij, zoals IT-beheer, cloudhosting of servicedesk.
• Ketenrisico. Risico dat ontstaat doordat jouw dienstverlening afhankelijk is van leveranciers, subleveranciers en platforms.
• Toezicht. Aangewezen organisaties krijgen te maken met eisen rond aantoonbaarheid, meldingen en periodieke toetsing.

Voor wie geldt de WWKE precies?

De WWKE werkt met het principe van aanwijzing. Ministeries wijzen kritieke entiteiten aan binnen sectoren die onder de wet vallen. De overheid geeft daarbij aan dat je niet moet afwachten, omdat de risico’s nu al bestaan en de implementatie gefaseerd verloopt. In de praktijk betekent dit dat je twee dingen moet uitzoeken: val je zelf onder aanwijzing, of ben je een belangrijke schakel voor een partij die wordt aangewezen?

Gebruik deze beslisboom om je scope te bepalen:

1. Leveren wij een dienst die als essentieel kan worden gezien binnen een aangewezen sector, of zijn wij onderdeel van een vitale keten?
2. Zijn onze processen sterk afhankelijk van IT en digitale dienstverlening, zoals cloudwerkplekken, online dossiers, portalen of koppelingen met klanten?
3. Zijn wij leverancier van een partij die waarschijnlijk wordt aangewezen, en krijgen wij eisen opgelegd via contracten en audits?

Wat je vastlegt om dit te onderbouwen:

• Een overzicht van je kritieke diensten en processen, inclusief afhankelijkheden zoals applicaties, data, locaties en leveranciers.
• Een onderbouwing waarom je wel of niet verwacht aangewezen te worden, inclusief welke ketenrelaties relevant zijn.
• Een eigenaar per proces en per leverancier, zodat verantwoordelijkheden niet blijven zweven.

Welke compliance-eisen raken je IT-leveranciers

Ook als je niet direct onder aanwijzing valt, werken WWKE-verwachtingen vaak door via klanten, ketenpartners en auditors. Dan komt third-party risk management centraal te staan. Je wilt kunnen aantonen dat uitbestede IT geen blinde vlek is, maar een beheerst onderdeel van je weerbaarheid.

Let extra op leveranciers buiten de EU en op concentratierisico. Als veel van je kernprocessen leunen op een beperkt aantal platforms, dan moet je compenserende maatregelen hebben. Denk aan goede back-ups, herstelprocedures, alternatieve werkprocessen en strakke monitoring.

Veelgemaakte WWKE-fouten en risico’s

De meeste problemen ontstaan niet door onwil, maar door versnippering en onduidelijkheid. Dit zijn fouten die we vaak zien bij organisaties die denken dat ze compliant zijn, maar het niet kunnen bewijzen.

• Versnipperde tooling waardoor niemand het totaaloverzicht heeft van accounts, apparaten, logs en alerts.
• Onduidelijke verantwoordelijkheden tussen directie, compliance, IT en leveranciers.
• Gebrek aan documentatie. Er is wel een plan, maar het is niet actueel of niet getest.
• Onvoldoende logging en monitoring, waardoor incidenten laat worden gezien of niet goed te reconstrueren zijn.
• Geen getest herstelplan. Back-ups bestaan, maar een restore is nooit geoefend.
• Shadow IT. Teams gebruiken eigen tools voor bestanden, chat of klantdata buiten het beleid om.

De gevolgen zijn vervelend en vaak praktisch: operationele stilstand, verlies van vertrouwen, lastige audits en een organisatie die reactief blijft. Een duidelijk signaal dat je niet in control bent, is als je bij een auditvraag eerst moet gaan zoeken wie iets beheert, of als je bij een incident niet snel kunt uitleggen wat geraakt is en wat je volgende stap is.

Praktisch stappenplan om WWKE-proof te worden

Een werkbare aanpak is klein beginnen en snel aantoonbaarheid opbouwen. Zie WWKE-wetgeving als een structuur om je weerbaarheid te organiseren, niet als een stapel papier.

1. Scope bepalen. Benoem kritieke diensten, processen en afhankelijkheden, inclusief derde partijen.
2. Risicoanalyse uitvoeren. Breng dreigingen in kaart, inclusief IT, mens, proces en leveranciers.
3. Leveranciersinventarisatie maken. Classificeer leveranciers op kritischheid en leg eigenaar en contactpunten vast.
4. Contractreview doen. Check audit-, incidentmeldings-, subverwerkers-, continuïteits- en exitafspraken.
5. Beleid en procedures vastleggen. Denk aan toegangsbeheer, wijzigingsbeheer, incidentrespons en continuïteit.
6. Technische basis op orde. MFA, patching, back-ups, EDR, vulnerability management en een beheerde firewall met monitoring.
7. Incidentrespons oefenen. Maak scenario’s, oefen communicatie en herstel, en verbeter na elke oefening.
8. Periodieke tests en audits plannen. Zorg voor een ritme en verzamel evidence, zoals rapportages, logsamenvattingen en testresultaten.

Minimale set evidence die bijna altijd helpt: proces- en dienstenoverzicht, risicoanalyse, leveranciersregister, incidentprocedure, continuïteitsplan, hersteltestverslagen en een set maandelijkse of kwartaalrapportages over beheer en security.

Hoe Mr Blocks helpt met WWKE-compliance

Wij helpen financieel MKB om WWKE-eisen praktisch te maken, met een veilige digitale werkplek en een IT-fundament dat aantoonbaar klopt. Daarbij nemen we beheer, beveiliging, continuïteit en support als één samenhangende verantwoordelijkheid, zodat je niet hoeft te puzzelen met losse leveranciers.

• Inrichting en beheer van een digitale werkplek met een duidelijke security baseline en voorspelbaar beheer.
• IT-securitydiensten zoals een managed firewall met monitoring, Endpoint Detection and Response en vulnerability management.
• Monitoring, incidentafhandeling en rapportage die je kunt gebruiken als evidence richting klanten en auditors.
• Ondersteuning bij leveranciersoverzicht, contractpunten en praktische continuïteit, inclusief hersteltests en verbeteracties.
• Heldere communicatie en vaste aanspreekpunten, zodat verantwoordelijkheden niet versnipperen.

Wil je weten waar je nu staat en welke stappen het meeste effect hebben voor jouw organisatie? Bekijk wie we zijn of neem direct contact op via onze contactpagina voor een praktische intake.

Gerelateerde artikelen

• Welke Microsoft 365 beveiligingsinstellingen zijn essentieel?
• Wat is het verschil tussen MFA en 2FA?
• Hoe vaak moet je cybersecurity awareness trainingen geven?
• Welke voordelen bieden security monitoring services?
• Welke vragen stel je aan cybersecurity monitoring providers?