Drie vragen die elke financieel dienstverlener zichzelf nu moet stellen over de WWKE

Financiële dienstverleners draaien op vertrouwen, continuïteit en zorgvuldige omgang met data. De WWKE-wetgeving zet die thema’s extra scherp, omdat weerbaarheid niet alleen een IT-onderwerp is, maar een organisatieverantwoordelijkheid die je moet kunnen uitleggen en aantonen. Dat raakt direct je processen, je leveranciers en de dagelijkse werkplek van medewerkers.

In dit artikel krijg je een heldere duiding van de WWKE in de context van financiële dienstverlening. Daarna lopen we langs drie praktische vragen die helpen om snel te zien waar je staat, waar de grootste risico’s zitten en welke maatregelen meestal de meeste rust geven in de operatie.

Wat betekent de WWKE voor jouw organisatie

De Wet weerbaarheid kritieke entiteiten is de Nederlandse uitwerking van de Europese CER-richtlijn. Het doel is het verhogen van de weerbaarheid van organisaties die essentiële diensten leveren aan de samenleving. Denk aan diensten die, bij uitval of verstoring, grote impact kunnen hebben op economie en maatschappij. De overheid geeft daarbij expliciet aan dat organisaties niet moeten wachten met voorbereiden, omdat de risico’s nu al bestaan.

Voor financiële dienstverleners is de scope soms indirect. Je kunt zelf aangewezen worden als kritieke entiteit, maar vaker zit de impact in de keten. Je bent afhankelijk van vitale partijen zoals internet, cloud, telecom en mogelijk betalingsverkeer. De WWKE-wetgeving legt de nadruk op risicobeoordelingen, continuïteit en incidentmelding. In de praktijk betekent dit dat je niet alleen maatregelen neemt, maar ook aantoonbaar maakt dat je de belangrijkste verstoringsscenario’s beheerst, inclusief afhankelijkheden van leveranciers en uitbesteding.

De koppeling met gegevensbescherming is logisch. Als processen uitvallen, ontstaan vaak noodoplossingen, handmatige exports en extra kopieën van data. Dat vergroot het risico op datalekken en onbedoelde toegang. Operationele weerbaarheid en databeveiliging lopen hier dus in elkaar over.

Vraag 1: Zijn risico’s en verantwoordelijkheden aantoonbaar

De kern van de WWKE-wetgeving is niet alleen dat je risico’s kent, maar dat je kunt laten zien dat je ze structureel beheert. Dat begint met een inventarisatie van kritieke processen, data en systemen. Voor een accountants- of administratiepraktijk zijn dat bijvoorbeeld dossierbeheer, e-mail, identity, werkplekbeheer, back-up en klantportalen. Voor een verzekeringsdienstverlener komen daar vaak ketenkoppelingen en polis- of claimprocessen bij.

Vervolgens leg je vast wie waarvoor verantwoordelijk is. Intern gaat het om eigenaarschap, besluitvorming en escalatie. Extern gaat het om leveranciers, hun rol bij incidenten en wat je van hen mag verwachten qua herstel en communicatie.

Praktische checklist voor aantoonbaarheid.

• Een actueel risicoregister met een eigenaar per risico en geplande maatregelen.
• DPIA’s of risicoanalyses voor processen met gevoelige data en uitbesteding.
• Logging op kernsystemen en een bewaarbeleid dat past bij onderzoek en audits.
• Incidentregistratie met oorzaak, impact, herstelactie en leerpunten.
• Periodieke reviews met leveranciers en interne managementrapportages.

Het doel is voorspelbaarheid. Je wilt niet pas bij een audit of incident ontdekken dat er beleid bestaat, maar bewijs ontbreekt.

Vraag 2: Is de digitale werkplek veilig ingericht

De meeste verstoringen beginnen klein. Een phishingmail, een gestolen sessie, een laptop die niet gepatcht is. Daarom is de digitale werkplek een logische plek om de WWKE-wetgeving praktisch te maken. Je verlaagt risico’s zonder dat medewerkers er dagelijks last van hebben, mits je het goed inricht.

Basismaatregelen die bijna altijd relevant zijn.

• Identity en access met MFA en conditional access op basis van risico en locatie.
• Device management voor laptops en mobiele apparaten, inclusief beleid voor hybride werken.
• Patch management met duidelijke kaders voor spoedupdates en uitzonderingen.
• Encryptie op devices en veilige opslag van sleutels en herstelcodes.
• Back-up voor werkplekdata waar dat nog nodig is, plus herstelprocedures.
• Phishingbescherming en awareness die aansluiten op je echte werkprocessen.
• Least privilege: dus geen lokale adminrechten, tenzij aantoonbaar nodig.

Let extra op BYOD en uitzonderingen. Elke uitzondering is een mini-ketenrisico. Maak daarom meetpunten die je maandelijks kunt volgen, zoals patchstatus, MFA-dekking, het aantal adminaccounts en het volume aan geblokkeerde verdachte aanmeldingen. Quick wins zitten vaak in het opruimen van oude accounts, het aanscherpen van toegang tot klantdata en het standaardiseren van device policies.

Vraag 3: Kun je incidenten snel detecteren en herstellen

De WWKE-wetgeving draait om weerbaarheid. Dat betekent dat je accepteert dat incidenten gebeuren en dat je organisatie is ingericht op snelle detectie, gecontroleerde respons en betrouwbaar herstel. In de praktijk gaat het om drie lagen: zien, reageren, herstellen.

• Monitoring op kernsystemen en werkplekken, bij voorkeur met EDR en centrale signalering.
• Een incidentresponsplan met stappen voor identificatie, inperking, uitroeiing en herstel, plus communicatie.
• Afgesproken protocollen met derde partijen die ondersteunen tijdens verstoringen.

Maak continuïteit concreet met RTO en RPO per proces, en test dit. Niet alleen een back-up maken, maar ook restore-tests uitvoeren en vastleggen wat wel en niet terugkomt. Oefen scenario’s zoals uitval van cloudtoegang, ransomware op een endpoint of een leverancier die tijdelijk niet levert. Zet KPI’s neer voor responstijd en hersteltijd, zodat je verbetering kunt sturen in plaats van op gevoel.

Veelgemaakte WWKE-valkuilen bij MKB-kantoren

Bij MKB-kantoren zit de uitdaging zelden in onwil. Het zit in complexiteit die langzaam groeit. Dit zijn valkuilen die we vaak zien in de praktijk.

• Versnipperde tooling waardoor logging, back-up en beheer niet samenkomen.
• Onduidelijk eigenaarschap, waardoor risico’s tussen IT, compliance en operatie blijven hangen.
• Schaduw-IT met losse apps en exports van klantdata buiten beleid om.
• Te veel uitzonderingen op toegang en patching, vaak ooit gestart als tijdelijke oplossing.
• Ontbrekende documentatie, waardoor aantoonbaarheid wegvalt bij audits.
• Afhankelijkheid van één leverancier zonder heldere escalatie- en herstelafspraken.

Het gevolg is onrust. Audits kosten meer tijd, incidenten duren langer en klantvragen over weerbaarheid worden lastiger te beantwoorden. Mitigatie begint met standaardisatie, het terugbrengen van uitzonderingen en het vastleggen van afspraken en bewijsvoering als vast onderdeel van de operatie.

Hoe Mr. Blocks helpt met WWKE-compliance

Wij helpen organisaties in de financiële dienstverlening om de WWKE-wetgeving praktisch te maken. Niet als extra project naast de werkdag, maar als onderdeel van een digitale werkplek en IT-fundament dat rust en voorspelbaarheid geeft. Daarbij pakken we governance, security en continuïteit samen op, zodat je minder losse eindjes hebt richting audits en incidenten.

• Assessment op kritieke processen, ketenafhankelijkheden en aantoonbaarheid, inclusief een praktische gaplijst.
• Hardening van de digitale werkplek met identity, device management, patching en least privilege.
• IT-securitydiensten met managed firewall, monitoring, EDR en vulnerability management.
• Continuïteit met back-up en hersteltests, plus afspraken over RTO en RPO per proces.
• Inrichting van incidentrespons met meldprocedures, escalatie en periodieke oefeningen.
• Beheer, support en documentatie als één samenhangende verantwoordelijkheid, passend bij hoe mensen werken.

Wil je weten waar je nu staat en welke stappen het meeste effect hebben voor jouw organisatie? Lees meer op Mr Blocks of neem direct contact op via onze contactpagina.

Gerelateerde artikelen

• Wat zijn de meest voorkomende implementatie fouten?
• WWKE en jouw accountantskantoor: wat de nieuwe wet concreet van je vraagt
• Welke voordelen bieden security monitoring services?
• Wat zijn de juridische verplichtingen na een cyberaanval?
• WWKE als kans: hoe financieel adviseurs met aantoonbare weerbaarheid klantvertrouwen winnen