Veel organisaties zijn druk met WWKE-wetgeving, maar blijven hangen in documenten, beleid en auditmappen. Dat voelt veilig, tot er echt iets misgaat en blijkt dat processen niet werken, verantwoordelijkheden onduidelijk zijn en herstel langer duurt dan je je kunt permitteren. Zeker voor het MKB en financiële dienstverleners is dat risico extra pijnlijk, omdat je werkt met gevoelige data en vertrouwen je belangrijkste kapitaal is.
In dit artikel maken we het verschil helder tussen papieren compliance en echte WWKE-weerbaarheid. Je krijgt praktische voorbeelden van wat auditors in de praktijk willen zien, welke controles het verschil maken en hoe je weerbaarheid aantoonbaar maakt met een werkbaar ritme. Zo bouw je aan rust in de operatie en aan zekerheid richting klanten en toezichthouders.
Waarom papieren compliance tekortschiet
Papieren compliance is compliance op basis van vinklijstjes. Er is beleid, er zijn procedures, er is een risicoanalyse in een map, maar de uitvoering is niet ingebed in de dagelijkse operatie. De focus ligt dan vooral op het halen van een auditmoment, niet op het continu verlagen van risico’s.
Het probleem is schijnzekerheid. Als zich een incident voordoet, telt niet wat er op papier staat, maar wat mensen doen, wat systemen loggen en hoe snel je kunt herstellen. Voor MKB-organisaties in de financiële dienstverlening betekent dat al snel operationele verstoring, reputatieschade en lastige gesprekken met klanten en ketenpartners.
Signalen dat compliance niet landt in de operatie zijn vaak herkenbaar:
- Beleid bestaat, maar niemand weet waar het staat of wat het betekent voor het werk.
- Toegangsrechten groeien mee met uitzonderingen, zonder periodieke opschoning.
- Back-ups draaien, maar restore-tests worden niet geoefend.
- Incidentrespons is een document, geen routine met rollen en contactlijnen.
Wat WWKE-weerbaarheid in de praktijk betekent
WWKE-weerbaarheid gaat over aantoonbare, continue weerbaarheid van kritieke diensten en afhankelijkheden. In de context van de Wet weerbaarheid kritieke entiteiten ligt de nadruk op risicoanalyse, weerbaarheidsmaatregelen en plannen die je ontwikkelt, oefent en verbetert. Het is dus geen eenmalige oefening, maar een doorlopend programma dat je organisatie echt moet dragen.
In de praktijk betekent dit dat governance, processen en techniek op elkaar aansluiten. Weerbaarheid is meetbaar gedrag, niet alleen een set afspraken. Denk aan uitkomsten zoals:
- Snelle detectie en opvolging van afwijkingen op endpoints en accounts.
- Herstelbaarheid die je kunt aantonen met uitgevoerde restore-tests.
- Toegangscontrole die klopt, met MFA en least privilege als standaard.
- Logging die bruikbaar is, met bewaartermijnen en actieve review.
De overheid benadrukt bovendien dat organisaties niet moeten wachten tot wetgeving formeel ingaat, omdat de risico’s nu al bestaan. Dat sluit aan bij het idee van WWKE-weerbaarheid als continu proces.
Welke controles auditors echt willen zien
Auditors zoeken meestal dezelfde rode draad: beleid, uitvoering en monitoring moeten bij elkaar passen. Een control die alleen op papier bestaat, levert weinig vertrouwen op. Bewijs is herhaalbaarheid, dus laat zien dat je het structureel doet.
| Onderwerp | Wat men wil zien | Voorbeelden van bewijs |
|---|---|---|
| Identity and access management | MFA, least privilege, periodieke review | Access reviews, wijzigingstickets, offboarding-logs |
| Patching en updates | Structureel patchproces met uitzonderingen onder controle | Patchrapportages, change records, exception register |
| Endpoint security | Detectie en respons op afwijkend gedrag | EDR-alerts, opvolgtickets, incidentregistratie |
| E-mailbeveiliging | Bescherming tegen phishing en account takeover | Policy-instellingen, quarantainelog, opvolging van awareness |
| Netwerksegmentatie | Beperken van laterale beweging | Netwerkdiagram, firewall rules, reviewverslagen |
| Kwetsbaarhedenbeheer | Vinden, prioriteren, oplossen, verifiëren | Scanresultaten, remediation-tickets, hercontrole |
| Incidentrespons | Plan, rollen, communicatie, evaluatie | Runbooks, tabletop-verslagen, lessons learned |
| Leveranciersbeheer | Inzicht in afhankelijkheden en afspraken | Contracten, SLA-afspraken, risicobeoordeling van derde partijen |
Hoe maak je weerbaarheid aantoonbaar
Begin met een aanpak die je kunt volhouden. WWKE-wetgeving vraagt om risicoanalyse en weerbaarheidsplannen, maar de winst zit in het ritme waarmee je het levend houdt.
- Doe een risicoanalyse die ook afhankelijkheden meeneemt, zoals locaties, mensen, IT, data en derde partijen.
- Prioriteer je crown jewels: dat zijn de processen en datasets die je dienstverlening dragen.
- Kies een baseline, bijvoorbeeld CIS of ISO, en vertaal die naar praktische standaarden.
- Implementeer in kleine stappen, met changemanagement en duidelijke acceptatiecriteria.
- Meet continu en stuur bij met vaste reviews en duidelijke KPI’s.
Werkbare ritmes die vaak goed passen bij het MKB:
- Maandelijkse securityreview met acties op patching, kwetsbaarheden en identity.
- Kwartaal-tabletopoefening voor incidentrespons en herstel.
- Jaarlijkse pentest of gerichte technische test, met opvolging tot en met hercontrole.
Maak het zichtbaar voor management met een compact dashboard. Denk aan de status van MFA-dekking, openstaande kritieke kwetsbaarheden, restore-testresultaten en de doorlooptijd van securitytickets. Borg ook onboarding en offboarding, zodat accounts en rechten niet blijven zweven.
Veelgemaakte WWKE-fouten bij het MKB
De meeste fouten zijn niet kwaadaardig, maar ontstaan door groei, drukte en versnippering. Dit zijn valkuilen die we vaak zien bij organisaties die serieus met WWKE-wetgeving bezig zijn:
- Versnipperde tooling waardoor niemand het totaaloverzicht heeft.
- Te veel uitzonderingen op beleid, waardoor de standaard verwatert.
- Shadow IT die buiten logging en beheer valt.
- Te brede adminrechten, vaak uit gemak of historisch gegroeid.
- Back-ups zonder restore-test, waardoor herstel onzeker blijft.
- Afhankelijkheid van één leverancier of één beheerder zonder overdraagbaarheid.
- Onduidelijke RACI, waardoor incidenten blijven liggen of dubbel worden opgepakt.
Voorkomen begint met standaardisatie en heldere verantwoordelijkheden. Leg vast wat de norm is, documenteer uitzonderingen met een einddatum en maak security onderdeel van het normale beheerproces. Zo wordt compliance een gevolg van goed werken, in plaats van een aparte activiteit.
Hoe Mr. Blocks helpt met WWKE-weerbaarheid
Bij Mr. Blocks maken we WWKE-weerbaarheid praktisch door beheer, beveiliging, continuïteit en support als één samenhangende verantwoordelijkheid te organiseren. Dat geeft rust in de werkdag en maakt aantoonbaarheid richting auditors veel eenvoudiger.
- Een veilige digitale werkplek die is ingericht op focus, eenvoud en voorspelbaarheid.
- Managed firewall-diensten met continue bewaking en directe opvolging bij signalen.
- Endpoint Detection and Response op basis van AI, gericht op vroeg signaleren en snel handelen.
- Vulnerability management met een vast proces voor vinden, prioriteren, oplossen en verifiëren.
- Praktische rapportages en ritmes die helpen om uitvoering en bewijsvoering structureel op orde te houden.
Wil je weten waar je nu staat en welke stappen het meeste effect hebben voor jouw organisatie? Plan dan een adviesgesprek of vraag een scan aan via contact, of lees meer over hoe we werken op mrblocks.nl.
Veelgestelde vragen
Hoe bepaal je of jouw organisatie (of dienst) onder de WWKE valt?
Start met een scope-check: welke diensten zijn ‘kritiek’ voor klanten/maatschappij, welke locaties en IT-onderdelen ondersteunen die diensten, en welke ketenpartners zijn essentieel. Leg dit vast in één scope-document (1–2 pagina’s) en laat het toetsen door compliance/juridisch of je brancheorganisatie. Twijfel je: scope liever te breed in de eerste analyse en verfijn daarna.
Wat is een goede eerste stap als je weinig tijd en capaciteit hebt?
Kies één kritieke dienst en werk die end-to-end uit: afhankelijkheden, minimale bezetting, RTO/RPO, back-up/restore, en incidentcontactlijst. Plan vervolgens één concrete oefening (bijv. restore-test of tabletop) binnen 30 dagen. Zo creëer je snel bewijs én leer je waar de grootste gaten zitten.
Welke KPI’s werken goed om WWKE-weerbaarheid te sturen zonder een ‘rapportagefabriek’ te worden?
Houd het klein en trendgericht. Praktisch voor MKB: (1) % accounts met MFA, (2) # kritieke kwetsbaarheden ouder dan X dagen, (3) patch-compliance binnen SLA, (4) succesratio en doorlooptijd van restore-tests, (5) MTTD/MTTR voor security-incidenten, (6) % leveranciers met actuele risicobeoordeling. Rapporteer maandelijks met stoplichtstatus en acties.
Hoe vaak moet je incidentrespons en herstel oefenen om geloofwaardig te zijn?
Minimaal elk kwartaal een tabletop voor incidentrespons en communicatie, en minimaal halfjaarlijks een technische hersteltest (restore of failover) voor je ‘crown jewels’. Belangrijker dan frequentie is opvolging: leg bevindingen vast, wijs een eigenaar toe en her-test totdat het is opgelost.
Hoe pak je leveranciers en clouddiensten aan zonder alles dicht te timmeren in contracten?
Werk met een ‘kritieke leverancierslijst’ (top 10–20) en hanteer per leverancier drie vaste onderdelen: (1) wat leveren ze precies aan jouw kritieke dienst, (2) welke minimale eisen gelden (SLA, logging, meldplicht, back-up/exit), (3) hoe toets je dit jaarlijks (vragenlijst, SOC2/ISO-rapport, gesprek). Voeg een exit-schets toe: hoe migreer je weg en welke data moet je kunnen meenemen.
Wat is een pragmatische manier om RACI en eigenaarschap te regelen in een klein team?
Maak één pagina met de 8–12 belangrijkste security/continuïteitsprocessen (IAM, patching, back-up, incidenten, leveranciers, etc.) en wijs per proces één ‘owner’ aan die verantwoordelijk is voor het ritme en bewijs. Gebruik ‘Responsible’ voor uitvoering (intern of MSP) en leg escalatielijnen vast met vervangers. Herzie dit elk kwartaal in 15 minuten.
Hoe bereid je je voor op een audit of toetsing zonder stress in de laatste weken?
Werk met een ‘evidence backlog’: per control één vaste plek waar bewijs automatisch of periodiek wordt opgeslagen (tickets, exports, rapporten). Plan maandelijks 30 minuten om 5–10 bewijsitems te controleren op volledigheid. Doe 4–6 weken voor de audit een interne ‘dry run’ met steekproeven: kan je binnen 10 minuten bewijs vinden én uitleggen wat je doet bij afwijkingen?
Gerelateerde artikelen
- Wat betekent het om beheerafspraken voor IT vast te leggen binnen een organisatie?
- Hoe richt je een veilige thuiswerkplek in als notaris?
- Waarom is thuiswerken zonder beveiliging gevaarlijk voor notarissen?
- Welke boetes en sancties gelden bij NIS2 niet-naleving en wie is aansprakelijk?
- Wat zijn de risico's van IT-leveranciers buiten Europa?
