Waarom een datalek bij een accountantskantoor onder de WWKE grotere gevolgen heeft dan je denkt

Een datalek bij een accountantskantoor is al vervelend onder de AVG. Maar in de praktijk kan de impact veel verder reiken zodra je te maken krijgt met de WWKE-wetgeving. Dan gaat het niet alleen om privacy, maar ook om aantoonbare weerbaarheid, continuïteit en ketenafhankelijkheden. Precies de onderwerpen waar jouw klanten en hun toezichthouders scherp op zijn.

In dit artikel zetten we helder uiteen wat de WWKE betekent in de context van accountantskantoren, waarom de gevolgen vaak groter zijn dan verwacht, welke meldplichten en termijnen je proces bepalen, welke fouten we vaak zien in incidentrespons en welke maatregelen je nu al kunt nemen om risico’s te verkleinen.

Wat de WWKE betekent bij een datalek

De Wet weerbaarheid kritieke entiteiten, vaak aangeduid als WWKE-wetgeving, komt voort uit de Europese CER-richtlijn. Het doel is dat organisaties die een essentiële dienst leveren aantoonbaar weerbaar zijn tegen verstoringen. Denk aan cyberaanvallen, technische storingen, menselijke fouten en ook fysieke incidenten. In de Nederlandse uitwerking worden kritieke entiteiten door ministeries aangewezen. Na aanwijzing moet je binnen een beperkte periode kunnen laten zien dat je aan de vereisten voldoet.

Voor accountantskantoren is dit op twee manieren relevant. Ten eerste kun je zelf binnen de reikwijdte vallen als je een rol hebt in een keten die als essentieel wordt gezien. Ten tweede, en vaker, krijg je ermee te maken via klanten die wél als kritieke entiteit zijn aangewezen. Dan worden jouw IT-processen, uitbesteding en beveiliging onderdeel van hun ketenrisico.

Belangrijke begrippen die je in je beleid scherp moet scheiden:

• Beveiligingsincident is een gebeurtenis die de beschikbaarheid, integriteit of vertrouwelijkheid van systemen of data aantast.
• Datalek is een specifieke vorm waarbij persoonsgegevens of vertrouwelijke data ongeoorloofd worden ingezien, gewijzigd of verloren gaan.
• Incident onder de WWKE is breder en raakt ook de continuïteit van dienstverlening, ook als er niet direct persoonsgegevens zijn buitgemaakt.

Waarom de gevolgen vaak groter zijn

Bij accountantskantoren zit de pijn zelden alleen in het lek zelf. De echte schade ontstaat doordat een incident doorwerkt in vertrouwen, contracten en bedrijfsvoering. Zeker als je klanten hebt in de financiële sector, of klanten die zelf onder streng toezicht vallen, kan één verstoring een ketenreactie veroorzaken.

Scenario’s die vaak worden onderschat: een mailboxcompromis waarbij aanvallers meelezen in klantcorrespondentie; ransomware die niet alleen data versleutelt, maar ook back-ups aantast; of een leverancier die wordt gehackt, waardoor jouw kantoor indirect wordt getroffen. Onder de WWKE telt vooral het effect op de weerbaarheid en de dienstverlening, niet alleen de vraag of er persoonsgegevens zijn geraakt.

Welke meldplichten en termijnen gelden

De kern is dat je meldingen en communicatie niet ad hoc wilt doen. Je hebt een proces nodig dat snel kan beoordelen wat er aan de hand is, wat de impact is op de dienstverlening en welke partijen je moet informeren. Onder de WWKE ligt de nadruk op incidentmelding en aantoonbare voorbereiding, zoals ook wordt verwacht bij het opstellen van incidentrespons- en meldingsprotocollen.

Werk met een simpele beslisboom die iedereen snapt.

1. Interne escalatie. Vast aanspreekpunt, back-upcontact en een vaste route naar directie en compliance.
2. Snelle triage. Wat is geraakt, welke systemen, welke data, en is de dienstverlening verstoord?
3. Classificatie. Is dit alleen intern oplosbaar, of raakt het klanten, ketenpartners of essentiële processen?
4. Melding en communicatie. Afhankelijk van de situatie richting toezichthouder of autoriteiten (waar van toepassing) en richting klanten of betrokkenen als dat nodig is.
5. Documentatieplicht. Leg beslissingen vast, inclusief waarom je wel of niet meldt en welke maatregelen je neemt.
6. Afstemming. Betrek je juridisch adviseur en cyberverzekeraar vroeg, zodat communicatie en bewijsvoering kloppen.

Belangrijk is dat je het meldbesluit niet alleen op privacy baseert. Onder de WWKE gaat het ook om verstoringen die de continuïteit raken. Dat vraagt om goede logging, monitoring en een actueel overzicht van kritieke afhankelijkheden, inclusief leveranciers.

Veelgemaakte fouten in incidentrespons

De meeste incidenten worden niet groter door de aanval, maar door onduidelijkheid in de eerste uren. Onder de WWKE wordt dat extra pijnlijk, omdat je moet laten zien dat je voorbereid bent en dat je proces werkt.

• Te late detectie door beperkte monitoring en te weinig signalering van afwijkend gedrag.
• Onduidelijke rollen. Niemand is eigenaar van beslissingen over isoleren, communiceren en herstellen.
• Onvoldoende logging, waardoor je niet kunt reconstrueren wat er is gebeurd.
• Back-ups die wel bestaan, maar niet zijn getest op restore, of niet logisch gescheiden zijn.
• Te brede adminrechten en gedeelde accounts, waardoor impact en onderzoek lastiger worden.
• Schaduw-IT, zoals privét tools voor het delen van bestanden, waardoor data buiten beeld verdwijnt.
• Slechte communicatie intern en naar klanten, met tegenstrijdige updates of te late informatie.

Korte checklist om dit te voorkomen: leg een incidentrunbook vast. Oefen minimaal met een tabletopscenario. Zorg dat je binnen korte tijd accounts kunt blokkeren, endpoints kunt isoleren en herstel kunt starten. En maak vooraf afspraken met leveranciers over support tijdens incidenten.

Praktische maatregelen om risico’s te verkleinen

Voor MKB-accountantskantoren met een teamgrootte van ongeveer vijftig tot honderd medewerkers werkt een pragmatische aanpak het best. Begin bij de maatregelen die de meeste incidenten afvangen en die herstel voorspelbaar maken.

• MFA en Conditional Access voor alle accounts, met extra eisen voor beheerders en externe toegang.
• Least privilege en role-based access. Geef adminrechten alleen waar nodig en tijdelijk.
• Patchmanagement met vaste cadans en een noodprocedure voor kritieke kwetsbaarheden.
• Endpoint security met EDR die gedrag detecteert, niet alleen bekende virussen.
• E-mailbeveiliging met phishingbescherming en beleid voor veilige bijlagen en links.
• Awareness die aansluit op het werk. Korte herhaling, herkenbare voorbeelden, een duidelijke meldknop.
• Segmentatie van netwerk en beheerinterfaces, zodat een besmetting niet overal bij kan.
• Encryptie op devices en in transit, plus DLP voor gevoelige dossiers en exportstromen.
• Leveranciersbeheer. Overzicht van kritieke leveranciers, afspraken over incidentmelding en toegang.
• Continuïteitsplan met herstelprioriteiten, getest herstel en duidelijke RTO-keuzes per proces.

Als je dit combineert met structurele monitoring en een geoefend incidentproces, wordt een incident vaak een beheersbaar event in plaats van een wekenlange crisis.

Hoe Mr Blocks helpt met datalekpreventie en WWKE-ready IT

Wij helpen accountantskantoren om veilig en rustig te werken, met IT die voorspelbaar is en blijft. Daarbij vertalen we WWKE-wetgeving naar praktische inrichting, beheer en incidentrespons, zodat je niet alleen maatregelen hebt, maar ook aantoonbare weerbaarheid.

• Een veilige digitale werkplek met MFA, toegangsbeleid en werkplekbeveiliging die de werkdag niet vertraagt.
• Beheer en monitoring met focus op vroeg signaleren, duidelijke opvolging en vaste verantwoordelijkheden.
• Back-up en herstel die we inrichten op continuïteit, inclusief restore-tests en herstelvolgorde per proces.
• Incidentrespons-ondersteuning met runbooks, logging, isolatie en communicatieafstemming.
• Compliance-ondersteuning met risicoanalyse, leveranciersoverzicht en documentatie die je helpt aantoonbaar te zijn.
• Leveranciersregie, zodat uitbesteding geen blinde vlek wordt, maar een beheersbaar onderdeel van je keten.

Plan een intake of securityscan via contact of lees meer over hoe we werken op onze website. Dan brengen we samen in kaart welke stappen het meeste effect hebben voor jouw kantoor.

Gerelateerde artikelen

• Hoe doe je een cybersecurity risk assessment?
• Wat doe je als een medewerker op een phishing link heeft geklikt?
• Wat houdt cybersecurity management in?
• Welke stappen volg je bij een data breach?
• Wat zijn de GDPR eisen voor cybersecurity monitoring?

Gerelateerde artikelen

• Valt jouw financiële dienstverlener onder de WWKE? Dit zijn de criteria voor MKB
• Wat de WWKE betekent voor de manier waarop jij klantgegevens beheert
• Wat monitort netwerk beveiligingsmonitoring precies?
• Hoe train je je IT-team in cybersecurity monitoring?
• Hoe lang bewaar je cybersecurity monitoring logs?