Wat doe jij als jouw IT-systemen uitvallen: de WWKE verplicht jou een antwoord klaar te hebben

IT-uitval komt zelden gelegen. Toch verwacht de WWKE-wetgeving dat organisaties die een essentiële dienst leveren aantoonbaar voorbereid zijn op verstoringen, ook als die verstoring “alleen” een technische storing of een cyberincident is. Dat vraagt om meer dan een back-up en een telefoonnummer van je IT-leverancier. Het vraagt om duidelijke keuzes, vastgelegde verantwoordelijkheden en herstel dat je echt kunt aantonen.

In dit artikel lees je wat de WWKE vraagt bij IT-uitval, welke risico’s direct spelen in een typische MKB-omgeving met cloud en SaaS, wat er minimaal in je continuïteitsplan hoort en hoe je herstel en noodprocedures praktisch test zonder dat het een papieren exercitie wordt.

Wat de WWKE vraagt bij IT-uitval

De Wet weerbaarheid kritieke entiteiten is de Nederlandse uitwerking van de Europese CER-richtlijn. De kern is weerbaarheid tegen verstoringen, waaronder cyberaanvallen en technische storingen. In de aanloop naar de inwerkingtreding in 2026 worden organisaties die als kritieke entiteit worden aangewezen geacht om binnen een beperkte periode te laten zien dat ze hun weerbaarheid op orde hebben. Dat “laten zien” is belangrijk, want aantoonbaarheid is een terugkerend thema.

Concreet draait de WWKE-wetgeving bij IT-uitval om deze onderdelen.

• Een risicoanalyse die je kritieke diensten, afhankelijkheden en restrisico’s in kaart brengt, inclusief IT, data en derde partijen.
• Weerbaarheidsplannen en maatregelen, zoals een businesscontinuïteitsplan en een disaster recovery plan, die je ook oefent en verbetert.
• Incidentrespons en meldingsprotocollen, inclusief communicatie en afspraken met partijen die je tijdens een incident ondersteunen.
• Heldere rollen en verantwoordelijkheden, zodat besluitvorming en escalatie niet stilvallen als systemen dat wel doen.

Voor MKB-organisaties in de financiële dienstverlening betekent dit vaak dat je niet alleen naar je eigen kantooromgeving kijkt, maar ook naar je keten. Denk aan boekhoudsoftware, documentmanagement, identityproviders, e-mail en telefonie. Als daar iets uitvalt, valt jouw dienstverlening mee uit.

Welke risico’s IT-uitval direct veroorzaakt

IT-uitval is zelden één probleem. Het is een kettingreactie die processen raakt, klantafspraken onder druk zet en compliancevragen oproept. Veelvoorkomende gevolgen zijn:

• Downtime van primaire processen zoals klantdossiers, rapportages, acceptatie of declaraties.
• Dataverlies door foutieve synchronisatie, mislukte updates of onvoldoende geteste back-ups.
• Ransomware waarbij systemen versleuteld raken en herstel onder tijdsdruk moet gebeuren.
• Ketenafhankelijkheden, bijvoorbeeld een storing bij een cloud- of SaaS-leverancier die jouw werk stillegt.
• Reputatieschade en klantimpact, zeker als je geen helder communicatiepad hebt.
• Mogelijke meldplichten en auditvragen, afhankelijk van sectorregels en de aard van het incident.

De NCTV benadrukt dat vitale diensten steeds meer met elkaar verweven zijn. Daardoor kan een verstoring in één schakel snel doorwerken naar andere diensten. In een moderne MKB-omgeving zie je dat terug in de afhankelijkheid van identity, internetverbindingen, cloudwerkplekken en securitytooling. Als een van die bouwstenen wegvalt, is “even doorwerken” vaak niet realistisch zonder vooraf bedachte alternatieven.

Wat moet er in je continuïteitsplan staan

Een bruikbaar continuïteitsplan is kort, concreet en gericht op uitvoering. Het helpt om te starten vanuit kritieke processen en pas daarna de techniek te beschrijven. Leg minimaal dit vast:

• Kritieke processen en systemen, inclusief eigenaar per proces.
• RTO en RPO per proces. RTO is hoe snel je weer operationeel moet zijn. RPO is hoeveel data je maximaal mag verliezen.
• Back-upstrategie volgens 3-2-1: meerdere kopieën, op verschillende media, met minimaal één kopie buiten de primaire omgeving.
• Herstelprocedures per scenario, zoals mailboxuitval, identitystoring, ransomware, corrupte data of een verloren laptop.
• Alternatieve werkplekken en werkwijzen, bijvoorbeeld noodaccounts, tijdelijke devices, offline templates en een minimale set applicaties.
• Communicatieplan met interne updates, klantcommunicatie en afstemming met leveranciers.
• Leverancierscontacten en escalatiepaden, inclusief wie mag besluiten tot failover of isolatie van systemen.
• Logging en bewijsvoering, zodat je achteraf kunt aantonen wat er is gebeurd en welke acties zijn genomen.

Hoe test je herstel en noodprocedures

Een plan dat je niet test, is een aanname. De WWKE-wetgeving legt nadruk op ontwikkelen, oefenen en verbeteren. Dat hoeft niet zwaar te zijn als je het slim opknipt.

• Tabletopoefening. Loop met IT, directie en proceseigenaren een scenario door en noteer beslismomenten, afhankelijkheden en ontbrekende informatie.
• Restoretests. Test periodiek of je echt kunt terugzetten, inclusief rechten, applicatiekoppelingen en dataconsistentie.
• Failover en uitwijk. Oefen wat er gebeurt als een clouddienst of internetverbinding wegvalt en hoe je overschakelt naar een alternatief.
• Ransomware- en phishingscenario’s. Test isolatie, accountblokkades, herstelvolgorde en communicatie naar medewerkers.
• Evaluatie en verbetercyclus. Leg bevindingen vast, wijs acties toe en plan een herhaling, zodat je kunt aantonen dat je leert.

Belangrijk is dat je resultaten vastlegt. Niet als rapport om het rapport, maar als bewijs dat procedures werken en dat verantwoordelijkheden helder zijn.

Veelgemaakte fouten bij WWKE-voorbereiding

In de praktijk gaan dezelfde dingen vaak mis. Het goede nieuws is dat ze goed te voorkomen zijn als je er vroeg bij bent.

• Alleen papierwerk maken zonder technische tests of oefeningen.
• Back-ups hebben, maar nooit een volledige restore doen onder realistische omstandigheden.
• Onduidelijk eigenaarschap, waardoor niemand knopen doorhakt tijdens een incident.
• Afhankelijkheid van één leverancier of één beheerder zonder overdraagbare documentatie.
• Geen MFA en geen least privilege, waardoor een incident sneller groot wordt.
• Verouderde contactlijsten en onduidelijke escalatie, waardoor kostbare tijd verloren gaat.
• Geen klantcommunicatieplan, waardoor reputatieschade groter wordt dan nodig.
• Te optimistische RTO’s die niet passen bij je omgeving en je back-up- en herstelcapaciteit.

Hoe Mr. Blocks helpt met WWKE-voorbereiding

Bij Mr. Blocks maken we WWKE-voorbereiding praktisch. We starten bij hoe mensen werken en vertalen dat naar een IT-fundament dat rust geeft, met security en continuïteit als vaste onderdelen. Vanuit onze aanpak voor de digitale werkplek helpen we je om voorbereiding op IT-uitval aantoonbaar te maken en ook echt uitvoerbaar te houden.

• Inrichting en beheer van een voorspelbare werkplekomgeving met duidelijke standaarden en beheerprocessen.
• IT-securitydiensten als vast onderdeel van het fundament, met managed firewall-monitoring, Endpoint Detection and Response en vulnerability management.
• Continuïteitsplan en herstelprocedures die aansluiten op jouw kritieke processen, inclusief RTO- en RPO-keuzes.
• Back-up- en herstelinrichting met periodieke restoretests en vastlegging van resultaten voor audit en compliance.
• Monitoring en support met heldere escalatie, zodat incidenten sneller worden ingeperkt en herstel gestructureerd verloopt.
• Documentatie en oefencyclus, zodat je niet alleen voorbereid bent, maar het ook kunt bewijzen.

Wil je weten waar je nu staat en welke stappen het meeste effect hebben voor jouw organisatie? Bekijk wie we zijn of neem direct contact op via onze contactpagina voor een praktische inventarisatie en een helder plan van aanpak.

Gerelateerde artikelen

• Hoe voorkom je een ransomware infectie?
• Hoe maak je een sterk wachtwoordbeleid voor je organisatie?
• Hoe implementeer je cyber monitoring in je organisatie?
• Wat is cyber monitoring precies?
• Wat is behavioral analytics in cybersecurity monitoring?