Grootste Wwke-risico’s zitten niet binnen de organisatie, maar daarbuiten

Vrijwel geen enkele essentiële dienst wordt nog volledig door één organisatie geleverd. Leveranciers, uitbestede processen, energievoorzieningen, locaties, digitale infrastructuur, logistieke ketens en specialistisch personeel spelen vaak een cruciale rol bij het leveren van dienstverlening. Een verstoring bij één van deze schakels kan directe gevolgen hebben voor de continuïteit van de organisatie.

Juist daarom is de Wwke meer dan een nieuwe wettelijke verplichting. De wet vraagt organisaties om inzicht te krijgen in de factoren die essentieel zijn voor hun dienstverlening en de risico's die een bedreiging kunnen vormen voor deze factoren. Daarbij gaat het niet alleen om risico's binnen de eigen organisatie, maar juist ook om risico's die ontstaan door afhankelijkheden daarbuiten.

Wwke: de verplichting is nieuw, het risico niet

Bestuurders en management hebben over het algemeen goed inzicht in hun eigen processen, activiteiten en verantwoordelijkheden. Zij weten vaak ook waar de belangrijkste kwetsbaarheden binnen de organisatie zich bevinden. De grootste verstoringen ontstaan echter niet altijd binnen de eigen organisatie of invloedssfeer.

Om een essentiële dienst te kunnen leveren, zijn organisaties afhankelijk van een groot aantal partijen, middelen en voorzieningen. Een storing bij een telecomprovider, langdurige uitval van energievoorzieningen, een calamiteit op een kritieke locatie of problemen bij een belangrijke leverancier kunnen directe gevolgen hebben voor de continuïteit van de dienstverlening, zonder dat de organisatie hier zelf de oorzaak van is.

De Wwke vraagt daarom om een bredere blik dan alleen de eigen organisatie. De wet gaat uiteindelijk niet over het uitvoeren van een risicoanalyse als doel op zich, maar over het waarborgen van essentiële dienstverlening onder uiteenlopende omstandigheden. Dat betekent dat organisaties zich moeten afvragen welke gebeurtenissen de dienstverlening kunnen verstoren, waardoor deze kunnen ontstaan en welke afhankelijkheden hierbij een rol spelen.

Hoe afhankelijk bent u werkelijk?

Veel organisaties hebben inmiddels goed zicht op hun kritieke leveranciers, externe dienstverleners en uitbestedingspartners. De vervolgvraag is echter vaak lastiger te beantwoorden. Hoe afhankelijk bent u daadwerkelijk van deze partijen? Welke maatregelen treffen zij zelf om verstoringen te voorkomen? Zijn er alternatieven beschikbaar als een leverancier uitvalt? En bestaan er afhankelijkheden die meerdere onderdelen van de dienstverlening tegelijkertijd kunnen raken?

Daarbij gaat het niet alleen om individuele leveranciers. Organisaties maken vaak gebruik van dezelfde energievoorzieningen, telecomnetwerken, cloudplatformen, logistieke partners of specialistische dienstverleners. Hierdoor kan één verstoring gevolgen hebben voor meerdere organisaties of meerdere onderdelen van een keten tegelijkertijd.

Juist deze concentratie van afhankelijkheden maakt weerbaarheid complex. Een organisatie kan haar eigen processen uitstekend beheersen, maar toch kwetsbaar zijn doordat cruciale onderdelen van haar dienstverlening afhankelijk zijn van dezelfde externe schakels.

Weerbaarheid begint met inzicht in afhankelijkheden

De Wwke biedt organisaties de kans om opnieuw te kijken naar de factoren die werkelijk bepalend zijn voor de continuïteit van hun dienstverlening. Niet alleen door risico's te identificeren, maar vooral door inzichtelijk te maken welke middelen, partijen en voorzieningen essentieel zijn en hoe kwetsbaar deze zijn voor verstoringen.

Organisaties die deze exercitie serieus uitvoeren, ontdekken vaak dat hun grootste kwetsbaarheden niet altijd liggen in de processen waar dagelijks aandacht voor is. Ze liggen regelmatig in afhankelijkheden die jarenlang vanzelfsprekend hebben gefunctioneerd en daardoor nauwelijks ter discussie zijn gesteld.

De belangrijkste vraag is daarom misschien niet: “welke risico’s zijn binnen onze organisatie aanwezig?”, maar: “waar zijn we als organisatie van afhankelijk om onze essentiële dienstverlening morgen nog steeds te kunnen leveren?”.

Wat kunt u nu concreet doen?

1.     Bepaal wat essentieel is
Breng in kaart welke diensten essentieel zijn en welke processen, middelen, locaties en partijen nodig zijn om deze te kunnen blijven leveren.

2. Onderzoek uw kwetsbaarheden
Beoordeel welke dreigingen de dienstverlening kunnen verstoren en waar kritieke afhankelijkheden of concentratierisico’s bestaan.

3. Versterk uw weerbaarheid
Bepaal welke aanvullende maatregelen nodig zijn, leg verantwoordelijkheden vast en zorg dat incidenten tijdig worden herkend, opgevolgd en gemeld.

Ook organisaties die nog niet formeel zijn aangewezen, kunnen deze stappen nu al zetten. De risico’s en afhankelijkheden waarop de Wwke ziet, bestaan immers ook los van de wettelijke verplichting.