De Wet weerbaarheid kritieke entiteiten (Wwke) verplicht organisaties in vitale sectoren om risico’s breed te analyseren, weerbaarheid te versterken en continuïteit te borgen. Dat betekent: geen focus op één type risico (zoals cyber), maar een All-Hazard benadering waarin alle relevante dreigingen worden onderzocht.

Een uitstekend startpunt hiervoor is de Leidraad All-Hazard Risicoanalyse – Zicht op veerkracht van de organisatie. Deze methode is praktisch, breed inzetbaar en goed te integreren in moderne managementsystemen.

Deze risicoanalyse biedt handvatten om de organisatie te versterken met een selectie van relevante internationale normen:

• ISO 31000 (risicomanagement)
• ISO 22301 (bedrijfscontinuïteit)
• ISO 27001 (informatiebeveiliging)
• ASIS SPC.1-2009 of NEN 7131 (organisational resilience)

Samen vormen deze standaarden een integraal raamwerk om aan de Wwke te voldoen én om een toekomstbestendige, veerkrachtige en weerbare organisatie te bouwen.

Hierna volgt een aanpak in 4 etappes.

1. Start met een All-Hazard Risicoanalyse

De Wwke vraagt om een brede blik op risico’s en dreigingen:

• technische risico’s
• menselijke risico’s
• ketenrisico’s
• cyberdreigingen
• natuurgeweld
• pandemie
• criminaliteit
• terrorisme

De Leidraad All-Hazard Risicoanalyse biedt hiervoor een werkbare aanpak. De methode helpt om systematisch scenario’s uit te werken en prioriteiten te stellen. Daarmee leg je de basis voor de nodige mitigerende maatregelen voor voldoende weerbaarheid.

2. Borg bedrijfscontinuïteit met ISO 22301

Voor kritieke entiteiten is continuïteit essentieel. ISO 22301 helpt je een Business Continuity Management System (BCMS) op te zetten dat:

• bedrijfsprocessen analyseert (BIA)
• herstelstrategieën definieert
• crisismanagement inricht
• plannen test via oefeningen
• continu verbetert via PDCA

ISO 22301 is de meest toegepaste standaard bij Wwke-implementaties omdat het:

• integraal toepasbaar is
• direct aansluit op verplichtingen uit de wet
• organisatiebreed werkt

3. Bescherm informatie en systemen met ISO 27001

Voor vrijwel alle kritieke processen geldt: informatie = vitaal. ISO 27001 zorgt dat je een robuust Information Security Management System (ISMS) opzet.

Het helpt je o.a. bij:

• beschermen van bedrijfs- en persoonsgegevens
• beveiligen van OT/ICS- en SCADA-systemen
• cyberrisico’s beheersen
• incidentrespons en -melding opzetten

In de praktijk lopen continuïteit en informatiebeveiliging in elkaar over. De koppeling ISO 22301 + ISO 27001 versterkt beide domeinen.

4. Bouw weerbaarheid en veerkracht met ASIS SPC.1-2009 of NEN 7131

Waar ISO-normen vooral deelgebieden dekken, is Organizational Resilience Management System (de ASIS SPC.1-2009 of NEN 7131) een holistische aanpak. Deze omvat:

• security
• preparedness
• crisismanagement
• herstel
• continuïteit
• governance

Bovendien zijn deze aanpakken integreerbaar met alle ISO-normen. ISO 22301 + ISO 27001 + ASIS SPC / NEN7131 vormen samen één managementsysteem. Hiermee is alles geïntegreerd in één Wwke-compliant raamwerk.

Voordelen van deze geïntegreerde aanpak

✔ één raamwerk voor verschillende veiligheidsthema’s

✔ aantoonbare compliance

✔ hogere cyber- en fysieke veiligheid

✔ betere ketencontrole

✔ voorbereid op crisisrespons

✔ minder organisatorische silo’s

✔ hoge betrouwbaarheid en vertrouwen bij stakeholders.