Wet weerbaarheid kritieke entiteiten: wat betekent deze wet voor jouw organisatie?
- 12 minutes ago
- 5 min read
Sinds 15 augustus 2026 is de Wet weerbaarheid kritieke entiteiten van kracht. Deze wet moet voorkomen dat belangrijke diensten langdurig uitvallen door bijvoorbeeld een ongeval, extreem weer, sabotage of een aanslag.
Het gaat om diensten waarvan de samenleving sterk afhankelijk is. Denk aan elektriciteit, drinkwater, medische zorg en belangrijke overheidsdiensten. Als zo’n dienst uitvalt, kunnen de gevolgen groot zijn.
Naar verwachting worden ongeveer vijfhonderd organisaties aangewezen als kritieke entiteit. Niet iedere belangrijke organisatie valt dus automatisch onder de wet. Daarvoor is een formele aanwijzing nodig van het ministerie dat verantwoordelijk is voor de betreffende sector.
De wet verandert niet welke risico’s een organisatie loopt. Zij verandert wel wat een kritieke entiteit moet weten, regelen en kunnen aantonen.
Wat wil de wet bereiken?
Geen enkele organisatie kan alle incidenten voorkomen. Er kan altijd brand ontstaan. Een leverancier kan uitvallen en een medewerker kan een fout maken. En ook een cyberaanval, sabotage of aanslag blijft mogelijk.
De wet richt zich daarom niet alleen op het voorkomen van incidenten. Een kritieke entiteit moet zich ook voorbereiden op de gevolgen.
Kan de belangrijkste dienstverlening doorgaan? Is er een alternatief als een gebouw, systeem of leverancier uitvalt? Weten medewerkers wie een besluit neemt? Kan de organisatie na een verstoring snel herstellen?
Het uiteindelijke doel van de wet is dat een essentiële dienst zo veel mogelijk blijft functioneren.
Wie valt onder de wet?
De wet geldt voor organisaties die een dienst leveren die essentieel is voor de samenleving. Het gaat om organisaties in sectoren zoals energie, vervoer, gezondheidszorg, overheid, digitale infrastructuur, voedselvoorziening, waterbeheer en het bankwezen.
Alleen actief zijn in zo’n sector is niet genoeg. Het verantwoordelijke ministerie beoordeelt welke organisaties een essentiële dienst leveren en wat er gebeurt als die dienst ernstig wordt verstoord. Daarna kan het ministerie de organisatie formeel aanwijzen als kritieke entiteit.
Welk ministerie verantwoordelijk is, hangt af van de sector. Het ministerie van Justitie en Veiligheid coördineert de wet. De aanwijzing zelf komt van het ministerie dat over de sector gaat. Voor de gezondheidszorg is dat bijvoorbeeld het ministerie van Volksgezondheid, Welzijn en Sport. Voor vervoer en waterbeheer is dat het ministerie van Infrastructuur en Waterstaat.
Dit verschilt van de Cyberbeveiligingswet. Die geldt ook vanaf 15 augustus, maar werkt anders. Daarbij moeten organisaties zelf vaststellen of zij onder de wet vallen. Een aangewezen kritieke entiteit valt automatisch ook als essentiële entiteit onder de Cyberbeveiligingswet. Andersom geldt dat niet.
Wat moet een kritieke entiteit doen?
Na de aanwijzing beginnen de wettelijke termijnen te lopen.
Binnen negen maanden moet de organisatie een eigen risicobeoordeling uitvoeren. Binnen tien maanden moet zij passende maatregelen hebben getroffen en voldoen aan de meldplicht. Een incident dat de essentiële dienst aanzienlijk verstoort of kan verstoren, moet dan zo snel mogelijk en uiterlijk binnen 24 uur worden gemeld.
Deze termijnen bieden voorbereidingstijd maar maken afwachten niet verstandig. Het onderzoeken van risico’s kost tijd. Dat geldt ook voor het aanpassen van gebouwen, systemen, werkafspraken en contracten met leveranciers.
Eerst vaststellen wat niet mag uitvallen
De risicobeoordeling vormt het vertrekpunt. De organisatie moet eerst bepalen welke diensten en processen niet mogen uitvallen. Daarna volgt de vraag waarvan deze afhankelijk zijn.
Een ziekenhuis heeft bijvoorbeeld elektriciteit nodig. Bij stroomuitval nemen noodaggregaten het over. Die werken alleen als ze goed zijn onderhouden en voldoende brandstof hebben. Moet een leverancier brandstof aanvullen, dan moet hij de locatie wel kunnen bereiken en binnenkomen. Een noodvoorziening die van brandstof, transport en toegankelijkheid van de locatie afhankelijk is zonder dat iemand dit heeft geregeld, bestaat alleen op papier.
Door afhankelijkheden op deze manier te volgen, worden kwetsbaarheden zichtbaar. De organisatie kan daarna bepalen wat zij zelf moet verbeteren en welke afspraken zij met anderen moet maken.
Geen standaardpakket
Niet iedere kritieke entiteit heeft dezelfde afhankelijkheden en loopt dezelfde risico’s. Daarom schrijft de wet geen vast pakket veiligheidsmaatregelen of beveiligingsmiddelen voor.
De maatregelen moeten passen bij de organisatie en haar risico’s. Soms vraagt dat om een betere noodvoorziening. In een andere situatie zijn duidelijkere verantwoordelijkheden, extra beveiliging of een tweede leverancier nodig.
Oefenen hoort daar ook bij. Een procedure heeft weinig waarde als medewerkers haar niet kennen of buiten kantooruren niemand bereikbaar blijkt.
Wat gebeurt er bijvoorbeeld op een zondagnacht wanneer een belangrijk systeem uitvalt of iemand een afgesloten terrein probeert binnen te komen? Wie merkt het op? Wie wordt gewaarschuwd en wie neemt het besluit?
Een oefening laat meestal snel zien waar het plan en de praktijk uit elkaar lopen. Dezelfde valkuil zien we bij beveiligingsplannen: meer papier betekent niet automatisch meer grip op de uitvoering.
Leveranciers worden onderdeel van de weerbaarheid
Kritieke entiteiten voeren veel werkzaamheden niet zelf uit. Zij zijn afhankelijk van onderhoudsbedrijven, transporteurs, beveiligingsorganisaties, personeelsleveranciers en aanbieders van digitale systemen.
Deze leveranciers vallen niet automatisch onder de Wet weerbaarheid kritieke entiteiten, maar ze kunnen er wel mee te maken krijgen. Een kritieke entiteit moet namelijk weten welke leveranciers onmisbaar zijn en wat er gebeurt als zij niet kunnen leveren.
Opdrachtgevers zullen daarom vaker vragen naar bereikbaarheid, vervanging, noodprocedures en het melden van incidenten. Een leverancier moet kunnen uitleggen wat hij tijdens een verstoring nog kan leveren.
Voor een beveiligingsorganisatie kan dit leiden tot scherpere afspraken over alarmering, vervanging van beveiligers, toegang tot kritieke delen van een locatie en het doorgeven van verdachte situaties. Die afspraken ondersteunen uiteindelijk de voortgang van de essentiële dienst.
Waar wordt een incident gemeld?
Een meldingsplichtig incident wordt doorgegeven via het centrale overheidsportaal op MijnNCSC. De melding komt daar beschikbaar voor het verantwoordelijke ministerie en de toezichthouder van de betreffende sector.
Welke toezichthouder dat is, verschilt per sector. In de gezondheidszorg is dat bijvoorbeeld de Inspectie Gezondheidszorg en Jeugd. Voor veel sectoren onder het ministerie van Infrastructuur en Waterstaat is dat de Inspectie Leefomgeving en Transport. De organisatie krijgt hierover informatie bij haar formele aanwijzing.
De toezichthouder kan de risicobeoordeling en de getroffen maatregelen onderzoeken. Ook kan hij informatie opvragen en controleren hoe de organisatie met incidenten omgaat.
De meldplicht begint ondertussen niet bij het overheidsportaal, maar op de werkvloer. Een beveiliger die schade aan een hek ziet of een monteur die een vreemde storing ontdekt, moet dat eerst herkennen en intern doorgeven. Pas daarna kan iemand beoordelen wat er aan de hand is en of een wettelijke melding nodig is. Ook buiten kantooruren moet die route werken.
Wat kunnen andere organisaties hiervan leren?
De wet geldt voor een beperkte groep. De risico's waarop de wet reageert, komen bij veel meer organisaties voor.
Ook een bedrijf dat niet wordt aangewezen als kritieke entiteit kan sterk afhankelijk zijn van één locatie, enkele sleutelpersonen, een belangrijk systeem of een vaste leverancier. Uitval heeft dan misschien geen grote maatschappelijke gevolgen maar kan de organisatie zelf wel stilleggen.
Daarom is het verstandig om ook zonder wettelijke verplichting de volgende drie vragen te beantwoorden:
Welke werkzaamheden moeten doorgaan?
Waarvan zijn deze werkzaamheden afhankelijk?
Wat doen we als één van die afhankelijkheden wegvalt?
Deze vragen vormen een bruikbaar begin. Ze helpen een organisatie om gerichte keuzes te maken zonder direct omvangrijke plannen te schrijven of grote investeringen te doen.
De gevolgen van een incident trekken zich namelijk niets aan van een formele aanwijzing. Wie pas tijdens de verstoring ontdekt dat de noodvoorziening, leverancier of meldroute niet werkt, is te laat.
