Wet weerbaarheid kritieke entiteiten — weerbaarheid tegen alles wat niet digitaal is

De Wwke is de tweelingwet van de Cyberbeveiligingswet en voert de Europese CER-richtlijn uit. Waar de Cbw gaat over digitale dreigingen, gaat de Wwke over al het andere dat een essentiële dienst kan platleggen: brand, overstroming, stroomuitval, sabotage, terrorisme, criminaliteit en uitval van personeel. Het verschil in werking is groot: onder de Cbw stel je zelf vast of je eronder valt, onder de Wwke geldt er niets totdat een vakminister je formeel als kritieke entiteit aanwijst. Wie wordt aangewezen, is daarmee meteen essentiële entiteit onder de Cyberbeveiligingswet.

Waarvoor is dit bedoeld

Europa constateerde dat de bescherming van vitale dienstverlening te veel op digitale dreigingen was gericht en te weinig op fysieke. De CER-richtlijn verplicht lidstaten daarom om per sector te bepalen welke organisaties een essentiële dienst leveren, die organisaties aan te wijzen en hun een weerbaarheidsplicht op te leggen die dreigingen van natuurlijke en menselijke oorsprong allebei omvat. De Wwke doet dat voor Nederland en valt onder het ministerie van Justitie en Veiligheid.

Voor wie

Alleen voor organisaties die formeel zijn aangewezen. Artikel 6 laat de vakminister een entiteit als kritieke entiteit aanwijzen als zij een of meer essentiële diensten verleent, actief is in Nederland, hier kritieke infrastructuur heeft en een incident bij haar aanzienlijke verstorende gevolgen zou hebben voor die dienst of voor daarvan afhankelijke diensten. De bijlage bij de wet noemt de sectoren waarbinnen dat kan: overheid, digitale infrastructuur, bankwezen en financiële markten, vervoer (lucht, spoor, water, weg en openbaar vervoer), drinkwater, afvalwater, energie (elektriciteit, stadsverwarming, aardolie, aardgas en waterstof), levensmiddelen en gezondheidszorg. Er is geen omzet- of personeelsdrempel: de aanwijzing hangt aan het belang van de dienst, niet aan de omvang van het bedrijf.

Wat er niet onder valt

Zolang er geen aanwijzing is, gelden de verplichtingen niet — ook niet voor organisaties die onmiskenbaar in een van de genoemde sectoren werken. Hoofdstuk 13 van de wet kent bovendien een regeling voor het toepassingsbereik en voor ontheffing van verplichtingen. Zo zijn volgens de RDI aangewezen entiteiten in de sector digitale infrastructuur vrijgesteld van de risicobeoordeling, de zorgplicht en de meldplicht van de Wwke: voor hen doet de Cyberbeveiligingswet dat werk al. Leveranciers van een kritieke entiteit worden er niet zelf door aangewezen.

Wat je moet doen

Na de aanwijzing: een eigen risicobeoordeling maken, passende weerbaarheidsmaatregelen nemen, incidenten melden, en een aantal bijkomende verplichtingen uit hoofdstuk 11 nakomen. Vóór de aanwijzing is er formeel niets te doen; de wet verwacht geen zelftoets zoals de Cyberbeveiligingswet dat wel doet.

De termijnen na aanwijzing

De kritieke entiteit voert binnen negen maanden na aanwijzing haar eigen risicobeoordeling uit (hoofdstuk 8, artikel 14) en herhaalt die daarna ten minste elke vier jaar. De zorgplicht en de meldplicht gaan volgens de RDI tien maanden na de aanwijzing gelden. Los daarvan maken de bevoegde autoriteiten zelf ten minste elke vier jaar een risicobeoordeling per sector (artikel 9) en delen zij de relevante informatie daaruit met de aangewezen entiteiten.

Zorgplicht

Artikel 15 verplicht tot passende en evenredige technische, beveiligings- en organisatorische maatregelen. Daaronder vallen het voorkomen van incidenten, de fysieke bescherming van gebouwen en infrastructuur, procedures om op incidenten te reageren, plannen voor bedrijfscontinuïteit en herstel, beheersing van personeelsrisico’s inclusief antecedentenonderzoek voor medewerkers in kritieke functies, en bewustwording en training van personeel.

Meldplicht

Artikel 17 verplicht tot melding bij de bevoegde autoriteit binnen 24 uur, of zodra dat operationeel mogelijk is, van incidenten die de verlening van de essentiële dienst aanzienlijk verstoren of dreigen te verstoren, met de op dat moment beschikbare gegevens over aard, oorzaak en gevolgen. Daarna volgt een uitgebreider verslag binnen een maand. De termijn van 24 uur is dus dezelfde als die van de eerste stap onder de Cyberbeveiligingswet, maar het gaat om andere incidenten en een andere ontvanger.

Achtergrondonderzoek van personeel

De zorgplicht van artikel 15 omvat uitdrukkelijk personeelsbeveiliging, met antecedentenonderzoek voor medewerkers in kritieke functies. Dat is een verplichting die de Cyberbeveiligingswet in deze vorm niet kent en die raakt aan arbeidsrecht en privacy.

Entiteiten van bijzonder Europees belang

Hoofdstuk 12 van de wet, de artikelen 21 en 22, regelt kritieke entiteiten van bijzonder Europees belang: organisaties die dezelfde of soortgelijke essentiële diensten in meerdere lidstaten leveren. Voor die groep kan de Europese Commissie een adviesmissie organiseren.

Overlap met de Cyberbeveiligingswet

De belangrijkste praktische consequentie: <b>een aanwijzing onder de Wwke maakt je van rechtswege essentiële entiteit onder de Cyberbeveiligingswet</b> (artikel 8 Cbw). Daarmee komt het zwaarste cyberregime mee, inclusief proactief toezicht, zonder dat aan de omvangdrempel van die wet hoeft te worden getoetst. De twee wetten overlappen inhoudelijk nauwelijks — de Wwke gaat over fysieke en organisatorische weerbaarheid, de Cbw over netwerk- en informatiesystemen — maar de administratieve last stapelt wel: twee risicobeoordelingen, twee meldroutes en twee toezichthouderrelaties.

Toezicht NL

Het beleid ligt bij Justitie en Veiligheid; de toezichthouders worden per sector door de verantwoordelijke ministeries aangewezen. De Rijksinspectie Digitale Infrastructuur houdt toezicht op de sectoren energie, ruimtevaart en digitale infrastructuur. Hoofdstuk 16 van de wet, Handhaving, omvat de artikelen 36 tot en met 40. De NCTV noemt als instrumenten voorlichting of een waarschuwing, gesprekken en bedrijfsbezoeken, een aanwijzing of opdracht om maatregelen te treffen, audits, een last onder bestuursdwang of dwangsom, en een bestuurlijke boete.

Boete

De wet voorziet in een bestuurlijke boete, maar de maximumbedragen zijn niet te achterhalen — zie de onzekerheden. Het Besluit weerbaarheid kritieke entiteiten werkt de wet nader uit.