Wwke

Wat is de Wwke?

De Wwke (Wet weerbaarheid kritieke entiteiten) is de Nederlandse wet die de Europese CER-richtlijn (EU) 2022/2557 omzet en door de overheid aangewezen kritieke entiteiten verplicht om hun essentiële diensten weerbaar te maken tegen alle relevante dreigingen, van natuurrampen en sabotage tot terrorisme, personeelsrisico’s en uitval van leveranciers. De wet is op 15 augustus 2026 in werking getreden, gelijktijdig met de Cyberbeveiligingswet.

De Wwke is de fysieke en organisatorische tegenhanger van de Cyberbeveiligingswet, die NIS2 implementeert. Waar NIS2 de cyberweerbaarheid regelt, gaat de Wwke over weerbaarheid tegen alle vormen van verstoring van essentiële diensten. Omdat die diensten vrijwel altijd op OT draaien, raakt de wet direct aan de beveiliging van SCADA-systemen, PLC-kasten en de gebouwen waarin ze staan.

🗓️ Sinds wanneer geldt de Wwke?

De Wet weerbaarheid kritieke entiteiten is gedateerd 8 juli 2026 en gepubliceerd als Staatsblad 2026, 188. De Eerste Kamer nam de Wwke en de Cyberbeveiligingswet op 7 juli 2026 aan, en beide wetten traden op 15 augustus 2026 in werking. Het wetsvoorstel had Kamerstuknummer 36765.

Nederland was dus bijna twee jaar te laat met de omzetting. Volgen de eerste aanwijzingen binnen ongeveer een maand na inwerkingtreding, zoals bij de waterschappen, dan moeten die kritieke entiteiten hun risicobeoordeling rond medio 2027 afronden en hun maatregelen een maand later aantoonbaar op orde hebben.

🎯 Wat is het doel van de Wwke?

• Continuïteit borgen van diensten die de samenleving niet kan missen, zoals stroom, drinkwater, vervoer en zorg
• All-hazards-aanpak - niet alleen cyberaanvallen, maar ook overstromingen, hitte, brand, sabotage, terrorisme, pandemieën en ketenuitval
• Risicogestuurde maatregelen verplicht stellen in plaats van vrijblijvende afspraken
• Meldplicht invoeren voor significante verstoringen, zodat de overheid een actueel beeld heeft
• Europese samenwerking mogelijk maken bij diensten die over grenzen heen worden geleverd

In Nederland volgt de Wwke de eerdere Aanpak vitaal op, waarin de NCTV samen met de ministeries vitale processen in kaart bracht zonder dat daar een wettelijke zorgplicht aan vastzat.

🧱 Wie is een kritieke entiteit?

Een organisatie kan als kritieke entiteit worden aangewezen als zij aan drie voorwaarden voldoet: zij levert één of meer essentiële diensten, zij is actief in Nederland met haar kritieke infrastructuur op Nederlands grondgebied, en een incident zou aanzienlijke verstorende effecten hebben op die dienst. De verantwoordelijke vakminister wijst aan, na overleg met de minister van Justitie en Veiligheid. De CER-richtlijn noemt elf sectoren:

Entiteiten in bankwezen, financiële marktinfrastructuur en digitale infrastructuur worden wel aangewezen, maar voor hen gelden de weerbaarheidseisen, meldplicht en het toezicht uit de richtlijn niet, omdat DORA en NIS2 die al regelen. Lidstaten mogen daarnaast eigen sectoren toevoegen, en Nederland deelt de sectoren verder op. Zo wijst de minister van Infrastructuur en Waterstaat waterschappen aan voor de sectoren ‘keren en beheren’ en ‘afvalwater’, en in sommige gevallen ook voor ‘wegbeheer’.

De aanwijzing is vertrouwelijk: ministeries publiceren geen lijst van kritieke entiteiten. Een aangewezen organisatie is onder de Cyberbeveiligingswet bovendien altijd een essentiële entiteit, ongeacht haar omvang.

🔐 Welke verplichtingen heeft een kritieke entiteit?

De Wwke kent drie kernplichten, uitgewerkt in artikel 12 tot en met 15 van de CER-richtlijn:

• Risicobeoordeling - binnen negen maanden na aanwijzing beoordeelt u alle relevante natuurlijke en door mensen veroorzaakte risico’s voor uw essentiële dienst, daarna zo vaak als nodig en minstens elke vier jaar. U gebruikt daarvoor ook de sectorale risicobeoordeling van de overheid.
• Zorgplicht - binnen tien maanden na aanwijzing neemt u passende en evenredige technische, beveiligings- en organisatorische maatregelen, vastgelegd in een weerbaarheidsplan. Documenten uit andere wetgeving mag u hergebruiken.
• Meldplicht - een incident dat uw essentiële dienst aanzienlijk verstoort of kan verstoren, meldt u zonder onnodige vertraging en uiterlijk 24 uur nadat u ervan kennis nam bij de bevoegde autoriteit (lukt dat operationeel niet, dan zo snel mogelijk), zo nodig gevolgd door een gedetailleerd rapport binnen een maand.

De zorgplicht omvat zes soorten maatregelen:

Daarnaast moet u meewerken aan het toezicht: de bevoegde autoriteit kan inspecties ter plaatse en audits uitvoeren en informatie opvragen om te beoordelen of uw maatregelen volstaan.

Een kritieke entiteit die zes of meer EU-lidstaten bedient, kan worden aangemerkt als kritieke entiteit van bijzonder Europees belang. De Europese Commissie kan dan op verzoek een adviesmissie sturen.

🔄 Wat is het verschil tussen de Wwke en de Cyberbeveiligingswet?

Veel organisaties vallen onder beide wetten. De Wwke regelt de fysieke en organisatorische weerbaarheid, de Cyberbeveiligingswet de digitale weerbaarheid.

Een geïntegreerde aanpak voor IT én OT voorkomt dubbel werk: één risicoanalyse, één crisisorganisatie en één set maatregelen die op IEC 62443 en ISO 22301 aansluit.

🏭 Wat betekent de Wwke voor IT en OT?

De Wwke raakt nadrukkelijk industriële omgevingen. In de praktijk vertaalt de wet zich naar:

• Fysieke beveiliging van procesinstallaties, controlekamers, SCADA-ruimten, onderstations en PLC-kasten in het veld
• Personele weerbaarheid - screening van operators, onderhoudspartijen en leveranciers met toegang, en aandacht voor insiderdreigingen
• Leveranciersafhankelijkheid - inzicht in ketenrisico’s en hoog-risicoleveranciers, met alternatieven voor kritieke onderdelen
• Afhankelijkheden van buitenaf - stroom, telecom en tijdsignalen, zoals bij GNSS-verstoring
• Crisisrespons die fysieke en cyberincidenten samenbrengt via een Incident Response Plan en een Crisiscommunicatieplan
• Aansluiting op IEC 62443 voor de cybercomponent van het weerbaarheidsplan

Hybride dreigingen maken die koppeling urgent. Campagnes zoals Volt Typhoon laten zien dat statelijke actoren zich voorbereiden op verstoring van vitale diensten, en sabotage van een pompstation of onderstation kan dezelfde gevolgen hebben als een cyberaanval op de besturing.

🛠️ Hoe pakt u de Wwke in de praktijk aan?

1. Aanwijzing en scope vaststellen - bepaal welke essentiële diensten en welke locaties onder de aanwijzing vallen, en koppel die aan de Cbw-registratie.
2. Business impact bepalen - gebruik een Business Impact Analysis om maximale uitvaltijden en minimale dienstverlening per dienst vast te leggen.
3. Risicobeoordeling uitvoeren - beoordeel dreigingen per locatie: overstroming, brand, sabotage, uitval van nutsvoorzieningen, cyberaanvallen en personeelstekort.
4. Weerbaarheidsplan opstellen - leg per risico preventieve, detecterende en herstelmaatregelen vast, en hergebruik bestaande documenten uit ISO 22301, de Cbw of sectorwetgeving.
5. Meldproces inrichten - zorg dat een verstoring binnen 24 uur bij de bevoegde autoriteit kan worden gemeld, naast de Cbw-melding bij het CSIRT.
6. Oefenen en verbeteren - oefen scenario’s waarin fysieke en digitale incidenten samenkomen, en herhaal de risicobeoordeling minstens elke vier jaar.

Voor de waterschappen is dit al concreet: de minister van Infrastructuur en Waterstaat wijst ze binnen een maand na inwerkingtreding aan voor keren en beheren en afvalwater, en de Inspectie Leefomgeving en Transport (ILT) houdt toezicht. Zie ook OT-security in de watersector.

❓ Veelgestelde vragen

Wat betekent de afkorting Wwke?

Wwke staat voor Wet weerbaarheid kritieke entiteiten. De Wwke is de Nederlandse omzetting van de Europese CER-richtlijn (Critical Entities Resilience, EU 2022/2557) en geldt sinds 15 augustus 2026.

Hoe weet ik of mijn organisatie onder de Wwke valt?

Onder de Wwke valt alleen een organisatie die door de verantwoordelijke vakminister als kritieke entiteit is aangewezen. U ontvangt dan een aanwijzingsbesluit; zonder zo’n besluit gelden de Wwke-plichten niet, al kunt u wel onder de Cyberbeveiligingswet vallen.

Wat moet een kritieke entiteit melden onder de Wwke?

Een kritieke entiteit meldt elk incident dat de verlening van haar essentiële dienst aanzienlijk verstoort of kan verstoren. De Wwke-melding gaat uiterlijk 24 uur nadat de entiteit van het incident kennis nam naar de bevoegde autoriteit, met zo nodig binnen een maand een gedetailleerd rapport.

Is de Wwke hetzelfde als de Cyberbeveiligingswet?

Nee, de Wwke regelt de fysieke en organisatorische weerbaarheid van kritieke entiteiten, de Cyberbeveiligingswet de digitale beveiliging. Een kritieke entiteit onder de Wwke is wel automatisch een essentiële entiteit onder de Cyberbeveiligingswet.

Welke termijnen gelden na aanwijzing onder de Wwke?

Na aanwijzing heeft een kritieke entiteit negen maanden voor haar eerste risicobeoordeling. De zorgplicht en meldplicht van de Wwke gelden tien maanden na aanwijzing, en de risicobeoordeling herhaalt u minstens elke vier jaar.

Wie houdt toezicht op de Wwke?

Toezicht op de Wwke ligt bij de bevoegde autoriteit van elke sector: de vakminister, die het toezicht vaak bij een inspectie zoals de ILT belegt. De minister van Justitie en Veiligheid, met de NCTV, is het centrale contactpunt voor Nederland.

📌 Samengevat

De Wwke is de Nederlandse omzetting van de Europese CER-richtlijn en verplicht aangewezen kritieke entiteiten sinds 15 augustus 2026 tot een risicobeoordeling, een weerbaarheidsplan tegen álle relevante dreigingen en een meldplicht binnen 24 uur. Samen met de Cyberbeveiligingswet vormt de Wwke het wettelijke fundament voor de bescherming van Kritieke Infrastructuur in Nederland, en voor OT-omgevingen betekent dat fysieke, personele en digitale beveiliging in één samenhangende aanpak.