Wet weerbaarheid kritieke entiteiten: wat betekent de wet voor jouw organisatie?

De WwKe raakt organisaties die essentiële diensten leveren. Wie valt eronder en welke verplichtingen gelden straks?

Wet weerbaarheid kritieke entiteiten: wat betekent de wet voor jouw organisatie?

De Wet weerbaarheid kritieke entiteiten (WwKe) verplicht organisaties in elf sectoren om beter voorbereid te zijn op verstoringen. Denk aan cyberaanvallen, overstromingen of technische storingen. De wet treedt op 15 augustus 2026 in werking en is de Nederlandse implementatie van de Europese Critical Entities Resilience (CER)-richtlijn. Organisaties die nu beginnen, voldoen straks niet alleen aan de wet, maar bouwen ook aan een organisatie die tegen een stootje kan.

Waarom is de CER-richtlijn belangrijk?

Europa wil essentiële diensten beter beschermen tegen verstoringen. Daarom is de Critical Entities Resilience (CER)-richtlijn opgesteld. Nederland heeft deze richtlijn geïmplementeerd in de Wet weerbaarheid kritieke entiteiten (WwKe). De wet moet ervoor zorgen dat organisaties die essentiële diensten leveren verstoringen kunnen voorkomen, erop kunnen reageren en er snel van kunnen herstellen. Voor deze organisaties is weerbaarheid niet langer alleen een bestuurlijk thema, maar ook een wettelijke verplichting.

Organisaties krijgen steeds vaker te maken met dreigingen die hun dienstverlening kunnen verstoren. Denk aan extreem weer, cyberaanvallen, technische storingen, geopolitieke spanningen of menselijk handelen. De Wwke is belangrijk omdat uitval van essentiële diensten direct gevolgen kan hebben voor de nationale veiligheid, de publieke veiligheid en het dagelijks leven van mensen. De wet vraagt organisaties daarom om risico's vooraf in kaart te brengen. Welke processen zijn kritiek? Waar zitten de afhankelijkheden? En wat gebeurt er als een belangrijk systeem, gebouw of leverancier uitvalt?

Raakt de WwKe jouw organisatie?

De WwKe geldt voor organisaties die door de overheid worden aangewezen als organisatie die een essentiële dienst levert. Het gaat onder meer om organisaties in de sectoren energie, transport, financiëlemarktinfrastructuur, zorg, digitale infrastructuur, drinkwater en afvalwater, voedselproductie en -distributie, overheid en openbaar bestuur en ruimtevaart. Ook kleinere organisaties kunnen ermee te maken krijgen als hun uitval grote nationale of internationale gevolgen kan hebben.

Organisaties bepalen niet zelf of zij onder de WwKe vallen. De verantwoordelijke minister wijst organisaties formeel aan op basis van de criteria uit de wet. Pas na deze aanwijzing gelden de wettelijke verplichtingen. Organisaties die verwachten onder de Wwke te vallen, doen er verstandig aan zich nu al voor te bereiden.

Wanneer en hoe raakt de wet jouw organisatie?

De WwKe treedt op 15 augustus 2026 in werking. Vanaf dat moment kunnen ministeries organisaties formeel aanwijzen. Na deze aanwijzing geldt een wettelijke implementatietermijn om aan de verplichtingen uit de wet te voldoen. Organisaties die waarschijnlijk onder de Wwke gaan vallen, doen er daarom verstandig aan niet te wachten op de aanwijzing, maar nu al te starten met de voorbereidingen.

De kernverplichtingen draaien om vijf onderdelen:

1. Een risicoanalyse uitvoeren, met aandacht voor:

• continuïteitsrisico’s en dreigingen in kaart brengen, zoals milieu-, technologische, geopolitieke en menselijke risico’s;
• bepalen welke diensten, processen en activiteiten kritiek zijn;
• kritieke afhankelijkheden identificeren, zoals machines, locaties, medewerkers, IT/OT, data en derde partijen;
• bestaande maatregelen en resterende risico’s beoordelen.

2. Maatregelen nemen om verstoringen te voorkomen, beperken en herstellen, met aandacht voor:

• preventieve en beschermende maatregelen om de kans op verstoringen te verkleinen;
• herstelmaatregelen om sneller terug te keren naar normale dienstverlening;
• continuïteitsplannen voor kritieke diensten en processen.

3. Governance, toezicht en crisisrespons inrichten, zodat duidelijk is:

• wie welke rol en verantwoordelijkheid heeft bij een incident;
• hoe besluitvorming, escalatie en communicatie verlopen;
• hoe toezicht op weerbaarheid en crisisrespons is georganiseerd.

4. Incidenten tijdig melden bij de juiste autoriteiten.

• Aanzienlijke verstoringen moeten binnen de wettelijk voorgeschreven termijn worden gemeld;
• daarvoor moeten duidelijke meldprocedures, contactpunten en interne escalatielijnen klaarstaan.

5. Continu verbeteren.

• Organisaties moeten hun aanpak blijven testen, evalueren en aanpassen aan nieuwe risico’s en veranderende omstandigheden.

Hoe verhoudt de WwKe zich tot de Cyberbeveiligingswet?

De WwKe richt zich op de fysieke en organisatorische weerbaarheid van organisaties die essentiële diensten leveren. De Cyberbeveiligingswet, de Nederlandse implementatie van de NIS2-richtlijn, richt zich op digitale weerbaarheid. Veel organisaties krijgen met beide wetten te maken. Onderwerpen als risicomanagement, governance, incidentmanagement en business continuity komen in beide wetten terug. Door deze onderwerpen integraal aan te pakken, voorkom je dubbel werk en versterk je de weerbaarheid van je organisatie.

Hoe kun je je voorbereiden?

Begin met de vraag of jouw organisatie waarschijnlijk als kritieke entiteit wordt aangewezen. Verdiep je daarna in de eisen van de WwKe en breng in kaart waar je organisatie nu staat.

Een praktische volgende stap is een gap-analyse. Daarmee vergelijk je de huidige aanpak voor business continuity management met de eisen van de WwKe. Kijk daarbij niet alleen naar beleid en documentatie, maar ook naar governance, crisismanagement, leveranciers, fysieke beveiliging, afhankelijkheden en bestaande maatregelen. Zo wordt duidelijk waar verbeteringen nodig zijn en welke acties prioriteit hebben. Zie dit niet als een eenmalige exercitie, maar als een continu verbeterproces.

Alleen compliance of ook strategisch voordeel?

De WwKe gaat niet alleen over voldoen aan regels. De wet kan organisaties ook helpen om sterker en wendbaarder te worden. Wie risico’s beter begrijpt, kan sneller reageren als er iets misgaat. En wie continuïteit goed organiseert, wekt vertrouwen bij klanten, toezichthouders, investeerders en partners. Met een strategische aanpak kunnen organisaties:

• processen slimmer en efficiënter inrichten;
• het vertrouwen van investeerders en andere stakeholders vergroten;
• sneller herstellen van verstoringen dan concurrenten;
• weerbaarheid meenemen in innovatie, strategie en bedrijfsvoering.

Organisaties die hun continuïteit goed organiseren, kunnen beter omgaan met onverwachte gebeurtenissen. Zij weten welke processen kritiek zijn, welke afhankelijkheden kwetsbaar zijn en wie in actie moet komen als er iets misgaat. Dat maakt hen niet alleen beter voorbereid op incidenten, maar ook sterker bij strategische veranderingen.

Geïnteresseerd?

Wil je weten wat de WwKe betekent voor jouw organisatie? Onze specialisten helpen je graag met een eerste impactanalyse of gap-analyse. Zo krijg je inzicht in de eisen van de WwKe, de relatie met de Cyberbeveiligingswet en de stappen die nodig zijn om je organisatie tijdig compliant en weerbaar te maken.