Wet weerbaarheid kritieke entiteiten gaat in: ministeries wijzen binnen een maand 500 organisaties aan

De Wet weerbaarheid kritieke entiteiten geldt sinds vandaag, tegelijk met de Cyberbeveiligingswet, en raakt ongeveer 500 organisaties die hun vakministerie aanwijst als kritieke entiteit, meldt de NCTV.

Wie op die lijst komt, bepaalt de organisatie niet zelf. Dat is het spiegelbeeld van de Cyberbeveiligingswet, waar je zelf toetst of je binnen de achttien sectoren valt en je zelf registreert bij het NCSC. Bij de Wwke voert het ministerie eerst een sectorale risicobeoordeling uit, en pas daarna volgt het besluit waarin jouw organisatie staat. Lang wachten is dat niet: de kritieke entiteiten moeten uiterlijk een maand na de inwerkingtreding van de wet zijn aangewezen, dus voor half september.

Fysieke weerbaarheid, met een eigen klok

De Cyberbeveiligingswet gaat over netwerk- en informatiesystemen. De Wwke voert de Europese CER-richtlijn uit en kijkt naar de continuïteit van de dienst zelf, tegen sabotage, terroristische misdrijven, extreem weer en andere verstoringen. Dat leidt tot maatregelen die een IT-afdeling niet in haar eentje afdekt: crisisplannen, toegangsbeveiliging, herstel na uitval.

Die verplichtingen starten bij de aanwijzing, niet vandaag. Binnen negen maanden na de aanwijzing moet een kritieke entiteit een eigen risicobeoordeling hebben uitgevoerd. Binnen tien maanden moeten de technische, organisatorische en fysieke maatregelen staan. Alleen de meldplicht kent geen aanloop: incidenten die een aanzienlijke verstoring van de essentiële dienst veroorzaken of kunnen veroorzaken, gaan binnen 24 uur naar de bevoegde autoriteit, het verantwoordelijke ministerie samen met de toezichthouder.

Een aanwijzing zet meteen het zwaarste cyberregime aan

Hier raken de twee wetten elkaar hard. Kritieke entiteiten zijn automatisch ook essentiële entiteiten in de zin van de Cyberbeveiligingswet en moeten direct na de aanwijzing aan die verplichtingen voldoen. De aanloop van negen en tien maanden geldt dus alleen voor de Wwke-kant. Voor de zorgplicht, de meldplicht en de bestuurlijke verantwoordelijkheid uit de Cyberbeveiligingswet is er geen overgangstermijn.

Dat verandert de rekensom voor een organisatie die zichzelf tot nu toe als belangrijke entiteit inschatte en haar planning daarop bouwde. Een aanwijzingsbesluit in september tilt haar naar de categorie essentiële entiteiten, de categorie met het strengste toezicht, zonder dat er iets aan haar dienstverlening is veranderd.

Vijftien sectoren, en het ministerie kiest

De Wwke geldt in vijftien sectoren: energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, overheid, ruimtevaart, nucleair, chemie, meteorologie, het keren en beheren van water, en de productie, verwerking en distributie van levensmiddelen. Ministeries kunnen later sectoren toevoegen.

Drie criteria bepalen wie wordt aangewezen: de organisatie verleent een of meer essentiële diensten, haar kritieke infrastructuur ligt in Nederland, en een incident bij haar zou aanzienlijke verstorende effecten hebben op die dienst of via cascade-effecten op andere essentiële diensten. Ten minste elke vier jaar wordt opnieuw bekeken wie erbij hoort, dus de lijst van september is geen eindstand.

Het toezicht ligt niet bij één landelijke instantie. Elk verantwoordelijk ministerie wijst een eigen toezichthouder aan, die informatie kan opvragen en onderzoek kan doen naar de risicobeoordeling, de genomen maatregelen en de afhandeling van meldingen. Meewerken is verplicht. De handhaving loopt van een waarschuwing en een bedrijfsbezoek via een verplichte audit naar een last onder dwangsom of een bestuurlijke boete.

Van vrijwillige afspraak naar handhaafbare wet

Met de Wwke is een groot deel van de voormalige Aanpak vitaal wettelijk verankerd. Wat jarenlang een programma met afspraken tussen departementen en bedrijven was, heeft nu termijnen, een toezichthouder en een boetebevoegdheid. Dat gebeurt op dezelfde dag dat de Cyberbeveiligingswet ingaat terwijl op 13 augustus 2.942 organisaties in het entiteitenregister stonden van naar schatting acht- tot tienduizend plichtige partijen.

De twee wetten komen in de praktijk samen bij de leveranciers. De 500 organisaties die de komende maand worden aangewezen, moeten hun eigen continuïteit onderbouwen en gaan hun ketenpartners daarover bevragen, net zoals de achtduizend Cbw-organisaties dat doen: niet via een brief van de toezichthouder, maar als securityvragenlijst bij een contractverlenging. Wie levert aan een energiebedrijf, een ziekenhuis of een waterschap, krijgt vanaf dit najaar dus een tweede set vragen. Die gaan niet over patchbeleid, maar over de vraag of jouw dienst nog draait als die van je klant plat ligt.