Strenge veiligheidseisen voor drinkwater en stroom

De Cyberbeveiligingswet is de Nederlandse verankering van de Europese NIS2-richtlijn en vervangt de oude Wet beveiliging netwerk- en informatiesystemen (Wbni). Waar het bij de Cbw draait om de digitale veiligheid van essentiële en belangrijke organisaties, richt de Wwke – de uitwerking van de Europese CER-richtlijn – zich specifiek op de fysieke weerbaarheid. Bedrijven en organisaties die aan de wettelijke criteria voldoen, vallen automatisch onder de Cbw of worden door het ministerie van Infrastructuur en Waterstaat (IenW) aangewezen als 'kritieke entiteit' onder de Wwke.

Digitale verplichtingen onder de Cyberbeveiligingswet

De Cyberbeveiligingswet legt organisaties die een sleutelrol spelen in de samenleving strikte verplichtingen op om hun netwerk- en informatiesystemen te beveiligen:

Registratieplicht: Betrokken organisaties zijn verplicht zich in te schrijven in het nationaal entiteitenregister, dat onder beheer staat van het Nationaal Cyber Security Centrum (NCSC).

Zorgplicht: Bedrijven moeten aantoonbaar evenredige en passende technische en organisatorische maatregelen nemen om veiligheidsrisico's te beheersen en de impact van eventuele incidenten te beperken. Na registratie kunnen organisaties in de IenW-sectoren rekenen op bijstand en dreigingsinformatie van het NCSC als hun Computer Security Incident Response Team (CSIRT). Voor de waterschappen vervult CERT-WM deze rol.

Meldplicht: Wanneer er sprake is van een 'significant incident' — vastgesteld via drempelwaarden in een ministeriële regeling — geldt de verplichting dit direct te melden bij het NCSC en de minister van IenW.

Bestuurlijke verantwoordelijkheid: De wet legt de eindverantwoordelijkheid expliciet neer bij het bestuur. Bestuurders moeten maatregelen goedkeuren, toezien op de uitvoering en zijn wettelijk verplicht om een specifieke training te volgen om risico's en beveiligingsniveaus inhoudelijk te kunnen beoordelen.

Fysieke bescherming via de Wet weerbaarheid kritieke entiteiten

Naast digitale dreigingen neemt ook het risico op fysieke verstoringen toe. De Wwke verplicht door de minister van IenW aangewezen organisaties om zich te beschermen tegen zogeheten all hazard-dreigingen:

Risicobeoordeling: Aangewezen entiteiten moeten een grondige eigen risicoanalyse uitvoeren om in kaart te brengen welke gebeurtenissen hun continuïteit in gevaar kunnen brengen en wat de maatschappelijke impact daarvan is.

Fysieke zorgplicht: Organisaties moeten fysieke, organisatorische en technische barrières opwerpen — zoals het beveiligen van terreinen en installaties — om uitval door sabotage, aanslagen of natuurrampen te voorkomen.

Meldplicht: Incidenten die leiden tot een aanzienlijke verstoring van de essentiële dienstverlening moeten binnen 24 uur worden gemeld.

Toezicht en handhaving

Het toezicht op de naleving van beide wetten is neergelegd bij gespecialiseerde inspecties. Binnen de IenW-sectoren fungeert de Inspectie Leefomgeving en Transport (ILT) als de primaire toezichthouder. De ILT kan inspecties uitvoeren, gegevens opvragen en onderzoeken instellen na incidenten.

Op deze bevoegdheid bestaan enkele uitzonderingen voor specifieke sectoren. Voor de nucleaire sector treedt de Autoriteit Nucleaire Veiligheid en Stralingsbescherming (ANVS) op als toezichthouder. Het toezicht op de digitale veiligheid rondom verpakt drinkwater valt onder de Nederlandse Voedsel- en Warenautoriteit (NVWA).

Om organisaties te ondersteunen bij het nakomen van de nieuwe verplichtingen, organiseren de betrokken instanties informatiebijeenkomsten. Zo staat op 3 september 2026 een webinar gepland waarin dieper wordt ingegaan op de werkwijze van het toezicht op de Cyberbeveiligingswet.