Wwke-verplichtingen voor kritieke entiteiten — wat er vanaf 15 augustus 2026 geldt

Wat de Wwke is en wie ermee te maken krijgt

De Wwke zet de Europese richtlijn voor de weerbaarheid van kritieke entiteiten (CER) om in Nederlands recht. Waar de weerbaarheid van vitale infrastructuur voorheen grotendeels beleidsmatig was geregeld, maakt de Wwke er een wettelijk regime van: vakministeries wijzen individuele organisaties aan als kritieke entiteit, en die aanwijzing activeert bindende verplichtingen. Naar verwachting worden enkele honderden Nederlandse organisaties aangewezen, verspreid over sectoren als energie, transport, bankwezen, financiële marktinfrastructuur, zorg, drinkwater en afvalwater, digitale infrastructuur, voedsel en openbaar bestuur.

De belangrijkste verandering voor securitymanagers: het regime is all-hazards. Fysieke aanvallen, sabotage, insider-handelen, natuurlijke risico's en hybride campagnes vallen binnen één kader — de invulling kan dus niet alleen bij de IT-afdeling liggen. Fysieke beveiliging, toegangsbeheer en personele betrouwbaarheid maken deel uit van de wettelijke verplichting, naast de cyberverplichtingen die tegelijkertijd via de Cyberbeveiligingswet gelden.

De verplichtingen, in volgorde van binnenkomst

• Risicobeoordeling — een gestructureerde all-hazards beoordeling van de dreigingen voor de essentiële dienstverlening. Onder het CER-kader moet deze binnen negen maanden na kennisgeving van de aanwijzing zijn afgerond.
• Weerbaarheidsmaatregelen — technische, beveiligings- en organisatorische maatregelen die passen bij het beoordeelde risico: fysieke bescherming van locaties, toegangscontrole, incident- en crisismanagement, personele beveiliging, herstelvermogen.
• Meldplicht — significante incidenten die de essentiële dienstverlening (kunnen) verstoren, moeten worden gemeld bij de bevoegde autoriteit.
• Doorlopende verantwoording — weerbaarheid is een levende verplichting: beoordelingen en maatregelen moeten actueel blijven naarmate het dreigingsbeeld verandert.

Waarom de timing niet comfortabel is

De verplichtingen komen binnen tegen het dreigingsbeeld dat de Nederlandse overheid zelf schetst: het dreigingsniveau staat op 4 van 5 (substantieel), de AIVD meldde in juli 2026 dat Nederland doelwit is van een Russische spionageoperatie via internetgekoppelde camera's, en de afgelopen winter werden onbekende drones waargenomen boven Nederlandse en Belgische havens en energie-infrastructuur. Aangewezen entiteiten moeten hun weerbaarheid formaliseren in precies de periode waarin de dreigingen waar de wet op ziet, actief zijn. Relevante capaciteiten: fysieke beveiligingsbeoordeling, anti-dronemaatregelen en technische contraspionage (TSCM).

Wat te doen vóór en na aanwijzing

Organisaties die aanwijzing verwachten, hoeven niet op de brief te wachten. De risicobeoordeling is het tijdkritische onderdeel — zij bepaalt de maatregelen, en de termijn van negen maanden start bij kennisgeving. Wie de beoordeling vroeg opbouwt, op het all-hazards niveau dat de wet verwacht, maakt van een wettelijke deadline een formaliteit. Mission Support ondersteunt kritieke entiteiten met dreigingsgestuurde fysieke risicobeoordeling, het ontwerp van beschermende maatregelen en validatie-oefeningen, uitgevoerd door operators met een gouvernementele en defensie-achtergrond.

Laatst beoordeeld: 11 augustus 2026. Dit artikel is een oriënterende samenvatting en geen juridisch advies — de wettekst en de richtsnoeren van uw bevoegde autoriteit zijn leidend.