Wat is de WWKE? De wet voor kritieke entiteiten (CER)

De WWKE is de Wet weerbaarheid kritieke entiteiten. Die wet zet de Europese CER-richtlijn om in Nederlands recht en gaat over de weerbaarheid van organisaties die essentiële diensten leveren, tegen verstoringen die niet digitaal van aard zijn.

Denk aan stroomuitval, overstroming, sabotage, uitval van personeel of een verstoorde toelevering. Waar de Cyberbeveiligingswet over digitale weerbaarheid gaat, gaat de WWKE over alles daaromheen.

Hieronder leest u wat de wet vraagt, voor wie hij geldt en hoe hij zich verhoudt tot de Cyberbeveiligingswet, want die twee raken vaak dezelfde organisaties.

Twee wetten, twee soorten weerbaarheid

De Europese Unie heeft twee richtlijnen tegelijk vastgesteld die elkaar aanvullen. NIS2 gaat over netwerk- en informatiesystemen, de CER-richtlijn over de fysieke en organisatorische weerbaarheid van kritieke entiteiten.

Nederland heeft die twee omgezet in twee aparte wetten: de Cyberbeveiligingswet en de WWKE. Ze zijn bewust op elkaar afgestemd, met dezelfde sectorindeling als vertrekpunt.

Voor organisaties die onder allebei vallen betekent dat niet twee losse programma’s. Risicobeoordeling, continuïteit en incidentafhandeling overlappen sterk, en dat kunt u een keer inrichten.

Voor wie de WWKE geldt

De WWKE richt zich op een kleinere groep dan de Cyberbeveiligingswet. Het gaat om entiteiten die als kritiek worden aangewezen omdat zij een essentiële dienst leveren waarvan verstoring grote maatschappelijke gevolgen zou hebben.

Waar de Cyberbeveiligingswet werkt met sectoren en omvangdrempels waarna u zelf beoordeelt of u eronder valt, werkt de WWKE met aanwijzing. De overheid identificeert welke organisaties kritiek zijn en informeert hen daarover.

Dat verschil is praktisch belangrijk: bij de Cyberbeveiligingswet moet u zelf de toets doen en u registreren, bij de WWKE hoort u het als u wordt aangewezen. Zie voor wie geldt NIS2 voor die eerste route.

Wat de wet vraagt

De kern is dat aangewezen entiteiten hun weerbaarheid beoordelen en op orde brengen. In grote lijnen komt dat neer op vier dingen.

• Een risicobeoordeling die verder gaat dan digitale dreigingen: natuurgeweld, uitval van nutsvoorzieningen, sabotage, menselijk falen en afhankelijkheid van toeleveranciers.
• Weerbaarheidsmaatregelen die daaruit volgen, van fysieke beveiliging en toegangscontrole tot continuïteitsvoorzieningen en personeelsbeleid.
• Een weerbaarheidsplan waarin staat hoe u de dienst blijft leveren of snel herstelt als het toch misgaat.
• Melden van incidenten die de levering van de essentiële dienst verstoren.

Ook hier speelt de keten een rol. Een organisatie kan haar eigen zaken prima op orde hebben en toch stilvallen doordat een toeleverancier uitvalt. Dat hoort in de beoordeling.

Waar het overlapt met de Cyberbeveiligingswet

Meer dan u zou denken. Beide wetten vragen om een risicobeoordeling, om continuïteitsmaatregelen, om incidentafhandeling en om aandacht voor de keten. Het verschil zit in de dreigingen die u meeneemt.

Praktisch betekent dat: één risicobeoordeling met een bredere scope, één continuïteitsplan dat zowel een cyberincident als een stroomstoring dekt, en één meldketen waarin duidelijk is welke melding waarheen gaat.

Wat u wel apart houdt is de melding zelf, want de meldpunten en de termijnen verschillen. De cyberkant staat in de NIS2 meldplicht.

Wat u kunt doen als u nog niet bent aangewezen

Levert u een dienst waarvan verstoring maatschappelijk merkbaar is, dan is het verstandig niet te wachten tot u wordt aangewezen. De maatregelen zijn hoe dan ook zinvol, en aanwijzing komt zelden als volslagen verrassing.

Begin met de vraag welke dienst u echt niet mag laten uitvallen, en werk van daaruit terug: welke systemen, mensen, locaties en leveranciers heeft u daarvoor nodig, en wat gebeurt er als er een wegvalt.

Dat is dezelfde denklijn als bij een bedrijfsimpactanalyse. Wie die al heeft liggen vanuit een continuïteitstraject, heeft het grootste deel van het werk al gedaan.

Waarom de twee tegelijk zijn gekomen

Europa heeft NIS2 en de CER-richtlijn bewust naast elkaar vastgesteld, en dat verklaart waarom ze zo op elkaar lijken.

De redenering is dat een essentiële dienst op twee manieren kan uitvallen. Digitaal, door een aanval of een storing in de systemen. En fysiek, door stroomuitval, overstroming, sabotage, uitval van personeel of een verstoorde toelevering.

Wie alleen het digitale deel regelt, is dus maar half weerbaar. Een ziekenhuis met een perfect beveiligd netwerk dat stilvalt door een stroomstoring levert net zo goed geen zorg.

Beide richtlijnen gebruiken daarom dezelfde sectorindeling als vertrekpunt. Dat is voor u praktisch nieuws, want het betekent dat het werk dat u voor de een doet grotendeels bruikbaar is voor de ander.

De bedrijfsimpactanalyse als gemeenschappelijke basis

Als u met beide wetten te maken heeft, is er een document dat de kern van allebei bedient: de bedrijfsimpactanalyse.

Daarin staat welke diensten u levert, wat er misgaat als ze uitvallen, hoe lang u dat kunt volhouden en welke systemen, mensen, locaties en leveranciers ervoor nodig zijn. Dat is de vraag achter beide wetten, alleen met andere dreigingen ervoor.

Begin daar dus, ook als u nog niet weet of u wordt aangewezen. De analyse is los van de wetgeving nuttig en het is de basis voor uw continuïteitsplan, uw herstelvolgorde en uw keuze welke leveranciers echt kritiek zijn.

Wie die analyse al heeft liggen vanuit een continuïteitstraject of vanuit ISO 22301, heeft het grootste deel van het werk voor beide wetten al gedaan.

Wat u doet als u wordt aangewezen

Aanwijzing komt zelden als volslagen verrassing, maar er zit wel een termijn aan de verplichtingen die erop volgen. Drie dingen zijn dan als eerste aan de beurt.

Het eerste is de risicobeoordeling verbreden. Waarschijnlijk heeft u er al een die op digitale dreigingen ziet. Daar komen fysieke en organisatorische scenario’s bij: uitval van nutsvoorzieningen, geen toegang tot een locatie, wegvallen van sleutelpersoneel en verstoring bij een toeleverancier.

Het tweede is het weerbaarheidsplan. Daarin staat hoe u de essentiële dienst blijft leveren of snel herstelt. Dat is geen nieuw document als u al een continuïteitsplan heeft; het is een uitbreiding met de scenario’s uit stap een.

Het derde is de meldketen. Verstoringen van de essentiële dienst moeten worden gemeld, en dat loopt via een ander spoor dan de cybermelding. Zorg dat in uw draaiboek staat welke melding waarheen gaat, zodat niemand onder tijdsdruk hoeft uit te zoeken bij wie hij moet zijn.

Veelgestelde vragen over de WWKE

Waar staat WWKE voor?

Wet weerbaarheid kritieke entiteiten. Het is de Nederlandse omzetting van de Europese CER-richtlijn, die naast NIS2 is vastgesteld en over fysieke en organisatorische weerbaarheid gaat in plaats van over digitale.

Moet ik zelf beoordelen of ik onder de WWKE val?

Anders dan bij de Cyberbeveiligingswet werkt de WWKE met aanwijzing door de overheid. U hoort het dus als u kritiek wordt bevonden. Dat neemt niet weg dat het verstandig is vooraf in te schatten of u in aanmerking komt.

Val ik onder allebei de wetten?

Dat kan. Ze zijn afgestemd op dezelfde sectorindeling, dus organisaties die kritiek zijn vallen vaak ook onder de Cyberbeveiligingswet. In dat geval loont het om de overlappende onderdelen een keer in te richten in plaats van twee keer.

Wat is het verschil met de oude Wet beveiliging netwerk- en informatiesystemen?

Die wet was de omzetting van de eerste NIS-richtlijn en richtte zich alleen op digitale weerbaarheid bij een beperkte groep. De WWKE is nieuw en gaat juist over de niet-digitale kant. Zie van NIS-richtlijn naar NIS2.

Waar begin ik?

Bij de vraag welke dienst u echt niet mag laten uitvallen, en welke systemen, mensen, locaties en leveranciers daarvoor nodig zijn. Dat is de basis voor zowel uw weerbaarheidsplan als uw continuïteitsmaatregelen.