Besluit van 8 juli 2026, houdende regels ter uitvoering van de Wet weerbaarheid kritieke entiteiten en tot vaststelling van het tijdstip van inwerkingtreding van de Wet weerbaarheid kritieke entiteiten (Besluit weerbaarheid kritieke entiteiten)

De Wet weerbaarheid kritieke entiteiten (en het bijbehorende uitvoeringsbesluit) vloeit voort uit de Europese CER-richtlijn (Critical Entities Resilience). Het doel is om bedrijven en organisaties die essentiële diensten leveren voor de samenleving beter bestand te maken tegen verstoringen — denk aan cyberaanvallen, extreme weersomstandigheden, sabotage of andere incidenten. Het gaat daarbij nadrukkelijk niet om alle bedrijven, maar om organisaties die een cruciale rol spelen in de continuïteit van de samenleving.

De wet en het besluit richten zich op zogenoemde 'kritieke entiteiten'. Dat zijn bedrijven of organisaties die door de bevoegde autoriteit (een minister of aangewezen toezichthouder, afhankelijk van de sector) formeel worden aangewezen op basis van een nationale risicoanalyse. De sectoren waarop de wet van toepassing is, zijn onder andere: energie, transport, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstverlening aan overheden, ruimtevaart en bepaalde overheidsinstanties. MKB-bedrijven in deze sectoren kunnen dus in beginsel worden aangewezen, al geldt dit in de praktijk vaker voor grotere spelers.

Als jouw bedrijf wordt aangewezen als kritieke entiteit, ontstaan er serieuze verplichtingen. Je moet een risicoanalyse uitvoeren, technische en organisatorische maatregelen nemen om incidenten te voorkomen en de gevolgen ervan te beperken, een incidentmeldplicht nakomen, en aantonen dat je weerbaarheidsplan op orde is. Toezichthouders krijgen bevoegdheden om naleving te controleren, en bij niet-naleving kunnen sancties volgen. De impact voor een aangewezen MKB-bedrijf is dus aanzienlijk.

Het besluit regelt ook het tijdstip van inwerkingtreding van de wet. Omdat de tekst van het besluit in deze melding niet volledig beschikbaar is, zijn de exacte inwerkingtredingsdatum en specifieke termijnen niet bekend. Het is daarom belangrijk om de officiële publicatie in het Staatsblad te raadplegen voor de definitieve data. Bedrijven in de genoemde sectoren doen er verstandig aan om nu al te inventariseren of zij mogelijk als kritieke entiteit kunnen worden aangewezen, zodat zij niet voor verrassingen komen te staan.