Wet van 8 juli 2026, houdende regels ter implementatie van Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad (PbEU 2022, L 333) (Wet weerbaarheid kritieke entiteiten)

Type Wet

Publication 2026-08-15

State In force

Source BWB

Allen, die deze zullen zien of horen lezen, saluut! doen te weten:

Alzo Wij in overweging genomen hebben dat het gelet op Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad (PbEU 2022, L 333) noodzakelijk is om wettelijke bepalingen vast te stellen ter versterking van de weerbaarheid van kritieke entiteiten;

Zo is het, dat Wij, de Afdeling advisering van de Raad van State gehoord, en met gemeen overleg der Staten-Generaal, hebben goedgevonden en verstaan, gelijk Wij goedvinden en verstaan bij deze:

Hoofdstuk 1. Begripsbepaling

Artikel 1. (begripsbepaling)

In deze wet en de daarop berustende bepalingen wordt verstaan onder:

–. Aanbeveling 2003/361/EG: Aanbeveling 2003/361/EG van de Commissie van 6 mei 2003 betreffende de definitie van kleine, middelgrote en micro-ondernemingen (PbEU 2003, L 124);

–. Besluit nr. 1313/2013/EU: Besluit nr. 1313/2013/EU van het Europees Parlement en de Raad van 17 december 2013 betreffende een Uniemechanisme voor civiele bescherming (PbEU 2013, L 347);

–. bevoegde autoriteit: de bevoegde autoriteit, bedoeld in artikel 9, eerste lid, van de CER-richtlijn en bedoeld in artikel 8;

–. bevoegde autoriteit van een andere lidstaat van de Europese Unie: een bevoegde autoriteit van een andere lidstaat van de Europese Unie als bedoeld in artikel 9, eerste lid, van de CER-richtlijn en die als zodanig is aangewezen in het nationale recht van die andere lidstaat;

–. centraal contactpunt: het centrale contactpunt, bedoeld in artikel 9, tweede lid, van de CER-richtlijn en bedoeld in artikel 12;

–. centraal contactpunt van een andere lidstaat van de Europese Unie: het centrale contactpunt van een andere lidstaat van de Europese Unie als bedoeld in artikel 9, tweede lid, van de CER-richtlijn en dat als zodanig is aangewezen in het nationale recht van die andere lidstaat;

–. CER-richtlijn: Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad (PbEU 2022, L 333);

–. cyberbeveiligingsrisico: een risico als bedoeld in artikel 1 van de Cyberbeveiligingswet in relatie tot de cyberbeveiliging, bedoeld in artikel 1 van de Cyberbeveiligingswet;

–. cyberdreiging: een cyberdreiging als bedoeld in artikel 1 van de Cyberbeveiligingswet;

–. cyberincident: een incident als bedoeld in artikel 1 van de Cyberbeveiligingswet;

–. entiteit: een natuurlijk persoon, een rechtspersoon, een overheidsinstantie, een maatschap als bedoeld in artikel 1655 van boek 7A van het Burgerlijk Wetboek, een vennootschap onder firma als bedoeld in artikel 16 van het Wetboek van Koophandel en een commanditaire vennootschap als bedoeld in artikel 19 van het Wetboek van Koophandel, alsmede een samenwerkingsverband naar buitenlands recht dat met één van deze rechtsvormen vergelijkbaar is;

–. essentiële dienst: een dienst die van cruciaal belang is voor de instandhouding van vitale maatschappelijke functies, economische activiteiten, de volksgezondheid en openbare veiligheid of het milieu;

–. incident: elke gebeurtenis die het verlenen van een essentiële dienst aanzienlijk kan verstoren of verstoort, ook wanneer de gebeurtenis gevolgen heeft voor de nationale systemen die de rechtsstaat waarborgen;

–. kritieke entiteit: een entiteit als bedoeld in artikel 6, eerste lid;

–. kritieke entiteit van bijzonder Europees belang: een entiteit als bedoeld in artikel 17, eerste lid, van de CER-richtlijn;

–. kritieke infrastructuur: een voorziening, een faciliteit, apparatuur, een netwerk of een systeem, of een onderdeel van een voorziening, een faciliteit, apparatuur, een netwerk of een systeem, hetgeen noodzakelijk is voor de verlening van een essentiële dienst;

–. NIS2-richtlijn: Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148 (PbEU 2022, L 333);

–. Onze Minister: Onze Minister van Justitie en Veiligheid;

–. overheidsinstantie: een entiteit die overeenkomstig het Nederlands recht als zodanig in Nederland is erkend, met uitzondering van de rechtbanken, de gerechtshoven, de Hoge Raad, het College van Beroep voor het bedrijfsleven, de Centrale Raad van Beroep, de Afdeling bestuursrechtspraak van de Raad van State, de beide Kamers der Staten-Generaal en De Nederlandsche Bank N.V., en die aan de volgende criteria voldoet:

a. zij is opgericht om te voorzien in behoeften van algemeen belang en heeft geen industrieel of commercieel karakter;

b. zij heeft rechtspersoonlijkheid of mag volgens de wet namens een andere entiteit met rechtspersoonlijkheid optreden;

c. zij wordt grotendeels gefinancierd door de staat, regionale autoriteiten of andere publiekrechtelijke organen, is onderworpen aan beheerstoezicht door die autoriteiten of organen, of heeft een bestuurs-, leidinggevend of toezichthoudend orgaan waarvan de leden voor meer dan de helft door de staat, regionale autoriteiten of andere publiekrechtelijke organen worden benoemd; en

d. zij heeft de bevoegdheid om ten aanzien van natuurlijke personen of rechtspersonen administratieve of regelgevende besluiten te nemen die van invloed zijn op hun rechten op het grensoverschrijdende verkeer van personen, goederen, diensten of kapitaal;

–. Richtlijn 2007/60/EG: Richtlijn 2007/60/EG van het Europees Parlement en de Raad van 23 oktober 2007 over beoordeling en beheer van overstromingsrisico’s (PbEU 2007, L 288);

–. Richtlijn 2012/18/EU: Richtlijn 2012/18/EU van het Europees Parlement en de Raad van 4 juli 2012 betreffende de beheersing van de gevaren van zware ongevallen waarbij gevaarlijke stoffen zijn betrokken, houdende wijziging en vervolgens intrekking van Richtlijn 96/82/EG van de Raad (PbEU 2012, L 197);

–. Richtlijn (EU) 2017/541: Richtlijn (EU) 2017/541 van het Europees Parlement en de Raad van 15 maart 2017 inzake terrorismebestrĳding en ter vervanging van Kaderbesluit 2002/475/JBZ van de Raad en tot wijziging van Besluit 2005/671/JBZ van de Raad (PbEU 2017, L 88);

–. risico: de mogelijkheid van verlies of verstoring als gevolg van een incident; dat wordt uitgedrukt als een combinatie van de omvang van een dergelijk verlies of een dergelijke verstoring en de waarschijnlijkheid dat het incident zich voordoet;

–. risicobeoordeling: het gehele proces ter bepaling van de aard en omvang van een risico door potentiële relevante dreigingen, kwetsbaarheden en gevaren die tot een incident kunnen leiden, in kaart te brengen en te analyseren, en door het verlies of de verstoring van een essentiële dienst die dat incident zou kunnen veroorzaken in te schatten;

–. Verordening (EU) 2017/1938: Verordening (EU) 2017/1938 van het Europees Parlement en de Raad van 25 oktober 2017 betreffende maatregelen tot veiligstelling van de gasleveringszekerheid en houdende intrekking van Verordening (EU) nr. 994/2010 (PbEU 2017, L 280);

–. Verordening (EU) 2019/941: Verordening (EU) 2019/941 van het Europees Parlement en de Raad van 5 juni 2019 betreffende risicoparaatheid in de elektriciteitssector en tot intrekking van Richtlijn 2005/89/EG (PbEU 2019, L 158);

–. weerbaarheid: het vermogen van een kritieke entiteit om een incident te voorkomen, te beperken en te beheersen, en om bescherming te bieden en bestand te zijn tegen, te reageren op of zich aan te passen aan en te herstellen van een incident.

Hoofdstuk 2. Algemeen

Artikel 2. (doel van deze wet)

Deze wet is, met het oog op het in stand houden van vitale maatschappelijke functies en economische activiteiten, gericht op het versterken van de weerbaarheid van kritieke entiteiten en het vermogen van die entiteiten om essentiële diensten te verlenen.

Artikel 3. (uitvoering uitvoeringshandelingen, gedelegeerde handelingen en richtsnoeren)

Bij of krachtens algemene maatregel van bestuur kunnen regels worden gesteld ter uitvoering van de op grond van de CER-richtlijn vastgestelde uitvoeringshandelingen, gedelegeerde handelingen en richtsnoeren.

Hoofdstuk 3. Toepassingsbereik

Artikel 4. (netwerk- en informatiesystemen en de fysieke componenten en omgevingen daarvan)

Deze wet is niet van toepassing op aangelegenheden waarop de Cyberbeveiligingswet van toepassing is.

Artikel 5. (overheidsinstanties die in hoofdzaak activiteiten uitvoeren op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving)

Deze wet is niet van toepassing op:

a. het Ministerie van Defensie;

b. de inlichtingen- en veiligheidsdiensten, bedoeld in de Wet op de inlichtingen- en veiligheidsdiensten 2017;

c. het openbaar ministerie;

d. de politie;

e. de veiligheidsregio’s, bedoeld in artikel 9 van de Wet veiligheidsregio’s; en

f. indien van toepassing, de andere bij algemene maatregel van bestuur aangewezen overheidsinstanties die in hoofdzaak activiteiten uitvoeren op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het onderzoeken, opsporen en vervolgen van strafbare feiten.

Hoofdstuk 4. Aanwijzing kritieke entiteit, sector, subsector en categorie van entiteiten

Artikel 6. (aanwijzing kritieke entiteit)

Bij regeling of besluit van Onze Minister die het aangaat, na overleg met Onze Minister, wordt een entiteit in een sector als bedoeld in de bijlage van deze wet of, indien van toepassing, een sector als bedoeld in artikel 7, eerste lid, aangewezen als kritieke entiteit indien:

a. zij één of meer essentiële diensten verleent;

b. zij actief is op het grondgebied van Nederland;

c. haar kritieke infrastructuur zich bevindt op het grondgebied van Nederland; en

d. een incident aanzienlijke verstorende effecten zou hebben:

1°. op haar verlening van één of meer essentiële diensten; of

2°. op haar verlening van andere essentiële diensten in de sectoren, genoemd in de bijlage van deze wet, of, indien van toepassing, de sectoren die zijn aangewezen op grond van artikel 7, eerste lid, die afhankelijk zijn van die diensten.

Bij het bepalen of een verstorend effect aanzienlijk is als bedoeld in het eerste lid, onderdeel d, houdt Onze Minister die het aangaat rekening met de volgende criteria:

a. het aantal gebruikers dat afhankelijk is van de door de betrokken entiteit verleende essentiële dienst;

b. de mate waarin andere sectoren en subsectoren, genoemd in de bijlage van deze wet, en, indien van toepassing, andere sectoren en subsectoren die zijn aangewezen op grond van artikel 7, eerste lid, afhankelijk zijn van de betrokken essentiële dienst;

c. de ernst en duur van de gevolgen die incidenten kunnen hebben voor economische en maatschappelijke activiteiten, het milieu, de openbare veiligheid en beveiliging, of de volksgezondheid;

d. het marktaandeel van de entiteit op de markt voor de betrokken essentiële dienst;

e. het geografische gebied dat door een incident kan worden getroffen, met inbegrip van eventuele grensoverschrijdende gevolgen, rekening houdend met de kwetsbaarheid die samenhangt met de mate van isolatie van bepaalde soorten geografische gebieden, zoals insulaire regio’s, afgelegen regio’s of bergachtige gebieden; en

f. het belang van de entiteit om de essentiële dienst op een voldoende niveau te houden, rekening houdend met de beschikbare alternatieven voor het verlenen van die essentiële dienst.

Bij de toepassing van het eerste lid houdt Onze Minister die het aangaat rekening met de resultaten van de risicobeoordeling, bedoeld in artikel 9, en de strategie, bedoeld in artikel 13.

Onze Minister die het aangaat kan na overleg met Onze Minister bij regeling nadere regels stellen over criteria op basis waarvan wordt bepaald of een verstoring aanzienlijk is als bedoeld in het tweede lid.

Onze Minister die het aangaat vermeldt bij de aanwijzing van een entiteit als kritieke entiteit welke verplichtingen bij of krachtens deze wet van toepassing zijn op die entiteit en de datum vanaf wanneer die verplichtingen van toepassing zijn, overeenkomstig de artikelen 14, derde lid, 15, vijfde lid, en 17, zevende lid. Indien het de aanwijzing betreft van een entiteit als kritieke entiteit in de sector bankwezen, infrastructuur voor de financiële markt of digitale infrastructuur, genoemd in de bijlage van deze wet, vermeldt Onze Minister die het aangaat tevens welke verplichtingen bij of krachtens deze wet niet van toepassing zijn op die entiteit, overeenkomstig artikel 23.

De aanwijzing van een entiteit als kritieke entiteit geschiedt telkens indien hiertoe naar het oordeel van Onze Minister die het aangaat aanleiding bestaat.

Indien de entiteit niet langer voldoet aan de voorwaarden, genoemd in het eerste lid, trekt Onze Minister die het aangaat de aanwijzing in en stelt hij de entiteit hiervan in kennis. Ook informeert hij de entiteit erover dat de verplichtingen die van toepassing waren als gevolg van de aanwijzing, vanaf de intrekking van de aanwijzing niet meer van toepassing zijn.

Artikel 7. (aanwijzing sector, subsector en categorie van entiteiten)

Onze Minister die het aangaat kan na overleg met Onze Minister bij regeling een sector, subsector en categorie van entiteiten aanwijzen waarvoor hij beleidsverantwoordelijk is, waarbinnen kritieke entiteiten op grond van artikel 6, eerste lid, kunnen worden aangewezen.

Bij het aanwijzen van een sector, subsector en categorie van entiteiten houdt Onze Minister die het aangaat rekening met de volgende criteria:

a. de mate waarin andere sectoren en subsectoren, genoemd in de bijlage van deze wet, afhankelijk zijn van de essentiële dienst of diensten van entiteiten in de sector of subsector;

b. de ernst en duur van de gevolgen die incidenten in de sector of subsector kunnen hebben voor economische en maatschappelijke activiteiten, het milieu, de openbare veiligheid en beveiliging, of de volksgezondheid; en

c. het geografische gebied dat door een incident in de sector of subsector kan worden getroffen, met inbegrip van eventuele grensoverschrijdende gevolgen, rekening houdend met de kwetsbaarheid die samenhangt met de mate van isolatie van bepaalde soorten geografische gebieden, zoals insulaire regio’s, afgelegen regio’s of bergachtige gebieden.

Hoofdstuk 5. Aanwijzing en taken bevoegde autoriteit

Artikel 8. (aanwijzing en taken bevoegde autoriteit)

De bevoegde autoriteit is voor de kritieke entiteiten in de sectoren en subsectoren, genoemd in de bijlage van deze wet:

De raadpleging van dit document komt niet in de plaats van het lezen van het oorspronkelijke Staatsblad of de Staatscourant. Wij aanvaarden geen aansprakelijkheid voor eventuele onnauwkeurigheden die voortvloeien uit de omzetting van het origineel naar dit formaat.