Besluit weerbaarheid kritieke entiteiten.

Bij Kabinetsmissive van 22 mei 2026, no.2026001154, heeft Uwe Majesteit, op voordracht van de Minister van Justitie en Veiligheid, bij de Afdeling advisering van de Raad van State ter overweging aanhangig gemaakt het ontwerpbesluit houdende regels ter uitvoering van de Wet weerbaarheid kritieke entiteiten (Besluit weerbaarheid kritieke entiteiten), met nota van toelichting.

Samenvatting

Het ontwerpbesluit weerbaarheid kritieke entiteiten (hierna: het ontwerpbesluit) geeft uitvoering aan de nieuwe Wet weerbaarheid kritieke entiteiten (hierna: Wwke), die op haar beurt uitvoering geeft aan een Europese richtlijn ter versterking van de weerbaarheid van zogeheten "kritieke entiteiten". (zie noot 1) Dit zijn overheidsorganisaties en ondernemingen die van cruciaal belang zijn voor vitale maatschappelijke functies, economische activiteiten, de volksgezondheid en openbare veiligheid of het milieu. Het ontwerpbesluit verplicht deze kritieke entiteiten om:

-     maatregelen te treffen om incidenten te voorkomen,
-     zich voor te bereiden op incidenten, en
-     incidenten te melden bij de verantwoordelijke minister.

Het ontwerpbesluit loopt gelijk op met het ontwerp-Cyberbeveiligingsbesluit, dat een vergelijkbare regeling bevat voor het tegengaan van cyberdreigingen. (zie noot 2) De Afdeling advisering van de Raad van State brengt over beide ontwerpbesluiten gelijktijdig advies uit.

In het ontwerpbesluit is bepaald dat alle persoonsgegevens die door de verantwoordelijke ministers worden verwerkt tien jaar lang bewaard blijven. De Afdeling merkt op dat het niet gewenst is om alle persoonsgegevens zo’n lange tijd te bewaren. Die lange termijn is alleen nodig voor gegevens die noodzakelijk zijn voor toezichtstrajecten en bestuursrechtelijke procedures.

Verder wordt in het ontwerpbesluit voorgesteld dat de vakminister kan voorschrijven in welke gevallen een kritieke entiteit een incident moet melden. Volgens de toelichting hoeven die regels niet openbaar te worden gemaakt. De Afdeling begrijpt het belang hiervan met het oog op de veiligheid. De vraag is echter hoe verzekerd kan worden dat de regels vertrouwelijk worden behandeld binnen de kritieke entiteit.

Tot slot adviseert de Afdeling in de toelichting aandacht te besteden aan de nafase nadat een aanzienlijke verstoring heeft plaatsgevonden bij een kritieke entiteit.

In verband met deze opmerkingen is aanpassing wenselijk van het ontwerpbesluit en de toelichting.

1. De termijn voor het bewaren van persoonsgegevens

In het ontwerpbesluit worden verschillende onderdelen uit de Wwke nader ingevuld. Zo worden onder meer eisen gesteld aan de risicobeoordeling die de kritieke entiteit moet verrichten. Ook wordt voorgeschreven welke maatregelen de kritieke entiteit ten minste moet nemen om aan de zorgplicht te voldoen. Daarnaast worden termijnen gesteld voor het bewaren van persoonsgegevens.

Persoonsgegevens die door de verantwoordelijke ministers worden verwerkt met het oog op het toezicht op de naleving, hebben volgens het Ontwerpbesluit een uiterste bewaartermijn van 120 maanden. (zie noot 3) Uit de toelichting blijkt dat voor deze termijn is gekozen vanwege langlopende toezichtstrajecten en bijhorende bestuursrechtelijke procedures, waarvan niet uitgesloten is dat deze een kortere bewaartermijn zullen overschrijden. (zie noot 4)

De Afdeling merkt op dat niet aannemelijk is gemaakt dat alle gegevens die hierdoor maximaal 10 jaar kunnen worden bewaard ook daadwerkelijk nodig zijn voor toezichtstrajecten en daarmee samenhangende bestuursrechtelijke procedures. De meeste gegevens die in bredere zin met het oog op het toezicht op de naleving bewaard worden zijn geen historische gegevens, maar actuele gegevens waarmee toezichthoudende ambtenaren elkaar moeten kunnen bereiken, zoals e-mailadressen en telefoonnummers. (zie noot 5) Voor deze categorie gegevens is het niet nodig om een bewaartermijn van maximaal 10 jaar mogelijk te maken. Deze mogelijkheid  kan daarom in lijn met de toelichting worden beperkt tot de beperktere categorie van gegevens voor zover noodzakelijk voor toezichts- en bestuursrechtelijke procedures. (zie noot 6)

De Afdeling adviseert om de maximale termijn van 10 jaar te beperken tot alleen gegevens die noodzakelijk zijn voor toezichtstrajecten en daarmee samenhangende bestuursrechtelijke procedures.

2. Bindende criteria die niet openbaar worden gemaakt

Een centraal begrip in de Wwke is "aanzienlijke verstoringen". Een kritieke entiteit moet incidenten die de dienstverlening aanzienlijk verstoren melden bij de verantwoordelijke minister. (zie noot 7) Bij of krachtens algemene maatregel van bestuur worden de criteria vastgesteld om te bepalen of een verstoring "aanzienlijk" is. (zie noot 8)

Het ontwerpbesluit werkt deze criteria verder uit. De vakminister kan (na overleg met de minister van J&V) de criteria vaststellen bij ministeriële regeling. Voor specifieke entiteiten kan hij die criteria daarnaast vaststellen bij besluit. (zie noot 9) Dit laatste biedt de mogelijkheid om criteria vast te stellen die niet geopenbaard hoeven te worden wanneer dit voor specifieke entiteiten en voor de nationale veiligheid onaanvaardbare risico’s met zich kan meebrengen, zo stelt de toelichting. (zie noot 10)

Deze keuze van de regering is begrijpelijk. Algemeen verbindende voorschriften kunnen niet in werking treden als ze niet bekend, en daarmee openbaar, zijn gemaakt. (zie noot 11) Besluiten kunnen worden bekendgemaakt door toezending of uitreiking aan belanghebbenden. (zie noot 12) Verdere verspreiding van zulke besluiten is geen voorwaarde voor inwerkingtreding. De entiteit kan de criteria, opgenomen in het besluit, dus vertrouwelijk behandelen.

Dit roept wel de vraag op hoe verzekerd is dat de entiteit en haar medewerkers het besluit inderdaad vertrouwelijk behandelen. Sommige entiteiten zijn bestuursorganen; voor hen geldt de algemene verplichting om gegevens die een vertrouwelijk karakter hebben geheim te houden. (zie noot 13) Andere entiteiten vallen niet onder de overheid en dus ook niet onder de algemene geheimhoudingsplicht.

De Afdeling adviseert in de toelichting in te gaan op de vraag hoe verzekerd is dat de hier bedoelde besluiten vertrouwelijk worden behandeld.

3. Fase na de aanzienlijke verstoring

In de wet en het ontwerpbesluit is geregeld dat de kritieke entiteit maatregelen moet nemen om een aanzienlijke verstoring te voorkomen, waaronder het opstellen van een risicobeoordeling. De toelichting gaat echter niet in op wat verwacht wordt van een kritieke entiteit in de fase na een aanzienlijke verstoring heeft plaatsgevonden. Hierbij kan gedacht worden aan het wettelijk verplichte evalueren van de risicobeoordeling en de maatregelen die voortvloeien uit de zorgplicht. (zie noot 14) Maar ook aan niet-verplichte stappen die een kritieke entiteit kan nemen in de fase nadat een aanzienlijke verstoring is afgesloten, zoals het bieden van nazorg aan personeel, klanten en aanvullende trainingen. (zie noot 15)

De Afdeling adviseert in de toelichting aandacht te besteden aan de nafase nadat een aanzienlijke verstoring heeft plaatsgevonden bij een kritieke entiteit.

De Afdeling advisering van de Raad van State heeft een aantal opmerkingen bij het ontwerpbesluit en adviseert daarmee rekening te houden voordat een besluit wordt genomen.

De vice-president van de Raad van State

Nader rapport (reactie op het advies) van 29 juni 2026

1. De termijn voor het bewaren van persoonsgegevens

Naar aanleiding van dit advies van de Afdeling is in artikel 18, tweede lid, van het ontwerp van het Besluit weerbaarheid kritieke entiteiten (hierna: Bwke) de passage “met het oog op het toezicht op de naleving van het bepaalde bij of krachtens de wet worden verwerkt” vervangen door “bij of krachtens de wet worden verwerkt met het oog op toezichtstrajecten en daarmee samenhangende bestuursrechtelijke procedures”. In de nota van toelichting op het ontwerpbesluit is de artikelsgewijze toelichting op artikel 18 Bwke aangepast in lijn met de hiervoor genoemde aanpassing. Voorts zijn in paragraaf 4.2 van de nota van toelichting, waarin het advies van de Autoriteit persoonsgegevens wordt behandeld, wijzigingen aangebracht omdat artikel 18, tweede lid, Bwke in het concept van het Bwke dat ter advies is voorgelegd aan de Autoriteit persoonsgegevens nog de oude formulering bevat, die nu op advies van de Afdeling is gewijzigd.

2. Bindende criteria die niet openbaar worden gemaakt

Artikel 15, eerste lid, Wwke bepaalt dat kritieke entiteiten passende en evenredige technische, beveiligings- en organisatorische maatregelen moeten nemen om voor hun weerbaarheid te zorgen. Dat is met inbegrip van de maatregelen die nodig zijn om te zorgen voor adequaat beheer van personeelsbeveiliging, daarbij in ieder geval rekening houdend met de maatregel van het vaststellen van het recht van toegang tot gebouwen, kritieke infrastructuur en gevoelige informatie. Vervolgens moet het relevante personeel bewust worden gemaakt van dergelijke maatregelen. Zie artikel 15, eerste lid, onderdeel e, subonderdeel 2, en onderdeel f, Wwke.

Deze verplichting is in artikel 11 Bwke uitgewerkt. Artikel 11, eerste lid, Bwke verplicht kritieke entiteiten om vastgesteld beleid te hebben over de beveiliging, integriteit en vertrouwelijkheid van gevoelige informatie die van belang is voor hun weerbaarheid. Dit beleid omvat op basis van artikel 11, tweede lid, Bwke in elk geval de rubricering van gevoelige informatie en de toegang tot gevoelige informatie. Het voorschrift dat dergelijk beleid schriftelijk moet worden vastgelegd draagt bij aan de navolgbaarheid van de naleving van deze verplichting.

Daarnaast verplicht artikel 10 Bwke kritieke entiteiten om beleid te hebben om het personeel van periodieke bewustwordings- en opleidingsactiviteiten te voorzien, onder meer gericht op het bewust maken van de maatregelen die worden genomen in het kader van de zorgplicht. Daaronder vallen ook de maatregelen die worden genomen in het kader van omgang met en toegang tot gevoelige informatie.

Volgens de regering ligt het in de rede dat de bovengenoemde maatregelen van kritieke entiteiten ook van toepassing zijn op het vertrouwelijk omgaan met de drempelwaarden die door de vakministers op grond van artikel 15, tweede lid, Bwke worden vastgesteld bij besluit. Openbaarmaking of onrechtmatige inzage in deze drempelwaarden kunnen namelijk, naast risico’s voor de nationale veiligheid, ook onaanvaardbare risico’s voor de specifieke kritieke entiteit en haar weerbaarheid met zich meebrengen, waardoor het zowel in het belang van de overheid als in het belang van de kritieke entiteit is om de informatie uit een dergelijk besluit vertrouwelijk te behandelen.

3. Fase na de aanzienlijke verstoring

Artikel 15, eerste lid, Wwke bepaalt dat kritieke entiteiten passende en evenredige technische, beveiligings- en organisatorische maatregelen moeten nemen om voor hun weerbaarheid te zorgen. Dat is met inbegrip van de maatregelen die nodig zijn om de gevolgen van incidenten te bestrijden, te beperken en ertegen bestand te zijn. Zie artikel 15, eerste lid, onderdeel c, Wwke. Daarnaast is in artikel 16 Bwke geregeld dat de melding van een incident ook, zo mogelijk, moet omvatten: de door de kritieke entiteit genomen of te nemen maatregelen om de gevolgen van het incident te beperken of herhaling hiervan te voorkomen. Door adequate nazorg worden de gevolgen van een incident beperkt. Naar aanleiding van dit advies van de Afdeling is in de nota van toelichting in de artikelsgewijze toelichting op artikel 16 Bwke expliciet gemaakt dat dit ook nazorg na een incident betreft.

Het inrichten van adequate nazorg doen de kritieke entiteiten onder andere door het opstellen en vastleggen van plannen voor het beheersen van crises en incidenten en het waarborgen van de bedrijfscontinuïteit (artikel 9 Bwke). In artikel 9 Bwke is bepaald dat het crisismanagementplan en het bedrijfscontinuïteitsplan van de kritieke entiteit in ieder geval moeten bestaan uit een beschrijving van mogelijke maatregelen die genomen zouden kunnen worden ten tijde van en na een incident. In artikel 13 Bwke is bepaald dat de zorgplichtmaatregelen door de kritieke entiteit worden geëvalueerd als daar aanleiding toe is. Indien zich een incident met een aanzienlijk verstorend effect heeft voorgedaan geeft dat volgens de regering aanleiding om de doeltreffendheid van de maatregelen die zijn genomen onder de zorgplicht en de effecten ervan in de praktijk door de kritieke entiteit te evalueren. Daaronder valt ook het evalueren van de genoemde crisismanagement- en bedrijfscontinuïteitsplannen in de fase na een aanzienlijke verstoring.

Daarnaast moeten kritieke entiteiten op grond van artikel 14 Wwke een risicobeoordeling uitvoeren binnen negen maanden na de aanwijzing als kritieke entiteit. Deze risicobeoordeling wordt vervolgens ten minste elke vier jaar uitgevoerd, of eerder indien hiertoe aanleiding bestaat. Ook moet het beleid over het uitvoeren van de risicobeoordeling ten minste elke vier jaar na de eerste risicobeoordeling worden geëvalueerd, of eerder indien daartoe aanleiding bestaat. Dit is opgenomen in artikel 3, vierde lid, Bwke. In paragraaf 2.2 van de nota van toelichting op het Bwke is beschreven dat de aanleiding om eerder te evalueren bijvoorbeeld kan ontstaan door ontwikkelingen, veranderingen in de sector of binnen de entiteit, voortschrijdend inzicht of veranderingen in risico’s en dreigingen waarmee de entiteit geconfronteerd wordt. Volgens de regering ligt het in de rede dat het zich voordoen van een aanzienlijke verstoring voldoende aanleiding geeft voor een kritieke entiteit om de bestaande risicobeoordeling te evalueren, evenals het beleid over het uitvoeren van de risicobeoordeling en indien uit deze evaluaties nodig wordt geacht, aanvullende maatregelen moeten worden genomen. Dit is naar aanleiding van het onderhavige advies van de Afdeling expliciet gemaakt in de nota van toelichting in de artikelsgewijze toelichting op artikel 13 Bwke.

Ook is in artikel 16, onderdeel c, Bwke bepaald dat de kritieke entiteit bij de incidentmelding rapporteert over de door haar genomen of te nemen maatregelen om de gevolgen van het incident te beperken of herhaling hiervan te voorkomen. De kritieke entiteit heeft, conform artikel 17 Wwke, nog een maand om de incidentmelding aan te vullen met dit soort aanvullende gegevens.

De Afdeling refereert ook aan niet-verplichte stappen die een kritieke entiteit kan nemen in de fase na een aanzienlijke verstoring. Ten aanzien van het personeel en trainingen, is in artikel 10 Bwke opgenomen dat kritieke entiteiten beleid hebben met betrekking tot het verzorgen van periodieke bewustwordings-, oefenings- en opleidingsactiviteiten voor het personeel. De personen die verantwoordelijk zijn voor de weerbaarheid van de kritieke entiteit moeten namelijk hun kennis en kunde actueel houden om zo nieuwe risico’s te kunnen doorgronden, te kunnen inspelen op nieuwe ontwikkelingen en te kunnen leren van incidenten, passend bij de functies en rollen. In die activiteiten en opleidingen worden door de kritieke entiteit in ieder geval de zorgplichtmaatregelen genoemd in artikel 15, eerste lid, Wwke behandeld. Op deze manier wordt het relevante personeel bewust gemaakt van de zorgplichtmaatregelen, zoals crisismanagement, trainingen over incidentafhandeling en het herstellen van incidenten.

Van de gelegenheid is gebruik gemaakt om in het Bwke te verduidelijken op welke manier kritieke entiteiten een melding van een incident kunnen doen. In artikel 17 van het concept dat ter advies is voorgelegd aan de Afdeling was geregeld dat een melding geschiedt bij een door de bevoegde autoriteit (vakminister) ingericht meldpunt. Dit artikel is gewijzigd. In het gewijzigde artikel is geregeld dat een melding van een kritieke entiteit wordt gedaan bij een hiervoor door de Minister van Justitie en Veiligheid ingericht meldpunt. De Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) is coördinerend beleidsverantwoordelijk voor het meldportaal en het Nationaal Cyber Security Centrum (NCSC) is technisch beheerder van het meldportaal. Beide genoemde dienstonderdelen van het Ministerie van Justitie en Veiligheid zijn op grond van artikel 17 Bwke bevoegd om persoonsgegevens te verwerken ten behoeve van de uitvoering van de hiervoor genoemde taken. Dit meldportaal is hetzelfde meldportaal dat wordt gebruikt voor het doen van incidentmeldingen op grond van de Cyberbeveiligingswet. Hiermee wordt gewaarborgd dat kritieke entiteiten, die allemaal op grond van artikel 8, eerste lid, onderdeel i, Cyberbeveiligingswet van rechtswege essentiële entiteit in de zin van de Cyberbeveiligingswet zijn, een incidentmelding kunnen doen via één meldportaal.

Van de gelegenheid is ook gebruik gemaakt om in het Bwke de inwerkingtredingsdatum daarvan te regelen, evenals de inwerkingtredingsdatum van de bovenliggende wet (de Wwke). Zowel de Wwke als het Bwke treden in werking met ingang van 15 augustus 2026. Hiertoe zijn artikel 19 Bwke en in de nota van toelichting hoofdstuk 5 en de artikelsgewijze toelichting op artikel 19 Bwke aangepast.

Ik moge U hierbij het gewijzigde ontwerpbesluit en de gewijzigde nota van toelichting doen toekomen en U verzoeken overeenkomstig dit ontwerp te besluiten.

De Minister van Justitie en Veiligheid

Voetnoten

(1) Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad (PbEU 2022, L 333).
(2) Zaak W 16.26.00143/II.
(3) Artikel 18, tweede lid, Bwke. In afwijking van de uiterste termijn van vijf jaar ingevolge het eerste lid.
(4) Toelichting, paragraaf 4.2 (Advies AP).
(5) Toelichting op artikel 18, vierde tekstblok.
(6) Zo’n uitzondering komt vaker voor in wetgeving, bijvoorbeeld artikel 1.8, zevende lid, van de Wet gegevensverwerking door samenwerkingsverbanden.
(7) Artikel 17, eerste tot en met derde lid, Wwke.
(8) Artikel 17, vijfde lid, Wwke.
(9) Artikel 15, tweede lid, Bwke.
(10) Toelichting op artikel 15, tweede tekstblok.
(11) Artikelen 88 en 89 van de Grondwet; artikel 8 van de Bekendmakingswet.
(12) Artikel 3:41, eerste ld, van de Algemene wet bestuursrecht.
(13) Artikel 2:5 van de Algemene wet bestuursrecht. Tegen deze verplichting kan overigens niet handhavend worden opgetreden.
(14) Artikel 3, vierde lid, en artikel 13 Bwke.
(15) Zie bijvoorbeeld ook de thema’s uit de Themalijst Nafase en herstel uit het Nationaal Handboek Crisisbeheersing van het Ministerie van Justitie en Veiligheid.