Aangewezen onder de Wet weerbaarheid kritieke entiteiten (Wwke)? Wat nu?
In het kort
- De Wwke verplicht aangewezen kritieke entiteiten om essentiële zorg te waarborgen als er fysieke verstoringen optreden.
- Na de kennisgeving kan het onduidelijk zijn wie er binnen de organisatie verantwoordelijk is, welke deadlines gelden en wat er gedocumenteerd moet worden.
- Overweeg om vroegtijdig aandacht te besteden aan drie aspecten: wie is er binnen je organisatie verantwoordelijk, welke risico’s heeft het ministerie van Volksgezondheid, Welzijn en Sport (VWS) al in kaart gebracht en welke fysieke beveiligingsmaatregelen er binnen 10 maanden genomen kunnen worden.
Gepubliceerd op 20 augustus 2026 | Bijgewerkt: 16 oktober 2026
Aangemeld door VWS: waar begin je?
Er komt een kennisgeving van VWS binnen, en je organisatie is nu een "kritieke entiteit". De manager die deze ontvangt, leest hem twee keer door. Is dit een IT-kwestie, een facilitaire kwestie of iets voor het bestuur? En wat wordt er eigenlijk van ons gevraagd?
Als dat je bekend in de oren klinkt, ben je niet de enige. Op 15 augustus zijn twee nieuwe Nederlandse wetten van kracht geworden om essentiële diensten te beschermen tegen bedreigingen: de Cyberbeveiligingswet (Cbw) en de Wwke. Samen zorgen ze ervoor dat vitale diensten blijven draaien als er iets misgaat. De Cbw heeft betrekking op digitale bedreigingen, zoals ransomware of een gehackt netwerk. De Wwke heeft betrekking op fysieke bedreigingen, zoals een stroomstoring, overstroming, sabotage of een verstoorde toeleveringsketen waardoor je geen zorg meer kunt verlenen.
Dit bericht is bedoeld voor bestuursleden, IT-managers, security officers en facility managers in de gezondheidszorg die willen weten waar ze moeten beginnen.
Wat is de Wwke?
De Wwke is de Nederlandse uitvoering van de Europese CER-richtlijn. Het doel is dat kritieke entiteiten blijven draaien als er iets misgaat in de fysieke basis onder je digitale diensten, zoals gebouwen, energie, toegang en leveranciers. Binnen de gezondheidszorg kan dit gelden voor ziekenhuizen, zorgaanbieders van bedrijfsgezondheidszorg en Wlz-zorgverleners. Als je daar bij hoort, is de kans groot dat de Wwke op jouw organisatie van toepassing is.
Hoe weet je of de Wwke van toepassing is op jouw organisatie?
De Wwke is op jouw organisatie van toepassing als je bent aangewezen als "kritieke entiteit" en hiervan op de hoogte bent gesteld door VWS, wat mogelijk de afgelopen maand is gebeurd. Als je geen bericht hebt gekregen, betekent dit dat je niet bent aangewezen als kritieke entiteit.
Wat die aanwijzing in de praktijk betekent
Aan die aanwijzing zijn enkele verplichtingen verbonden. Deze staan vastgelegd in de Wwke en zijn nader uitgewerkt in het bijbehorende Besluit weerbaarheid kritieke entiteiten (Bwke). In de praktijk komen die neer op vier gebieden: risico’s, maatregelen, meldingen, en leveranciers en contactpersonen.
Organisaties dienen regelmatig de risico’s in kaart te brengen en te beoordelen die hun essentiële zorgdiensten kunnen verstoren, en de vereiste risicobeoordeling uit te voeren en te documenteren. Bij de beoordeling kan rekening worden gehouden met de risico’s die VWS heeft gesignaleerd.
Je hebt maatregelen en een plan nodig om verstoringen te voorkomen en ervan te herstellen. Dit houdt onder meer in dat er fysieke beveiligingsmaatregelen getroffen moeten worden die binnen 10 maanden gedocumenteerd dienen te zijn. Je kunt ook personeel screenen dat bepaalde kritieke functies vervult.
Ernstige verstoringen die de zorgdiensten beïnvloeden of zouden kunnen beïnvloeden, worden gemeld via het NCSC-portaal. Er zijn regels over wanneer, hoe en wat gemeld dient te worden.
Het is niet toegestaan om producten of diensten te gebruiken van leveranciers die VWS vanwege veiligheidsrisico’s heeft verboden. Het is raadzaam om een vaste contactpersoon aan te wijzen voor de communicatie met VWS en de IGJ.
“De Wwke implementeert de CER-richtlijn (EU 2022/2557), die gaat over de fysieke veerkracht van kritieke entiteiten, terwijl de Cbw de NIS2-richtlijn (EU 2022/2555) implementeert, die gaat over netwerk- en informatiebeveiliging. Als je organisatie aan beide moet voldoen, kan het vroeg op elkaar afstemmen van de twee risicoprocessen dubbel werk besparen.”
Waar te beginnen: belangrijke overwegingen
Een aanpak die vaak werkt, is om de melding te zien als een startpunt voor een gesprek, niet als een checklist die je in één keer moet afwerken. Hoe dit eruitziet, hangt af van aan wie je het vraagt.
De organisatie kan overwegen om na te gaan wie verantwoordelijk is voor de Wwke, en of die persoon het mandaat en het budget heeft om actie te ondernemen. Het helpt om jezelf af te vragen: weten we welke van onze diensten VWS als essentieel beschouwt? Weten we hoe lang we zouden kunnen blijven draaien als een cruciale locatie of leverancier uitvalt? Er kunnen boetes worden opgelegd, dus dit is een managementkwestie, niet alleen een IT-kwestie.
Overweeg om te beginnen met de risico’s die VWS al heeft geïdentificeerd, en bouw daar vervolgens je eigen risicobeoordeling op voort. Vraag jezelf af of je bestaande bedrijfscontinuïteits- en incidentprocessen al fysieke verstoringen dekken, of alleen digitale. Controleer of je rapportageroute naar het NCSC-portaal duidelijk is voordat er een incident plaatsvindt, niet pas tijdens een incident.
Fysieke beveiligingsmaatregelen vallen vaak hieronder. Breng in kaart welke locaties, systemen en leveranciers het belangrijkst zijn voor essentiële zorg, en welke documentatie er al bestaat. Onze ervaring leert dat het helpt om vanaf de deadline 10 maanden terug te plannen.
Screening voor kritieke functies raakt mensen rechtstreeks. Bedenk welke functies waarschijnlijk als kritiek worden beschouwd en hoe je de screening aan de betrokkenen gaat uitleggen. Weten je collega’s wie de vaste contactpersoon is, en wat ze moeten doen als ze een storing opmerken?
Het niet naleven van de Wwke kan leiden tot bestuurlijke boetes. Dat is reden genoeg om vroeg te beginnen, maar een nog betere reden is dat diezelfde voorbereiding cliënten in de zorg beschermt als er daadwerkelijk iets misgaat.
Conclusie
Een melding is slechts het begin. De vragen die nu belangrijk zijn, zijn degene die je jezelf waarschijnlijk al stelt: wie is er in jouw organisatie verantwoordelijk, wat verwacht VWS van je en waar kun je deze week al mee beginnen? Als je je situatie wilt bespreken en je beoordelingen wilt doornemen, horen we graag van je.
Heb je nog vragen? Ons complianceteam helpt je graag. Neem contact op via info@zorgciso.nl.
