Voor wie geldt de Wwke?

De Wet weerbaarheid kritieke entiteiten (Wwke) is de Nederlandse uitwerking van de Europese CER-richtlijn. De wet is naar verwachting van toepassing op ongeveer 500 organisaties, onder meer in de sectoren energie, vervoer, gezondheidszorg, drinkwater, overheid en levensmiddelen. Organisaties vallen er niet automatisch onder: de verantwoordelijke minister wijst ze aan als ‘kritieke entiteit’.

Bij die aanwijzing wordt duidelijk welke verplichtingen voor de organisatie gelden. Voor de meeste aangewezen organisaties geldt dat zij binnen negen maanden de risico’s voor hun essentiële dienstverlening in kaart moeten brengen. Vanaf tien maanden na de aanwijzing moeten zij maatregelen nemen om die risico’s te beperken. Ook gaat dan de meldplicht gelden bij incidenten die de essentiële dienstverlening aanzienlijk verstoren of kunnen verstoren.

Van toegangscontrole tot noodvoorziening

De maatregelen kunnen direct betrekking hebben op gebouwen en faciliteiten. Zo moeten kritieke organisaties onder meer beveiligingszones instellen en de toegang tot gebouwen en kritieke infrastructuur beveiligen. Ook kantoren, technische ruimten, apparatuur en belangrijke nutsvoorzieningen moeten voldoende worden beschermd.

Ook personeelsbeveiliging speelt een rol. Organisaties moeten vaststellen welke medewerkers kritieke functies hebben en wie toegang krijgt tot gebouwen, kritieke infrastructuur en gevoelige informatie. Daarbij wordt ook personeel van externe dienstverleners meegenomen.

Luister de Facto podcast over BCM voor FM:

BCM voor FM: ‘Facilitaire dienstverlening geldt niet alleen in rustige tijden’

Daarnaast moeten organisaties hun rechtstreekse leveranciers en dienstverleners, die betrokken zijn bij de essentiële dienst, in kaart brengen. Zo kan de afhankelijkheid van één onderhoudspartij een risico vormen, net als een externe leverancier met toegang tot een beveiligde zone.

Ook onderhoud en bedrijfscontinuïteit vallen onder de maatregelen. Organisaties moeten beleid hebben voor het onderhouden en herstellen van kritieke infrastructuur. Daarnaast moeten er crisis- en bedrijfscontinuïteitsplannen zijn, met bijvoorbeeld noodvoorzieningen en afspraken om essentiële diensten na uitval zo snel mogelijk te herstellen. Deze plannen moeten periodiek worden geoefend.

Een incident dat een essentiële dienst aanzienlijk verstoort of kan verstoren, moet door organisaties waarop de meldplicht van toepassing is in principe binnen 24 uur worden gemeld.