Regeling van de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties van 14 juli 2026 houdende nadere regels voor de weerbaarheid van kritieke entiteiten in de sector overheid (Regeling weerbaarheid kritieke entiteiten sector overheid) [KetenID: WGK027997]

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties, handelende na overleg met de Minister van Justitie en Veiligheid;

Gelet op artikel 15, tweede lid, van het Besluit weerbaarheid kritieke entiteiten;

Besluit:

Artikel 1 (definitie)

In deze regeling wordt verstaan onder besluit: Besluit weerbaarheid kritieke entiteiten.

Artikel 2 (reikwijdte)

Deze regeling is van toepassing op kritieke entiteiten in de sector overheid, bedoeld in de bijlage bij de wet.

Artikel 3 (criteria meldplicht)

• 1. Een verstoring is aanzienlijk als bedoeld in artikel 17, derde lid, van de wet, en artikel 15, tweede lid, van het besluit, als deze leidt of kan leiden tot:

  • a. uitval van de essentiële dienst waarvoor de kritieke entiteit is aangewezen van ten minste vier uur;

  • b. financiële schade voor de staat of de samenleving van meer dan € 500.000.000;

  • c. de ernstige verwonding of de dood van een natuurlijke persoon;

  • d. misbruik van bedrijfsinformatie met financiële schade van meer dan € 5.000.000;

  • e. de kennisname door onbevoegden van vertrouwelijke informatie op ten minste het niveau Staatsgeheim CONFIDENTIEEL, bedoeld in artikel 4, tweede lid, onder c, van het VIR-BI, het niveau NATO CONFIDENTIAL bedoeld in de bijlagen B, paragraaf 5.5 en E, paragraaf 6, van de NATO Security Policy (Security Within the North Atlantic Treaty Organization, CM(2002)49-REV1) of het niveau EU CONFIDENTIAL, bedoeld in artikel 2 van het Besluit 2013/488/EU van de Raad van 23 september 2013 betreffende de beveiligingsvoorschriften voor de bescherming van gerubriceerde EU-informatie; of

  • f. meer dan 10.000 getroffen gebruikers van de essentiële dienst waarvoor de kritieke entiteit is aangewezen.

• 2. In afwijking van het eerste lid, onderdeel a, worden geplande gevolgen van geplande dienstonderbrekingen en onderhoudswerkzaamheden die door of namens de kritieke entiteit worden uitgevoerd, niet als aanzienlijke verstoring beschouwd.

Artikel 4 (inwerkingtreding)

Indien het bij koninklijke boodschap van 2 juni 2025 ingediende voorstel van wet houdende Regels ter implementatie van Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad (PbEU 2022, L 333) (Wet weerbaarheid kritieke entiteiten) (Kamerstukken 36.765) tot wet is of wordt verheven en die wet in werking treedt, treedt deze regeling op hetzelfde tijdstip in werking.

Artikel 5 (citeertitel)

Deze regeling wordt aangehaald als: Regeling weerbaarheid kritieke entiteiten sector overheid.

Deze regeling zal met de toelichting in de Staatscourant worden geplaatst.

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties, E. van der Burg

TOELICHTING

ALGEMEEN DEEL

1. Inleiding

Deze ministeriële regeling, de Regeling weerbaarheid kritieke entiteiten sector overheid, strekt tot uitwerking van de Wet weerbaarheid kritieke entiteiten (Wwke) en het Besluit weerbaarheid kritieke entiteiten (Bwke) voor de sector overheid. De Wwke strekt tot uitvoering van Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad.¹ Deze richtlijn wordt ook wel aangeduid als de CER-richtlijn. De CER-richtlijn ziet op het verhogen van de weerbaarheid van kritieke entiteiten. Dit zijn aanbieders van essentiële diensten. Die weerbaarheid ziet op natuurlijke en door de mens veroorzaakte risico’s die negatieve gevolgen kunnen hebben voor de verlening van essentiële diensten. Voorbeelden van zulke risico’s zijn ongevallen, natuurrampen, noodsituaties op het gebied van de volksgezondheid (zoals pandemieën) en dreigingen (zoals terroristische misdrijven, criminele infiltratie en sabotage).

Gelijktijdig met de CER-richtlijn is de Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148 vastgesteld.² Deze richtlijn wordt ook wel aangeduid als de NIS2-richtlijn. De NIS2-richtlijn is geïmplementeerd in de Cyberbeveiligingswet (Cbw). De Cbw heeft tot doel om netwerk- en informatiesystemen en de fysieke omgeving daarvan te beschermen tegen gebeurtenissen die de beveiliging van die systemen kunnen aantasten.

Alle kritieke entiteiten in de zin van de Wwke zijn van rechtswege ook essentiële entiteiten in de zin van de Cbw (zie artikel 8, eerste lid, onderdeel i, Cbw). Het uitgangspunt is dat de Wwke en de Cbw en de onderliggende regelgeving zoveel mogelijk op elkaar aansluiten, zodat entiteiten niet met (dubbele) administratieve lasten te maken krijgen die verder gaan dan nodig is om de doelstellingen van de Wwke en de Cbw te verwezenlijken.

2. Hoofdlijnen van de ministeriële regeling

Deze regeling bevat, in aanvulling op de Wwke en het Bwke, nadere regels voor de sector overheid, waarvoor de Minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK) op grond van artikel 8, eerste lid, Wwke de bevoegde autoriteit is. De regeling heeft betrekking op entiteiten die onderdeel uitmaken van de centrale overheid. Zoals aangegeven in de artikelsgewijze toelichting bij artikel 1 van de Wwke, is deze regeling niet van toepassing op overheidsinstanties op regionaal en lokaal niveau. Dit neemt echter niet weg dat dergelijke overheidsinstanties op regionaal en lokaal niveau wel binnen een andere sector uit de bijlage van de Wwke kunnen vallen en via die sector kunnen worden aangewezen als kritieke entiteit.

Deze regeling bevat de criteria aan de hand waarvan bepaald wordt of incidenten de essentiële dienst van een kritieke entiteit aanzienlijk verstoren of kunnen verstoren als bedoeld in artikel 17 van de Wwke. Incidenten die voldoen aan die criteria moeten gemeld worden bij de bevoegde autoriteit voor de betreffende sector.

De terminologie en scope van de meldplicht in de Wwke en die in de Cbw verschillen van elkaar. Desalniettemin zijn in de onderliggende ministeriële regelingen de drempelwaarden voor meldplichtige incidenten grotendeels gelijkluidend vormgegeven, om de uitvoerbaarheid voor entiteiten die onder beide wetten vallen te waarborgen, evenals de uitvoerbaarheid en handhaafbaarheid voor de toezichthouders.

De belangrijkste elementen van de meldplicht worden hieronder toegelicht.

Een kritieke entiteit is op basis van artikel 17, eerste lid, Wwke verplicht om zonder onnodige vertraging een incident dat de verlening van haar essentiële dienst aanzienlijk verstoort of kan verstoren te melden bij het door de bevoegde autoriteit ingerichte meldpunt. Hiertoe is één centraal meldloket onder regie van de Minister van Justitie en Veiligheid (J&V) ingericht. De kritieke entiteit doet die melding binnen 24 uur nadat zij kennis heeft genomen van het incident. De termijn voor het doen van de melding start als een kritieke entiteit kennis heeft genomen van een incident waarvan op dat moment redelijkerwijs moet worden aangenomen dat het heeft gezorgd of kan zorgen voor een aanzienlijke verstoring van de essentiële dienst.

De meldplicht in artikel 17 Wwke ziet op elke gebeurtenis die het verlenen van een essentiële dienst aanzienlijk verstoort of kan verstoren. De zinsnede ‘verstoort of kan verstoren’ moet zo worden begrepen dat er een reële kans is op een incident dat leidt tot een aanzienlijke verstoring in de (nabije) toekomst waarvan het gevaar op dat moment nog niet is geweken. Het is aan de kritieke entiteit om in te schatten of een incident potentieel leidt tot een aanzienlijke verstoring van de essentiële dienst.

Daarbij dient rekening te worden gehouden met de parameters die zijn opgenomen in artikel 17, derde lid, Wwke. Het gaat daarbij om: het aantal door de verstoring getroffen gebruikers en hun aandeel daarin, de duur van de verstoring, het door de verstoring getroffen geografische gebied, rekening houdend met de vraag of het gebied geografisch geïsoleerd is, en de bij of krachtens algemene maatregel van bestuur vastgestelde aanvullende parameters.

Artikel 15, tweede lid, Bwke bepaalt dat de minister die het aangaat, na overleg met de Minister van J&V, bij ministeriële regeling criteria kan vaststellen op basis waarvan wordt bepaald of sprake is van een aanzienlijke verstoring van de essentiële dienst die wordt aangeboden door de kritieke entiteit. De nadere regels inzake de meldplicht beogen duidelijkheid te verschaffen over wanneer een kritieke entiteit in de sector overheid een melding moet doen bij het door de bevoegde autoriteit ingerichte meldpunt.

De in de regeling opgenomen drempelwaarden bieden de betreffende entiteiten en de toezichthouder handvatten om te beoordelen of een incident meldingsplichtig is. Deze drempelwaarden moeten in samenhang met artikel 17 Wwke worden gelezen: alleen als een incident aan ten minste één van deze drempelwaarden voldoet, is er sprake van een incident en geldt de meldplicht.

Bij het opstellen van deze drempelwaarden is afstemming gezocht met diverse stakeholders uit de sector overheid, bijvoorbeeld de chief cybersecurity officers (CISO’s), de beveiligingsautoriteiten (BVA’s) en de daaronder vallende beveiligingscoördinatoren (BVC’s) van de verschillende ministeries. Deze afstemming had als doel de regels goed te laten aansluiten op de reeds bestaande praktijk en wet- en regelgeving, zoals de Wet beveiliging netwerk- en informatiesystemen (Wbni) alsmede de lagere regelgeving daarbij en andere sectorale regelgeving, om de uitvoerbaarheid en handhaafbaarheid te borgen en onnodige regeldruk te beperken.

De meldplichtcriteria in deze regeling komen grotendeels overeen met de meldplichtcriteria in de Cyberbeveiligingsregeling sector overheid (Cbro), die een uitwerking vormt van de Cbw. Bij het formuleren van de drempelwaarden is nadrukkelijk gezocht naar een benadering die onafhankelijk is van de oorzaak van een incident. Er is geen onderscheid gemaakt tussen een fysieke of digitale oorzaak. Daardoor konden de drempelwaarden worden geharmoniseerd met die onder de Cbw. Dit komt de uitvoerbaarheid voor kritieke entiteiten ten goede, gezien het feit dat kritieke entiteiten op basis van artikel 8, eerste lid, onderdeel i, van de Cbw van rechtswege kwalificeren als essentiële entiteiten onder de Cbw.

Omdat artikel 17, derde lid, Wwke een aanvullende parameter voor de meldplicht bevat ten opzichte van de Cbw, die ziet op het aantal getroffen gebruikers, bevat deze regeling ten opzichte van de Cbro een aanvullend criterium op dit punt.

Voor zover de meldplichtcriteria in deze regeling overeenkomen met de Cbro zijn zij gebaseerd op de tabel met te beschermen belangen (TBB’s) die is opgenomen in de Leidraad te beschermen belangen. Deze tabel werd hiervoor al gebruikt door de meeste entiteiten in de sector overheid om risico’s in te schatten. Hierdoor sluiten de meldplichtcriteria aan op de bestaande praktijk en op de meldplichtcriteria die gelden op grond van de Cbw.

3. Regeldruk

Deze regeling veroorzaakt geen nieuwe regeldruk ten opzichte van de Wwke en het Bwke. De regeldruk voor kritieke entiteiten is verantwoord in de memorie van toelichting bij de Wwke en de nota van toelichting bij het Bwke.

4. Consultatie

Met het oog op gelijktijdige inwerkingtreding van deze regeling met de Wwke en het Bwke op 15 augustus 2026 is afgezien van consultatie van deze regeling. Dat is in dit geval niet bezwaarlijk geacht omdat deze regeling voorziet in het vaststellen van meldplichtcriteria die grotendeels al eerder via de Cbro in consultatie zijn geweest. Daarnaast is deze regeling alleen van toepassing op entiteiten binnen de centrale overheid, waarmee in het voortraject al uitgebreid is afgestemd. Ten slotte is er ook sprake geweest van een te late implementatie van de CER-richtlijn, met als gevolg dat Nederland door de Europese Commissie in gebreke is gesteld. Hierdoor was het noodzakelijk om de implementatiewet- en regelgeving, waaronder deze regeling, zo snel mogelijk vast te stellen.

5. Evaluatie

Conform artikel 15, derde lid van het Bwke evalueert de Minister van BZK ten minste elke vier jaar de doeltreffendheid van de nadere regels over de meldplicht en de effecten daarvan in de praktijk. Indien nodig worden de criteria, na overleg met de Minister van J&V, aangepast.

ARTIKELSGEWIJS DEEL

Artikel 2 (reikwijdte)

De regeling is uitsluitend van toepassing op kritieke entiteiten in de sector overheid die door de Minister van BZK zijn aangewezen op basis van artikel 6, eerste lid, van de Wwke.

Artikel 3 (criteria meldplicht)

In deze bepaling zijn ter uitwerking van artikel 15, tweede lid, Bwke de criteria opgenomen waarmee bepaald wordt of een verstoring aanzienlijk – en daardoor meldingsplichtig – is. Hiermee is volledig en uitputtend invulling gegeven aan de parameters die zijn opgenomen in artikel 17, derde lid, Wwke. De meldplichtcriteria verschaffen duidelijkheid over wanneer een kritieke entiteit een melding moet doen bij het door de bevoegde autoriteit ingerichte meldpunt.

De drempelwaarde in het eerste lid, onder a, heeft betrekking op aanzienlijke verstoringen die leiden of kunnen leiden tot de uitval van de essentiële dienst van de kritieke entiteit van ten minste vier uur. Deze drempelwaarde staat weliswaar niet expliciet genoemd in de Leidraad te beschermen belangen, maar komt daar wel uit voort.

De drempelwaarde voor schade aan de staat of de samenleving, in het eerste lid, onder b, heeft betrekking op schade die als gevolg van het incident niet zozeer direct ten laste komt van de eigen begroting, maar wel een vast te stellen impact heeft op de rest van de staat of de samenleving. Meldingsplichtig zijn aanzienlijke verstoringen met financiële schade voor de staat of de samenleving van meer dan € 500.000.000.

De derde drempelwaarde in het eerste lid, onder c, is de ernstige verwonding of de dood van een natuurlijke persoon. Hierbij kan worden gedacht aan een datalek met persoonsgegevens van personeel met een verhoogd veiligheidsrisico, dat tot gevolg heeft of kan hebben dat geweld tegen dat personeel wordt gebruikt. Een dergelijk incident dient gemeld te worden als er redelijkerwijs vermoed kan worden dat er een causaal verband bestaat tussen het incident en de eventuele verwonding of de dood van een natuurlijke persoon.

De drempelwaarde voor misbruik van bedrijfsinformatie in het eerste lid, onder d, ziet toe op financiële schade die direct ten laste komt van de eigen begroting. Voorbeelden daarvan zijn het verlies van persoonsgegevens of het lekken van gevoelige informatie van bedrijven, zoals eventuele intellectuele eigendommen, waarvoor de kritieke entiteit rechtens aansprakelijk wordt gesteld. Met de term misbruik wordt niet alleen kwade opzet bedoeld, maar elk ongeoorloofd gebruik van de bedrijfsinformatie. Meldingsplichtig is misbruik van bedrijfsinformatie met financiële schade van meer dan € 5.000.000.

Met de drempelwaarde in het eerste lid, onder e, wordt de kennisname door onbevoegden van informatie die door de essentiële entiteit is gekwalificeerd op basis van de rubriceringsniveaus van de rijksoverheid, vastgelegd in het VIR-BI, of informatie die wordt gedeeld vanuit de EU of de NAVO en daar al van een rubriceringsniveau is voorzien, gekwalificeerd als een significant incident, als het voldoet aan respectievelijk de niveaus Staatsgeheim CONFIDENTIEEL, EU-CONFIDENTIAL en NATO CONFIDENTIAL. Deze niveaus vormen alle drie het op een na laagste niveau van rubricering binnen het eigen stelsel en zijn met name bedoeld voor informatie waarvan de ongeoorloofde kennisname de vitale belangen of essential interests van de Nederlandse Staat, de EU of de NAVO kan schaden.

De laatste drempelwaarde in het eerste lid, onder f, heeft betrekking op het aantal getroffen gebruikers. Deze drempelwaarde is niet afkomstig uit de Leidraad te beschermen belangen, maar betreft een uitwerking van de parameter die is opgenomen in artikel 17, derde lid, onder a, Wwke. Essentiële diensten van kritieke entiteiten worden gebruikt door een groot aantal gebruikers. Dat geldt bijvoorbeeld voor DigiD. Een incident kan dus gevolgen hebben voor een grote groep gebruikers. Om die reden is bepaald dat een verstoring van de essentiële dienst van de kritieke entiteit voor 10.000 individuele gebruikers aan te merken is als een aanzienlijke verstoring.

Zoals aangegeven in het algemeen deel van deze toelichting, geldt de meldplicht ook voor incidenten die potentieel leiden tot een aanzienlijke verstoring van de essentiële dienst. In de aanhef van het eerste lid is gelet hierop bepaald dat een verstoring niet alleen aanzienlijk is als deze ‘leidt’ tot de daarna genoemde gevolgen, maar ook als deze hiertoe ‘kan leiden’.

Er is op basis van het tweede lid geen sprake van een aanzienlijke verstoring indien de dienstverlening op een vooraf gepland moment wordt onderbroken als gevolg van geplande onderhoudswerkzaamheden die door of namens de kritieke entiteit worden uitgevoerd. Deze uitzondering geldt uitsluitend ten aanzien van de geplande gevolgen van de onderhoudswerkzaamheden. Indien tijdens of als gevolg van de geplande onderhoudswerkzaamheden ongeplande gevolgen ontstaan geldt deze uitzondering niet. In dat geval is sprake van een aanzienlijke verstoring, indien tevens aan één of meer criteria uit deze regeling wordt voldaan.

Artikel 4 (inwerkingtreding)

Met deze bepaling wordt geregeld dat deze regeling tegelijk met de Wwke in werking zal treden. Het Bwke zal overigens ook op dezelfde datum in werking treden.

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties, E. van der Burg

---

1 PbEU 2022, L 333/164.

2 PbEU 2022, L 333/80.

---

1 PbEU 2022, L 333/164.

2 PbEU 2022, L 333/80.