Regeling van de Minister van Volksgezondheid, Welzijn en Sport, van 22 juli 2026, kenmerk 4482393-1101278-DICIO, houdende regels ter uitvoering van de Wet weerbaarheid kritieke entiteiten en het Besluit weerbaarheid kritieke entiteiten voor de sector Gezondheidszorg (Regeling weerbaarheid kritieke entiteiten voor de zorg) [KetenID WGK028173]

De Minister van Volksgezondheid, Welzijn en Sport,

Gelet op de artikelen 6, eerste en vierde lid, 7 eerste lid, en 36, eerste lid, van de Wet Weerbaarheid Kritieke Entiteiten en artikel 16 van het Besluit Weerbaarheid Kritieke Entiteiten;

Besluit:

Artikel 1. Begripsbepaling

In deze regeling wordt verstaan onder:

kritisch bedrijfsproces:

proces dat noodzakelijk is voor de instandhouding van de dienstverlening van een kritieke entiteit;

minister:

Minister van Volksgezondheid, Welzijn en Sport;

zorgaanbieder:

zorgaanbieder als bedoeld in artikel 1, eerste lid, van de Wet kwaliteit, klachten en geschillen zorg.

Artikel 2. Toepassingsbereik

Deze regeling is van toepassing op de sector Gezondheidszorg, bedoeld in de bijlage behorend bij de wet en op de categorieën van entiteiten, bedoeld in artikel 3 van deze regeling.

Artikel 3. Aanwijzing aanvullende categorieën van entiteiten

• 1. In de sector Gezondheidszorg worden als categorie van entiteiten voorts aangewezen:

  • a. aanbieders van systemen of diensten voor de beschikbaarheid en elektronische uitwisseling van gegevens, waaronder gegevens over de gezondheid en andere persoonsgegevens, ten behoeve van de verlening van zorg aan een patiënt;

  • b. entiteiten die taken hebben op het gebied van bloedvoorziening en lichaamsmateriaal, te weten:

    • 1°. de Bloedvoorzieningsorganisatie, bedoeld in artikel 1, eerste lid, onderdeel b, van de Wet inzake de bloedvoorziening; en

    • 2°. weefselinstellingen als bedoeld in artikel 1, eerste lid, onderdeel k, van de Wet veiligheid en kwaliteit lichaamsmateriaal.

• 2. De in het eerste lid, onderdeel b, bedoelde categorieën van entiteiten worden aangewezen ten behoeve van de toepassing van bloedproducten of lichaamsmateriaal als bedoeld in de genoemde wetten, op de mens.

Artikel 4. Nadere regels aanzienlijke verstorende effecten per categorie van entiteiten

• 1. Indien de kritieke entiteit een zorgaanbieder is, houdt de minister bij het bepalen of er sprake is van aanzienlijke verstorende effecten, als bedoeld in artikel 6, eerste lid onderdeel d, van de wet, rekening met de mate waarin de door de aanbieder verleende zorg:

  • a. onverplaatsbaar is;

  • b. tijdsgebonden en tijdskritisch is;

  • c. levensreddend is;

  • d. afhankelijk is van specialistische kennis of apparatuur;

  • e. niet vervangen kan worden door een andere zorgaanbieder.

• 2. Indien de kritieke entiteit een fabrikant is van geneesmiddelen als bedoeld in artikel 1, eerste lid, onderdeel mm van de Geneesmiddelenwet, of een fabrikant is van werkzame stoffen als bedoeld in artikel 38 van die wet, houdt de minister bij het bepalen of er sprake is van aanzienlijke verstorende effecten als bedoeld in artikel 6, tweede lid, onderdeel d, van de wet, rekening met:

  • a. of de productie voorziet in zodanig kritieke geneesmiddelen of werkzame stoffen dat bij uitval van die productie ernstige gezondheidsschade of mortaliteit bij patiënten te verwachten is;

  • b. de mate waarin de productie van geneesmiddelen of werkzame stoffen voorzien in de vraag van de nationale of Europese populatie;

  • c. de mate waarin andere entiteiten de productie van deze geneesmiddelen of werkzame stoffen niet binnen afzienbare tijd kunnen overnemen;

  • d. de mate waarin de productie van een geneesmiddel of een werkzame stof in nationaal of Europees verband van essentieel belang is voor de opschaling van productie van geneesmiddelen of werkzame stoffen ter bestrijding van ontwrichtende gezondheidsdreigingen.

• 3. Indien de kritieke entiteit een groothandelaar is als bedoeld in artikel 1, eerste lid, onderdeel nn, van de Geneesmiddelenwet houdt de minister bij het bepalen of er sprake is van aanzienlijke verstorende effecten als bedoeld in artikel 6, tweede lid, onderdeel d, van de wet, rekening met of de groothandelaar:

  • a. een nagenoeg volledig assortiment van receptplichtige geneesmiddelen levert en landelijk zijn assortiment aan geneesmiddelen levert;

  • b. op landelijke of bovenregionale schaal voorziet in de inkoop, opslag en distributie van medische tegenmaatregelen voor dreigingen in de publieke gezondheid.

• 4. Indien de kritieke entiteit een aanbieder is als bedoeld in artikel 3, eerste lid, onderdeel a, houdt de minister bij het bepalen of er sprake is van aanzienlijke verstorende effecten, als bedoeld in artikel 6, tweede lid, onderdeel d, van de wet, rekening met de mate waarin deze dienst of dit systeem:

  • a. noodzakelijk is voor het verlenen van zorg;

  • b. niet kan worden vervangen of overgenomen door diensten of alternatieven van derden;

  • c. bij uitval tot aanzienlijke verstoringen leidt in de toegankelijkheid van zorg, de beschikbaarheid van geneesmiddelen, als bedoeld in artikel 1, eerste lid, onderdeel b, van de Geneesmiddelenwet of medische hulpmiddelen met mogelijk ernstige gezondheidsschade tot gevolg;

  • d. bij uitval tot een zodanige aantasting van de kwaliteit en veiligheid van zorg, van geneesmiddelen als bedoeld in artikel 1, eerste lid, onderdeel b, van de Geneesmiddelenwet of van medische hulpmiddelen leidt dat patiëntenzorg niet langer verantwoord kan worden uitgevoerd.

• 5. Indien de kritieke entiteit een organisatie of instelling is als bedoeld in artikel 3, eerste lid, onderdeel b, indien deze organisatie of instelling:

  • a. voorziet in de landelijke inzameling van bloed in Nederland;

  • b. voorziet in de nationale behoefte aan bloedproducten uit het ingezamelde bloed met uitzondering van bloedproducten waarvoor op grond van artikel 40 van de Geneesmiddelenwet een vergunning verplicht is voor het in de handel brengen;

  • c. voorziet in de vraag naar lichaamsmateriaal bestemd voor toepassing op de mens;

  • d. niet of zeer beperkt kan worden vervangen door entiteiten die eenzelfde dienst aanbieden of door producten voor toepassing op de mens, met eenzelfde werking.

Artikel 5. Criteria aanzienlijke verstoringen

• 1. In aanvulling op artikel 17, derde lid, van de wet doet een aanzienlijke verstoring in de sector gezondheidszorg zich voor indien:

  • a. de verstoring leidt tot het overlijden van of enig ander zwaar lichamelijk letsel bij één of meerdere personen;

  • b. de kritieke infrastructuur is vernietigd of ernstige beschadigd; of

  • c. er sprake is van een onderbreking van een of meer kritische bedrijfsprocessen gedurende minimaal vier uur.

• 2. Van een aanzienlijke verstoring is tevens sprake indien de verstoring een of meerdere gevolgen omschreven in het eerste lid kan veroorzaken.

Artikel 6. Aanwijzing toezichthouder

Als toezichthouders als bedoeld in artikel 36, eerste lid, van de wet, worden aangewezen de ambtenaren van de Inspectie Gezondheidszorg en Jeugd.

Artikel 7. Inwerkingtreding

Deze regeling treedt in werking op het tijdstip waarop de Wet weerbaarheid kritieke entiteiten in werking treedt.

Artikel 8. Citeertitel

Deze regeling wordt aangehaald als: Regeling weerbaarheid kritieke entiteiten voor de zorg. Deze regeling zal met de toelichting in de Staatscourant worden geplaatst.

De Minister van Volksgezondheid, Welzijn en Sport, S.Th.M. Hermans

TOELICHTING

I. Algemeen deel van de toelichting

1. Inleiding

De onderhavige regeling bevat voor de sector Gezondheidszorg een nadere uitwerking van de Wet weerbaarheid kritieke entiteiten (hierna: de Wwke) en het Besluit weerbaarheid kritieke entiteiten (Bwke). De Wwke is de implementatiewet van de CER-richtlijn.¹

De Wwke en het Bwke bevatten regels die als doel hebben om onder meer essentiële diensten in stand te houden door het versterken van de weerbaarheid van kritieke entiteiten.

Kritieke entiteiten zijn gedefinieerd in artikel 6 van de Wwke. Zij worden bij besluit van de bevoegde autoriteit (de minister) aangewezen. Voor het aanwijzen van kritieke entiteiten formuleert de Wwke een aantal criteria. Eén daarvan is dat een incident aanzienlijke verstorende effecten heeft of kan hebben. De wet biedt de mogelijkheid om daarnaast op sectorniveau nadere regels te stellen op basis waarvan wordt bepaald of een verstoring aanzienlijk is.

De bevoegde minister wijst, aan de hand van een (sectorale) risicobeoordeling en de hiervoor genoemde criteria, concrete entiteiten aan als kritieke entiteit. Op het moment dat deze kritieke entiteiten zijn aangewezen, hebben zij de plicht om (potentieel) aanzienlijk verstorende incidenten te melden en de weerbaarheid tegen dergelijke verstoringen in de continuïteit van dienstverlening te verhogen.

Deze ministeriele regeling draagt bij aan het verhogen van de weerbaarheid² van de sector gezondheidszorg door de Wwke en Bwke op een aantal onderdelen nader uit te werken. Onze maatschappij, inclusief de gezondheidszorg, staat voor grote uitdagingen zoals onder meer toenemende geopolitieke spanningen, militaire en hybride dreigingen en dreigingen door een veranderend klimaat. Het is van belang dat entiteiten die essentiële diensten leveren binnen de gezondheidszorg relevante risico’s in kaart brengen zijn en hun weerbaarheid versterken. Het belang van de versterking van vitale sectoren zoals de gezondheidszorg wordt benadrukt in de Kamerbrief weerbaarheid en militaire paraatheid tegen militaire en hybride dreigingen van 12 december 2025³, waarin de gezondheidszorg als prioritaire sector is geïdentificeerd.

Een door de minister aangewezen kritieke entiteit dient een risicobeoordeling uit te voeren om risico’s voor de verlening van haar essentiële dienst in kaart te brengen. Op basis van deze risicobeoordeling, en overige relevante informatie zoals de sectorale risicobeoordeling uitgevoerd door de minister, dient een kritieke entiteit passende en evenredige maatregelen te nemen om incidenten te voorkomen, beheersen en van de gevolgen te herstellen. Wanneer een aanzienlijke verstoring van de dienstverlening onverhoopt toch optreedt, dient een kritieke entiteit dit te melden bij de bevoegde autoriteiten (de Minister van VWS en de IGJ) in een daarvoor ingericht meldportaal.

2. Hoofdlijnen van het voorstel

2.1 Algemeen

Een kritieke entiteit kan worden aangewezen op basis van artikel 6 van de Wwke. In deze regeling worden voor een aantal categorieën uit de sector gezondheidszorg in de Wwke criteria opgesteld. Met deze criteria dient rekening mee gehouden om te bepalen of een incident bij een entiteit die één of meer essentiële diensten verleent, een aanzienlijk verstorend effect zal hebben. Indien een entiteit één of meer essentiële diensten levert binnen de gezondheidszorg en een verstoring in de dienstverlening naar verwachting aanzienlijk negatieve effecten kan hebben voor de volksgezondheid, economie of cruciale maatschappelijke functies, dan geeft dit reden voor aanwijzing als kritieke entiteit. Er worden daarnaast in artikel 5 van deze regeling drempelwaarden opgesteld, die nader specificeren voor een aangewezen kritieke entiteit wanneer zij een aanzienlijke verstoring in de dienstverlening dienen te melden in een daarvoor opgericht meldpunt.

Een kritieke entiteit kan verschillende type dienstverlening leveren, waarvan niet alles als essentieel hoeft te worden beschouwd. In de gedelegeerde verordening (EU) 2023/2450 is door de Commissie een algemene niet-uitputtende lijst opgesteld van essentiële diensten, die door een lidstaat kan worden verfijnd op basis van de specifieke nationale context. De Minister van VWS licht in de individuele aanwijzingsbesluiten toe welke (specifieke) diensten zij als essentieel ziet en op basis waarvan een entiteit is aangewezen. Een kritieke entiteit dient in haar risicobeoordeling en de maatregelen ten behoeve van de zorgplicht en de meldplicht ieder geval altijd deze essentiële diensten expliciet mee te nemen. Het is echter waarschijnlijk dat haar essentiële diensten afhankelijk zijn van andere (ondersteunende) bedrijfsprocessen, zoals bijvoorbeeld ICT-infrastructuur, stroomvoorziening, of facilitaire diensten. Het is daarom aan een kritieke entiteit zélf om andere diensten te identificeren in haar risicobeoordeling die cruciaal zijn voor de instandhouding van haar essentiële dienstverlening en, waar nodig, hier ook maatregelen op te treffen én incidenten te melden.

Op grond van de bijlage van de Wwke vallen de volgende categorieën onder de sector gezondheidszorg: zorgaanbieder, EU-referentielaboratoria, entiteiten die onderzoeks- en ontwikkelingsactiviteiten uitvoeren met betrekking tot geneesmiddelen, entiteiten die farmaceutische basisproducten en farmaceutische bereidingen vervaardigen, entiteiten die medische hulpmiddelen vervaardigen in noodsituaties en entiteiten die houder zijn van een groothandelsvergunning in de zin van artikel 1, eerste lid, onder nn, van de Geneesmiddelenwet. Voor enkele van deze categorieën zijn nadere criteria vastgesteld, die meegewogen worden bij de aanwijzing van een kritieke entiteit. Bij het formuleren van deze criteria is waar mogelijk zo dicht mogelijk aangesloten bij bestaande zorgwetgeving. Dit wordt hieronder verder toegelicht.

Voor andere categorieën zijn geen nadere criteria geformuleerd. Kritieke entiteiten binnen die categorieën zullen op basis van artikel 6 van de Wwke worden aangewezen, waarbij de criteria voor ‘aanzienlijke verstorende effecten’ in dat geval per entiteit zullen worden ingevuld en gemotiveerd door de minister. Daarnaast wordt gebruik gemaakt van de mogelijkheid in artikel 7 van de Wwke om extra categorieën van entiteiten toe te voegen aan de sector gezondheidszorg. Namelijk de categorie aanbieders van systemen of diensten voor de beschikbaarheid en elektronische uitwisseling van gegevens ten behoeve van de zorg voor de patiënt én de categorie entiteiten gericht op de toepassing van bloedproducten of lichaamsmateriaal op de mens.

2.2 Doelstelling en noodzaak wetgeving

Vanwege geopolitieke ontwikkelingen, toenemende militaire en hybride dreigingen en een veranderend klimaat staan de Europese Unie en Nederland voor een enorme weerbaarheidsopgave. Dit geldt ook voor de zorg, waarbij het van belang is dat de gezondheidszorg beter voorbereid is op alle soorten dreigingen en de dienstverlening gegarandeerd kan worden. Dit is vooral van belang voor entiteiten met een cruciale rol voor de instandhouding van de gezondheidszorg in Nederland. Het doel van deze regeling is om binnen de zorgsector een set aan criteria vast te stellen waarmee de minister rekening dient te houden om kritieke entiteiten binnen de gezondheidszorg aan te wijzen. Door doelgericht kritieke entiteiten aan te wijzen en deze te verplichten weerbaarheidsverhogende maatregelen te nemen, wordt de continuïteit van de gezondheidszorg versterkt. Deze criteria bieden organisaties in de zorg meer inzicht en transparantie in welke criteria de minister rekening mee houdt. Daarnaast worden er in deze regeling aanvullende drempelwaarden vastgesteld om kritieke entiteiten binnen de sector gezondheidszorg te helpen bepalen wanneer er sprake is van een aanzienlijke verstoring. Het doel hiervan is om kritieke entiteiten meer duidelijkheid te bieden over welke incidenten gemeld dienen te worden onder de Wwke, zodat enkel de relevante aanzienlijke verstoringen gemeld worden.

2.3 Reikwijdte

In de sector gezondheidszorg, zoals uitgewerkt in de bijlage van de Wwke, zijn verschillende categorieën opgenomen waarbinnen kritieke entiteiten kunnen worden aangewezen. In de Wwke is er voor gekozen om zoveel mogelijk aan te sluiten bij de tekst uit de CER-richtlijn. Dit is niet dezelfde terminologie als gebruikt in de Nederlandse zorgwetgeving. Bij het nader uitwerken van wanneer er sprake is van een ‘aanzienlijke verstorende effect’ voor de verschillende categorieën van entiteiten, wordt aangesloten bij de relevante Nederlandse wet- en regelgeving, zodat de aanwijzing van een kritieke entiteit zoveel mogelijk past binnen het bestaande wettelijke kader. Waar dit van toepassing is, wordt dit hieronder bij de verschillende categorieën van entiteiten vermeld. Ter verduidelijking worden alle wettelijke categorieën van entiteiten besproken, ook als in deze regeling geen nadere criteria worden geformuleerd voor het optreden van ‘aanzienlijke verstorende effecten’.

Zorgaanbieders

In de CER-richtlijn is er voor de definitie van 'zorgaanbieder' aangesloten bij richtlijn 2011/24/EG. Bij de nationale implementatie van de CER-richtlijn dient dit begrip verder ingevuld te worden naar de nationale context van de lidstaat. Om aan te sluiten bij het begrip 'zorgaanbieder' zoals in de meeste andere sectorale zorgwetten, zoals de Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (hierna: Wabvpz), is er in de wet voor gekozen om aan te sluiten bij de definitie van het begrip 'zorgaanbieder' als bedoeld in artikel 1, eerste lid, van de Wet kwaliteit, klachten en geschillen in de zorg (hierna: Wkkgz). Dat heeft tot gevolg dat sommige entiteiten niet onder de categorie zorgaanbieder vallen, omdat zij bijvoorbeeld alleen jeugdhulp of maatschappelijke ondersteuning aanbieden. Zij kunnen niet worden aangewezen als een kritieke entiteit. Anderzijds is het begrip zo gekozen dat ook aanbieders die in opdracht van een andere zorgaanbieder zorg verlenen (de ‘onderaannemers’) ook onder de reikwijdte van dit artikel kunnen vallen.

EU-referentielaboratorium

In de CER-richtlijn wordt er voor de definitie van ‘EU-referentielaboratorium’ verwezen naar de Verordening (EU) 2022/2371 inzake ernstige grensoverschrijdende gezondheidsbedreigingen. Om ervoor te zorgen dat snel kan worden gereageerd op nieuwe grensoverschrijdende gezondheidsbedreigingen is voor de surveillance van nieuwe bedreigingen is een kader voorzien van een netwerk van EU-referentielaboratoria voor de volksgezondheid. Een EU-referentielaboratium is een laboratorium dat door Nederland is aangedragen ter monitoring van uitbraken van ziekten met menselijke oorsprong en door de Europese Commissie is aangewezen om binnen een Europees netwerk samen te werken met andere onderzoeks- en diagnostische instellingen. In het kader van Verordening (EU) 2022/2371 zijn EU-referentielaboratoria verantwoordelijk voor het coördineren van nationale referentielaboratoria op het gebied van volksgezondheid. Taken omvatten het bevorderen van goede praktijken en het aanmoedigen van lidstaten om onder andere diagnose- en testmethoden en melding en rapportage van ziekten op elkaar af te stemmen. EU-referentielaboratoria maken tevens deel uit van een netwerk ter ondersteuning van de monitoring van uitbraken van ziekten die relevant zijn voor stoffen van menselijke oorsprong.

In deze regeling zijn er geen nadere criteria gesteld voor de aanwijzing van kritieke entiteiten binnen deze categorie. Dat betekent dat entiteiten enkel op grond van de criteria die zijn opgenomen in artikel 6, tweede lid, van de Wwke worden aangewezen als kritiek.

Entiteiten die onderzoek- en ontwikkelingsactiviteiten uitvoeren met betrekking tot geneesmiddelen

Hieronder vallen entiteiten die onderzoeks- en ontwikkelingsactiviteiten uitvoeren naar geneesmiddelen zoals gedefinieerd in artikel 1, eerste lid, onder b, van de Geneesmiddelenwet. Ook entiteiten die klinisch onderzoek uitvoeren en entiteiten die wetenschappelijk onderzoek met geneesmiddelen uitvoeren zoals bedoeld in artikel 1, eerste lid, onder o, van de Wet medisch onderzoek met mensen (hierna: WMO) vallen hieronder.

Er is voor nu geconcludeerd dat er onvoldoende onderbouwing is om nadere criteria op te stellen waarmee bepaald zou kunnen worden wanneer een incident aanzienlijk verstorende effecten zou hebben binnen deze categorie. In deze regeling zijn er daarom geen nadere criteria opgesteld voor de aanwijzing van kritieke entiteiten binnen deze categorie.

Entiteiten die farmaceutische basisproducten en farmaceutische bereidingen vervaardigen

Het betreft in ieder geval entiteiten die onder de Geneesmiddelenwet als de fabrikanten van geneesmiddelen of werkzame stoffen worden aangemerkt zoals bedoeld in artikel 1, eerste lid, onderdeel mm, van de Geneesmiddelenwet. Voor wat betreft farmaceutische bereiding heeft dit betrekking op apotheekbereidingen.

Entiteiten die medische hulpmiddelen vervaardigen in noodsituaties

Het Europees Medicijnen Agentschap (EMA) is belast met het opstellen van een lijst met kritieke medische hulpmiddelen in noodsituaties op het gebied van de volksgezondheid. Het EMA is behalve de Europese registratieautoriteit van geneesmiddelen ook de Europese autoriteit voor paraatheid op gezondheidsnoodsituaties, maar heeft op dit moment deze lijst nog niet vastgesteld. In de praktijk betekent dit dat er, zolang er geen noodsituatie is afgekondigd volgens de procedures in Verordening (EU) 2022/123, geen entiteiten onder deze categorie kunnen worden aangewezen.

Om deze reden worden voor entiteiten die medische hulpmiddelen vervaardigen in noodsituaties op dit moment ook geen nadere criteria geformuleerd.

Entiteiten die houder zijn van een groothandelsvergunning

Deze categorie betreft entiteiten die een groothandelaar zijn als bedoeld in artikel 1, eerste lid, onder nn, van de Geneesmiddelenwet en die op grond van de vergunning geneesmiddelen mogen leveren. Een groothandelsvergunning is verplicht voor het afleveren van geneesmiddelen in de EU-lidstaten plus Noorwegen, IJsland en Liechtenstein.

2.3.1 Aanwijzing extra categorieën binnen de sector gezondheidszorg

In artikel 7 van de Wwke is geregeld dat de bevoegde minister aanvullende sectoren of daarbinnen subsectoren of categorieën van entiteiten aan kan wijzen waarvoor de minister beleidsverantwoordelijk is en waarbinnen kritieke entiteiten kunnen worden aangewezen. Deze bepaling geeft daarmee een grondslag om kritieke entiteiten in andere sectoren of subsectoren of categorieën van entiteiten aan te wijzen dan de bedoelde elf sectoren uit de bijlage van de Wwke. Zoals benoemd in artikel 7, tweede lid, van de Wwke, dient hierbij rekening te worden gehouden met:

• a. de mate waarin andere sectoren en subsectoren, genoemd in de bijlage van deze wet, afhankelijk zijn van de essentiële dienst of diensten van entiteiten in de sector of subsector;

• b. de ernst en duur van de gevolgen die incidenten in de sector of subsector kunnen hebben voor economische en maatschappelijke activiteiten, het milieu, de openbare veiligheid en beveiliging, of de volksgezondheid; en

• c. het geografische gebied dat door een incident in de sector of subsector kan worden getroffen, met inbegrip van eventuele grensoverschrijdende gevolgen, rekening houdend met de kwetsbaarheid die samenhangt met de mate van isolatie van bepaalde soorten geografische gebieden, zoals insulaire regio’s, afgelegen regio’s of bergachtige gebieden.

In Nederland is besloten dat in de sector gezondheidszorg twee aanvullende categorieën van entiteiten worden aangewezen. Dit is gedaan omdat het leveren van zorg afhankelijk kan zijn van ondersteunende diensten voor de zorg, die momenteel niet onder de reikwijdte van de Wwke vallen. Om de continuïteit van de gezondheidszorg te versterken, is het noodzakelijk om ook de mogelijkheid te hebben om dergelijke cruciale partijen in de zorgketen aan te kunnen wijzen onder de Wwke. In de onderstaande paragrafen worden deze categorieën van entiteiten toegelicht en wordt de noodzaak van deze keuzes aan de hand van de wettelijke criteria toegelicht.

2.3.2 Aanbieders van systemen of diensten voor de beschikbaarheid en elektronische uitwisseling van gegevens ten behoeve van de zorg voor de patiënt

De beschikbaarheid van patiëntgegevens en de mogelijkheid tot uitwisseling van gezondheidsgegevens binnen en tussen zorginstellingen, is essentieel voor het leveren van goede, passende en kwalitatieve zorg. Zorgverleners hebben voor het leveren van de juiste zorg een actueel beeld nodig van onder andere de gezondheidstoestand, voorgeschiedenis en medicatie van de patiënt. Wanneer een zorgverlener een medische ingreep moet uitvoeren, is het essentieel te weten of een patiënt bijvoorbeeld antistollingsmedicatie gebruikt of allergisch is voor een bepaald antibioticum. Dit voorkomt (mogelijk dodelijke) medische fouten en draagt direct bij aan een zo veilig, doelgericht en efficiënt mogelijke behandeling. Naast de rol van elektronische gegevensuitwisseling in het leveren van zorg, is elektronische gegevensuitwisseling van cruciaal belang voor diensten zoals het bestrijden van infectieziekten. Om infectieziekten te kunnen bestrijden is het belangrijk om de verspreiding en ontwikkeling van de ziekten goed te volgen. Dit gebeurt door het verzamelen, analyseren en interpreteren van gegevens over trends in infectieziekten. Deze gegevens worden onder andere door GGD’en, medisch microbiologische laboratoria, ziekenhuizen, verpleeghuizen en centra voor seksuele gezondheid verzameld en geanalyseerd.

Informatie over de patiënt wordt tegenwoordig (vrijwel uitsluitend) opgeslagen in elektronische patiënten dossiers. Zorgaanbieders kunnen vervolgens medische gegevens bij elkaar opvragen en delen zodat zij altijd over de juiste informatie van de patiënt beschikken. Wetgeving zoals de Wet elektronische gegevensuitwisseling in de zorg (hierna: Wegiz) verplicht zorgaanbieders zelfs om bepaalde bij besluit aangewezen gegevens énkel nog elektronisch uit te wisselen. Daarnaast zal op 26 maart 2027 de Europese Verordening betreffende de Europese ruimte voor gezondheidsgegevens (European Health Data Space (EHDS)) in werking treden waarmee zorgaanbieders vanaf 26 maart 2029 het recht op toegang krijgen tot een aantal categorieën elektronische gezondheidsgegevens van de patiënten die zij behandelen. Voor de werking van elektronische patiënten dossiers en de uitwisseling van medische gegevens is de zorg direct afhankelijk van leveranciers van zorg-ICT systemen en -diensten. De diensten en systemen die voor deze doeleinden worden vervaardigd en geleverd zijn vaak complex en uniek afgestemd op de zorg. Dit betekent vaak dat er weinig tot geen alternatieven zijn die op korte termijn kunnen worden gebruikt. Door de complexiteit en benodigde kennis van systemen bestaan er ook vaak enkele aanbieders die ofwel landelijk ofwel binnen een domein een groot marktaandeel bezitten.

Dit vergroot de afhankelijkheid van zorgaanbieders van hun ICT-leveranciers en ook de mogelijke impact van uitval van deze diensten en systemen. Door de specialisatie, (gedeeltelijke) monopolies en het gebrek aan alternatieven kan verstoring van een zorg-ICT systeem of -dienst dan ook snel leiden tot landelijke of regionale onbeschikbaarheid van patiëntgegevens. In het beste geval leidt dit tot extra administratieve lasten (zoals handmatig gegevens opvragen bij de patiënt of andere zorgaanbieders) en mogelijk uitstel van (planbare) zorg. In het ergste geval levert dit een direct gevaar op voor de patiëntveiligheid, waarbij verkeerde behandeling of medicatie kan leiden tot medische fouten.

Hierbij kan in Nederland, gelet op beperkte oppervlakte, geen bijzonder onderscheid worden gemaakt naar geografisch gebied. Een verstoring in de dienstverlening werkt in Nederland al snel door het gehele land.

De categorie van aanbieders van systemen of diensten voor de beschikbaarheid en elektronische uitwisseling van gegevens ten behoeve van de zorg voor de patiënt kan veel verschillende type dienstverlening omvatten. Het houdt in ieder geval in aanbieders van systemen of diensten van elektronische patiëntendossiers en elektronische uitwisselingssystemen zoals bedoeld in artikel 1, onder j, van de Wet aanvullende bepalingen verwerking persoonsgegevens (Wabvpz). Het kan daarnaast ook gaan om andere systemen of diensten die cruciaal zijn voor de beschikbaarheid en elektronische uitwisseling van gegevens die belangrijk zijn voor het leveren van zorg of het monitoren van bijvoorbeeld infectieziekten. Denk hierbij aan de instandhouding en het beheer van (essentiële) generieke functies, zoals benoemd in de Kamerbrief afwegingskader en stand van zaken publieke sturing op generieke functies voor elektronische gegevensuitwisseling.⁴

2.3.3 Entiteiten gericht op de toepassing van bloedproducten of lichaamsmateriaal op de mens

De gehanteerde definities en categorisering in de Wwke (die is gebaseerd op de CER-richtlijn) omvat niet het lichaamsmateriaal of organen die worden gedoneerd met als doel te worden gebruikt bij de behandeling van patiënten.⁵ Met als gevolg dat instellingen die werken met bloed(producten), organen en huid niet onder de Wwke vallen.

De vervaardiging en voorziening van bloedproducten is echter cruciaal voor de gezondheidszorg. Bloedproducten worden direct gebruikt in het zorgproces en voor medische ingrepen zoals bloedtransfusies. Zonder een betrouwbare bloedvoorziening kunnen dergelijke medische ingrepen niet veilig worden uitgevoerd, wat direct patiënten raakt. De vervaardiging van bepaalde geneesmiddelen is daarnaast ook afhankelijk van de voorziening van bloed en bloedproducten. Dit betekent dat er een sterke afhankelijkheid bestaat tussen de continuïteit van de bloedvoorziening en de gezondheidszorg in Nederland. Een incident in deze dienst zal dan naar verwachting ook een grote impact hebben op de gezondheidszorg en de volksgezondheid door het hele land. Onder de vervaardiging en voorziening van lichaamsmaterialen vallen daarnaast ook huidproducten.

Huidproducten zijn cruciaal bij noodsituaties zoals brandwonden of complex trauma. Huidproducten worden hier gebruikt als biologisch verband om brandwonden af te dekken. Zonder een huidvoorraad kunnen er dus bepaalde medische handelingen bij noodsituaties beperkt worden uitgevoerd. Dit heeft grote maatschappelijke gevolgen. Om deze redenen is de vervaardiging en voorziening van lichaamsmateriaalproducten, waaronder bloedproducten, essentieel voor de werking van de sector gezondheidszorg.

Hoewel er wetgeving op zowel nationaal niveau⁶ als internationaal niveau⁷ bestaat om de veiligheid en kwaliteit te borgen en de Verordening lichaamsmateriaal (2024/1938/EG) extra eisen stelt aan instellingen waarbij, volgens nog op te stellen criteria, een onderbreking ernstige gevolgen heeft voor patiënten⁸, geeft dit niet dezelfde waarborgen als de Wwke. De reden daarvan is dat de reeds bestaande (inter)nationale regelgeving een ander doel heeft en daarom de eisen ook een ander oogmerk hebben dan middels deze regeling wordt voorzien. Beide regimes conflicteren daarom ook niet.

Voor de definitie van entiteiten ten behoeve van de toepassing van lichaamsmateriaal op de mens, wordt verwezen naar weefselinstellingen zoals gedefinieerd in artikel 1, eerste lid, van de Wet veiligheid en kwaliteit lichaamsmateriaal.

Voor de definitie van entiteiten ten behoeve van de toepassing van bloedproducten op de mens wordt verwezen naar de bloedvoorzieningsorganisatie zoals gedefinieerd in artikel 1, eerste lid, onder b, van de Wet inzake bloedvoorziening.

2.4 Criteria op basis waarvan wordt bepaald of incident een aanzienlijk verstorend effect zal hebben

In artikel 6, eerste lid, Wwke staan voorwaarden benoemd die van toepassing moeten zijn op entiteiten die worden aangewezen als kritieke entiteit. Het gaat om de volgende voorwaarden:

• a) de entiteit verleent één of meer essentiële diensten;

• b) de entiteit is actief op het grondgebied van Nederland;

• c) de kritieke infrastructuur van de entiteit bevindt zich op het grondgebied van Nederland; en

• d) een incident zou aanzienlijke verstorende effecten hebben.

Om te bepalen wanneer een effect als aanzienlijk verstorend moet worden beschouwd, worden in artikel 6, tweede lid, Wwke een aantal criteria genoemd waar de minister die het aangaat rekening mee moet houden. Het gaat hier bijvoorbeeld (niet uitputtend) om het aantal gebruikers dat afhankelijk is van de door de entiteit verleende essentiële dienst, de ernst en duur van de gevolgen die incidenten kunnen hebben op economische en maatschappelijke activiteiten en de volksgezondheid, het marktaandeel van de entiteit op de markt en de mogelijke grensoverschrijdende effecten van verstoring van de dienstverlening.

In aanvulling op bovenstaande criteria is het mogelijk om de term ‘aanzienlijke verstorende effecten’ nader uit te werken voor afzonderlijke categorieën van entiteiten. Deze criteria hebben als doel om het proces van aanwijzing van kritieke entiteiten transparanter te laten verlopen. In deze regeling wordt de term ‘aanzienlijke verstorende effecten’ daarom nader uitgewerkt voor een aantal categorieën van entiteiten in de sector gezondheidszorg. Deze criteria vormen samen met een nadere onderbouwing en duiding in de sectorale risicobeoordeling en het aanwijzingsbesluit, de basis voor de aanwijzing van een kritieke entiteit binnen de sector gezondheidszorg.

Deze criteria zijn richtlijnen bij het aanwijzen van kritieke entiteiten, geen dwingende criteria. Zij zijn bedoeld om nader te duiden wanneer een specifieke entiteit voor aanwijzing in aanmerking komt. Het kan zo zijn dat een entiteit voldoet aan twee criteria, maar toch niet wordt aangewezen, omdat ook gelet op de wettelijke criteria geen sprake is van een kritieke entiteit. Het kan echter ook zo zijn dat een entiteit voldoet aan één criterium, maar dat deze entiteit, gelet op de aard van de dienstverlening en de wettelijke criteria zo essentieel is, dat de entiteit wordt aangewezen als kritieke entiteit.

Indien uit de sectorale risicobeoordeling of tussentijdse evaluaties blijkt dat een kritieke entiteit niet meer voldoet aan de criteria om aangewezen te worden als kritieke entiteit, zal de aanwijzing worden ingetrokken.

In de onderstaande paragrafen wordt er per categorie een korte toelichting gegeven op de nadere criteria voor het zich voordoen van ‘aanzienlijke verstorende effecten’.

Dit is niet gedaan voor iedere categorie van entiteiten die binnen de reikwijdte van de sector gezondheidszorg valt. Binnen de categorieën van entiteiten die onderzoeks- en ontwikkelingsactiviteiten uitvoeren met betrekking tot geneesmiddelen, EU-referentielaboratoria en entiteiten die medische hulpmiddelen vervaardigen in noodsituaties zijn geen aanvullende criteria opgesteld. Dit is in het voorgaande reeds toegelicht in paragraaf 2.3.

Zorgaanbieder

In aanvulling op artikel 6, tweede lid, Wwke houdt de minister bij zorgaanbieders rekening met de mate waarin de verleende zorg onverplaatsbaar is, tijdsgebonden en tijdskritisch is, levensreddend is, afhankelijk is van specialistische kennis of apparatuur, en niet vervangen kan worden door een andere zorgaanbieder.

Als een entiteit zorg verleent die aan (een combinatie van) bovenstaande criteria voldoet, heeft naar verwachting de uitval van deze dienstverlening aanzienlijk negatieve gezondheidseffecten op patiënten en burgers. Zorgaanbieders die aan de genoemde criteria voldoen en ook overigens aan de criteria van artikel 6 van de Wwke voldoen, kunnen daarom worden aangewezen als kritieke entiteit. In die gevallen is het van groot maatschappelijk belang dat de zorgaanbieder voldoet aan de in de Wwke voorgeschreven maatregelen om de eigen weerbaarheid te verhogen en de continuïteit van hun dienstverlening beschermen.

Entiteiten die farmaceutische basisproducten en farmaceutische bereidingen vervaardigen

Entiteiten die farmaceutische basisproducten en farmaceutische bereidingen vervaardigen, vallen in Nederland onder de Geneesmiddelenwet. De Geneesmiddelenwet hanteert de terminologie ‘geneesmiddelen’ en ‘werkzame stoffen’. Om onduidelijkheden bij de toepassing van de criteria te voorkomen, is in deze regeling zoveel mogelijk aangesloten bij de terminologie uit de Geneesmiddelenwet. Bij deze categorie van entiteiten is sprake van aanzienlijke verstorende effecten als de productie van geneesmiddelen of werkzame stoffen voorziet in zodanig kritieke geneesmiddelen of werkzame stoffen dat bij uitval van die productie ernstige gezondheidsschade of mortaliteit bij patiënten te verwachten is. Gedacht kan worden aan bijvoorbeeld geneesmiddelen die binnen de rode categorie van de lijst kritieke geneesmiddelen vallen, die is opgesteld door het Landelijk Coördinatiecentrum Geneesmiddelen (LCG)⁹.

Verder is relevant of de productie van geneesmiddelen of werkzame stoffen voorziet in een significant deel van de nationale populatie of de bijna volledige vraag van de Europese populatie. Indien een entiteit de enige aanbieder is van een geneesmiddel of een werkzame stof, betekent het dat bij uitval het volledige aanbod wegvalt. Maar ook indien een significant deel van het aanbod wegvalt, kan dit leiden tot ernstige schade. Gerelateerd hieraan is het van belang om te kijken naar de mogelijke alternatieven voor het geneesmiddel of de werkzame stof. Er wordt daarom door de minister ook rekening gehouden met de mate waarin een entiteit uniek is in Europa en andere entiteiten de productie niet binnen afzienbare tijd kunnen overnemen. Als laatste dient de minister rekening te houden met de mate waarin een entiteit essentieel is voor de opschaling van de productie van geneesmiddelen of werkzame stoffen ter bestrijding van ontwrichtende gezondheidsdreigingen. Een cruciaal onderdeel van een weerbare nationale en Europese farmaceutische industrie, is om in tijden van een noodsituatie snel te kunnen reageren en productie van noodzakelijke geneesmiddelen of werkzame stoffen op te schalen.

Entiteiten die houder zijn van een groothandelsvergunning

In aanvulling op artikel 6, tweede lid, Wwke houdt de minister bij groothandelaren rekening met de reikwijdte van het assortiment van geneesmiddelen en de mate waarin sprake is van een landelijke dekking voor de levering van geneesmiddelen van de groothandel. Groothandels die nagenoeg een volledig assortiment van recept plichtige geneesmiddelen leveren worden ook wel aangeduid als ‘volgesorteerde groothandels’. Het is relevant om te kijken naar het geografische gebied waar een entiteit kan leveren. Entiteiten die enkel in een kleine regio leveren, spelen een minder belangrijke rol dan entiteiten die een grotere geografische leveringsdekking hebben. Als laatste, wordt er specifiek gekeken naar entiteiten die binnen Nederland op landelijke of bovenregionale schaal voorzien in de inkoop, opslag en distributie van medische tegenmaatregelen voor dreigingen in de publieke gezondheid. Medische tegenmaatregelen zijn gedefinieerd in verordening (EU) 2022/2371 inzake ernstige grensoverschrijdende gezondheidsbedreigingen.

Hierbij kan worden gedacht aan inkoop, opslag en distributie van vaccins of antidota.

Aanbieders van systemen of diensten voor de beschikbaarheid en elektronische uitwisseling van gegevens ten behoeve van de zorg voor de patiënt

In aanvulling op artikel 6, tweede lid, Wwke houdt de minister bij aanbieders van randvoorwaardelijke ICT-diensten voor de zorg rekening met de mate waarin de dienst ondersteunend is aan het zorgproces en niet vervangen of overgenomen kan worden door andere diensten of alternatieve systemen. Wanneer een dienst cruciaal is voor het verlenen van zorg en hiervoor geen alternatief beschikbaar is, is er een groot risico op gezondheidsschade als de dienst uitvalt. Dit hangt natuurlijk ook af van het aantal gebruikers van het systeem. Er zal voor deze categorie daarom een afweging worden gemaakt over de impact van de uitval van een ICT-dienst of systeem op de toegankelijkheid, veiligheid, en kwaliteit van zorg, geneesmiddelen en medische hulpmiddelen en wanneer dit ernstige gezondheidsschade bij (veel) personen kan veroorzaken.

Entiteiten gericht op de toepassing van bloedproducten of lichaamsmateriaal op de mens

In aanvulling op artikel 6, tweede lid, Wwke houdt de minister bij entiteiten gericht op de toepassing van bloedproducten of lichaamsmateriaal op de mens rekening met de mate waarin een entiteit met zijn dienstverlening voorziet in de volledige vraag naar bloedproducten die bestemd zijn voor toepassing op de mens.

In Nederland is de bloedvoorziening bij de Wet inzake bloedvoorziening belegd bij een bloedvoorzieningsorganisatie. De bloedvoorzieningsorganisatie is de enige partij die bij wet gemachtigd is om bloedproducten in te zamelen en te leveren binnen Nederland.

Binnen Nederland zijn er daarnaast een beperkt aantal partijen die lichaamsmateriaalproducten zoals huid vervaardigen en verwerken. Deze producten zijn cruciaal voor bijvoorbeeld het behandelen van brandwonden. De minister houdt daarom rekening met de mate waarin de dienst van een entiteit voorziet in de vraag naar lichaamsmateriaalproducten. Indien de dienst van een entiteit een aanzienlijk aandeel heeft in de voorziening van lichaamsmateriaalproducten binnen Nederland, kan een incident aanzienlijk verstorende effecten hebben op de essentiële dienst van de voorziening van lichaamsmaterialen. Als laatste is het relevant bij zowel bloedproducten en lichaamsmateriaal in hoeverre andere producten of entiteiten een alternatief kunnen bieden voor de dienstverlening.

2.5 Meldplicht Wwke

De meldplicht, bedoeld in artikel 17 van de Wwke, verplicht entiteiten om incidenten die hun dienstverlening aanzienlijk verstoren binnen 24 uur te melden bij de bevoegde autoriteit.

Gebeurtenissen waarbij er (nog) geen feitelijke verstoring van de essentiële dienst heeft plaatsgevonden, maar waarbij er wél een acuut gevaar of risico ontstaat op een aanzienlijke verstoring dienen óók gemeld te worden. Indien een kritieke entiteit binnen 24 uur maatregelen neemt die het acute risico op een aanzienlijke verstoring van de essentiële dienst mitigeren, waardoor het gevaar (voldoende) is geweken, dan hoeft het incident niet gemeld te worden. De melding dient te worden gedaan bij het centraal contactpunt, ingericht door het Nationaal Cyber Security Centrum (NCSC). De bevoegde autoriteit ontvangt deze melding. Voor de sector gezondheidszorg is de Minister van VWS de bevoegde autoriteit op grond van artikel 8 van de Wwke. Daarnaast ontvangt ook de toezichthouder, te weten de Inspectie Gezondheidszorg & Jeugd (hierna: IGJ), de melding in het kader van de toezicht en handhaving.

Zoals omschreven in artikel 17, derde lid, van de Wwke, moeten bij het bepalen of een verstoring aanzienlijk is in ieder geval (a) het aantal getroffen gebruikers, (b) de duur van de verstoring en (c) het getroffen gebied in aanmerking worden genomen. Deze ministeriele regeling werkt de meldplicht verder uit middels drempelwaarden specifiek voor de sector gezondheidszorg. Deze drempelwaarden geven een nadere uitwerking van de wettelijke criteria en beogen entiteiten en toezichthouders duidelijkheid te bieden over wanneer in ieder geval sprake is van een meldplichtig incident.

In artikel 5 van deze regeling is uitputtend geregeld wanneer er wordt voldaan aan de drempelwaarden die zijn opgenomen in artikel 17, derde lid, van de Wwke. Indien er één of meer van deze drempelwaarden wordt voldaan dient de kritieke entiteit het incident te melden. In het artikel is niet specifiek een geografisch gebied opgenomen. Gelet op het oppervlakte van Nederland wordt het niet noodzakelijk geacht om deze drempelwaarde nader uit te werken.

Er is naar gestreefd om de drempelwaarden, binnen het kader van de wet, zoveel mogelijk te laten aansluiten op de Cyberbeveiligingswet (hierna: Cbw). Dit betekent dat er bij het bepalen of een verstoring aanzienlijk is, ook expliciet wordt gekeken naar de gevolgen van de verstoring. Dit is vergelijkbaar met de benadering in de Cbw. De drie drempelwaarden die opgenomen worden in de Regeling weerbaarheid kritieke entiteiten voor de zorg (hierna: Rwkez) hebben te maken met overlijden of letsel naar aanleiding van de verstoring, ernstige beschadiging of vernietiging van de kritieke infrastructuur of een verstoring waarbij een of meerdere kritische bedrijfsprocessen langer dan vier uur stilliggen.

De formulering van deze drempelwaarden laat bewust ruimte over voor een entiteit om zelf ten dele invulling te geven aan de drempelwaarden. Het is bijvoorbeeld aan de entiteit zelf om te specificeren wat zij verstaat onder kritieke infrastructuur en kritische bedrijfsprocessen. Dit sluit aan bij de verplichting in artikel 5 van de Bwke, voor een entiteit om haar kritieke infrastructuur te identificeren en hiervan een overzicht te creëren. Het vaststellen van kritische bedrijfsprocessen kan ook worden gezien als een belangrijk onderdeel van de risicobeoordeling, aangezien een organisatie – naast haar kritieke infrastructuur – moet vaststellen welke processen er kritiek zijn voor het verlenen van haar essentiële dienst. Hieronder worden de individuele drempelwaarden uit deze regeling nader toegelicht. Er wordt daarnaast per criteria kort toegelicht hoe het tweede lid van artikel 5 van deze regeling moet worden geïnterpreteerd.

• a. Er is sprake van een aanzienlijke verstoring indien de verstoring leidt tot overlijden of enig ander zwaar lichamelijk letsel bij een of meerdere personen.

Indien er een incident voordoet bij een kritieke entiteit dat het leveren van de essentiële dienst verstoord, dient er allereerst gekeken te worden naar de direct merkbare gevolgen van deze verstoring. Wanneer er als gevolg van de verstoring van de essentiële dienst met een redelijk vermoeden kan worden vastgesteld dat dit heeft geleid tot het overlijden en/of veroorzaken van blijvend lichamelijk letsel bij een of meerdere personen, dient een entiteit dit te melden. Denk hierbij aan het uitvallen van processen, apparatuur of personeel in de acute zorgketen, wat tot gevolg heeft dat de juiste zorg niet geleverd kan worden en patiënten letsel oplopen en of komen te overlijden.

Gezien lid 2 van artikel 5 van deze regeling, is het daarnaast ook verplicht om incidenten te melden die (nog) niet hebben geleid tot een verstoring van dienstverlening of tot ernstige gevolgen, maar wel ernstige en onaanvaardbare risico’s met zich mee brengen. Hierbij kan worden gedacht aan incidenten die weliswaar nog geen ernstige verstoring van de dienstverlening heeft veroorzaakt, maar wel een risico vormen voor een dergelijke verstoring. Denk hierbij aan een kortstondige stroomstoring bij een zorgaanbieder, waarbij de mitigerende maatregelen (een noodstroomvoorziening) niet werkzaam blijken. Ondanks het feit dat er hierbij geen fysiek letsel is ontstaan, kan er wel geconcludeerd worden dat er een onaanvaardbaar risico bestaat op overlijden of lichamelijk letsel indien er opnieuw een stroomstoring optreedt die langer van duur is. Indien er binnen 24 uur geen maatregelen kunnen worden getroffen die het risico op verstoring van de dienstverlening mitigeren (denk hierbij aan het repareren van de noodstroomvoorziening), dan dient het ontdekken van deze niet-werkende noodstroomvoorziening te worden gemeld.

• b. Er is sprake van een aanzienlijke verstoring indien kritieke infrastructuur vernietigd of ernstige beschadigd is.

Indien een incident bij een kritieke entiteit leidt tot de vernietiging of de ernstige beschadiging van haar kritieke infrastructuur, dient het incident gemeld te worden. Kritieke infrastructuur is gedefinieerd in de Wwke als ‘een voorziening, een faciliteit, apparatuur, een netwerk of een systeem, of een onderdeel van een voorziening, een faciliteit, apparatuur, een netwerk of een systeem, hetgeen noodzakelijk is voor de verlening van een essentiële dienst’. De kritieke infrastructuur is in grote mate van belang voor de instandhouding van de dienstverlening van een kritieke entiteit. Indien een incident deze infrastructuur ernstig beschadigd of zelfs vernietigd, is het aannemelijk dat de continuïteit van de essentiële dienst in gevaar is of zal komen. Dit betekent dus dat een beschadiging of vernietiging van kritieke infrastructuur als meldingswaardig moet worden gezien indien er een reëel risico optreedt dat een entiteit zijn dienstverlening in het heden of in de toekomst niet meer kan leveren. Het kan hierbij ook gaan om de beschadiging van kritieke infrastructuur die niet direct de essentiële dienst aantast, maar wel dermate ernstige financiële gevolgen heeft dat het onzeker is dat de entiteit zijn dienstverlening kan garanderen. Een (kleine) beschadiging of vernietiging van de kritieke infrastructuur waarbij er géén reëel risico optreedt dat een entiteit zijn dienstverlening in het heden of in de toekomst niet meer kan leveren, hoeft dus niet te worden gemeld. De term ‘kritieke infrastructuur’ slaat in de context van deze drempelwaarde enkel op de kritieke infrastructuur die intern in beheer is van een kritieke entiteit. Ter illustratie kan worden gedacht aan een natuurfenomeen zoals een brand of overstroming, waardoor opslag of productiefaciliteiten van een groothandel of geneesmiddelenproducent worden vernietigd of ernstig beschadigd waardoor de essentiële dienst aanzienlijk wordt verstoord.

Gezien artikel 5, tweede lid, van deze regeling, is het daarnaast ook verplicht om incidenten te melden die (nog) niet hebben geleid tot een aanzienlijke verstoring van de dienstverlening, maar wel ernstige en onaanvaardbare risico’s met zich mee brengen. Een voorbeeld is wanneer er een ongeautoriseerd persoon toegang krijgt tot de kritieke infrastructuur van een organisatie, ondanks de veiligheidswaarborgen die dit hadden moeten voorkomen en dit mogelijk ernstige en onaanvaardbare risico’s met zich mee brengt. Ondanks het feit dat er geen daadwerkelijke schade aan de kritieke infrastructuur is opgetreden als gevolg van het incident, is er wel geconstateerd dat de huidige beschermingsmaatregelen om de kritieke infrastructuur te beschermen niet werken.

Indien er binnen 24 uur geen maatregelen kunnen worden getroffen die het risico op ernstige beschadiging of vernietiging van kritieke infrastructuur mitigeren (denk hierbij aan het instellen van extra beschermingsmaatregelen van de kritieke infrastructuur), dan dient de ongeautoriseerde toegang tot de kritieke infrastructuur te worden gemeld. Het melden van het incident helpt de bevoegde autoriteit om een overzicht te krijgen van incidenten die de continuïteit van essentiële diensten in gevaar brengen en eventueel ondersteuning te bieden. Daarnaast helpt het een organisatie om te leren van incidenten en geeft de toezichthouder de mogelijkheid om de bestaande beschermingsmaatregelen te evalueren indien dit nodig wordt geacht.

• c. Er is sprake van een aanzienlijke verstoring indien er sprake is van een onderbreking van één of meer kritische bedrijfsprocessen gedurende minimaal vier uur.

Indien een incident ertoe leidt dat één of meer kritische bedrijfsprocessen bij een kritieke entiteit langer dan vier uur geen doorgang kunnen vinden, dient dit te worden gemeld. In de context van deze regeling dient een ‘kritisch bedrijfsproces’ te worden gezien als een proces dat cruciaal is voor de instandhouding van de essentiële dienst van een entiteit. Het kan hier als voorbeeld gaan om processen die bijdragen aan veilige en gecontroleerde (hygiënische) omstandigheden voor het leveren van zorg, vervaardigen van geneesmiddelen of medische hulpmiddelen en het doen van onderzoek, een werkende stroomvoorziening of ICT-systemen. De uitval van één of meer kritische bedrijfsprocessen naar aanleiding van een incident wordt gezien als een significant risico voor de continuïteit van de essentiële dienst. Een incident dient alsnog gemeld te worden, indien één of meerdere kritische bedrijfsprocessen korter dan vier uur geen doorgang kunnen vinden, maar de verstoring wel leidt tot het overschrijden (of een onaanvaardbaar risico op overschrijden) van een van de bovenstaande drempelwaarden.

Gezien artikel 5, tweede lid, van deze regeling, is het daarnaast ook verplicht incidenten te melden die (nog) niet hebben geleid tot een aanzienlijke verstoring, maar wel ernstige en onaanvaardbare risico’s met zich mee brengen. Indien er bijvoorbeeld wordt geconstateerd dat er een grote dreiging bestaat op een terroristisch misdrijf of protest door activisten en er een acuut risico bestaat dat er hierdoor een of meerdere kritische bedrijfsprocessen langer dan vier uur moeten worden stilgelegd. Ondanks het feit dat er (nog) geen kritische bedrijfsprocessen zijn stilgelegd als gevolg van de ontdekking, kan er een reëel risico bestaan dat er één of meer kritische bedrijfsprocessen stil moeten worden gelegd. Indien er binnen 24 uur geen maatregelen kunnen worden getroffen die het risico op verstoring van de dienstverlening mitigeren of (voldoende) reduceren (denk hierbij aan extra beveiliging), dan dient het incident eveneens gemeld te worden. Het melden van het incident helpt de bevoegde autoriteit om risico’s in te schatten en eventueel gepaste maatregelen te nemen. Daarnaast helpt het een organisatie om te leren van incidenten en geeft de IGJ de mogelijkheid om de bestaande beschermingsmaatregelen te evalueren indien dit nodig wordt geacht.

Het kan per organisatie en type dienstverlening verschillen in hoeverre een verstoring van één of meerdere kritische bedrijfsprocessen direct merkbare gevolgen heeft. Dit hangt onder andere af van de context van de organisatie en het type product of dienstverlening. Echter is er gekozen om een uniforme drempelwaarde te hanteren vanwege de nauwe relatie met de meldplicht uit de Cbw. Gezien de toenemende samenhang tussen ICT-systemen en fysieke dienstverlening is het waarschijnlijk dat de oorzaak van de verstoring tevens een incident is onder de Cbw. Door de drempelwaarden uniform op te stellen, wordt onduidelijkheid voorkomen en administratieve lasten beperkt. Er zijn dan namelijk geen verschillende drempelwaarden waar rekening mee moet worden gehouden.

3. Verhouding tot internationaal en Europees recht

De onderhavige regeling strekt tot uitvoering van de Wwke. Deze wet strekt tot uitvoering van de CER-richtlijn.

4. Verhouding tot nationale regelgeving

Voor dit onderdeel wordt verwezen naar de memorie van toelichting bij de Wwke en de Nota van toelichting bij de Bwke. Ook wordt verwezen naar hoofdstuk 2, waarin per categorie van entiteiten is toegelicht hoe zich dit verhoudt met Nederlandse wetgeving. Opgemerkt wordt dat de verplichtingen uit de Wwke zelfstandige verplichtingen zijn, die een eigen doel hebben (namelijk het garanderen van de beschikbaarheid van de diensten van kritieke entiteiten). Voor zover entiteiten soortgelijke verplichtingen hebben uit hoofde van andere wettelijke kaders (bijvoorbeeld meldplichten) bestaan deze naast elkaar.

4.1 Verhouding meldplichten andere (sectorale) wetgeving

Organisaties die onder de Wwke vallen, hebben mogelijk ook te maken met meldplichten afkomstig uit andere (sectorale) wetgeving. Deze meldplichten hebben elk een eigen doel en blijven ongeacht de introductie van de meldplicht onder de Wwke afzonderlijk bestaan. Dit betekent dat een organisatie altijd op basis van de individuele wettelijke kaders moet beoordelen of een gebeurtenis of incident gemeld dient te worden. Er wordt hieronder kort ingegaan op meldplichten uit overige (sectorale) wetgeving om, waar mogelijk, verschillen of overeenkomsten te duiden.

De Cbw bevat een meldplicht voor significante incidenten. Een incident onder de Cbw is een gebeurtenis die de beschikbaarheid, authenticiteit, integriteit of vertrouwelijkheid van opgeslagen, verzonden of verwerkte gegevens of van de diensten die worden aangeboden door of toegankelijk zijn via netwerk- en informatiesystemen, in gevaar brengt. Volgens artikel 21, derde lid, van de Cbw geldt expliciet óók voor incidenten rondom de fysieke omgeving van netwerk- en informatiesystemen. In artikel 4 van de Wwke zijn aangelegenheden die in de Cbw zijn geregeld uitgezonderd van de Wwke. Dit betekent dat de zorg- en meldplicht van de Wwke in principe geen betrekking heeft op netwerk- en informatiesystemen en de fysieke omgeving daarvan. Wanneer een aanzienlijke verstoring van een essentiële dienst voortkomt uit een incident in netwerk- en informatiesystemen of de fysieke omgeving daarvan, hoeft er daarom énkel onder de Cbw gemeld te worden. Dit aangezien de oorzaak van de aanzienlijke verstoring in de fysieke omgeving van de netwerk- en informatiesystemen gezocht kan worden. Wanneer bijvoorbeeld brand of wateroverlast een serverruimte vernietigd of onbruikbaar maakt, met als gevolg een aanzienlijke verstoring van de essentiële dienst, hoeft er énkel onder de Cbw gemeld te worden. Wanneer de aanzienlijke verstoring niet énkel een digitale oorzaak heeft, dient er onder beide wetten gemeld te worden. Dit kan bijvoorbeeld optreden als een overstroming of brand niet alleen de netwerk- en informatiesystemen vernietigd of onbruikbaar maakt, maar breder binnen een organisatie grote schade toebrengt aan kritieke infrastructuur met een aanzienlijke verstoring als gevolg. In dit voorbeeld ligt de oorzaak van de aanzienlijke verstoring niet enkel in de fysieke omgeving van de netwerk- en informatiesystemen, maar moet de brand zélf als oorzaak van de aanzienlijke verstoring worden gezien.

De Wkkgz bevat een meldplicht om calamiteiten te melden, die worden gedefinieerd als ‘een niet-beoogde of onverwachte gebeurtenis, die betrekking heeft op de kwaliteit van de zorg en die tot de dood van een cliënt of een ernstig schadelijk gevolg voor een cliënt heeft geleid’. De Wwke spreekt van incidenten, ofwel ‘gebeurtenissen die het verlenen van de essentiële dienst aanzienlijk kan verstoren of verstoort’¹⁰. Een calamiteit onder de Wkkgz is gefocust op gebeurtenissen die de kwaliteit en veiligheid van de patiënt in het geding brengen. Hieronder vallen dus bijvoorbeeld medische fouten. Een incident onder de Wwke is gefocust op gebeurtenissen die de essentiële dienst als geheel aanzienlijk verstoren of kunnen verstoren. Individuele medische fouten, die de dienst als geheel niet aanzienlijk verstoren, vallen hier niet onder. Gebeurtenissen die geen verstoring van de dienstverlening veroorzaken, maar wel leiden tot doden of ernstige schadelijke gevolgen voor een patiënt (zoals een medische fout) zijn wél een calamiteit maar geen meldplichtig incident onder de Wwke.

De Algemene verordening gegevensbescherming (hierna: AVG) verplicht organisaties om datalekken te melden, waarbij een datalek een inbreuk op de vertrouwelijkheid, integriteit of beschikbaarheid van persoonsgegevens betreft¹¹. Een datalek kán in theorie ook een incident zijn onder de Wwke, maar enkel wanneer de inbreuk op de vertrouwelijkheid, integriteit of beschikbaarheid van persoonsgegevens de essentiële dienst verstoort of kan verstoren. Een datalek dient gemeld te worden bij de Autoriteit Persoonsgegevens (AP), indien deze een hoog risico voor de betrokkenen oplevert. Een voorbeeld hiervan zou zijn wanneer er bij een fysiek incident door een statelijke actor zéér bedrijfsgevoelige informatie wordt buitgemaakt die een (acuut) risico oplevert voor de fysieke beveiliging en continuïteit van de essentiële dienstverlening en waarbij óók persoonsgegevens zijn gelekt.

Artikel 49, zevende lid, van de Geneesmiddelenwet bevat ook een meldplicht. Deze meldplicht verplicht houders van een handelsvergunning van geneesmiddelen om melding te doen wanneer een geneesmiddel uit de handel wordt genomen, de handel van het geneesmiddel wordt opgeschort, er een verzoek wordt gedaan om intrekking van een handelsvergunning of wanneer een aanvraag tot verlenging van een handelsvergunning wordt achterwege gelaten. De Wwke spreekt van incidenten, ofwel ‘gebeurtenissen die het verlenen van de essentiële dienst aanzienlijk kan verstoren of verstoort’¹². Een organisatie dient zélf te beoordelen of en wanneer een gebeurtenis of incident voldoet aan de meldplicht uit de Wwke en wanneer deze mogelijk óók voldoet aan de meldplicht uit de Geneesmiddelenwet.

5. Gevolgen (m.u.v. financiële gevolgen)

5.1 Regeldruk

Algemeen

In de Wwke en het Bwke staan de meeste verplichtingen uitgewerkt uit de CER-richtlijn. Voor zowel de Wwke als het Bwke is de regeldruk reeds berekend. In deze regeling worden een aantal zaken specifiek voor de sector zorg nader uitgewerkt. Hoewel naar verwachting de meeste regeldrukeffecten voortvloeien uit de hogere wetgeving, heeft het Ministerie van VWS besloten om aanvullend onderzoek te doen naar de regeldruk specifiek voor de sector gezondheidszorg. Hierbij is relevant dat slechts een beperkt aantal entiteiten uit de sector gezondheidszorg zal worden aangewezen als ‘kritieke entiteit’. De inschatting is gemaakt dat dit over alle categorieën heen om rond de vijftig entiteiten zal gaan. Dit betreft een eerste inschatting. De uiteindelijke aanwijzing van kritieke entiteiten kan een hoger of een lager getal opleveren.

Het regeldrukonderzoek is uitgevoerd door een onafhankelijk onderzoeksbureau en er zijn in totaal 17 organisaties geïnterviewd. Het onderzoek heeft gekeken naar de verwachte regeldrukeffecten van de meldplicht. Voor het berekenen van de regeldrukeffecten is de Rijksbreed gehanteerde methodiek voor het kwantificeren van regeldruk gebruikt, zoals deze staat beschreven in het Handboek Meting Regeldrukkosten 2023¹³.

Eenmalige en structurele regeldrukkosten meldplicht

Organisaties verwachten de verplichtingen die onder de meldplicht vallen eenmalig te moeten inregelen (of opzetten). Gemiddeld genomen verwachten organisaties 139 uur kwijt te zijn aan het uitvoeren van de meldplicht. Organisaties zijn onzeker over de frequentie waarmee meldenswaardige incidenten zich voordoen. De schattingen lopen uiteen van een keer per drie jaar tot eens per tien jaar. Gemiddeld schatten organisaties dat zich een keer per acht jaar een fysiek incident voordoet dat meldenswaardig is. Organisaties verwachten eenmalige regeldrukkosten van gemiddeld € 7.488 per bedrijf. Structureel verwachten ze gemiddeld € 39 per jaar per bedrijf uit te trekken voor het (kunnen) melden van fysieke incidenten. Tabel 1 geeft de eenmalige en structurele regeldrukkosten weer voor de meldplicht.

Tabel 1. Eenmalige en structurele regeldrukkosten meldplicht (Wwke-Bwke-RwkeZ)

Eenmalig of structureel?	Kosten per bedrijf (P)	Aantal organisaties (Q)	Totale kosten (P*Q)
Eenmalig	€ 7.488	50	€ 374.400
Structureel	€ 39	50	€ 1.950

5.2 Doenvermogen

De verplichtingen uit deze regeling hebben geen effect op burgers. De verplichtingen richten zich op organisaties die worden aangewezen als kritieke entiteiten. Deze entiteiten zijn vanwege de aard van de door hen geleverde diensten veelal al bekend zijn met het inschatten van risico’s en beperken van gevolgen door het nemen van weerbaarheidsverhogende maatregelen. Daarnaast wordt onwaarschijnlijk geacht dat MKB-ondernemingen als kritieke entiteit in de sector zorg worden aangewezen. De doelgroep betreft derhalve organisaties en ondernemingen die reeds gewend zijn aan het omgaan met risico’s en risicobeheersing. Het doenvermogen van de doelgroep wordt daarom voldoende geacht voor het uitvoeren van de verplichtingen.

6. Toezicht en handhaving

Het toezicht op de naleving van deze wetgeving wordt voor de sector gezondheidszorg, met in begrip van de aangewezen aanvullende categorieën, bij deze regeling, belegd bij de ambtenaren van de IGJ. De IGJ krijgt de toezichtstaak om de naleving van de fysieke weerbaarheid te waarborgen. Op grond van artikel 36 van de Wwke is de IGJ belast met de toezicht op de naleving van deze wet en de vastgestelde uitvoeringshandelingen voor zover deze verbindend en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie.

7. Financiële gevolgen

Met de inwerkingtreding van de Wwke zullen naar schatting hoogstens 50 entiteiten binnen de sector gezondheidszorg moeten gaan voldoen aan de verplichtingen. De IGJ zal het toezicht en de handhaving van de Wwke in de gezondheidszorg op zich nemen. Conform de regels van de budgetdiscipline dienen de budgettaire gevolgen te worden ingepast op de begrotingen van de verantwoordelijke departementen. De kosten voor de IGJ worden gedekt vanuit de begroting van het Ministerie van VWS. Deze wetgeving heeft geen financiële gevolgen voor burgers.

8. Advies en consultatie

Een eerdere versie van dit voorstel is voor advies voorgelegd aan het Adviescollege toetsing regeldruk (hierna: ATR), opengesteld voor consultatie op www.internetconsultatie.nl. en voor commentaar toegezonden aan belangenorganisaties en entiteiten. Daarnaast is er een uitvoeringstoets uitgevoerd op deze regeling door de IGJ. Hieronder volgt een globale bespreking van de adviezen, de reacties uit de consultatie en de beoordeling van de uitvoeringstoets.

Waar de nummers van de besproken artikelen verschillen, worden de artikelen van die eerdere versie als volgt aangeduid: ([artikelnummer] oud).

8.1 Internetconsultatie

Toepassingsbereik en definities

De Nederlandse Vereniging van Ziekenhuizen (hierna: NVZ) en de Universitair Medische Centra in Nederland (hierna: UMCNL) geven aan dat het onderscheid tussen essentiële en niet-essentiële diensten onvoldoende is uitgewerkt en vragen om te specificeren of de verplichtingen uit de Wwke voor een hele entiteit gelden of enkel voor specifieke diensten van een kritieke entiteit. Hierop wordt toegelicht dat de aanwijzing van een kritieke entiteit betrekking heeft op de gehele rechtspersoon die is aangewezen. De toelichting is aangepast om te verduidelijken hoe het onderscheid tussen essentiële en niet-essentiële diensten wordt gemaakt en wat dit voor een organisatie betekent.

NVZ en UMCNL geven aan dat het onduidelijk is of de term ‘kritieke infrastructuur’ enkel slaat op infrastructuur die in het beheer is van de kritieke entiteit, of óók andere infrastructuur zoals toegangswegen. Hierop wordt het volgende toegelicht. De term ‘kritieke infrastructuur’ is gedefinieerd in de Wwke. Het gebruik van de term ‘kritieke infrastructuur’ in artikel 5, eerste lid, onderdeel b, van deze regeling slaat enkel op de kritieke infrastructuur die intern in beheer is van een kritieke entiteit. De meldplicht geldt echter altijd voor aanzienlijke verstoringen in de essentiële dienstverlening die aan één van de in artikel 5 benoemde criteria, zelfs als de oorzaak hiervan ligt bij een incident in landelijke infrastructuur zoals het stroomnet of telecommunicatienetwerken. Dit is verduidelijkt in artikel 5 en in de toelichting. Wat betreft de zorgplicht is het in principe niet de verantwoordelijkheid van een kritieke entiteit om maatregelen te treffen die uitsluitend betrekking hebben op (externe) infrastructuur zoals toegangswegen, het stroomnet of andere landelijke infrastructuur. Het is echter wél aan een kritieke entiteit om afhankelijkheden en risico’s te identificeren met betrekking tot dergelijke landelijke infrastructuren en naar aanleiding hiervan passende en evenredige maatregelen te treffen. Een voorbeeld hiervan zou kunnen zijn wanneer een organisatie die sterk afhankelijk is van de landelijke stroomvoorziening, als mitigerende maatregel zorgt voor een adequate noodstroomvoorziening.

UMCNL vraagt om een verduidelijking van de aanwijzing van weefselinstellingen en aanbieders van patiëntendossiers of systemen voor gegevensuitwisseling en hieruit voortkomende verplichtingen. Hierop wordt het volgende toegelicht. In deze regeling worden geen entiteiten aangewezen. Er is enkel gebruik gemaakt van de mogelijkheid om aanvullende categorieën van entiteiten onder het toepassingsbereik van de Wwke te brengen. Hiermee wordt het mogelijk om organisaties binnen deze categorie aan te wijzen als kritieke entiteit. Er gelden géén verplichtingen voor organisaties binnen deze categorieën totdat zij formeel zijn aangewezen als kritieke entiteit. Voor de definitie en daarmee afbakening van de categorie weefselinstellingen verwijzen we naar paragraaf 2.3.3 van de toelichting. Voor aanbieders van patiëntendossiers of systemen voor gegevensuitwisseling is er geen (voldoende) passende sectorale wetgeving gevonden om organisaties binnen deze categorie te definiëren. De categorie is daarom nader omschreven in paragraaf 2.3.2. van de toelichting en er worden hier voorbeelden genoemd.

NVZ vraagt of ziekenhuisapotheken onder de definitie van fabrikanten van geneesmiddelen vallen. Hierop wordt toegelicht dat het niet mogelijk is dit vast te stellen voor alle ziekenhuisapotheken. Dit hangt af van de specifieke diensten die zij verlenen. In artikel 18, vijfde lid, van de geneesmiddelenwet is een uitzondering opgenomen wanneer er zonder vergunning geneesmiddelen bereid mogen worden ten behoeve van terhandstelling in een apotheek. Het is aan een entiteit zelf om te bepalen of de ziekenhuisapotheek onder deze uitzonderingen vallen.

NVZ wijst erop dat medische hulpmiddelenvervaardigers grotendeels ontbreken in de aanwijzing van kritieke entiteiten. NVZ acht het noodzakelijk dat ook (leveranciers van) kritische medische hulpmiddelen in relatie tot geneesmiddelen, weefsel en bloed, expliciet worden meegenomen in de regeling. Hierop wordt het volgende toegelicht. Met deze regeling worden er geen kritieke entiteiten aangewezen. De categorie van vervaardigers van medische hulpmiddelen in noodsituaties valt expliciet binnen de reikwijdte van de Wwke. Het is echter pas (juridisch) mogelijk om vervaardigers van medische hulpmiddelen aan te wijzen wanneer een noodsituatie op het gebied van de volksgezondheid zich voordoet en er een lijst met medische hulpmiddelen cruciaal voor de betreffende noodsituatie door de Europese Commissie wordt vastgesteld. Het Ministerie van VWS zal, wanneer een dergelijke noodsituatie zich voordoet, kunnen besluiten of het nodig of wenselijk is om binnen deze categorie kritieke entiteiten aan te wijzen.

NVZ ziet een onduidelijkheid in de reikwijdte van de regeling. De verwijzing in artikel 2 naar ‘de bijlage bij de wet’ is onvoldoende helder, omdat het onduidelijk is of de bijlage een onlosmakelijk onderdeel is van de wet, dan wel zelfstandig kan worden aangepast. Hierop volgt de volgende reactie. De bijlage van de Wwke komt rechtstreeks uit de Annex van de CER-richtlijn. Voor een juiste implementatie van de richtlijn in nationale wetgeving kan hiervan niet worden afgeweken. De bijlage kan dus niet worden gewijzigd of zelfstandig worden aangepast.

Meldplicht

NVZ en UMCNL geven aan dat de meldplicht voor incidenten die ‘tot ernstige gevolgen kunnen leiden’ zorgt voor een te brede en onwerkbare meldplicht. UMCNL verzoekt hierbij om verduidelijking in welke gevallen een incident zonder feitelijke gevolgen meldplichtig is. NVZ verzoekt om de regeling aan te passen met criteria die énkel zijn gericht op incidenten met een reële en significante impact op continuïteit of patiëntveiligheid. Hierop wordt het volgende toegelicht. In artikel 5, tweede lid, van deze regeling dienen incidenten die een aanzienlijke verstoring kunnen veroorzaken gemeld te worden. Deze verplichting komt rechtstreeks uit de Europese CER-richtlijn, waardoor het niet mogelijk is om hiervan af te wijken. In de paragraaf 2.5 van de toelichting is uitgelegd waarom incidenten, zonder feitelijke gevolgen, gemeld dienen te worden.

UMCNL en NVZ geven aan dat het bij verstoringen in de IT-infrastructuur binnen 24 uur niet altijd vast is te stellen of sprake is van een cyberincident of van een technische storing zonder kwaadwillend handelen. Zij verzoeken daarom om ruimte om gefaseerde meldingen te doen.

Hierop wordt als volgt gereageerd. In artikel 4 van de Wwke zijn aangelegenheden waar de Cbw voor geldt, uitgezonderd van de Wwke. Dit betekent dat aanzienlijke verstoringen waarbij de oorzaak ligt in een storing van netwerk- en informatiesystemen (zowel opzettelijk als onopzettelijk) énkel onder de Cbw gemeld hoeven te worden. Er is hierop een passage toegevoegd aan de toelichting die de relatie tussen (de meldplicht van) de Cbw en Wwke verduidelijkt. De fasering van meldingen is daarnaast vastgelegd in de Europese CER-richtlijn. Het is niet mogelijk om hier als lidstaat van af te wijken.

UMCNL en NVZ vragen daarnaast om verduidelijking hoe de meldplicht van de Wwke zich verhoudt tot meldplichten uit andere sectorale wetgeving, zoals de Wkkgz, AVG en Geneesmiddelenwet. Er wordt daarnaast gepleit voor een harmonisatie van definities en termijnen, hergebruik van bestaande meldingen en bewijsstukken en het gebruik van een gecentraliseerd meldpunt. In paragraaf 4.1 is verduidelijkt hoe de meldplicht uit de Wwke samenhangt met de bovengenoemde sectorale meldplichten. Er wordt hieronder daarna ingegaan op de wensen omtrent harmonisatie van termijnen, hergebruik van documenten en de centralisatie van het meldpunt.

Wat betreft het verzoek om de harmonisatie van definities en termijnen, hergebruik van bestaande meldingen en bewijsstukken en het gebruik van een gecentraliseerd meldpunt wordt als volgt gereageerd. Er is begrip voor de wensen vanuit UMCNL en NVZ om de (administratieve) lasten vanuit de benoemde regelgeving zoveel mogelijk te beperken. Echter komen zowel de Wwke, als de Geneesmiddelenwet en de AVG voort uit Europese wetgeving. Er bestaan hierdoor beperkte mogelijkheden om definities en termijnen op nationaal niveau te harmoniseren. Dergelijke harmonisatie zou op Europees niveau geregeld moeten worden. Met betrekking tot het hergebruik van bestaande meldingen en bewijsstukken wordt er opgemerkt dat er geen beperkingen zijn voor het hergebruik van bewijstukken voor de verschillende regelgeving. De Wwke verplicht enkel dat de melding alle op dat moment beschikbare informatie bevat die de bevoegde autoriteit nodig heeft om te bepalen wat de aard, vermoedelijke oorzaak en mogelijke gevolgen van het incident zijn (inclusief grensoverschrijdende gevolgen).

Wat betreft de wens om de meldloketten van álle sectorale wetgeving te centraliseren is helaas geen mogelijkheid gebleken. Gezien de rol van de Minister van Justitie en Veiligheid als centraal contactpunt voor zowel de Wwke als de Cbw is er gekozen om in ieder geval voor deze wetten één centraal meldpunt op te richten. Er is begrip voor de wens om verdere centralisatie, maar dit wordt (op de korte termijn) niet haalbaar geacht.

Drempelwaarden of ‘meldcriteria’

NVZ en UMCNL geven aan dat de criteria voor ‘ernstige verstoring’ ontbreken of onvoldoende concreet zijn. Zij verzoeken om een verduidelijking van de gehanteerde drempelwaarden, waarbij UMCNL verzoekt dit te specificeren voor hoogcomplexe en acute zorg. Pluryn geeft aan dat additionele voorbeelden zouden helpen om de drempelwaarden voor aanzienlijk verstorende incidenten te interpreteren. Hierop wordt als volgt gereageerd. Er is gekozen om de drempelwaarden van de Wwke zoveel als mogelijk aan te sluiten op de Cbw, om administratieve lasten te beperken. Daarnaast is er gekozen voor een open formulering, zodat organisaties ten dele zelf de inschatting kunnen maken welke incidenten aanzienlijk verstorende effecten hebben op hun essentiële dienstverlening. De criteria voor ernstige verstoring zijn gezien deze redenen niet aangepast. De toelichting is aangevuld met additionele voorbeelden.

Verantwoordelijkheden van ketenpartners en verbanden met bestaande structuren

UMCNL vraagt explicieter aandacht voor de verhouding tussen individuele verantwoordelijkheden en ketenverantwoordelijkheid. UMCNL verzoekt om in de regeling of toelichting duidelijker te beschrijven hoe verantwoordelijkheden, bevoegdheden en regie zich tot elkaar verhouden, zowel voor zorgcontinuïteit als voor ondersteunende processen zoals de geneesmiddelenvoorziening.

Hierop wordt als volgt gereageerd. De Wwke legt individuele verplichtingen op aan entiteiten die onder de Wwke zijn aangewezen als kritieke entiteit. Kritieke entiteiten zijn verplicht om afhankelijkheden in de keten te identificeren en te beoordelen, en waar nodig, passende en evenredige maatregelen te nemen. Dit doet niets af aan de bestaande overlegstructuren binnen de gezondheidszorg met betrekking tot regie en bevoegdheid.

Zorgverzekeraars Nederland (hierna: ZN) vraagt wat het Ministerie van VWS verwacht van zorgverzekeraars en zorgkantoren ten aanzien van de Wwke, expliciete duiding hoe de eisen uit de Rwkez zich verhouden tot de zorgplicht van zorgverzekeraars vanuit de Zorgverzekeringswet (Zvw) en Wet langdurige zorg (Wlz). Daarnaast adviseren zij om de verbinding tussen andere zorgwetgeving, bestaande (crisis)structuren en verantwoordelijkheden te behouden. Hierop wordt het volgende toegelicht. De verplichtingen uit de Wwke gelden voor de bij besluit of beschikking aangewezen kritieke entiteiten. De borging van de continuïteit van de dienstverlening van kritieke entiteiten is en blijft belegd bij de organisaties zelf. De Wwke, en onderliggende regeling en besluit, bevatten geen additionele eisen of verwachtingen ten aanzien van zorgverzekeraars of zorgkantoren. Er zijn ook geen wettelijke grondslagen om specifieke regels te stellen ten aanzien van zorgverzekeraars. De huidige wettelijke verplichtingen vanuit de Zvw en de Wlz blijven hiermee op dezelfde wijze van kracht. Er worden met deze regeling ook geen wijzigingen aangebracht in bestaande regimes, (crisis)structuren of verantwoordelijkheden ten aanzien van de continuïteit van zorg.

ZN vraagt zich daarnaast af hoe de catastrofe regeling die is opgenomen in artikel 33 van de Zvw zich verhoudt tot Wwke. Zij geven aan dat de zorgplicht van zorgverzekeraars niet kan functioneren als vangnet voor grootschalige of landelijke verstoringen bij kritieke entiteiten. Hierop wordt toegelicht dat deze regeling geen veranderingen aanbrengt in de zorgplicht van zorgverzekeraars en daarmee ook geen invloed heeft op de catastrofe regeling.

ZN geeft aan dat de regeling niet voorziet in een structurele informatiepositie voor zorgverzekeraars, terwijl incidenten bij kritieke entiteiten directe gevolgen kunnen hebben voor zorgcontinuïteit, en dus onze ‘reguliere’ zorgplicht van zorgverzekeraars. Hierop wordt het volgende toegelicht. Deze regeling biedt geen wettelijke grondslag om een structurele informatiepositie voor zorgverzekeraars te borgen. In artikel 28 van de Wwke is geregeld dat bevoegde autoriteiten samenwerken en overleggen met (onder andere) betrokken belanghebbende partijen. Het is aan de bevoegde autoriteit om te bepalen of en wanneer overleg met zorgverzekeraars nodig is en gegevens uitgewisseld dienen te worden.

In een anonieme reactie vraagt een partij binnen de gezondheidszorg aandacht voor het feit dat de weerbaarheid van de plasmavoorziening niet uitsluitend nationaal kan worden beoordeeld, gezien Nederland voor de productie van plasmageneesmiddelen in belangrijke mate afhankelijk is van derde landen. Er wordt daarom verzocht om bij de beoordeling van risico’s en weerbaarheidsmaatregelen nadrukkelijk aandacht te besteden aan de internationale afhankelijkheden. Hierop wordt als volgt gereageerd. Internationale afhankelijkheden zijn expliciet meegenomen in de sectorale risicobeoordeling voor de zorg. Kritieke entiteiten dienen, na aanwijzing, specifiek voor de eigen context van hun organisatie ook (internationale) afhankelijkheden in kaart te brengen. Het doel van de CER-richtlijn is om essentiële diensten binnen Europa te versterken, waarbij ook internationale afhankelijkheden onderdeel zijn van de reikwijdte. De Wwke is echter gefocust op het versterken van essentiële diensten en kritieke infrastructuur binnen Nederland. Het terugdringen van internationale afhankelijkheden of het streven naar grotere Europese of nationale zelfvoorziening is niet het hoofddoel van de Wwke.

Ketenafhankelijkheden en leveranciersrisico’s

UMCNL en NVZ geven aan dat de regeling eisen stelt aan het beheersen van leveranciersrisico’s, maar dat deze onvoldoende concreet zijn. Als reactie hierop wordt gegeven dat de regeling géén eisen stelt aan het beheersen van leveranciersrisico’s. Deze eisen zijn vastgelegd in het bovenliggende besluit, het Bwke. UMCNL verzoekt daarnaast om de zorgplicht specifiek voor de zorg verder in te vullen en samen met veldpartijen een zorgspecifiek normenkader te ontwikkelen waarin (keten)afhankelijkheden expliciet zijn opgenomen. Hierop wordt het volgende toegelicht. Er is, vergelijkbaar met de andere sectoren, besloten om de zorgplicht van de Wwke in deze regeling voor de zorg niet verder uit te werken. Er is geen (individuele) norm gevonden die de volledige eisen uit de Wwke afdekt. Daarnaast blijkt uit gesprekken met veldpartijen dat organisaties, onder andere op basis van andere sectorale wetgeving, veelal maatregelen en beleidsplannen hebben waarmee (deels) voldaan kan worden aan de eisen uit de Wwke. Om stapeling van (nieuwe) normen te voorkomen en regeldruk te beperken, is er daarom voor gekozen om de zorgplicht open te laten en organisaties de mogelijkheid te geven om bestaande maatregelen, risicoanalyses en beleidsdocumenten te gebruiken om aan de verplichtingen van de Wwke te voldoen. Wat betreft de vraag over hoever de verplichting tot risicobeheersing in de leveranciersketen strekt, wordt er toegelicht dat dit is geregeld in het Bwke en dat deze verplichting enkel geldt voor rechtstreekse leveranciers. Wat betreft de overige vragen over hoe ketenafhankelijkheden in de regeling worden betrokken, wordt er opnieuw aangegeven dat deze regeling hiervoor géén additionele maatregelen stelt. Alle verplichtingen wat betreft ketenafhankelijkheden zijn geregeld per (bovenliggende) wet en besluit.

ZN vraagt ten aanzien van artikel 3 van deze regeling, waarin twee aanvullende categorieën van entiteiten worden toegevoegd, expliciet te duiden dat de ketenafhankelijkheden een publieke weerbaarheidsopgave betreffen en niet onder de reguliere zorgplicht van zorgverzekeraar en zorgkantoren vallen. Hierop wordt het volgende toegelicht. Artikel 3 van deze regeling maakt gebruik van de wettelijke grondslag om aanvullende categorieën van entiteiten te creëren voor de sector gezondheidszorg. Hiermee heeft de minister de mogelijkheid om, binnen deze categorieën van entiteiten, organisaties aan te wijzen. Dit heeft geen invloed op de zorgplicht van zorgverzekeraars, en de regeling behoeft daarom geen aanpassing of verdere duiding.

Overig

UMCNL en NVZ geven aan dat begrippen als ‘aantoonbaar toepasbaar’ en ‘periodiek evalueren’ zonder nadere uitwerking veel ruimte bieden voor interpretatie. Zij verzoeken daarom om uniforme audit- en evidencerichtlijnen te publiceren en hierbij zoveel mogelijk aan te sluiten bij bestaande normenkaders. Hierop wordt als volgt gereageerd. Er is geen bestaand normenkader dat volledig aansluit bij de eisen die zijn opgenomen in de Wwke. Om stapeling van (nieuwe) normen te voorkomen is er daarom voor gekozen om de zorgplicht, waaronder de invulling van deze begrippen, open te laten, zodat de kritieke entiteit de mogelijkheid heeft om deze zelf in te vullen.

UMCNL en NVZ wijzen op het risico dat de regeling door haar brede verplichtingen leidt tot extra administratieve lasten. Het wordt daarom noodzakelijk geacht om het proportionaliteitsbeginsel expliciet te verankeren in de regeling. Daarnaast stel NVZ voor om tevens een risico gebaseerde benadering toe te passen en differentiatie naar type en omvang van instellingen. Hierop wordt als volgt gereageerd. Enkel artikel 5 van deze regeling waarin is opgenomen wanneer er sprake is van een aanzienlijke verstoring legt een directe verplichting op aan de kritieke entiteit. De andere verplichtingen, zoals de zorgplicht vloeien voort in de wet en zijn nader uitgewerkt in het besluit. In deze artikelen is reeds opgenomen dat er ‘passende en evenredige maatregelen’ genomen dienen te worden. Dit wijst op een proportionele en risico gebaseerde toepassing van de verplichtingen. Er is geen aanleiding om dit artikel aan te passen overeenkomstig de reactie van UMCNL en NVZ.

ZN geeft aan dat artikel 4 definieert welke zorgfuncties de facto ‘onvervangbaar’ zijn en dat dit een normerend effect heeft voor de zorg. Het verzoek is daarbij dat er in de toelichting wordt opgenomen dat deze norm niet automatisch doorwerkt in de beoordeling van de zorgplicht door andere toezichthouders, zoals de Nederlandse Zorgautoriteit. Hierop wordt het volgende toegelicht. Artikel 4 definieert niet welke zorgfuncties (de facto) onvervangbaar zijn. Artikel 4 geeft verder invulling aan de criteria waar de Minister van VWS rekening mee houdt bij het bepalen of een effect aanzienlijk verstorend is en hiermee welke entiteiten mogelijk als kritiek beschouwd dienen te worden. Er is daarmee in onze ogen ook geen sprake van een normerende werking en heeft geen invloed op de beoordeling van andere wetgeving door andere instanties. Er wordt daarom geen reden gezien om de toelichting aan te passen.

ZN geeft aan dat zij eventuele meerkosten die voortvloeien uit de RwkeZ/Wwke niet kunnen vergoeden aan -onbekende- kritieke entiteiten, gezien de aanwijzing vertrouwelijk geschiedt. Zij geven hierbij aan dat hiaten in de bekostiging via publieke financiering moeten worden ondervangen. Hierop wordt als volgt gereageerd. Zorgverzekeraars dienen vanuit hun zorgplicht te zorgen dat elke verzekerde passend en tijdig zorg kan ontvangen. Deze regeling verandert niks aan deze zorgplicht en legt ook geen expliciete additionele eisen bij zorgverzekeraars neer. Er wordt daarom geen reden gezien om deze regeling of bijbehorende toelichting aan te passen.

ZN acht het noodzakelijk expliciet vast te leggen hoe het toezicht door de IGJ op weerbaarheid zich verhoudt tot het toezicht door de NZa op de zorgplicht. Zij geven aan dat zonder afstemming het risico bestaat op tegenstrijdige verwachtingen in het toezicht en onduidelijkheid richting zorgverzekeraars en zorgkantoren over hun handelingsruimte c.q. zorgplicht bij verstoringen.

Hierop wordt als volgt gereageerd. De IGJ zal toezicht houden op de wettelijke vereisten die voortkomen uit deze wet. Zij zullen hierbij enkel toezicht houden op organisaties die zijn aangewezen als kritieke entiteit. Het toezicht vanuit de IGJ heeft daarom geen overlap met het toezicht vanuit de NZa op de zorgplicht voor zorgverzekeraars. Er wordt daarom geen reden gezien om deze regeling of bijbehorende toelichting aan te passen.

Pluryn doet twee voorstellen voor redactionele wijziging van de nota van toelichting. Eén betreft een passage over het aanwijzen van zorgaanbieders als kritieke entiteit. Deze wijziging is overgenomen. Het andere voorstel betreft de paragraaf over de uitleg van de criteria die is opgenomen in artikel 5, onderdeel a. Deze wijziging is niet overgenomen. Het betreft hier enkel een voorbeeld waarbij het niet passend is om ook op te nemen dat de zorgverlener letsel kan oplopen.

8.2 Advies Adviescollege toetsing regeldruk (tenzij al vermeld bij de beschrijving van de regeldruk)

Het ATR heeft in haar advies getoetst of de regeling voldoende duidelijkheid biedt ten aanzien van het nut en de noodzaak, de beschikbaarheid van minder belastende alternatieven, de werkbaarheid voor organisaties en een accurate en volledige berekening van de regeldruk. Het Ministerie van VWS is blij om te constateren dat het ATR geen aanleiding ziet om opmerkingen te plaatsen bij nut en noodzaak, de beschikbaarheid van minder belastende alternatieven en een volledig beeld van de regeldruk. Ten aanzien van de werkbaarheid heeft het ATR twee opmerkingen.

Het ATR adviseert bij de meldplicht te onderbouwen hoe kritieke entiteiten in de zorg bij deze verplichting praktisch worden ondersteund, bijvoorbeeld door met scenario’s inzicht te geven in welke gevallen meldingen noodzakelijk zijn.

Hierop wordt als volgt gereageerd. Ten aanzien van de praktische ondersteuning aan entiteiten wordt opgemerkt dat de drempelwaardes individueel worden toegelicht, waarbij met verschillende voorbeelden invulling wordt gegeven aan de drempelwaarden. Er wordt hierbij ook, waar mogelijk, een link gemaakt met verplichtingen uit de Wwke of andere bestaande normenkaders die een organisatie kan helpen om de drempelwaarden te interpreteren. De Minister van VWS onderzoekt aanvullend hierop momenteel nog welke vormen van ondersteuning het best aansluiten bij de behoeftes van de (toekomstige) kritieke entiteiten in de sector gezondheidszorg. Indien er behoefte bestaat bij organisaties om de drempelwaarden verder in te kleuren middels scenario’s of andere handreikingen, wordt dit expliciet als optie gezien. Gezien het naar verwachting beperkte aantal kritieke entiteiten in de zorg, is er de mogelijkheid om voor organisaties om laagdrempelig met het Ministerie van VWS te overleggen indien er twijfel bestaat over een significant incident.

Op basis van deze ervaringen zal VWS nader bepalen of er behoefte is aan een handreiking om deze ervaringen eenduidig vast te leggen.

Het ATR adviseert nader te concretiseren hoe regeldruk en doenvermogen worden meegewogen bij de uiteindelijke aanwijzing van kritieke entiteiten.

Hierop wordt als volgt gereageerd. Bij de totstandkoming van de aanwijzing van kritieke entiteiten in de zorg heeft het Ministerie van VWS een risicobeoordeling uitgevoerd. In deze risicobeoordeling wordt gekeken naar welke diensten binnen Nederland essentieel zijn voor de instandhouding van cruciale maatschappelijke functies, de volksgezondheid of de economie. Zoals bij elk overheidshandelen wordt hierbij altijd rekening gehouden met het evenredigheidsbeginsel, en wordt dus een afweging gemaakt tussen de risico’s voor de volksgezondheid, maatschappij of nationale veiligheid en de (regeldruk) gevolgen van aanwijzing voor kritieke entiteiten.

De minister zal op basis van de criteria zoals bedoeld in artikel 6 van de wet en artikel 4 van deze regeling en de risicobeoordeling kritieke entiteiten aanwijzen. Het besluitvormingsproces en de aanwijzing van kritieke entiteiten wordt gebaseerd op gevoelige informatie. De gebruikte informatie en uitkomst van deze afweging is vertrouwelijk gezien de risico’s voor de nationale veiligheid en kan daarom niet verder worden geconcretiseerd.

8.3 Toezichts- en handhavingstoets Inspectie Gezondheidszorg en Jeugd

De IGJ komt op basis van de uitgevoerde T&H-toets tot de conclusie dat de voorgestelde regeling vanuit het perspectief van toezicht en handhaafbaarheid en de uitvoering in de praktijk geen aanpassing behoeft. De IGJ adviseert wel om de toelichting op een aantal punten aan te passen. De IGJ doet een aantal suggesties om zinsneden in paragraaf 2.4 en 2.5 in de toelichting te verduidelijken. De betreffende zinssneden in deze paragrafen zijn naar aanleiding hiervan, waar nodig, aangepast.

Opmerkingen op de toelichting paragraaf 2.3

De IGJ constateert dat de uitsluiting van entiteiten die onderzoek verrichten in paragraaf 2.3, zoals gedefinieerd in artikel 1, onderdeel f, van de WMO, een onnodige beperking vormt voor de reikwijdte van de regeling. De definitie in de toelichting is op dit punt aangepast, waardoor verrichters van medisch-wetenschappelijk onderzoek óók onder de sector vallen van ‘entiteiten die onderzoeks- en ontwikkelingsactiviteiten uitvoeren naar geneesmiddelen’ (bijlage 1 van de Cbw).

De IGJ constateert daarnaast dat de definitie van zorgaanbieders in deze regeling, gebaseerd op de Wkkgz, een gat in toezicht op digitale jeugdhulp en maatschappelijke ondersteuning in stand houdt. Hierop wordt het volgende toegelicht. De keuze voor aansluiting op de Wkkgz is in de Wwke vastgelegd, waarbij het aansluit op vergelijkbare wetgeving zoals de Cbw en Wabpvz. Daarnaast wordt deze regeling niet gezien als een passend of effectief instrument om een gat in het (digitale) toezicht op jeugdhulpaanbieders en maatschappelijke ondersteuning op te lossen.

Opmerkingen paragraaf 2.5

In paragraaf 2.5 staat een voorbeeld van een incident waarbij er sprake was van ongeautoriseerde toegang tot de kritieke infrastructuur. In de toelichting staat dat dit incident alleen gemeld dient te worden ‘indien er binnen 24 uur geen maatregelen kunnen worden getroffen die het risico op ernstige beschadiging of vernietiging van kritieke infrastructuur mitigeren (denk hierbij aan het instellen van extra beschermingsmaatregelen van de kritieke infrastructuur)’. De IGJ kan niet volgen waar dit criterium van 24 uren vandaan komt en is van mening dat los van die genomen maatregelen er in dit specifieke voorbeeld altijd gemeld dient te worden. Volgens de IGJ is er dan immers sprake geweest van een incident dat de verlening van de essentiële dienst aanzienlijk kan verstoren.

Hierop wordt het volgende opgemerkt. De Wwke stelt dat een incident binnen 24 uur gemeld moet worden. Onder een incident wordt verstaan ‘elke gebeurtenis die het verlenen van een essentiële dienst aanzienlijk kan verstoren of verstoort...’. Een gebeurtenis die in theorie de dienst had kunnen verstoren, maar waartegen binnen 24 uur (de wettelijke termijn om te melden) maatregelen worden getroffen om het voldoende risico in te perken voldoet dus niet meer aan deze definitie. De gebeurtenis kan de essentiële dienst namelijk, redelijkerwijs, niet meer verstoren aangezien er voldoende maatregelen zijn getroffen. De toelichting is op dit punt verduidelijkt.

9. Inwerkingtreding

De regeling treedt in werking op het tijdstip waarop de Wet weerbaarheid kritieke entiteiten in werking treedt.

II. Artikelsgewijze toelichting

Artikel 1 (Definities)

In deze bepaling wordt met name verduidelijkt dat ‘zorgaanbieder’ dezelfde betekenis heeft als de term ‘zorgaanbieder’ in de bijlage bij de wet.

Artikel 2 (Toepassingsbereik)

De onderhavige regeling ziet op de sector Gezondheidszorg, zoals in de bijlage bij de Wwke is omschreven. Daarnaast is de regeling ook van toepassing op de aanvullende categorieën van entiteiten die met deze regeling ook onder de sector Gezondheidszorg worden aangewezen.

Artikel 3 (Aanwijzing aanvullende categorieën van entiteiten)

Zoals uiteengezet in paragraaf 2.3.1 tot en met paragraaf 2.3.3 van het algemene deel van deze toelichting, worden bij deze regeling aanvullende categorieën van entiteiten aangewezen, die ook vallen binnen de sector Gezondheidszorg. Voor een toelichting op deze aanvullende categorieën van entiteiten wordt verwezen naar de genoemde paragrafen.

Artikel 4 (Nadere regels aanzienlijk verstorende effecten per categorie van entiteiten)

In dit artikel worden voor een aantal categorieën van entiteiten aanvullende criteria geformuleerd, die nader omschrijven wanneer er sprake is van een ‘aanzienlijk verstorend effect’. Dit is per categorie van entiteiten toegelicht in paragraaf 2.4 van het algemene deel van deze regeling.

Daarnaar wordt verwezen voor een toelichting op deze bepaling.

Artikel 5 (Drempelwaarden aanzienlijke verstoringen)

Een kritieke entiteit moet zonder onnodige vertraging een incident melden dat de verlening van haar essentiële diensten aanzienlijk verstoort of kan verstoren (artikel 17 Wwke). In het derde lid van artikel 17 van de Wwke is dit criterium verder uitgewerkt. Krachtens het vijfde lid van die bepalingen kunnen bij of krachtens algemene maatregel van bestuur nadere criteria worden gesteld op basis waarvan kan worden bepaald of de verstoring aanzienlijk is. Dit is nader uitgewerkt in artikel 16 van het Bwke. Voor de entiteiten die onder de reikwijdte van deze regeling vallen, wordt een verdere specificatie gemaakt die specifiek ziet op de aanzienlijke verstoringen in de sector Gezondheidszorg. Dit is nader toegelicht in paragraaf 2.5 van het algemene deel van deze toelichting.

Artikel 6 (Aanwijzing toezichthouder)

Op grond van artikel 36, eerste lid, van de Wwke wijst de bevoegde autoriteit ambtenaren aan die belast zijn met het toezicht op het bepaalde bij of krachtens de Wwke en onder voorwaarden ook op het bepaalde op grond van de in de CER-richtlijn aanwezen uitvoeringshandelingen. In dit artikel worden de ambtenaren van de IGJ aangewezen als deze ambtenaren. Zij zijn belast met het toezicht op de naleving van de Wwke en de daarop berustende regelgeving voor de sector Gezondheidszorg.

Artikel 7 (Inwerkingtreding)

Voor de inwerkingtreding van deze regeling is aansluiting gezocht bij de inwerkingtreding van de Wwke.

De Minister van Volksgezondheid, Welzijn en Sport, S.Th.M. Hermans

---

1 Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad (PbEU 2022, L 333)

2 Op grond van de Wwke wordt onder weerbaarheid verstaan ‘het vermogen van een kritieke entiteit om een incident te voorkomen, te beperken en te beheersen, en om bescherming te bieden en bestand te zijn tegen, te reageren op of zich aan te passen aan en te herstellen van een incident’.

3 Kamerbrief Weerbaarheid en militaire paraatheid tegen hybride en militaire dreigingen, Kamerstukken II 2025/26, 30 821 nr. 326.

4 Kamerstukken II, 2022–2023 27 529, nr. 287.

5 Zoals gedefinieerd in de Verordening betreffende kwaliteits- en veiligheidsnormen voor lichaamsmaterialen die bedoeld zijn voor toepassing op de mens en Verordening 2024/1938 en richtlijn 2010/53/EG.

6 Zoals de Wet inzake bloedvoorziening, de Wet veiligheid en kwaliteit lichaamsmateriaal en de Wet op de orgaandonatie

7 Bloedrichtlijn 2002/98/EG, Weefsels- en cellenrichtlijn 2004/23/EG, Orgaanrichtlijn 2010/53/EG

8 Artikel 67 Verordening 2024/1983: ‘Elke kritieke SoHO-entiteit stelt een eigen noodplan op om het in artikel 63 bedoelde nationale SoHO-noodplan uit te voeren.’

9 Voor de EU lijst kritieke geneesmiddelen wordt gekeken naar hoe ‘kritiek’ een bepaald geneesmiddel is voor de behandeling van ernstige of levensbedreigende ziekten (bijvoorbeeld kanker, ernstige infecties, hartziekten, neurologische aandoeningen). Hierbij worden twee criteria gehanteerd: 1) de ernst van de ziekte waarvoor het geneesmiddel wordt ingezet en 2) de beschikbaarheid van alternatieve medicijnen voor patiënten met die ziekte. De samenstelling van de EU-lijst is gebaseerd op de gezamenlijke input van nationale medicijnautoriteiten. Voor Nederland wordt deze input geleverd door het College ter Beoordeling van Geneesmiddelen (CBG). Het algehele proces wordt gecoördineerd door het Europees Geneesmiddelenbureau (EMA). Deze lijst wordt jaarlijks geactualiseerd.

De Nederlandse lijst kritieke geneesmiddelen 2025 (www.lcg.nl/lijst-kritieke-geneesmiddelen/) is opgesteld door het Landelijke Coördinatiecentrum Geneesmiddelen, samen met zorgverleners. ‘Kritiek’ wordt in deze context gedefinieerd op basis van de termijn waarop patiënten ernstige gezondheidsschade ondervinden als een geneesmiddel niet beschikbaar is. Hiervoor worden drie categorieën gehanteerd: rood, oranje en geel.

10 Ook wanneer de gebeurtenis gevolgen heeft voor de nationale systemen die de rechtstaat waarborgen

11 https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/wat-is-een-datalek

12 Ook wanneer de gebeurtenis gevolgen heeft voor de nationale systemen die de rechtstaat waarborgen.

13 KCBR, Handboek Meting Regeldrukkosten, 29 november 2023

---

1 Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad (PbEU 2022, L 333)

2 Op grond van de Wwke wordt onder weerbaarheid verstaan ‘het vermogen van een kritieke entiteit om een incident te voorkomen, te beperken en te beheersen, en om bescherming te bieden en bestand te zijn tegen, te reageren op of zich aan te passen aan en te herstellen van een incident’.

3 Kamerbrief Weerbaarheid en militaire paraatheid tegen hybride en militaire dreigingen, Kamerstukken II 2025/26, 30 821 nr. 326.

4 Kamerstukken II, 2022–2023 27 529, nr. 287.

5 Zoals gedefinieerd in de Verordening betreffende kwaliteits- en veiligheidsnormen voor lichaamsmaterialen die bedoeld zijn voor toepassing op de mens en Verordening 2024/1938 en richtlijn 2010/53/EG.

6 Zoals de Wet inzake bloedvoorziening, de Wet veiligheid en kwaliteit lichaamsmateriaal en de Wet op de orgaandonatie

7 Bloedrichtlijn 2002/98/EG, Weefsels- en cellenrichtlijn 2004/23/EG, Orgaanrichtlijn 2010/53/EG

8 Artikel 67 Verordening 2024/1983: ‘Elke kritieke SoHO-entiteit stelt een eigen noodplan op om het in artikel 63 bedoelde nationale SoHO-noodplan uit te voeren.’

9 Voor de EU lijst kritieke geneesmiddelen wordt gekeken naar hoe ‘kritiek’ een bepaald geneesmiddel is voor de behandeling van ernstige of levensbedreigende ziekten (bijvoorbeeld kanker, ernstige infecties, hartziekten, neurologische aandoeningen). Hierbij worden twee criteria gehanteerd: 1) de ernst van de ziekte waarvoor het geneesmiddel wordt ingezet en 2) de beschikbaarheid van alternatieve medicijnen voor patiënten met die ziekte. De samenstelling van de EU-lijst is gebaseerd op de gezamenlijke input van nationale medicijnautoriteiten. Voor Nederland wordt deze input geleverd door het College ter Beoordeling van Geneesmiddelen (CBG). Het algehele proces wordt gecoördineerd door het Europees Geneesmiddelenbureau (EMA). Deze lijst wordt jaarlijks geactualiseerd.

De Nederlandse lijst kritieke geneesmiddelen 2025 (www.lcg.nl/lijst-kritieke-geneesmiddelen/) is opgesteld door het Landelijke Coördinatiecentrum Geneesmiddelen, samen met zorgverleners. ‘Kritiek’ wordt in deze context gedefinieerd op basis van de termijn waarop patiënten ernstige gezondheidsschade ondervinden als een geneesmiddel niet beschikbaar is. Hiervoor worden drie categorieën gehanteerd: rood, oranje en geel.

10 Ook wanneer de gebeurtenis gevolgen heeft voor de nationale systemen die de rechtstaat waarborgen

11 https://www.autoriteitpersoonsgegevens.nl/themas/beveiliging/datalekken/wat-is-een-datalek

12 Ook wanneer de gebeurtenis gevolgen heeft voor de nationale systemen die de rechtstaat waarborgen.

13 KCBR, Handboek Meting Regeldrukkosten, 29 november 2023