Besluit weerbaarheid kritieke entiteiten

In dit besluit en de daarop berustende bepalingen wordt verstaan onder wet: Wet weerbaarheid kritieke entiteiten.

Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen regels worden gesteld over de samenwerking en ondersteuning, bedoeld in artikel 10, tweede lid, van de wet.

1. De kritieke entiteit heeft vastgesteld beleid over het uitvoeren van de risicobeoordeling, bedoeld in artikel 14 van de wet. De entiteit legt dat beleid schriftelijk vast, past dat beleid aantoonbaar toe en monitort de uitvoering en effectiviteit van dat beleid.

2. De kritieke entiteit houdt bij het uitvoeren van de risicobeoordeling, bedoeld in artikel 14 van de wet, rekening met de mate waarin de dienstverlening van haar rechtstreekse leveranciers en rechtstreekse dienstverleners een risico kan vormen voor haar eigen verlening van een essentiële dienst.

3. De kritieke entiteit legt de uitgevoerde risicobeoordeling, bedoeld in artikel 14 van de wet, schriftelijk vast.

4. De kritieke entiteit evalueert het beleid, bedoeld in het eerste lid, ten minste elke vier jaar na de eerste risicobeoordeling, of eerder, indien hiertoe aanleiding bestaat, en legt het resultaat daarvan schriftelijk vast. De entiteit past naar aanleiding van die evaluaties het beleid waar nodig aan.

Ter uitvoering van artikel 15 van de wet neemt de kritieke entiteit ten minste de maatregelen, bedoeld in de artikelen 5 tot en met 13.

1. De kritieke entiteit heeft vastgesteld beleid over de identificatie van haar kritieke infrastructuur. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.

2. De kritieke entiteit heeft een actueel overzicht van haar kritieke infrastructuur. Dat overzicht omvat ten minste een beschrijving van de noodzakelijkheid van de desbetreffende voorziening, faciliteit, apparatuur, netwerk of systeem, of een onderdeel daarvan, voor de verlening van de essentiële dienst.

De kritieke entiteit heeft vastgesteld beleid over het verwerven, ontwikkelen, onderhouden, herstellen en beëindigen van haar kritieke infrastructuur. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.

De kritieke entiteit identificeert haar rechtstreekse leveranciers en rechtstreekse dienstverleners, voor zover zij gerelateerd zijn aan de essentiële dienst, en heeft vastgesteld beleid over de rol van deze rechtstreekse leveranciers en rechtstreekse dienstverleners ten aanzien van de weerbaarheid en instandhouding van de essentiële dienst. Die identificatie en vaststelling geschiedt op basis van de risicobeoordeling, bedoeld in artikel 14 van de wet, met inachtneming van het bepaalde in artikel 3, tweede lid. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.

1. De kritieke entiteit neemt maatregelen voor de adequate fysieke bescherming van haar gebouwen en haar kritieke infrastructuur. Daartoe neemt de entiteit in ieder geval de volgende maatregelen:

   1. het instellen van beveiligingszones;

   2. het inrichten van toegangsbeveiliging;

   3. het beveiligen van kantoren, ruimten, faciliteiten, bedrijfsmiddelen buiten het terrein en nutsvoorzieningen, die van essentieel belang zijn voor de instandhouding van haar kritieke infrastructuur;

   4. het monitoren van de beveiliging; en

   5. het plaatsen van apparatuur op een veilige locatie en het treffen van beschermingsmaatregelen voor die apparatuur.

2. Indien de kritieke entiteit risico’s heeft geïdentificeerd ten aanzien van natuurrampen en klimaatverandering, neemt zij in ieder geval maatregelen in het kader van die risico’s die op of rondom haar huidige en toekomstige locaties kunnen bestaan, zowel ondergronds als bovengronds.

3. De kritieke entiteit legt de maatregelen, bedoeld in het eerste lid, schriftelijk vast.

1. De kritieke entiteit heeft vastgestelde plannen voor het beheersen van crises en incidenten en voor het waarborgen van de bedrijfscontinuïteit. De entiteit legt die plannen schriftelijk vast, past deze plannen aantoonbaar toe in geval van een incident en beoefent deze plannen periodiek.

2. Het plan voor het beheersen van crises en incidenten, bedoeld in het eerste lid, bestaat in ieder geval uit:

   1. een beschrijving van de rollen, verantwoordelijkheden en bevoegdheden van het personeel ten tijde van een crisis of incident;

   2. procedures en mogelijke maatregelen voor het bestrijden, beperken en herstellen van een incident of crisis en het daartegen bestand zijn, teneinde de gevolgen daarvan te beperken; en

   3. indien van toepassing, procedures voor het gebruik van beveiligde noodcommunicatiesystemen binnen de entiteit.

3. Het plan voor het waarborgen van de bedrijfscontinuïteit, bedoeld in het eerste lid, bestaat in ieder geval uit:

   1. procedures en mogelijke maatregelen voor noodvoorzieningen;

   2. procedures en mogelijke maatregelen om de essentiële dienst te beschermen voor uitval en zo spoedig mogelijk te herstellen na een incident; en

   3. indien van toepassing, procedures voor het gebruik van beveiligde noodcommunicatiesystemen binnen de entiteit.

1. De kritieke entiteit heeft vastgesteld beleid over de rollen, bevoegdheden en verantwoordelijkheden van haar personeel dat verantwoordelijk is voor haar weerbaarheid of het beheer van haar kritieke infrastructuur. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.

2. Het beleid, bedoeld in het eerste lid, omvat in ieder geval de identificatie van categorieën personeelsleden die kritieke functies vervullen.

3. Het beleid, bedoeld in het eerste lid, omvat in ieder geval de verzorging van periodieke bewustwordings- en opleidingsactiviteiten en oefeningen voor het personeel, gericht op het ontwikkelen en behouden van de kwalificaties, de kennis, het bewustzijn, de vaardigheden en het gedrag, welke noodzakelijk zijn voor de weerbaarheid van de kritieke entiteit. In die activiteiten en opleidingen worden in ieder geval de maatregelen die moeten worden genomen op grond van artikel 15, eerste lid, van de wet, behandeld.

1. De kritieke entiteit heeft vastgesteld beleid over de beveiliging, integriteit en vertrouwelijkheid van gevoelige informatie die van belang is voor haar weerbaarheid. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.

2. Het beleid, bedoeld in het eerste lid, omvat in ieder geval:

   1. de rubricering van gevoelige informatie; en

   2. de toegang tot gevoelige informatie.

1. Indien de kritieke entiteit gericht wordt geattendeerd op de voor haar weerbaarheid relevante risico’s en dreigingen, beoordeelt zij of op basis daarvan aanpassingen of aanvullingen nodig zijn van de maatregelen ter uitvoering van artikel 15 van de wet. De entiteit legt de uitkomsten van die beoordeling schriftelijk vast.

2. Het eerste lid is van overeenkomstige toepassing op gerichte adviezen en informatie, die relevant zijn voor de weerbaarheid van de kritieke entiteit, en zijn ontvangen van relevante organisaties, waaronder bevoegde autoriteiten, andere betrokken overheidsinstanties, rechtstreekse leveranciers en rechtstreekse dienstverleners.

De kritieke entiteit evalueert de doeltreffendheid van de maatregelen die zij heeft genomen op grond van artikel 15, eerste lid, van de wet en de effecten ervan in de praktijk ten minste elke vier jaar, of eerder, indien hiertoe aanleiding bestaat, en legt het resultaat daarvan schriftelijk vast. De entiteit past naar aanleiding van de uitkomst van die evaluaties de maatregelen waar nodig aan.

Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen nadere regels worden gesteld over de maatregelen, bedoeld in artikel 15, eerste lid, van de wet, waarbij onderscheid kan worden gemaakt tussen sectoren, subsectoren, categorieën van entiteiten en entiteiten.

1. Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen aanvullende parameters als bedoeld in artikel 17, derde lid, onderdeel d, van de wet worden vastgesteld.

2. Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen de criteria worden vastgesteld op basis waarvan wordt bepaald of een verstoring aanzienlijk is als bedoeld in artikel 17, derde lid, van de wet, waarbij onderscheid kan worden gemaakt tussen sectoren, subsectoren, categorieën van entiteiten en entiteiten. In plaats van de vaststelling van die criteria bij regeling kan Onze Minister die het aangaat, na overleg met Onze Minister, die criteria ten aanzien van specifieke entiteiten vaststellen bij besluit.

3. Onze Minister die het aangaat evalueert ten minste elke vier jaar de doeltreffendheid van de criteria, bedoeld in het tweede lid, en de effecten daarvan in de praktijk. Indien nodig past hij de criteria, na overleg met Onze Minister, aan.

De melding, bedoeld in artikel 17, eerste lid, van de wet, omvat naast de gegevens, genoemd in artikel 17, tweede lid, van de wet, tevens de volgende gegevens:

1. het vermoedelijke tijdstip van de aanvang van het incident;

2. zo mogelijk, een prognose van de hersteltijd; en

3. zo mogelijk, de door de kritieke entiteit genomen of te nemen maatregelen om de gevolgen van het incident te beperken of herhaling hiervan te voorkomen.

De melding, bedoeld in artikel 17, eerste lid, van de wet, wordt door de kritieke entiteit gedaan bij een hiervoor door Onze Minister ingericht meldpunt.

1. De persoonsgegevens die door de bevoegde autoriteit, Onze Minister en het centrale contactpunt bij of krachtens de wet worden verwerkt, worden niet langer bewaard dan noodzakelijk is ter uitvoering van hun taken op grond van de wet, doch uiterlijk binnen 60 maanden na de eerste verwerking verwijderd.

2. In afwijking van het eerste lid worden de persoonsgegevens die door de bevoegde autoriteit bij of krachtens de wet worden verwerkt met het oog op toezichtstrajecten en daarmee samenhangende bestuursrechtelijke procedures, niet langer bewaard dan daarvoor noodzakelijk is, doch uiterlijk binnen 120 maanden na de eerste verwerking verwijderd.

3. Het tweede lid is van overeenkomstige toepassing ten aanzien van de persoonsgegevens die door de bevoegde autoriteit worden verwerkt met het oog op het toezicht op de naleving van het bepaalde in de op grond van artikel 13, zesde lid, van de CER-richtlijn vastgestelde uitvoeringshandelingen, voor zover in die uitvoeringshandelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie.

De Wet weerbaarheid kritieke entiteiten en dit besluit treden in werking met ingang van 15 augustus 2026.

Dit besluit wordt aangehaald als: Besluit weerbaarheid kritieke entiteiten.