Demo aanvragen Neem contact op

WWKE

Sinds 15 augustus 2026 is de Wet weerbaarheid kritieke entiteiten (WWKE) van kracht. De wet vertaalt de Europese CER-richtlijn naar Nederlands recht en richt zich op organisaties waarvan de dienstverlening zo vitaal is dat uitval de samenleving raakt. Daaronder vallen sectoren zoals energie, drinkwater, zorg, transport, financiële infrastructuur en overheid. Wordt uw organisatie aangewezen als kritieke entiteit, dan verandert er iets wezenlijks. Uw organisatie zal moeten kunnen aantonen dat zij weerbaar is en wordt daarop gecontroleerd.

De WWKE stelt concrete eisen, met termijnen en toezicht. Hieronder leest u wat de wet van u verwacht, en waar het in de praktijk op vastloopt.

Welke organisaties worden aangewezen als kritieke entiteit?

De wet geldt voor organisaties die door het verantwoordelijke ministerie formeel worden aangewezen als kritieke entiteit. Die aanwijzing kan volgen wanneer een organisatie een kritieke dienst levert, niet uit de omvang alleen. Daarnaast kunnen organisaties worden aangewezen die bij een incident aanzienlijke verstorende effecten hebben op de verlening van de essentiële dienst(en) of via een domino-effect op andere essentiële diensten. Een organisatie krijgt een afgebakende periode om aan de eisen uit de WWKE te voldoen en dit wordt door een toezichthouder getoetst.

Crisismanagement dat werkt wanneer het erop aankomt.

Welke verplichtingen legt de WWKE op?

Na aanwijzing gelden vijf kernverplichtingen:

U brengt alle relevante dreigingen in kaart, van sabotage en uitval tot natuurgeweld en het wegvallen van toeleveranciers, en benoemt uw kritieke processen, locaties en afhankelijkheden.

U treft passende maatregelen om verstoringen te voorkomen en om uw dienst snel te herstellen als het toch misgaat.

Rollen, verantwoordelijkheden, besluitvorming en escalatie rond incidenten liggen vast en zijn belegd.

Verstoringen die uw dienstverlening ernstig raken, meldt u onverwijld bij de toezichthouder, in de kern met een eerste melding binnen 24 uur.

U toont met bewijs aan dat uw maatregelen werken, en u oefent, test en verbetert.

De opzet van de WWKE en de daarin opgenomen verplichtingen maken dat u niet kan volstaan met alleen een gedegen plan. Juist de vertaling naar effectiviteit in de praktijk is van belang. Bijvoorbeeld, het aantoonbaar kunnen mobiliseren van de juiste stakeholders om de vooraf bedachte maatregelen in de praktijk te brengen en de impact van verstoringen te beperken.

Waar het op aankomt: de eerste 24 uur

De meldtermijn van 24 uur lijkt ruim. Dat is hij niet. Voordat u kúnt melden, moet u weten wat er speelt, wie erover gaat en wat de impact is. In die eerste fase valt of staat uw respons, en precies daar loopt het bij veel organisaties spaak.
Een incident begint zelden netjes. Signalen komen versnipperd binnen, buiten kantoortijd, terwijl de specialist die u nodig hebt met vakantie is en zijn achtervang niemand heeft geïnformeerd. Wie moet u nú bereiken? Is die persoon beschikbaar? En als u niemand te pakken krijgt, wie neemt het dan over?

De WWKE dwingt u die vragen vooraf te beantwoorden. Dat betekent bijvoorbeeld activeren op rol in plaats van op naam, met achtervang die geregeld is. Zekerheid dat een oproep aankomt en wordt bevestigd, in plaats van de hoop dat iemand toevallig zijn telefoon opneemt. Organisaties die dit op orde hebben, verliezen geen kostbare tijd aan het bij elkaar krijgen van mensen en informeren van stakeholders. Op die manier kan snel worden overgegaan tot het daadwerkelijk managen van een incident of crisis.

Communicatie staat centraal bij effectief crisismanagement

Zodra een crisis loopt, is communicatie geen bijzaak. Intern moeten de juiste mensen hetzelfde, actuele beeld hebben: wat speelt er, wat is de status, wie doet wat. Eén bron van waarheid, geen wildgroei aan appjes en mails waarin instructies elkaar tegenspreken. Extern verwachten de toezichthouder, ketenpartners en overige stakeholders tijdige en consistente informatie.

De WWKE maakt dat toetsbaar. Uw meldingen moeten kloppen, op tijd zijn en navolgbaar. Dat lukt alleen met een communicatieproces dat vooraf is ingericht: standaardscenario’s, geformaliseerde rollen en doordachte berichten die u onder druk niet meer hoeft te bedenken. Zo houdt u regie over het beeld.

Aantoonbaar in control

Toezicht betekent verantwoording. De toezichthouder wil aantoonbaar bevestigd zien: responstijden, wie is bereikt, wie heeft bevestigd, hoe is opgeschaald, wanneer is gemeld. Dat vraagt om vastlegging die vanzelf ontstaat terwijl u handelt, niet om een reconstructie achteraf.

Datzelfde geldt voorafgaand aan een incident (de koude fase). De WWKE verwacht dat u uw respons oefent en test, en dat u de uitkomsten gebruikt om te verbeteren. Een meld- en communicatieproces dat u realistisch kunt beproeven, levert niet alleen bewijs voor de toezichthouder. Het geeft uw mensen het vertrouwen dat het werkt op het moment dat het moet.

 

Is uw organisatie Response Ready?

Van verplichting naar veerkracht

Voldoen aan de WWKE is geen papieren exercitie. De wet raakt precies dat wat het verschil maakt op de dag dat het misgaat: snel de juiste mensen bereiken, één helder beeld en beheerste communicatie die u kunt aantonen. Wie dat fundament professioneel inricht, voldoet aan de wet én beperkt schade, beschermt de continuïteit en houdt het vertrouwen van stakeholders overeind.

Waar OrcaGroup concreet bij ondersteunt

Van de vijf verplichtingen uit de WWKE zijn er drie waar software het verschil maakt tussen een plan op papier en een respons die in de praktijk werkt: governance en crisisrespons, de meldplicht, en aantoonbaarheid.

  • Governance en crisisrespons: rollen die ook werken als het misgaat. De WWKE vraagt dat rollen, verantwoordelijkheden en escalatie vooraf vastliggen. OrcaGroup zorgt dat die vastlegging ook functioneert op het moment zelf: alarmering gaat naar wie de rol vervult, niet naar een naam op een lijst die achterhaald kan zijn, en achtervang wordt automatisch aangesproken zodra de eerste persoon niet reageert.
  • Meldplicht: weten of de juiste persoon in actie is. Om binnen 24 uur te kunnen melden, moet u eerst weten wie is bereikt en wie niet. Een oproep die is verstuurd is geen bevestiging dat iemand hem heeft gezien; pas bevestigde ontvangst geeft u de zekerheid die u nodig heeft om door te schakelen naar de volgende stap in plaats van te wachten.
  • Aantoonbaarheid: bewijs dat vanzelf ontstaat. De toezichthouder verwacht vastlegging van responstijden, wie is bereikt en hoe is opgeschaald. Doordat dit gebeurt terwijl het incident loopt, hoeft u dit niet achteraf te reconstrueren uit appjes en mails, en levert oefenen dezelfde soort vastlegging op als een echt incident.

Risicobeoordeling en het treffen van weerbaarheidsmaatregelen blijven een organisatorische verantwoordelijkheid die u zelf invult; de bovenstaande punten ondersteunen de uitvoering daarvan op het moment dat het telt.

Veelgestelde vragen

De WWKE geldt voor organisaties die formeel worden aangewezen als kritieke entiteit binnen de vitale sectoren, zoals energie, drinkwater, zorg, transport, financiële infrastructuur en overheid. De aanwijzing gebeurt door de verantwoordelijke minister op basis van de rol die de organisatie speelt in een essentiële dienst.

Ook wanneer uw organisatie niet wordt aangewezen, kan zij er indirect door geraakt worden. Een aangewezen organisatie moet in haar risicobeoordeling en weerbaarheidsmaatregelen expliciet haar afhankelijkheden meenemen. Als uw organisatie een kritieke rol speelt in de processen van een klant die is aangewezen als kritieke entiteit, dan bestaat er dus een reële kans dat deze klant nieuwe eisen gaat stellen van u als leverancier. Dit risico is nog groter aanwezig in de deels overlappende Cyberbeveiligingswet[HK3.1] (Cbw).

Aangewezen kritieke entiteiten moeten incidenten die hun dienstverlening ernstig verstoren onverwijld melden bij de toezichthouder, in de kern met een eerste melding binnen 24 uur. Om die termijn te halen, moeten organisaties vooraf hun signalering, besluitvorming, alarmering en communicatie op orde hebben.

De WWKE vereist dat rollen, besluitvorming en escalatie vooraf vastliggen, dat de juiste mensen snel bereikbaar en beschikbaar zijn, en dat interne en externe communicatie tijdens een crisis tijdig, consistent en aantoonbaar verloopt. Vastlegging van responstijden, bereik en opschaling maakt naleving toetsbaar voor de toezichthouder.

Klaar om in regie te reageren tijdens een crisis?

Plan een demo en zie hoe OrcaGroup uw bereikbaarheid en incidentrespons versterkt.