De Wet weerbaarheid kritieke entiteiten (Wwke) en de Cyberbeveiligingswet (Cbw) vormen samen de ruggengraat van het Nederlandse stelsel voor digitale en fysieke veiligheid. De cybersecuritysector, bij monde van Cyberveilig Nederland (CVNL), ziet in de huidige wetsvoorstellen belangrijke kansen, maar ook risico’s die de werking van het stelsel kunnen verzwakken. Mede met input van onze leden hebben we de belangrijkste punten beschreven:
1. Maak sancties op de zorgplicht constructief en risicoreducerend
De zorgplicht is een belangrijk instrument, maar zonder stimulans tot naleving blijft deze vrijblijvend.
Toezichthouders kunnen sancties opleggen, maar deze hebben nu vooral een bestraffend karakter.
Voorstel vanuit de sector:
Laat een deel van de sanctie verplicht terugvloeien naar maatregelen die de weerbaarheid van de
betreffende organisatie verhogen. Dit zorgt voor:
2. Artikel 18 Cyberbeveiligingsbesluit: procedureel borgen, inhoudelijk verduidelijken
Hoewel artikel 18 niet in deze behandeling zit, is het belangrijk dat Kamerleden de context begrijpen.
De sector ondersteunt de voorgestelde voorhangprocedure van VNO-NCW en FME.
Bezwaren richten zich op:
3. Voorkom versnippering van toezicht – één herkenbaar en krachtig stelsel
Organisaties ervaren nu al onduidelijkheid over wie toezicht houdt, wanneer en met welke
consequenties. Dit geldt voor Cbw, AVG én sectoraal toezicht. Versnippering leidt tot:
Een eenduidig, zichtbaar en krachtig toezichtstelsel is daarom essentieel. Dat betekent: duidelijke
rolverdeling, herkenbare aanspreekpunten, en een toezichtstrategie die voor alle sectoren
begrijpelijk en voorspelbaar is.
4. Verminder complexiteit en overlap tussen wetten
Organisaties worstelen met overlappende en soms tegenstrijdige verplichtingen uit:
Vooral complexe organisaties raken hierdoor het overzicht kwijt. De sector pleit voor:
5. Harmoniseer meldplichten – voorkom dat rapportage een nalevingsoefening wordt
Organisaties worden geconfronteerd met overlappende meldregimes (CRA, NIS2, DORA, AVG). Dit
belast incidentrespons en leidt tot administratieve druk zonder veiligheidswinst.
De sector pleit voor:
6. Borg capaciteit en expertise bij toezichthouders en aangemelde instanties
De implementatie van nieuwe wetgeving staat of valt met voldoende capaciteit en expertise.
Nodig is:
7. Betrek de securitysector structureel bij normontwikkeling en uitvoering
De overheid kan het gat in capaciteit en expertise niet alleen dichten. Minder volwassen organisaties
evenmin. Daarom is nodig:
8. Redactionele correctie in artikel 8 lid 1 onderdeel f Cbw: vervang “drempel” door
“plafond”
Cyberveilig Nederland adviseert een noodzakelijke redactionele wijziging in “artikel 8, lid 1,
onderdeel f” van de Cyberbeveiligingswet. Het woord “drempel” moet worden vervangen door
“plafond”. Het verschil is juridisch en praktisch zeer relevant:
Met de huidige tekst worden middelgrote ondernemingen ten onrechte als essentieel aangemerkt,
terwijl de regering in de Memorie van Toelichting duidelijk maakt dat dit alleen geldt voor
ondernemingen groter dan middelgroot. Onderbouwing vanuit de wet en toelichting:
Vooruitblik op EU-wijzigingen
De Europese Commissie heeft op 20 januari 2026 een voorstel gepubliceerd (COM(2026) 13 final) dat
de omvangsclassificatie opnieuw wijzigt. In dat voorstel worden essentiële entiteiten gedefinieerd als
entiteiten die “exceed the ceilings for small mid-cap enterprises” zoals gedefinieerd in Aanbeveling
(EU) 2025/1099.
Het is daarom des te belangrijker dat de Nederlandse wet nu al terminologisch correct is, zodat
toekomstige implementatie soepel kan verlopen.
Lees het document met onze inbreng richting politiek en beleidsmakers ten aanzien van de behandeling van de Wet weerbaarheid kritieke entiteiten (Wwke) en de Cyberbeveiligingswet (Cbw) hier.
