Wet van 8 juli 2026, houdende regels ter implementatie van Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad (PbEU 2022, L 333) (Wet weerbaarheid kritieke entiteiten)
Wij Willem-Alexander, bij de gratie Gods, Koning der Nederlanden, Prins van Oranje-Nassau, enz. enz. enz.
Allen, die deze zullen zien of horen lezen, saluut! doen te weten:
Alzo Wij in overweging genomen hebben dat het gelet op Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad (PbEU 2022, L 333) noodzakelijk is om wettelijke bepalingen vast te stellen ter versterking van de weerbaarheid van kritieke entiteiten;
Zo is het, dat Wij, de Afdeling advisering van de Raad van State gehoord, en met gemeen overleg der Staten-Generaal, hebben goedgevonden en verstaan, gelijk Wij goedvinden en verstaan bij deze:
Artikel 1 (begripsbepaling)
In deze wet en de daarop berustende bepalingen wordt verstaan onder:
Artikel 2 (doel van deze wet)
Deze wet is, met het oog op het in stand houden van vitale maatschappelijke functies en economische activiteiten, gericht op het versterken van de weerbaarheid van kritieke entiteiten en het vermogen van die entiteiten om essentiële diensten te verlenen.
Artikel 3 (uitvoering uitvoeringshandelingen, gedelegeerde handelingen en richtsnoeren)
Bij of krachtens algemene maatregel van bestuur kunnen regels worden gesteld ter uitvoering van de op grond van de CER-richtlijn vastgestelde uitvoeringshandelingen, gedelegeerde handelingen en richtsnoeren.
Artikel 4 (netwerk- en informatiesystemen en de fysieke componenten en omgevingen daarvan)
Deze wet is niet van toepassing op aangelegenheden waarop de Cyberbeveiligingswet van toepassing is.
Artikel 5 (overheidsinstanties die in hoofdzaak activiteiten uitvoeren op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving)
Deze wet is niet van toepassing op:
Artikel 6 (aanwijzing kritieke entiteit)
Artikel 7 (aanwijzing sector, subsector en categorie van entiteiten)
Artikel 8 (aanwijzing en taken bevoegde autoriteit)
Artikel 9 (risicobeoordeling door de bevoegde autoriteit)
Artikel 10 (ondersteuning aan kritieke entiteiten)
Artikel 11 (lijst van kritieke entiteiten)
Artikel 12 (aanwijzing en taken centraal contactpunt)
Onze Minister is het centrale contactpunt en heeft in die hoedanigheid de volgende taken:
Artikel 13 (strategie inzake de weerbaarheid van kritieke entiteiten)
Artikel 14 (risicobeoordeling door de kritieke entiteit)
Artikel 15 (zorgplicht)
Artikel 15a (weren producten en diensten van leveranciers)
Artikel 16 (sectorspecifieke rechtshandelingen van de Europese Unie)
Onze Minister die het aangaat kan bij regeling of besluit, na overleg met Onze Minister, bepalen dat sectorspecifieke rechtshandelingen van de Europese Unie die voorschrijven dat kritieke entiteiten maatregelen moeten nemen om hun weerbaarheid te vergroten, voor de in die regeling of dat besluit bedoelde kritieke entiteit ten minste gelijkwaardig zijn aan de maatregelen, bedoeld in artikel 15. In dat geval is artikel 15 niet van toepassing op de betreffende kritieke entiteit.
Artikel 17 (meldplicht)
Artikel 18 (taken bevoegde autoriteit en centraal contactpunt na melding)
Artikel 19 (aanwijzing verbindingsfunctionaris)
De kritieke entiteit wijst een verbindingsfunctionaris of een gelijkwaardige functionaris aan als het contactpunt met de bevoegde autoriteiten.
Artikel 20 (kennisgeving verlening essentiële diensten aan of in zes of meer lidstaten)
Indien de kritieke entiteit essentiële diensten verleent aan of in zes of meer lidstaten van de Europese Unie, informeert zij de bevoegde autoriteit daarover. Daarbij maakt de kritieke entiteit kenbaar welke essentiële diensten en lidstaten het betreft.
Artikel 21 (taken bevoegde autoriteit en centraal contactpunt ten aanzien van kritieke entiteit van bijzonder Europees belang)
Artikel 22 (verplichting kritieke entiteit van bijzonder Europees belang)
Indien van toepassing houdt de kritieke entiteit van bijzonder Europees belang bij het nemen van de maatregelen, bedoeld in artikel 15, rekening met het oordeel van de Europese Commissie, bedoeld in artikel 18, vierde lid, van de CER-richtlijn.
Artikel 23 (uitzondering sectoren bankwezen, infrastructuur voor de financiële markt en digitale infrastructuur)
De artikelen 14, 15, 17, 19, 20 en 22 zijn niet van toepassing op kritieke entiteiten in de sectoren bankwezen, infrastructuur voor de financiële markt en digitale infrastructuur, genoemd in de bijlage van deze wet.
Artikel 24 (ontheffing van verplichtingen)
Artikel 25 (samenwerking en gegevensuitwisseling tussen bevoegde autoriteiten)
De bevoegde autoriteiten werken met elkaar samen voor de doeltreffende en doelmatige uitvoering van hun taken uit hoofde van deze wet en wisselen daartoe onderling alle daarvoor noodzakelijke gegevens uit, waaronder persoonsgegevens.
Artikel 26 (samenwerking en gegevensuitwisseling tussen het centrale contactpunt en bevoegde autoriteiten)
Het centrale contactpunt en de bevoegde autoriteit werken met elkaar samen voor de doeltreffende en doelmatige uitvoering van hun taken uit hoofde van deze wet en wisselen daartoe onderling alle daarvoor noodzakelijke gegevens uit, waaronder persoonsgegevens.
Artikel 27 (samenwerking en gegevensuitwisseling tussen bevoegde autoriteiten van deze wet en bevoegde autoriteiten Cyberbeveiligingswet)
Artikel 28 (overleg, samenwerking en gegevensuitwisseling tussen bevoegde autoriteiten en andere nationale autoriteiten, kritieke entiteiten en betrokken belanghebbende partijen)
De bevoegde autoriteiten overleggen en werken samen met andere betrokken nationale autoriteiten, waaronder autoriteiten die belast zijn met civiele bescherming, rechtshandhaving en de bescherming van persoonsgegevens, met kritieke entiteiten en met betrokken belanghebbende partijen, en wisselen in het kader van die samenwerking alle daarvoor noodzakelijke gegevens uit, waaronder persoonsgegevens.
Artikel 29 (samenwerking en gegevensverstrekking bevoegde autoriteiten en die van andere lidstaten en derde landen)
De bevoegde autoriteiten werken samen met bevoegde autoriteiten van andere lidstaten van de Europese Unie en van derde landen voor de doeltreffende en doelmatige uitvoering van hun taken uit hoofde van deze wet en kunnen daartoe alle daarvoor noodzakelijke gegevens verstrekken, waaronder persoonsgegevens.
Artikel 30 (gegevensuitwisseling bevoegde autoriteiten en kritieke entiteiten)
De bevoegde autoriteiten ontvangen van en verstrekken aan kritieke entiteiten gegevens voor de doeltreffende en doelmatige uitvoering van hun taken uit hoofde van deze wet, waaronder persoonsgegevens.
Artikel 31 (gegevensverstrekking door het centrale contactpunt)
Het centrale contactpunt kan voor de doeltreffende en doelmatige uitvoering van zijn taken uit hoofde van deze wet gegevens, waaronder persoonsgegevens, verstrekken aan kritieke entiteiten, de centrale contactpunten van andere lidstaten van de Europese Unie, de Europese Commissie en de Groep voor de weerbaarheid van kritieke entiteiten, genoemd in artikel 19 van de CER-richtlijn, en bevoegde autoriteiten van derde landen.
Artikel 32 (verwerkingsverantwoordelijkheid)
De bevoegde autoriteit, het centrale contactpunt en Onze Minister zijn de verwerkingsverantwoordelijken voor de verwerking van persoonsgegevens ten behoeve van de taken die op grond van deze wet aan hen zijn toegewezen.
Artikel 33 (bewaring van persoonsgegevens)
Bij of krachtens algemene maatregel van bestuur worden regels gesteld over de periode gedurende welke de persoonsgegevens die bij of krachtens deze wet zijn verwerkt, worden bewaard.
Artikel 34 (vertrouwelijke gegevens)
Artikel 35 (verstrekking van gegevens in relatie tot nationale veiligheid, openbare veiligheid en defensie)
Het bepaalde bij of krachtens deze wet omvat niet de verstrekking van gegevens waarvan de bekendmaking strijdig is met de wezenlijke belangen van nationale veiligheid, openbare veiligheid of defensie.
Artikel 36 (toezichthouders)
Artikel 37 (audit)
Artikel 38 (aanwijzing)
De bevoegde autoriteit kan een kritieke entiteit een bindende aanwijzing geven om binnen een daarbij gestelde redelijke termijn de daarin omschreven handelingen te verrichten of de daarin omschreven maatregelen te nemen ter naleving van het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van artikel 13, zesde lid, van de CER-richtlijn vastgestelde uitvoeringshandelingen, voor zover in die uitvoeringshandelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie.
Artikel 39 (last onder bestuursdwang)
De bevoegde autoriteit is bevoegd tot oplegging van een last onder bestuursdwang aan een kritieke entiteit ter handhaving van het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van artikel 13, zesde lid, van de CER-richtlijn vastgestelde uitvoeringshandelingen, voor zover in die uitvoeringshandelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie.
Artikel 40 (bestuurlijke boete)
Artikel 40a (informeren Staten-Generaal)
Artikel 41 (evaluatie)
Onze Minister zendt binnen vier jaar na de inwerkingtreding van deze wet aan de Staten-Generaal een verslag over de doeltreffendheid en de effecten van deze wet in de praktijk.
Artikel 42 (wijzigingen van bindende rechtshandelingen van de Europese Unie)
Een wijziging van een bepaling uit een bindende rechtshandeling van de Europese Unie waarnaar in deze wet en de bijlage van deze wet wordt verwezen geldt voor de toepassing van de bepaling uit deze wet en de bijlage van deze wet waarin de verwijzing is opgenomen met ingang van de dag waarop aan de betrokken wijziging uitvoering moet zijn gegeven, tenzij bij ministerieel besluit, dat in de Staatscourant wordt bekendgemaakt, een ander tijdstip wordt vastgesteld.
Artikel 43 (eerste aanwijzingen kritieke entiteiten)
De eerste aanwijzingen van entiteiten in de sectoren, genoemd in de bijlage van deze wet, als kritieke entiteit op grond van artikel 6 geschieden uiterlijk op 17 juli 2026. Indien dit artikel na 17 juli 2026 in werking treedt, geschieden de eerste aanwijzingen binnen één maand na de inwerkingtreding van dit artikel.
Artikel 44 (eerste risicobeoordeling door de bevoegde autoriteit)
De eerste risicobeoordeling, bedoeld in artikel 9, geschiedt uiterlijk op 17 januari 2026. Indien dit artikel na 17 januari 2026 in werking treedt, geschiedt de eerste risicobeoordeling binnen één maand na de inwerkingtreding van dit artikel.
Artikel 45 (eerste strategie inzake de weerbaarheid van kritieke entiteiten)
De vaststelling van de eerste strategie, bedoeld in artikel 13, geschiedt uiterlijk op 17 januari 2026. Indien dit artikel na 17 januari 2026 in werking treedt, geschiedt de vaststelling van de eerste strategie binnen één maand na de inwerkingtreding van dit artikel.
Artikel 46 (wijziging Algemene wet bestuursrecht)
Bijlage 2 bij de Algemene wet bestuursrecht wordt als volgt gewijzigd:
Wet weerbaarheid kritieke entiteiten, voor zover het een besluit betreft dat betrekking heeft op een kritieke entiteit in de sector energie, bankwezen, infrastructuur voor de financiële markt, digitale infrastructuur of productie, verwerking en distributie van levensmiddelen, of de subsector spoorWet weerbaarheid kritieke entiteiten, voor zover het een besluit betreft dat betrekking heeft op een kritieke entiteit in de sector energie, bankwezen, infrastructuur voor de financiële markt, digitale infrastructuur of productie, verwerking en distributie van levensmiddelen, of de subsector spoorArtikel 47 (wijziging Wet open overheid)
In de bijlage bij artikel 8.8 van de Wet open overheid wordt in de alfabetische volgorde ingevoegd:
Wet weerbaarheid kritieke entiteiten: artikel 34Artikel 47a (wijziging Wet coördinatie terrorismebestrijding en nationale veiligheid)
Aan de opsomming in artikel 6, onderdeel e, van de Wet coördinatie terrorismebestrijding en nationale veiligheid wordt toegevoegd «Wet weerbaarheid kritieke entiteiten».
Artikel 47b (voorhangprocedure)
Artikel 48 (inwerkingtreding)
Deze wet treedt in werking op een bij koninklijk besluit te bepalen tijdstip, dat voor de verschillende artikelen of onderdelen daarvan verschillend kan worden vastgesteld.
Artikel 49 (citeertitel)
Deze wet wordt aangehaald als: Wet weerbaarheid kritieke entiteiten.
