De Cyberbeveiligingswet en fysieke toegang
Wat de Cbw vraagt van sloten, sleutels en registratie.
De Wet weerbaarheid kritieke entiteiten en fysieke toegang
Wat de Wwke vraagt van de fysieke beveiliging van kritieke locaties, en wat dat betekent voor je sluitplan. Voor organisaties die als kritieke entiteit zijn aangewezen.
Wwke
Wat de Wwke is
De Wet weerbaarheid kritieke entiteiten (Wwke) zet de Europese CER-richtlijn (EU) 2022/2557 om in Nederlands recht. De wet geldt sinds 15 augustus 2026, op dezelfde dag als de Cyberbeveiligingswet.
De Cyberbeveiligingswet gaat over de beveiliging van netwerk- en informatiesystemen. De Wwke gaat over de weerbaarheid van de hele organisatie, tegen onder meer sabotage, natuurgeweld en uitval van voorzieningen. Fysieke toegang staat er letterlijk in.
De wet geldt alleen voor organisaties die de minister aanwijst als kritieke entiteit (artikel 6 lid 1). Naar verwachting gaat het om ongeveer 500 organisaties, onder meer in energie, transport, drinkwater, afvalwater, gezondheidszorg en digitale infrastructuur.
Artikel 15
Wat de wet vraagt over toegang
Een aangewezen kritieke entiteit neemt maatregelen om incidenten te voorkomen, zich ertegen te beschermen en de gevolgen te beperken. Artikel 15 lid 1 noemt ze per onderdeel.
Onderdeel b gaat over de fysieke bescherming van gebouwen en kritieke infrastructuur, met onder meer omheiningen, barrières, bewaking van de omgeving, detectieapparatuur en toegangscontroles.
Onderdeel e gaat over personeelsbeveiliging, waaronder de toegangsrechten tot gebouwen, kritieke infrastructuur en gevoelige informatie.
Daar zit een termijn aan. Binnen 9 maanden na de aanwijzing maak je een risicobeoordeling (artikel 14 lid 3). De maatregelen uit artikel 15 gelden vanaf 10 maanden na de aanwijzing (artikel 15 lid 6).
| Wwke | Cyberbeveiligingswet | |
|---|---|---|
| Zet om | CER-richtlijn (EU) 2022/2557 | NIS2-richtlijn (EU) 2022/2555 |
| Geldt voor | Organisaties die de minister aanwijst, naar verwachting ongeveer 500 | Organisaties in de sectoren uit de wet vanaf een bepaalde omvang, naar schatting 8.000 |
| Gaat over | Weerbaarheid van de organisatie, fysiek en organisatorisch | Beveiliging van netwerk- en informatiesystemen |
| Artikel over toegang | Art. 15 lid 1 onder b en onder e | Art. 21 lid 3 onder i: toegangsbeleid en beheer van assets |
| In werking | 15 augustus 2026 | 15 augustus 2026 |
Je sluitplan
Wat dat betekent voor je sluitplan
Weten wie toegang heeft. Een actuele lijst van wie bij welke kritieke locatie kan, met sleutels, tags en mobiele sleutels bij elkaar. Een telling van uitgegeven sleutels is daarvoor te grof.
Toegang intrekken. Vertrekt iemand of loopt een opdracht af, dan moet de toegang direct weg. Bij een mechanische sleutel kan dat alleen door de sleutel terug te halen of cilinders te vervangen.
Registreren wie er was. Na een incident is de eerste vraag wie er binnen is geweest. Elektronische cilinders en lezers leggen dat vast.
Aannemers met tijdelijke rechten. Onderhoudspartijen krijgen toegang voor de duur van de opdracht en verliezen die daarna vanzelf.
Welke maatregel per locatie past, volgt uit je risicobeoordeling. Niet elke deur hoeft elektronisch.
Aan de slag
Waar je begint
Wacht je nog op een besluit over aanwijzing, gebruik die tijd dan voor de inventarisatie: welke locaties zijn kritiek, wat hangt er op de deuren en wie heeft er nu toegang. Dat doen we in een Deur- en Toegangsinventarisatie, met daarna advies, uitrol en beheer en onderhoud. Een eerste beeld krijg je met onze NIS2/CER-toets fysieke toegang: twaalf vragen, met per onderwerp een uitslag in groen, oranje of rood.
Sleutels, rechten en mutaties leggen we vast in het KEYROL Access Management System (AMS). Van elke sleutel zijn status en historie bekend en elke wijziging is herleidbaar, zodat je kunt laten zien hoe toegang geregeld is. Hoe de Cyberbeveiligingswet over fysieke toegang denkt, lees je in de Cyberbeveiligingswet en fysieke toegang.
Veelgestelde vragen
Veelgestelde vragen
Valt mijn organisatie onder de Wwke?
Alleen als de minister je aanwijst als kritieke entiteit. Dat gebeurt per organisatie, met een aanwijzingsbesluit. Ben je niet aangewezen, dan geldt de Wwke niet voor jou. De Cyberbeveiligingswet kan dan wel gelden.
Wat is het verschil tussen de Wwke en de Cyberbeveiligingswet?
De Cyberbeveiligingswet gaat over de beveiliging van netwerk- en informatiesystemen en geldt voor veel meer organisaties. De Wwke gaat over de weerbaarheid van de organisatie als geheel, inclusief fysieke bescherming, en geldt alleen na aanwijzing. Een organisatie kan onder allebei vallen.
Wanneer moet ik de maatregelen hebben genomen?
De risicobeoordeling maak je binnen 9 maanden na de aanwijzing. De maatregelen uit artikel 15 gelden vanaf 10 maanden na de aanwijzing.
Ik lever aan een kritieke entiteit. Geldt de wet dan ook voor mij?
De wet legt de plichten bij de aangewezen organisatie. Die kijkt daarbij ook naar partijen die op haar locaties werken, zoals aannemers en onderhoudspartijen. Reken er dus op dat je opdrachtgever eisen stelt aan hoe jij met toegang omgaat.
We zijn aangewezen als kritieke entiteit onder de Wwke. Wat moeten we regelen voor ons sluitsysteem?
Binnen 9 maanden na de aanwijzing maak je een risicobeoordeling (artikel 14 lid 3), en vanaf 10 maanden na de aanwijzing gelden de maatregelen uit artikel 15 (lid 6). Artikel 15 lid 1 onder b noemt fysieke bescherming met onder meer toegangscontroles; onderdeel e gaat over de toegangsrechten van personeel. Voor je sluitplan betekent dat: een actuele lijst van wie bij welke kritieke locatie kan, toegang die je direct intrekt, registratie van wie er was, en aannemers met tijdelijke rechten. Welke maatregel per locatie past, volgt uit je risicobeoordeling.
Verder lezen
Dit sluit hierop aan
Infra en openbare ruimte
Kritieke buitenlocaties, gemalen en technische ruimten.
Energienetbeheer
Toegang tot stations en veldkasten over je hele net.
Liever even bellen? 026 361 09 09