On 15 August 2026 two Dutch laws started on the same day. The Cyberbeveiligingswet covers your systems. The Wet weerbaarheid kritieke entiteiten covers your buildings, your people and your recovery. In plain language: which one applies to you, what is different, and the one board decision that covers both. Op 15 augustus 2026 gingen twee Nederlandse wetten op dezelfde dag in. De Cyberbeveiligingswet gaat over uw systemen. De Wet weerbaarheid kritieke entiteiten gaat over uw gebouwen, uw mensen en uw herstel. In gewone taal: welke wet voor u geldt, wat er anders is, en het ene bestuursbesluit dat beide dekt.
The Cbw is the Dutch version of NIS2. It applies to about 8,000 organisations in 18 sectors, mostly medium-sized or larger, and you work out yourself whether you are in scope and register with the NCSC. The Wwke is the Dutch version of the CER directive. It applies to about 500 organisations, and only after your sector minister formally designates you as a critical entity. The link between the two is one-way: a critical entity under the Wwke is an essential entity under the Cbw by law. An essential entity under the Cbw is not automatically critical.
Business impact: most organisations in the shared sectors, such as energy, transport, water, health, digital infrastructure and government, will fall under the Cbw and not the Wwke. The 500 that are designated get both, with the heaviest supervision. Not knowing which group you are in means either over-investing in fences or under-investing in what a designation letter will ask for.
De Cbw is de Nederlandse versie van NIS2. Zij geldt voor ruim 8.000 organisaties in 18 sectoren, meestal middelgroot of groter, en u bepaalt zelf of u eronder valt en registreert u bij het NCSC. De Wwke is de Nederlandse versie van de CER-richtlijn. Zij geldt voor ongeveer 500 organisaties, en pas nadat uw vakminister u formeel als kritieke entiteit heeft aangewezen. De koppeling is eenrichtingsverkeer: een kritieke entiteit onder de Wwke is van rechtswege essentiële entiteit onder de Cbw. Een essentiële entiteit onder de Cbw is niet automatisch kritiek.
Bedrijfsimpact: de meeste organisaties in de gedeelde sectoren, zoals energie, vervoer, water, zorg, digitale infrastructuur en overheid, vallen onder de Cbw en niet onder de Wwke. De 500 die worden aangewezen krijgen beide, met het zwaarste toezicht. Niet weten in welke groep u zit betekent óf te veel investeren in hekken, óf te weinig in wat een aanwijzingsbesluit van u gaat vragen.
Public designation lists, annual reports and permits can be combined by AI into a map of which sites deliver which essential service, pointing an attacker at the one location whose loss would disrupt the most.Openbare aanwijzingslijsten, jaarverslagen en vergunningen kan AI combineren tot een kaart van welke locatie welke essentiële dienst levert, en zo een aanvaller wijzen op de ene plek waarvan uitval het meest verstoort.
A scope memo written by a chatbot reads well and can quietly conclude "not in scope" from outdated thresholds, giving the board a confident answer that no lawyer checked against the current annexes.Een reikwijdtememo van een chatbot leest prettig en kan stilletjes "valt er niet onder" concluderen op basis van verouderde drempels, waardoor het bestuur een stellig antwoord krijgt dat geen jurist aan de huidige bijlagen heeft getoetst.
AI can compare your activities against the sector annexes of both laws and flag where you sit near a threshold, but the decision is worth a signature from legal and the board, with the date on it.AI kan uw activiteiten vergelijken met de sectorbijlagen van beide wetten en markeren waar u dicht bij een drempel zit, maar het besluit verdient een handtekening van juridische zaken en het bestuur, met datum.
The Cbw asks what happens to your essential service when your systems fail. The Wwke asks the same question for everything else: a flood, a fire, sabotage, a contractor with a grudge, a supplier that stops delivering. After designation, the Wwke requires a risk assessment within nine months, repeated at least every four years, and measures within ten months. The law lists them: prevent incidents, protect buildings and critical infrastructure physically, limit and recover from disruption, manage personnel security with background checks for critical roles, and make staff aware. The measures are written down, and your sector supervisor can ask to see them.
Business impact: for most boards this is a different budget line and a different team. Fences, access control, continuity plans and screening sit with facilities, HR and operations, not with the CISO. The risk is that two teams each assess half of the same site, and nobody asks what the service needs to keep running.
De Cbw vraagt wat er met uw essentiële dienst gebeurt als uw systemen uitvallen. De Wwke stelt dezelfde vraag voor al het andere: een overstroming, brand, sabotage, een aannemer met wrok, een leverancier die stopt met leveren. Na aanwijzing eist de Wwke een risicobeoordeling binnen negen maanden, daarna ten minste elke vier jaar herhaald, en maatregelen binnen tien maanden. De wet somt ze op: incidenten voorkomen, gebouwen en kritieke infrastructuur fysiek beschermen, verstoring beperken en herstellen, personeelsbeveiliging regelen met antecedentenonderzoek voor kritieke functies, en medewerkers bewust maken. De maatregelen worden vastgelegd, en uw sectortoezichthouder kan ze opvragen.
Bedrijfsimpact: voor de meeste besturen is dit een andere begrotingspost en een ander team. Hekken, toegangscontrole, continuïteitsplannen en screening liggen bij facilitair, HR en operatie, niet bij de CISO. Het risico is dat twee teams elk de helft van dezelfde locatie beoordelen, en niemand vraagt wat de dienst nodig heeft om te blijven draaien.
Satellite imagery, street views and job adverts let AI sketch a site's perimeter, shift patterns and unguarded entrances in an afternoon, work that used to take weeks of physical reconnaissance.Met satellietbeelden, straatfoto's en vacatures schetst AI in een middag de omheining, de ploegendiensten en de onbewaakte ingangen van een locatie, werk dat vroeger weken fysieke verkenning kostte.
A fabricated CV, references and a deepfaked video interview can get an insider into a critical role; a background check that only verifies documents is exactly what generative AI is good at defeating.Een verzonnen cv, referenties en een gedeepfakete video-interview kunnen een insider in een kritieke functie brengen; een antecedentenonderzoek dat alleen documenten controleert, is precies wat generatieve AI goed kan omzeilen.
AI can link badge swipes, camera feeds and system logins to flag a person in a room they never badged into, but the physical basics stay human: who holds the keys, who checked them, who revokes them.AI kan pasregistraties, camerabeelden en inlogs koppelen en iemand markeren in een ruimte waar hij nooit heeft ingecheckt, maar de fysieke basis blijft mensenwerk: wie de sleutels heeft, wie dat controleerde, wie ze intrekt.
Under the Wwke, an incident that significantly disrupts your essential service, or could, is reported to the competent authority for your sector without undue delay and within 24 hours of becoming aware, with a detailed report within one month. Whether it counts depends on how many people are affected, for how long, and over what area. Under the Cbw, a significant cyber incident goes to the NCSC or your sector CSIRT: early warning within 24 hours, notification within 72 hours, final report within one month. Both reports run through the same portal, MijnNCSC. The NCTV coordinates the Wwke but is not the recipient. A fire that takes down a data hall can start both clocks at once.
Business impact: the first 24 hours now have to answer two questions, not one: is the service disrupted, and are the systems compromised. The teams that know are different, and the pre-drafted notifications are different. Organisations that rehearse only the cyber version tend to discover the physical one when the letter from the supervisor arrives.
Onder de Wwke meldt u een incident dat uw essentiële dienst aanzienlijk verstoort, of kan verstoren, zonder onnodige vertraging en binnen 24 uur na kennisname bij de bevoegde autoriteit voor uw sector, met een uitgebreid rapport binnen een maand. Of het meetelt hangt af van hoeveel mensen zijn geraakt, hoe lang, en in welk gebied. Onder de Cbw gaat een significant cyberincident naar het NCSC of uw sectorale CSIRT: vroege waarschuwing binnen 24 uur, melding binnen 72 uur, eindrapport binnen een maand. Beide meldingen lopen via hetzelfde portaal, MijnNCSC. De NCTV coördineert de Wwke, maar is niet de ontvanger. Een brand die een datazaal uitschakelt kan beide klokken tegelijk starten.
Bedrijfsimpact: de eerste 24 uur moeten nu twee vragen beantwoorden in plaats van één: is de dienst verstoord, en zijn de systemen gecompromitteerd. De teams die het weten verschillen, en de voorbereide meldingen verschillen. Organisaties die alleen de cybervariant oefenen, ontdekken de fysieke meestal pas als de brief van de toezichthouder komt.
A spoofed message from "the supervisor" or "the NCSC portal" in the first hours, written by AI in the right tone, can send the real notification to the wrong place or delay it past 24 hours.Een vervalst bericht van "de toezichthouder" of "het NCSC-portaal" in de eerste uren, door AI in de juiste toon geschreven, kan de echte melding naar de verkeerde plek sturen of tot na 24 uur vertragen.
Under time pressure, staff paste site plans, shift rosters and incident details into a public chatbot to draft the report, handing a map of a critical site to a third party.Onder tijdsdruk plakken medewerkers plattegronden, roosters en incidentdetails in een openbare chatbot om de melding op te stellen, en geven zo een kaart van een kritieke locatie aan een derde partij.
AI can pre-fill both templates from one incident timeline and point out where the facts differ, but one named person still verifies every fact before either report leaves the building.AI kan beide sjablonen vooraf invullen vanuit één incidenttijdlijn en aangeven waar de feiten verschillen, maar één persoon met naam controleert elk feit voordat een van beide meldingen de deur uitgaat.
The two laws overlap more than they differ. Both ask for a risk assessment, proportionate measures, incident reporting and evidence, and both are enforced by your sector supervisor. The differences sit in the details: the Cbw names the management body, requires it to approve the measures and to follow training, and can hold it liable. The Wwke is enforced against the organisation, not against individuals, and its supervisor is the sector ministry or its inspectorate. If you are designated, the ministry informs the Cbw authority within a month, so the two supervisors will know about each other before you do.
Business impact: the cheapest way through is to decide once. We suggest a single board decision that names one executive for resilience, orders one risk assessment per essential service covering systems, buildings, people and suppliers, sets up one incident process with two report templates, and keeps one evidence file. Two parallel programmes cost more and leave the gap between them unowned.
De twee wetten overlappen meer dan ze verschillen. Beide vragen een risicobeoordeling, evenredige maatregelen, incidentmelding en bewijs, en beide worden gehandhaafd door uw sectortoezichthouder. De verschillen zitten in de details: de Cbw noemt het bestuur, verplicht het de maatregelen goed te keuren en training te volgen, en kan het aansprakelijk stellen. De Wwke wordt gehandhaafd tegen de organisatie, niet tegen personen, en de toezichthouder is het vakministerie of zijn inspectie. Wordt u aangewezen, dan informeert het ministerie binnen een maand de Cbw-autoriteit, dus de twee toezichthouders weten eerder van elkaar dan u.
Bedrijfsimpact: de goedkoopste route is één keer besluiten. Wij stellen één bestuursbesluit voor dat één bestuurder voor weerbaarheid benoemt, één risicobeoordeling per essentiële dienst opdraagt die systemen, gebouwen, mensen en leveranciers dekt, één incidentproces met twee meldsjablonen inricht, en één bewijsdossier bijhoudt. Twee parallelle programma's kosten meer en laten het gat ertussen zonder eigenaar.
An attacker who finds that cyber and physical are run by different teams can time a small physical incident to pull attention away from the intrusion, or the other way round, because nobody sees both dashboards.Een aanvaller die ontdekt dat cyber en fysiek door verschillende teams worden gedaan, kan een klein fysiek incident timen om de aandacht van de inbraak af te leiden, of andersom, omdat niemand beide dashboards ziet.
Generative AI produces two polished compliance reports for two supervisors that quietly contradict each other on the same site, and the board signs both without noticing.Generatieve AI levert twee gepolijste compliance-rapporten voor twee toezichthouders die elkaar stilletjes tegenspreken over dezelfde locatie, en het bestuur tekent beide zonder het te merken.
AI can read the cyber and the physical assessment of one service side by side and list where they disagree, which is a useful board paper, but the decision to merge them is the board's, not the tool's.AI kan de cyber- en de fysieke beoordeling van één dienst naast elkaar lezen en opsommen waar ze van elkaar afwijken, een nuttig bestuursstuk, maar het besluit om ze samen te voegen is van het bestuur, niet van het hulpmiddel.
We suggest settling question 1 with legal now, not after a designation letter arrives. A designation under the Wwke pulls the Cbw in by law; the reverse does not hold. Both laws use one portal, MijnNCSC, but the recipients and the clocks differ. Indicative, not a legal deadline list or legal advice.
Wij raden aan vraag 1 nu met juristen te beantwoorden, niet pas als het aanwijzingsbesluit op de mat ligt. Een aanwijzing onder de Wwke trekt de Cbw van rechtswege mee; andersom geldt dat niet. Beide wetten gebruiken één portaal, MijnNCSC, maar de ontvangers en de termijnen verschillen. Indicatief: geen wettelijke deadlinelijst en geen juridisch advies.
| Control | Covers | In one line |
|---|---|---|
| Scope decision | Two laws (01) | Confirm with legal whether you are in a Cbw sector and above the threshold, and whether a Wwke designation is likely or has arrived. Register with NCSC if the Cbw applies. Date and sign it. |
| One owner | One decision (04) | One executive accountable for resilience, cyber and physical, reporting to the board on a fixed cadence. Facilities, HR, operations and IT report into that person for this. |
| Service risk map | The building (02) | Per essential service: which systems, sites, roles and suppliers it depends on, and what happens when each fails. One assessment that satisfies both laws, redone at least every four years and after major change. |
| Physical measures | The building (02) | Access control, perimeter, detection, and continuity for the sites that carry the service. Documented, because the supervisor can ask for the description. |
| Personnel security | The building (02) | Name the critical roles, run background checks before and during employment within the law, and revoke access on the day someone leaves. |
| Two-template drill | Two clocks (03) | One incident process with a Wwke template and a Cbw template, the recipients and portal access set up in advance, rehearsed against the clock at least yearly. |
| Board training | One decision (04) | The Cbw requires it for the management body. Worth including the physical side so the board can judge the whole programme. |
| Evidence file | All four | Scope decision, assessments, measure descriptions, screening policy, drill results, training records. One file, two supervisors. |
| Maatregel | Dekt | In één zin |
|---|---|---|
| Reikwijdtebesluit | Twee wetten (01) | Bevestig met juridische zaken of u in een Cbw-sector boven de drempel zit, en of een Wwke-aanwijzing waarschijnlijk is of al binnen is. Registreer u bij het NCSC als de Cbw geldt. Dateer en onderteken het. |
| Eén eigenaar | Eén besluit (04) | Eén bestuurder die verantwoordelijk is voor weerbaarheid, cyber en fysiek, en op vaste momenten aan het bestuur rapporteert. Facilitair, HR, operatie en IT rapporteren hiervoor aan die persoon. |
| Dienstenrisicokaart | Het gebouw (02) | Per essentiële dienst: van welke systemen, locaties, functies en leveranciers zij afhangt, en wat er gebeurt als elk uitvalt. Eén beoordeling die beide wetten dekt, ten minste elke vier jaar en na grote veranderingen herhaald. |
| Fysieke maatregelen | Het gebouw (02) | Toegangscontrole, omheining, detectie en continuïteit voor de locaties die de dienst dragen. Vastgelegd, want de toezichthouder kan de beschrijving opvragen. |
| Personeelsbeveiliging | Het gebouw (02) | Benoem de kritieke functies, doe binnen de wet antecedentenonderzoek vóór en tijdens het dienstverband, en trek toegang in op de dag dat iemand vertrekt. |
| Oefening met twee sjablonen | Twee klokken (03) | Eén incidentproces met een Wwke-sjabloon en een Cbw-sjabloon, de ontvangers en de portaaltoegang vooraf geregeld, minstens jaarlijks geoefend op de klok. |
| Bestuurstraining | Eén besluit (04) | De Cbw verplicht dit voor het bestuur. Neem de fysieke kant mee, zodat het bestuur het hele programma kan beoordelen. |
| Bewijsdossier | Alle vier | Reikwijdtebesluit, beoordelingen, maatregelbeschrijvingen, screeningsbeleid, oefenresultaten, trainingsregistraties. Eén dossier, twee toezichthouders. |
Being under the Cbw is a fact for most mid-sized and large organisations in the covered sectors. A Wwke designation is rarer, and arrives by decision rather than by choice.Onder de Cbw vallen is een feit voor de meeste middelgrote en grote organisaties in de betrokken sectoren. Een Wwke-aanwijzing is zeldzamer, en komt per besluit, niet per keuze.
Supervisory orders and fines under both laws, personal liability of the board under the Cbw, and a disrupted essential service that the public notices.Aanwijzingen en boetes van toezichthouders onder beide wetten, persoonlijke aansprakelijkheid van het bestuur onder de Cbw, en een verstoorde essentiële dienst die het publiek merkt.
With scope settled, one owner, one assessment per service and a rehearsed two-template process, what remains is the incident itself, which the other briefings address.Met bevestigde reikwijdte, één eigenaar, één beoordeling per dienst en een geoefend proces met twee sjablonen blijft het incident zelf over, en daar gaan de andere briefings over.
The Cbw names the management body. The Wwke reaches facilities, HR and operations, so the owner needs authority over more than IT.De Cbw noemt het bestuur. De Wwke raakt facilitair, HR en operatie, dus de eigenaar heeft gezag nodig over meer dan IT.
Scope decision for both laws dated and signed (yes / no) · months since the last assessment per essential service · % of critical roles with a completed background check · days since the last drill that produced both report templates.Reikwijdtebesluit voor beide wetten gedateerd en ondertekend (ja / nee) · maanden sinds de laatste beoordeling per essentiële dienst · % kritieke functies met afgerond antecedentenonderzoek · dagen sinds de laatste oefening die beide meldsjablonen opleverde.
“A cyber or physical disruption of an essential service, without a shared risk assessment, owner and reporting process for the Cbw and the Wwke, leads to a prolonged outage, late or inconsistent notifications to two supervisors, and enforcement under both laws.”“Een digitale of fysieke verstoring van een essentiële dienst, zonder gedeelde risicobeoordeling, eigenaar en meldproces voor de Cbw en de Wwke, leidt tot langdurige uitval, te late of tegenstrijdige meldingen aan twee toezichthouders, en handhaving onder beide wetten.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | Risk management measures approved and overseen by the management body, incident reporting (early warning within 24 hours of becoming aware, notification within 72 hours, final report within one month), supply chain security, and training for management. In the Netherlands via the Cbw: registration with NCSC. A critical entity under the CER directive is an essential entity under NIS2. | A supplier's own NIS2 status does not discharge your duty. Ask for their measures and their incident notification commitment to you. For a critical site, ask who physically maintains it as well. | The incident and the notification are judged separately. A physical cause does not switch the Cbw clock off if systems are affected; a late or missing notification is its own offence. |
| DORA | For financial entities, DORA sets the ICT risk framework, incident classification and reporting, and testing, and takes precedence over the NIS2 rules for ICT. Banks and financial market infrastructures are also Wwke sectors, so a designation adds the physical duties on top. | Critical ICT providers fall under EU oversight. DORA requires your register of information to list them and the contract to contain the mandatory clauses. | Major ICT incidents go to DNB or AFM: initial notification within 4 hours of classifying (at most 24 hours after becoming aware), intermediate report within 72 hours, final report within one month. A physical disruption of the service can additionally be a Wwke report within 24 hours. |
| SOC 2 | Nothing directly — it is an assurance report, not a law. Its physical and environmental criteria are the closest thing most suppliers offer to the Wwke's physical measures. | Read the scope and the exceptions on physical access and environmental controls. A clean report covers the tested data centre, not the supplier's whole chain. | An incident at a SOC 2 supplier can appear as an exception in their next report, long after your 24-hour deadline. Contract clauses, not the report, get you told in time. |
| ISAE 3402 | Nothing directly — same logic as SOC 2, and common in Europe for outsourced financial processes. | Check that the controls tested include the sites and processes your essential service depends on, and that the period covers your reporting year. | ISAE 3402 creates no duty to notify user auditors: expect a deviation in the next report, and ask for interim disclosure in the contract. Your own notification duties run regardless, and much sooner. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | Risicobeheersmaatregelen die door het bestuur zijn goedgekeurd en worden bewaakt, incidentmelding (vroege waarschuwing binnen 24 uur nadat u ervan weet, melding binnen 72 uur, eindrapport binnen een maand), ketenbeveiliging, en training voor het bestuur. In Nederland via de Cbw: registratie bij het NCSC. Een kritieke entiteit onder de CER-richtlijn is essentiële entiteit onder NIS2. | De eigen NIS2-status van een leverancier ontslaat u niet van uw plicht. Vraag naar hun maatregelen en hun meldtoezegging aan u. Vraag bij een kritieke locatie ook wie die fysiek onderhoudt. | Het incident en de melding worden apart beoordeeld. Een fysieke oorzaak zet de Cbw-klok niet uit als systemen zijn geraakt; een te late of ontbrekende melding is een eigen overtreding. |
| DORA | Voor financiële instellingen bepaalt DORA het ICT-risicokader, de incidentclassificatie en -melding en het testen, en gaat zij voor op de NIS2-regels voor ICT. Banken en financiëlemarktinfrastructuren zijn ook Wwke-sectoren, dus een aanwijzing voegt de fysieke plichten daar bovenop toe. | Kritieke ICT-leveranciers vallen onder EU-toezicht. DORA verplicht u ze in uw informatieregister op te nemen en de verplichte clausules in het contract vast te leggen. | Ernstige ICT-incidenten gaan naar DNB of de AFM: eerste melding binnen 4 uur na classificatie (uiterlijk 24 uur nadat u ervan weet), tussentijds rapport binnen 72 uur, eindrapport binnen een maand. Een fysieke verstoring van de dienst kan daarnaast een Wwke-melding binnen 24 uur zijn. |
| SOC 2 | Niets rechtstreeks — het is een assurancerapport, geen wet. De criteria voor fysieke en omgevingsbeveiliging komen het dichtst bij de fysieke maatregelen van de Wwke die de meeste leveranciers kunnen tonen. | Lees de reikwijdte en de afwijkingen op fysieke toegang en omgevingsmaatregelen. Een schoon rapport dekt het geteste datacenter, niet de hele keten van de leverancier. | Een incident bij een SOC 2-leverancier kan als afwijking in hun volgende rapport verschijnen, lang na uw termijn van 24 uur. Contractclausules, niet het rapport, zorgen dat u tijdig wordt geïnformeerd. |
| ISAE 3402 | Niets rechtstreeks — dezelfde logica als SOC 2, en in Europa gebruikelijk voor uitbestede financiële processen. | Controleer of de geteste maatregelen de locaties en processen omvatten waarvan uw essentiële dienst afhangt, en of de periode uw rapportagejaar dekt. | ISAE 3402 schept geen plicht om de auditors van klanten te informeren: verwacht een afwijking in het volgende rapport, en vraag in het contract om tussentijdse melding. Uw eigen meldplichten lopen onverminderd door, en veel eerder. |
Checked against: Wet weerbaarheid kritieke entiteiten Art. 6, 14, 15, 17, 27 and 48 (in force 15 Aug 2026), NCTV, "Mijn organisatie wordt kritieke entiteit" and Q&A (2026), NCTV on Cbw scope (2026), Rijksoverheid and NCSC-NL on both laws (15 Aug 2026), European Commission on the CER directive (2022/2557), NIS2 Art. 2, 3, 20, 23 (2022), DORA Art. 19 (2022), GDPR Art. 33–34 · October 2026.
Gecontroleerd tegen: Wet weerbaarheid kritieke entiteiten art. 6, 14, 15, 17, 27 en 48 (in werking 15 aug 2026), NCTV, "Mijn organisatie wordt kritieke entiteit" en vragen en antwoorden (2026), NCTV over de reikwijdte van de Cbw (2026), Rijksoverheid en NCSC over beide wetten (15 aug 2026), Europese Commissie over de CER-richtlijn (2022/2557), NIS2 art. 2, 3, 20, 23 (2022), DORA art. 19 (2022), AVG art. 33–34 · oktober 2026.