Nederland is samen met Bulgarije, Frankrijk, Luxemburg, Polen, Spanje en Zweden op het matje geroepen door de Europese Commissie. De landen hebben Europese regels die moeten voorkomen dat belangrijke sectoren plat komen te liggen bij verstoringen, zoals natuurrampen of aanslagen, nog niet omgezet in nationale wetgeving. Het gaat om de zogeheten richtlijn betreffende de weerbaarheid van kritieke entiteiten. De Commissie vraagt het Europees Hof om een boete op te leggen aan deze landen.

De deadline is ruimschoots overschreden. Lidstaten hadden tot 17 oktober 2024 de tijd om de richtlijn om te zetten in nationaal recht. De Commissie heeft in november 2024 en juli 2025 herinneringen gestuurd naar de landen, in de vorm van een ingebrekestelling en adviezen. De Commissie stelt, ondanks de herhaaldelijke oproepen, dat de lidstaten de wet nog niet hebben omgezet in nationale regels. Daarom stapt ze naar de rechter.

Vitale sectoren

De richtlijn betreffende de weerbaarheid van kritieke entiteiten trad in 2022 in werking, na de coronapandemie. Het doel is simpel: belangrijke sectoren zoals betaaldiensten mogen niet zomaar plat komen te liggen als er iets misgaat. De richtlijn verplicht EU-lidstaten om kritieke sectoren te helpen bij het voorkomen of beperken van verstoringen. Dat geldt voor verstoringen door natuurrampen, maar ook door sabotage of aanslagen. Ook de digitale weerbaarheid van organisaties moet verbeteren.

Omdat het hier om een richtlijn gaat, mogen landen zelf kiezen welke wetten zij willen maken om het Europese doel te bereiken. Maar dat is makkelijker gezegd dan gedaan. Er vallen namelijk enorm veel sectoren onder de richtlijn: van energie en vervoer tot gezondheidszorg en drinkwater. Bovendien kunnen ministeries nog aanvullende sectoren identificeren. In Nederland liep de nationale wetgeving dan ook flink vertraging op door de grote complexiteit.

Nederland is te laat

Doet Nederland dan helemaal niks met die richtlijn? Niet niks, maar vooral te laat. Twee weken geleden stemde de Tweede Kamer in met de Nederlandse Wet weerbaarheid kritieke entiteiten. Halverwege dit jaar worden de sectoren waarop de wet van toepassing is, geselecteerd. Volgend jaar volgt een risicobeoordeling van deze sectoren.

Naar schatting vallen vijfhonderd Nederlandse bedrijven en instellingen onder de nieuwe wet. Zij moeten ook voldoen aan de Cyberbeveiligingswet. Bedrijven die door het ministerie als kritieke entiteit worden aangemerkt, moeten volgens deze eerste wet een risicobeoordeling uitvoeren en zijn in principe zelf verantwoordelijk voor hun weerbaarheid. Doen zij dit niet, dan volgen er boetes. 

Kritieke entiteiten moeten investeren in zowel de fysieke als digitale bescherming van infrastructuur, en hun personeel beveiligen. Bij een incident moeten ze dit binnen 24 uur melden bij de bevoegde autoriteit. De vakminister mag ingrijpen als laatste redmiddel, als de veiligheid in het geding is. “Nederland wil weer het braafste jongetje van de klas zijn”, klaagde Henk Vermeer (BBB) in de Tweede Kamer. De wetten zijn volgens hem zwaarder dan volgens de Europese richtlijn nodig is.

Valkuilen en kritiek

Tijdens het debat over het wetsvoorstel eind maart bleken er nog veel valkuilen en onduidelijkheden. Hoe weten bedrijven of ze aan de richtlijn voldoen? Ook de Raad van State oordeelde in februari dat het wetsvoorstel te veel ruimte voor interpretatie overliet. Het Adviescollege Toetsing Regeldruk bracht een negatief advies uit. “Van wetten die zo lang op zich hebben laten wachten, had ik meer verwacht”, stelde Barbara Kathmann (Pro, voorheen GroenLinks-PvdA). 

Het ministerie van Justitie en Veiligheid zegt in een reactie aan Brusselse Nieuwe dat zij geen uitspraken willen doen over lopende procedures. Wel benadrukken zij dat het ministerie zich inzet om het traject zo snel mogelijk af te ronden. Ze houden vast aan het belang van de uitvoerige aanpak die het kabinet heeft gekozen. De Rijksoverheid roept organisaties wel al op om zich voor te bereiden op de inwerkingtreding van de nieuwe wet- en regelgeving: “De risico’s die organisaties lopen, doen zich nu al voor.”

Eerder stelde minister van Justitie en Veiligheid David van Weel dat het ministerie de regels niet sneller had kunnen invoeren. “Er zijn landen die melden dat zij de richtlijnen implementeren waarvan je jezelf kunt afvragen of dat echt goed gebeurt”, zei Van Weel. “Wij hebben gekozen voor een degelijke implementatie en dat heeft tijd gekost.” Te veel tijd, aldus de Commissie. Het Europees Hof zal bepalen wat daar de consequenties van zijn.

Meer nieuws? Ontvang elke ochtend al het nieuws uit Europese nieuws dat van belang is voor Nederland direct in jouw mailbox met een abonnement op De Dagvangst.