Wet weerbaarheid kritieke entiteiten

In deze wet en de daarop berustende bepalingen wordt verstaan onder:
– Aanbeveling 2003/361/EG: Aanbeveling 2003/361/EG van de Commissie van 6 mei 2003 betreffende de definitie van kleine, middelgrote en micro-ondernemingen (PbEU 2003, L 124);
– Besluit nr. 1313/2013/EU: Besluit nr. 1313/2013/EU van het Europees Parlement en de Raad van 17 december 2013 betreffende een Uniemechanisme voor civiele bescherming (PbEU 2013, L 347);
– bevoegde autoriteit: de bevoegde autoriteit, bedoeld in artikel 9, eerste lid, van de CER-richtlijn en bedoeld in artikel 8;
– bevoegde autoriteit van een andere lidstaat van de Europese Unie: een bevoegde autoriteit van een andere lidstaat van de Europese Unie als bedoeld in artikel 9, eerste lid, van de CER-richtlijn en die als zodanig is aangewezen in het nationale recht van die andere lidstaat;
– centraal contactpunt: het centrale contactpunt, bedoeld in artikel 9, tweede lid, van de CER-richtlijn en bedoeld in artikel 12;
– centraal contactpunt van een andere lidstaat van de Europese Unie: het centrale contactpunt van een andere lidstaat van de Europese Unie als bedoeld in artikel 9, tweede lid, van de CER-richtlijn en dat als zodanig is aangewezen in het nationale recht van die andere lidstaat;
– CER-richtlijn:Richtlijn (EU) 2022/2557 van het Europees Parlement en de Raad van 14 december 2022 betreffende de weerbaarheid van kritieke entiteiten en tot intrekking van Richtlijn 2008/114/EG van de Raad (PbEU 2022, L 333);
– cyberbeveiligingsrisico: een risico als bedoeld in artikel 1 van de Cyberbeveiligingswet in relatie tot de cyberbeveiliging, bedoeld in artikel 1 van de Cyberbeveiligingswet;
– cyberdreiging: een cyberdreiging als bedoeld in artikel 1 van de Cyberbeveiligingswet;
– cyberincident: een incident als bedoeld in artikel 1 van de Cyberbeveiligingswet;
– entiteit: een natuurlijk persoon, een rechtspersoon, een overheidsinstantie, een maatschap als bedoeld in artikel 1655 van boek 7A van het Burgerlijk Wetboek, een vennootschap onder firma als bedoeld in artikel 16 van het Wetboek van Koophandel en een commanditaire vennootschap als bedoeld in artikel 19 van het Wetboek van Koophandel, alsmede een samenwerkingsverband naar buitenlands recht dat met één van deze rechtsvormen vergelijkbaar is;
– essentiële dienst: een dienst die van cruciaal belang is voor de instandhouding van vitale maatschappelijke functies, economische activiteiten, de volksgezondheid en openbare veiligheid of het milieu;
– incident: elke gebeurtenis die het verlenen van een essentiële dienst aanzienlijk kan verstoren of verstoort, ook wanneer de gebeurtenis gevolgen heeft voor de nationale systemen die de rechtsstaat waarborgen;
– kritieke entiteit: een entiteit als bedoeld in artikel 6, eerste lid;
– kritieke entiteit van bijzonder Europees belang: een entiteit als bedoeld in artikel 17, eerste lid, van de CER-richtlijn;
– kritieke infrastructuur: een voorziening, een faciliteit, apparatuur, een netwerk of een systeem, of een onderdeel van een voorziening, een faciliteit, apparatuur, een netwerk of een systeem, hetgeen noodzakelijk is voor de verlening van een essentiële dienst;
– NIS2-richtlijn:Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie, tot wijziging van Verordening (EU) nr. 910/2014 en Richtlijn (EU) 2018/1972 en tot intrekking van Richtlijn (EU) 2016/1148 (PbEU 2022, L 333);
– Onze Minister: Onze Minister van Justitie en Veiligheid;
– overheidsinstantie: een entiteit die overeenkomstig het Nederlands recht als zodanig in Nederland is erkend, met uitzondering van de rechtbanken, de gerechtshoven, de Hoge Raad, het College van Beroep voor het bedrijfsleven, de Centrale Raad van Beroep, de Afdeling bestuursrechtspraak van de Raad van State, de beide Kamers der Staten-Generaal en De Nederlandsche Bank N.V., en die aan de volgende criteria voldoet: a. zij is opgericht om te voorzien in behoeften van algemeen belang en heeft geen industrieel of commercieel karakter;
b. zij heeft rechtspersoonlijkheid of mag volgens de wet namens een andere entiteit met rechtspersoonlijkheid optreden;
c. zij wordt grotendeels gefinancierd door de staat, regionale autoriteiten of andere publiekrechtelijke organen, is onderworpen aan beheerstoezicht door die autoriteiten of organen, of heeft een bestuurs-, leidinggevend of toezichthoudend orgaan waarvan de leden voor meer dan de helft door de staat, regionale autoriteiten of andere publiekrechtelijke organen worden benoemd; en
d. zij heeft de bevoegdheid om ten aanzien van natuurlijke personen of rechtspersonen administratieve of regelgevende besluiten te nemen die van invloed zijn op hun rechten op het grensoverschrijdende verkeer van personen, goederen, diensten of kapitaal;
a. zij is opgericht om te voorzien in behoeften van algemeen belang en heeft geen industrieel of commercieel karakter;
b. zij heeft rechtspersoonlijkheid of mag volgens de wet namens een andere entiteit met rechtspersoonlijkheid optreden;
c. zij wordt grotendeels gefinancierd door de staat, regionale autoriteiten of andere publiekrechtelijke organen, is onderworpen aan beheerstoezicht door die autoriteiten of organen, of heeft een bestuurs-, leidinggevend of toezichthoudend orgaan waarvan de leden voor meer dan de helft door de staat, regionale autoriteiten of andere publiekrechtelijke organen worden benoemd; en
d. zij heeft de bevoegdheid om ten aanzien van natuurlijke personen of rechtspersonen administratieve of regelgevende besluiten te nemen die van invloed zijn op hun rechten op het grensoverschrijdende verkeer van personen, goederen, diensten of kapitaal;
– Richtlijn 2007/60/EG:Richtlijn 2007/60/EG van het Europees Parlement en de Raad van 23 oktober 2007 over beoordeling en beheer van overstromingsrisico’s (PbEU 2007, L 288);
– Richtlijn 2012/18/EU:Richtlijn 2012/18/EU van het Europees Parlement en de Raad van 4 juli 2012 betreffende de beheersing van de gevaren van zware ongevallen waarbij gevaarlijke stoffen zijn betrokken, houdende wijziging en vervolgens intrekking van Richtlijn 96/82/EG van de Raad (PbEU 2012, L 197);
– Richtlijn (EU) 2017/541:Richtlijn (EU) 2017/541 van het Europees Parlement en de Raad van 15 maart 2017 inzake terrorismebestrijding en ter vervanging van Kaderbesluit 2002/475/JBZ van de Raad en tot wijziging van Besluit 2005/671/JBZ van de Raad (PbEU 2017, L 88);
– risico: de mogelijkheid van verlies of verstoring als gevolg van een incident; dat wordt uitgedrukt als een combinatie van de omvang van een dergelijk verlies of een dergelijke verstoring en de waarschijnlijkheid dat het incident zich voordoet;
– risicobeoordeling: het gehele proces ter bepaling van de aard en omvang van een risico door potentiële relevante dreigingen, kwetsbaarheden en gevaren die tot een incident kunnen leiden, in kaart te brengen en te analyseren, en door het verlies of de verstoring van een essentiële dienst die dat incident zou kunnen veroorzaken in te schatten;
– Verordening (EU) 2017/1938:Verordening (EU) 2017/1938 van het Europees Parlement en de Raad van 25 oktober 2017 betreffende maatregelen tot veiligstelling van de gasleveringszekerheid en houdende intrekking van Verordening (EU) nr. 994/2010 (PbEU 2017, L 280);
– Verordening (EU) 2019/941:Verordening (EU) 2019/941 van het Europees Parlement en de Raad van 5 juni 2019 betreffende risicoparaatheid in de elektriciteitssector en tot intrekking van Richtlijn 2005/89/EG (PbEU 2019, L 158);
– weerbaarheid: het vermogen van een kritieke entiteit om een incident te voorkomen, te beperken en te beheersen, en om bescherming te bieden en bestand te zijn tegen, te reageren op of zich aan te passen aan en te herstellen van een incident.

Deze wet is, met het oog op het in stand houden van vitale maatschappelijke functies en economische activiteiten, gericht op het versterken van de weerbaarheid van kritieke entiteiten en het vermogen van die entiteiten om essentiële diensten te verlenen.

Bij of krachtens algemene maatregel van bestuur kunnen regels worden gesteld ter uitvoering van de op grond van de CER-richtlijn vastgestelde uitvoeringshandelingen, gedelegeerde handelingen en richtsnoeren.

Deze wet is niet van toepassing op aangelegenheden waarop de Cyberbeveiligingswet van toepassing is.

Deze wet is niet van toepassing op:
a. het Ministerie van Defensie;
b. de inlichtingen- en veiligheidsdiensten, bedoeld in de Wet op de inlichtingen- en veiligheidsdiensten 2017;
c. het openbaar ministerie;
d. de politie;
e. de veiligheidsregio’s, bedoeld in artikel 9 van de Wet veiligheidsregio’s; en
f. indien van toepassing, de andere bij algemene maatregel van bestuur aangewezen overheidsinstanties die in hoofdzaak activiteiten uitvoeren op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving, met inbegrip van het onderzoeken, opsporen en vervolgen van strafbare feiten.

1. Bij regeling of besluit van Onze Minister die het aangaat, na overleg met Onze Minister, wordt een entiteit in een sector als bedoeld in de bijlage van deze wet of, indien van toepassing, een sector als bedoeld in artikel 7, eerste lid, aangewezen als kritieke entiteit indien:
a. zij één of meer essentiële diensten verleent;
b. zij actief is op het grondgebied van Nederland;
c. haar kritieke infrastructuur zich bevindt op het grondgebied van Nederland; en
d. een incident aanzienlijke verstorende effecten zou hebben: 1°. op haar verlening van één of meer essentiële diensten; of
2°. op haar verlening van andere essentiële diensten in de sectoren, genoemd in de bijlage van deze wet, of, indien van toepassing, de sectoren die zijn aangewezen op grond van artikel 7, eerste lid, die afhankelijk zijn van die diensten.
1°. op haar verlening van één of meer essentiële diensten; of
2°. op haar verlening van andere essentiële diensten in de sectoren, genoemd in de bijlage van deze wet, of, indien van toepassing, de sectoren die zijn aangewezen op grond van artikel 7, eerste lid, die afhankelijk zijn van die diensten.
2. Bij het bepalen of een verstorend effect aanzienlijk is als bedoeld in het eerste lid, onderdeel d, houdt Onze Minister die het aangaat rekening met de volgende criteria:
a. het aantal gebruikers dat afhankelijk is van de door de betrokken entiteit verleende essentiële dienst;
b. de mate waarin andere sectoren en subsectoren, genoemd in de bijlage van deze wet, en, indien van toepassing, andere sectoren en subsectoren die zijn aangewezen op grond van artikel 7, eerste lid, afhankelijk zijn van de betrokken essentiële dienst;
c. de ernst en duur van de gevolgen die incidenten kunnen hebben voor economische en maatschappelijke activiteiten, het milieu, de openbare veiligheid en beveiliging, of de volksgezondheid;
d. het marktaandeel van de entiteit op de markt voor de betrokken essentiële dienst;
e. het geografische gebied dat door een incident kan worden getroffen, met inbegrip van eventuele grensoverschrijdende gevolgen, rekening houdend met de kwetsbaarheid die samenhangt met de mate van isolatie van bepaalde soorten geografische gebieden, zoals insulaire regio’s, afgelegen regio’s of bergachtige gebieden; en
f. het belang van de entiteit om de essentiële dienst op een voldoende niveau te houden, rekening houdend met de beschikbare alternatieven voor het verlenen van die essentiële dienst.
3. Bij de toepassing van het eerste lid houdt Onze Minister die het aangaat rekening met de resultaten van de risicobeoordeling, bedoeld in artikel 9, en de strategie, bedoeld in artikel 13.
4. Onze Minister die het aangaat kan na overleg met Onze Minister bij regeling nadere regels stellen over criteria op basis waarvan wordt bepaald of een verstoring aanzienlijk is als bedoeld in het tweede lid.
5. Onze Minister die het aangaat vermeldt bij de aanwijzing van een entiteit als kritieke entiteit welke verplichtingen bij of krachtens deze wet van toepassing zijn op die entiteit en de datum vanaf wanneer die verplichtingen van toepassing zijn, overeenkomstig de artikelen 14, derde lid, 15, vijfde lid, en 17, zevende lid. Indien het de aanwijzing betreft van een entiteit als kritieke entiteit in de sector bankwezen, infrastructuur voor de financiële markt of digitale infrastructuur, genoemd in de bijlage van deze wet, vermeldt Onze Minister die het aangaat tevens welke verplichtingen bij of krachtens deze wet niet van toepassing zijn op die entiteit, overeenkomstig artikel 23.
6. De aanwijzing van een entiteit als kritieke entiteit geschiedt telkens indien hiertoe naar het oordeel van Onze Minister die het aangaat aanleiding bestaat.
7. Indien de entiteit niet langer voldoet aan de voorwaarden, genoemd in het eerste lid, trekt Onze Minister die het aangaat de aanwijzing in en stelt hij de entiteit hiervan in kennis. Ook informeert hij de entiteit erover dat de verplichtingen die van toepassing waren als gevolg van de aanwijzing, vanaf de intrekking van de aanwijzing niet meer van toepassing zijn.

1. Onze Minister die het aangaat kan na overleg met Onze Minister bij regeling een sector, subsector en categorie van entiteiten aanwijzen waarvoor hij beleidsverantwoordelijk is, waarbinnen kritieke entiteiten op grond van artikel 6, eerste lid, kunnen worden aangewezen.
2. Bij het aanwijzen van een sector, subsector en categorie van entiteiten houdt Onze Minister die het aangaat rekening met de volgende criteria:
a. de mate waarin andere sectoren en subsectoren, genoemd in de bijlage van deze wet, afhankelijk zijn van de essentiële dienst of diensten van entiteiten in de sector of subsector;
b. de ernst en duur van de gevolgen die incidenten in de sector of subsector kunnen hebben voor economische en maatschappelijke activiteiten, het milieu, de openbare veiligheid en beveiliging, of de volksgezondheid; en
c. het geografische gebied dat door een incident in de sector of subsector kan worden getroffen, met inbegrip van eventuele grensoverschrijdende gevolgen, rekening houdend met de kwetsbaarheid die samenhangt met de mate van isolatie van bepaalde soorten geografische gebieden, zoals insulaire regio’s, afgelegen regio’s of bergachtige gebieden.

1. De bevoegde autoriteit is voor de kritieke entiteiten in de sectoren en subsectoren, genoemd in de bijlage van deze wet:
[tabel]
2. Onze Minister die het aangaat die op grond van artikel 6, eerste lid, een entiteit in een sector als bedoeld in artikel 7, eerste lid, heeft aangewezen als kritieke entiteit, is voor die kritieke entiteit de bevoegde autoriteit.
3. De bevoegde autoriteit heeft de volgende taken:
a. het zorgen voor de bestuursrechtelijke handhaving van het bepaalde bij of krachtens deze wet ten aanzien van kritieke entiteiten;
b. het zorgen voor de bestuursrechtelijke handhaving van het bepaalde in de op grond van artikel 13, zesde lid, van de CER-richtlijn vastgestelde uitvoeringshandelingen, voor zover in die uitvoeringshandelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie; en
c. de overige in deze wet genoemde taken van de bevoegde autoriteit.

1. De bevoegde autoriteit voert na overleg met Onze Minister een risicobeoordeling uit voor de betrokken sector en indien van toepassing subsector, genoemd in de bijlage van deze wet, en voor de op grond van artikel 7, eerste lid, aangewezen sector en indien van toepassing subsector. De bevoegde autoriteit neemt daarbij alle relevante natuurlijke en door de mens veroorzaakte risico’s die tot een incident zouden kunnen leiden in aanmerking, waaronder in ieder geval:
a. risico’s van sectoroverschrijdende of van grensoverschrijdende aard;
b. ongevallen;
c. natuurrampen;
d. noodsituaties op het gebied van de volksgezondheid; en
e. hybride dreigingen en andere antagonistische dreigingen, waaronder terroristische misdrijven als bedoeld in de Richtlijn (EU) 2017/541.
2. De bevoegde autoriteit houdt bij het uitvoeren van de risicobeoordeling ten minste rekening met:
a. de algemene risicobeoordeling die wordt uitgevoerd op grond van artikel 6, eerste lid, van het Besluit nr. 1313/2013/EU en andere relevante risicobeoordelingen die worden uitgevoerd overeenkomstig de voorschriften van de relevante sectorspecifieke rechtshandelingen van de Europese Unie, waaronder de Verordening (EU) 2017/1938, de Verordening (EU) 2019/941, de Richtlijn 2007/60/EG en de Richtlijn 2012/18/EU;
b. de relevante risico’s die voortvloeien uit de mate van afhankelijkheid tussen de sectoren, genoemd in de bijlage van deze wet, waaronder de mate van afhankelijkheid van deze sectoren ten aanzien van entiteiten met vestiging in andere lidstaten van de Europese Unie en derde landen, en de gevolgen die een aanzienlijke verstoring in één sector kan hebben voor andere sectoren, met inbegrip van eventuele significante risico’s voor burgers en de interne markt van de Europese Unie; en
c. alle informatie over incidenten die overeenkomstig artikel 17 is kennisgegeven.
3. Voor de toepassing van het tweede lid, onderdeel b, werkt de bevoegde autoriteit samen met de bevoegde autoriteiten van andere lidstaten van de Europese Unie en de bevoegde autoriteiten van derde landen, al naargelang het geval.
4. De bevoegde autoriteit maakt bij het uitvoeren van de risicobeoordeling gebruik van de door de Europese Commissie op grond van artikel 5, eerste lid, van de CER-richtlijn vastgestelde lijst van essentiële diensten.
5. De risicobeoordeling geschiedt ten minste elke vier jaar na de eerste risicobeoordeling, of eerder, indien hiertoe aanleiding bestaat.
6. De bevoegde autoriteit verstrekt relevante informatie uit de risicobeoordeling aan de kritieke entiteit in de betrokken sector, die overeenkomstig artikel 6, eerste lid, is aangewezen, ten behoeve van de door die kritieke entiteit te verrichten risicobeoordeling, bedoeld in artikel 14, en het nemen van de maatregelen, bedoeld in artikel 15.

1. De bevoegde autoriteit ondersteunt en werkt samen met kritieke entiteiten in de betrokken sector of subsector ten behoeve van het vergroten van hun weerbaarheid.
2. De samenwerking en ondersteuning bestaat in ieder geval uit het uitwisselen van informatie en beste praktijken, en kunnen na overleg met Onze Minister voorts bestaan uit:
a. het ontwikkelen van richtsnoeren en methodologieën;
b. het verlenen van bijstand in het geval van crisis- of noodsituaties;
c. het helpen bij de organisatie van oefeningen om de weerbaarheid van kritieke entiteiten te testen;
d. het verstrekken van advies aan het personeel van kritieke entiteiten; en
e. het geven van opleidingen aan het personeel van kritieke entiteiten.
3. Bij of krachtens algemene maatregel van bestuur kunnen regels worden gesteld over de samenwerking en ondersteuning.

1. De bevoegde autoriteit stelt een lijst op van kritieke entiteiten.
2. De bevoegde autoriteit evalueert de lijst en actualiseert de lijst ten minste elke vier jaar, of vaker, indien daartoe aanleiding bestaat.

Onze Minister is het centrale contactpunt en heeft in die hoedanigheid de volgende taken:
a. het vervullen van een verbindingsfunctie in de samenwerking met de Europese Commissie;
b. het met het oog op grensoverschrijdende samenwerking vervullen van een verbindingsfunctie met de centrale contactpunten van andere lidstaten van de Europese Unie en met de Groep voor de weerbaarheid van kritieke entiteiten, genoemd in artikel 19 van de CER-richtlijn;
c. de samenwerking met de bevoegde autoriteiten van derde landen; en
d. het zorgen voor sectoroverstijgende en doeltreffende samenwerking tussen de bevoegde autoriteiten binnen Nederland.

1. Onze Minister stelt in overeenstemming met Onze Ministers die het aangaan een strategie vast om de weerbaarheid van kritieke entiteiten te verbeteren. De strategie bevat, voortbouwend op bestaande nationale en sectorale strategieën, plannen en soortgelijke documenten, strategische doelstellingen en beleidsmaatregelen die ervoor moeten zorgen dat kritieke entiteiten een hoge weerbaarheid hebben en behouden, en die ten minste betrekking hebben op de sectoren, genoemd in de bijlage van deze wet, en de op grond van artikel 7, eerste lid, aangewezen sectoren.
2. De strategie bevat ten minste de volgende elementen:
a. strategische doelstellingen en prioriteiten ter vergroting van de algehele weerbaarheid van kritieke entiteiten met inachtneming van grensoverschrijdende en intersectorale afhankelijkheden en onderlinge afhankelijkheden;
b. een governancekader ter verwezenlijking van de strategische doelstellingen en prioriteiten, met inbegrip van een beschrijving van de taken en verantwoordelijkheden van de verschillende autoriteiten, kritieke entiteiten en andere partijen die bij de uitvoering van de strategie betrokken zijn;
c. een beschrijving van de maatregelen die nodig zijn om de algehele weerbaarheid van kritieke entiteiten te vergroten, inclusief een beschrijving van de risicobeoordelingen, bedoeld in artikel 9;
d. een beschrijving van het proces waarmee kritieke entiteiten worden geïdentificeerd;
e. een beschrijving van het proces waarmee kritieke entiteiten worden ondersteund, met inbegrip van de maatregelen ter verdieping van de samenwerking tussen de publieke sector enerzijds en de private sector en publieke en private entiteiten anderzijds;
f. een lijst van de belangrijkste autoriteiten en belanghebbenden, met uitzondering van kritieke entiteiten, die betrokken zijn bij de uitvoering van de strategie;
g. een beleidskader voor coördinatie tussen de bevoegde autoriteit, bedoeld in artikel 8, en de bevoegde autoriteit, bedoeld in artikel 15 van de Cyberbeveiligingswet, met het oog op het delen van informatie over cyberbeveiligingsrisico's, cyberdreigingen en cyberincidenten, en niet-cybergerelateerde risico's, dreigingen en incidenten en de uitoefening van toezichthoudende taken; en
h. een beschrijving van de maatregelen die reeds genomen zijn om het voor kleine en middelgrote ondernemingen in de zin van de bijlage bij Aanbeveling 2003/361/EG die zijn geïdentificeerd als kritieke entiteit, gemakkelijker te maken om te voldoen aan het bepaalde bij of krachtens de artikelen 14, 15 en 17.
3. Onze Minister actualiseert in overeenstemming met Onze Ministers die het aangaan de strategie ten minste elke vier jaar na de eerste strategie.
4. Onze Minister consulteert in overeenstemming met Onze Ministers die het aangaan eerst de relevante betrokken partijen voordat hij de strategie vaststelt of actualiseert.

1. De kritieke entiteit voert een risicobeoordeling uit op basis van de relevante informatie uit de risicobeoordeling van de bevoegde autoriteit, bedoeld in artikel 9, en andere relevante informatiebronnen. De kritieke entiteit beoordeelt in dat kader alle relevante door de natuur en door de mens veroorzaakte risico’s die de verlening van haar essentiële dienst of diensten kunnen verstoren, waaronder in ieder geval:
a. risico’s van sectoroverschrijdende of van grensoverschrijdende aard;
b. ongevallen;
c. natuurrampen;
d. noodsituaties op het gebied van de volksgezondheid; en
e. hybride dreigingen en andere antagonistische dreigingen, waaronder terroristische misdrijven als bedoeld in de Richtlijn (EU) 2017/541.
2. De kritieke entiteit houdt bij het uitvoeren van de risicobeoordeling rekening met de mate waarin andere in de bijlage van deze wet genoemde sectoren en op grond van artikel 7, eerste lid, aangewezen sectoren afhankelijk zijn van de door de kritieke entiteit verleende essentiële dienst, en de mate waarin die kritieke entiteit afhankelijk is van essentiële diensten van andere entiteiten in dergelijke andere sectoren, in voorkomend geval tevens buiten Nederland.
3. De risicobeoordeling geschiedt binnen negen maanden na de aanwijzing als kritieke entiteit. De risicobeoordeling geschiedt vervolgens ten minste elke vier jaar, of eerder, indien hiertoe aanleiding bestaat.
4. Indien de kritieke entiteit reeds risicobeoordelingen heeft uitgevoerd of documenten heeft opgesteld op grond van verplichtingen die zijn opgenomen in andere wet- en regelgeving die relevant zijn voor de risicobeoordeling, kan zij die beoordelingen en documenten gebruiken om aan het eerste lid te voldoen.
5. De risicobeoordeling kan gezamenlijk worden uitgevoerd door twee of meer kritieke entiteiten die deel uitmaken van:
a. een groep als bedoeld in artikel 24b van Boek 2 van het Burgerlijk Wetboek;
b. een gemeenschappelijke regeling als bedoeld in artikel 1 van de Wet gemeenschappelijke regelingen of een op grond daarvan ingesteld openbaar lichaam, gemeenschappelijk orgaan of bedrijfsvoeringsorganisatie; of
c. een andere duurzame en schriftelijk vastgelegde samenwerkingsstructuur die betrekking heeft op de verlening of ondersteuning van een essentiële dienst.
Daarbij blijft voor iedere betrokken kritieke entiteit afzonderlijk inzichtelijk welke risico’s specifiek op die entiteit van toepassing zijn.
6. Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld over het uitvoeren van de risicobeoordeling.

1. De kritieke entiteit neemt passende en evenredige technische, beveiligings- en organisatorische maatregelen om voor haar weerbaarheid te zorgen, met inbegrip van maatregelen die nodig zijn om:
a. te voorkomen dat zich incidenten voordoen, naar behoren rekening houdend met maatregelen ter beperking van het risico op rampen en maatregelen voor aanpassing aan de klimaatverandering;
b. te zorgen voor adequate fysieke bescherming van haar gebouwen en de kritieke infrastructuur, terdege rekening houdend met bijvoorbeeld het plaatsen van omheiningen, het oprichten van barrières, instrumenten en routines voor de bewaking van de omgeving, detectieapparatuur en toegangscontroles;
c. de gevolgen van incidenten te bestrijden, te beperken en ertegen bestand te zijn, naar behoren rekening houdend met de uitvoering van risico- en crisisbeheersingsprocedures en -protocollen en waarschuwingsroutines;
d. te herstellen van incidenten, naar behoren rekening houdend met bedrijfscontinuïteitsmaatregelen en de identificatie van alternatieve toeleveringsketens, om de verlening van de essentiële dienst te hervatten;
e. te zorgen voor adequaat beheer van personeelsbeveiliging, daarbij in ieder geval rekening houdend met de volgende maatregelen: 1°. het vaststellen van categorieën personeelsleden die kritieke functies vervullen, daarbij rekening houdend met het personeel van externe dienstverleners;
2°. het vaststellen van het recht van toegang tot gebouwen, kritieke infrastructuur en gevoelige informatie;
3°. het instellen van procedures voor antecedentenonderzoek en het aanwijzen van categorieën van personen die aan antecedentenonderzoek moeten worden onderworpen; en
4°. het vaststellen van passende opleidingsvoorschriften en kwalificaties; en
1°. het vaststellen van categorieën personeelsleden die kritieke functies vervullen, daarbij rekening houdend met het personeel van externe dienstverleners;
2°. het vaststellen van het recht van toegang tot gebouwen, kritieke infrastructuur en gevoelige informatie;
3°. het instellen van procedures voor antecedentenonderzoek en het aanwijzen van categorieën van personen die aan antecedentenonderzoek moeten worden onderworpen; en
4°. het vaststellen van passende opleidingsvoorschriften en kwalificaties; en
f. het relevante personeel bewust te maken van de maatregelen, genoemd in de onderdelen a tot en met e, naar behoren rekening houdend met opleidingen, informatiemateriaal en oefeningen.
2. De kritieke entiteit neemt de maatregelen, bedoeld in het eerste lid, op basis van de door de bevoegde autoriteit verstrekte relevante informatie over de risicobeoordeling, bedoeld in artikel 9, en op basis van de resultaten van haar eigen risicobeoordeling, bedoeld in artikel 14.
3. De kritieke entiteit beschrijft de maatregelen, bedoeld in het eerste lid.
4. De beschrijving, bedoeld in het derde lid, kan gezamenlijk worden opgesteld door twee of meer kritieke entiteiten die deel uitmaken van:
a. een groep als bedoeld in artikel 24b van Boek 2 van het Burgerlijk Wetboek;
b. een gemeenschappelijke regeling als bedoeld in artikel 1 van de Wet gemeenschappelijke regelingen of een op grond daarvan ingesteld openbaar lichaam, gemeenschappelijk orgaan of bedrijfsvoeringsorganisatie; of
c. een andere duurzame en schriftelijk vastgelegde samenwerkingsstructuur die betrekking heeft op de verlening of ondersteuning van een essentiële dienst.
Daarbij blijft voor iedere betrokken kritieke entiteit afzonderlijk inzichtelijk welke maatregelen de entiteit neemt.
5. Bij of krachtens algemene maatregel van bestuur worden regels gesteld over de maatregelen, bedoeld in het eerste lid, en kunnen met betrekking tot die maatregelen eisen worden gesteld aan entiteiten, waarbij onderscheid kan worden gemaakt tussen sectoren, subsectoren, categorieën van entiteiten en entiteiten.
6. Het bepaalde bij of krachtens het eerste tot en met vijfde lid is van toepassing op de kritieke entiteit vanaf tien maanden na de aanwijzing als kritieke entiteit.

1. Indien dat naar het oordeel van Onze Minister die het aangaat, ter uitwerking van artikel 15, noodzakelijk is om incidenten bij een kritieke entiteit die de nationale veiligheid raken te voorkomen, te beperken of te beheersen, legt hij in overeenstemming met Onze Minister een kritieke entiteit de verplichting op om in de daarbij aangewezen kritieke infrastructuur uitsluitend gebruik te maken van producten of diensten van anderen dan de daarbij door Onze Minister die het aangaat genoemde partij die:
a. een staat, entiteit of persoon is waarvan bekend is of waarvoor gronden zijn te vermoeden dat deze de intentie heeft om incidenten bij de kritieke entiteit te veroorzaken; of
b. nauwe banden heeft met of onder invloed staat van een staat, entiteit of persoon als bedoeld in onderdeel a, of een entiteit of persoon is ten aanzien van wie er gronden zijn om dergelijke banden of invloed te vermoeden.
2. In het kader van de beoordeling van de noodzaak, bedoeld in het eerste lid, beoordeelt Onze Minister die het aangaat in elk geval of beheersmaatregelen mogelijk en realiseerbaar zijn die de nationale veiligheidsrisico’s die in het geding zijn voldoende beschermen.
3. Indien de verplichting, bedoeld in het eerste lid, betrekking heeft op reeds in gebruik zijnde producten en diensten ten behoeve van de daarbij aangewezen kritieke infrastructuur, stelt Onze Minister die het aangaat in het belang van het voorkomen, beperken en beheersen van incidenten bij de kritieke entiteit een termijn vast voor het vervangen respectievelijk beëindigen van de betreffende producten en diensten.

Onze Minister die het aangaat kan bij regeling of besluit, na overleg met Onze Minister, bepalen dat sectorspecifieke rechtshandelingen van de Europese Unie die voorschrijven dat kritieke entiteiten maatregelen moeten nemen om hun weerbaarheid te vergroten, voor de in die regeling of dat besluit bedoelde kritieke entiteit ten minste gelijkwaardig zijn aan de maatregelen, bedoeld in artikel 15. In dat geval is artikel 15 niet van toepassing op de betreffende kritieke entiteit.

1. De kritieke entiteit meldt zonder onnodige vertraging een incident dat de verlening van haar essentiële dienst aanzienlijk verstoort of kan verstoren bij de bevoegde autoriteit. De kritieke entiteit doet die melding binnen 24 uur nadat zij kennis heeft genomen van dat incident. Indien dat operationeel niet mogelijk is, doet zij de melding zo snel mogelijk nadat zij kennis heeft genomen van dat incident.
2. De melding bevat alle op dat moment beschikbare informatie die de bevoegde autoriteit nodig heeft om te bepalen wat de aard, vermoedelijke oorzaak en mogelijke gevolgen van het incident zijn en of er grensoverschrijdende gevolgen zijn. De melding bevat tevens de contactgegevens van de functionaris die verantwoordelijk is voor de melding.
3. Bij het bepalen of een verstoring aanzienlijk is, wordt in aanmerking genomen:
a. het aantal door de verstoring getroffen gebruikers en hun aandeel daarin;
b. de duur van de verstoring;
c. het door de verstoring getroffen geografische gebied, rekening houdend met de vraag of het gebied geografisch geïsoleerd is; en
d. de bij of krachtens algemene maatregel van bestuur vastgestelde aanvullende parameters.
4. De kritieke entiteit brengt binnen een maand na de melding een gedetailleerd verslag uit. Dit verslag bevat een aanvulling van de informatie, bedoeld in het tweede lid.
5. Bij of krachtens algemene maatregel van bestuur kunnen de criteria worden vastgesteld op basis waarvan wordt bepaald of een verstoring aanzienlijk is als bedoeld in het derde lid, waarbij onderscheid kan worden gemaakt tussen sectoren, subsectoren, categorieën van entiteiten en entiteiten.
6. Bij of krachtens algemene maatregel van bestuur kunnen regels worden gesteld over de wijze waarop een melding als bedoeld in het eerste lid wordt gedaan en de gegevens die ter uitvoering van het tweede lid worden verstrekt.
7. Het bepaalde bij of krachtens het eerste tot en met zesde lid is van toepassing op de kritieke entiteit vanaf tien maanden na de aanwijzing als kritieke entiteit.

1. De bevoegde autoriteit verstrekt de kritieke entiteit zo spoedig mogelijk na de melding, bedoeld in artikel 17, eerste lid, een ontvangstbevestiging en relevante vervolginformatie, waaronder informatie die de kritieke entiteit kan helpen om doeltreffend te reageren op het incident.
2. De bevoegde autoriteit informeert, indien mogelijk na raadpleging van de betrokken kritieke entiteit, het publiek over het gemelde incident wanneer zij van oordeel is dat dit in het algemeen belang zou zijn.
3. Indien het gemelde incident aanzienlijke gevolgen heeft of kan hebben voor de continuïteit van de verlening van essentiële diensten aan of in zes of meer lidstaten van de Europese Unie, meldt de bevoegde autoriteit dat incident aan het centrale contactpunt, waarna het centrale contactpunt dat incident meldt aan de Europese Commissie.
4. Indien het gemelde incident aanzienlijke gevolgen heeft of kan hebben voor kritieke entiteiten en voor de continuïteit van de verlening van essentiële diensten aan of in één of meer andere lidstaten van de Europese Unie, informeert de bevoegde autoriteit het centrale contactpunt over het incident, waarna het centrale contactpunt de centrale contactpunten van andere getroffen lidstaten van de Europese Unie informeert over dat incident. De bevoegde autoriteit doet dit op basis van de informatie die de betrokken kritieke entiteit bij de melding, bedoeld in artikel 17, eerste lid, heeft verstrekt.
5. Bij de ontvangst van de informatie, bedoeld in het vierde lid, en de verzending daarvan aan de centrale contactpunten van andere getroffen lidstaten van de Europese Unie, behandelt het centrale contactpunt die informatie zodanig dat ze vertrouwelijk kan worden gehouden en de veiligheid en de commerciële belangen van de betrokken kritieke entiteit worden beschermd.
6. Als blijkt uit gegevens die het centrale contactpunt heeft ontvangen van een centraal contactpunt van een andere lidstaat van de Europese Unie dat een daar gemeld incident aanzienlijke gevolgen heeft of kan hebben voor de continuïteit van een essentiële dienst in Nederland, dan stelt het centrale contactpunt de betrokken bevoegde autoriteit en, indien van toepassing, de betrokken kritieke entiteit daarvan op de hoogte.

De kritieke entiteit wijst een verbindingsfunctionaris of een gelijkwaardige functionaris aan als het contactpunt met de bevoegde autoriteiten.

Indien de kritieke entiteit essentiële diensten verleent aan of in zes of meer lidstaten van de Europese Unie, informeert zij de bevoegde autoriteit daarover. Daarbij maakt de kritieke entiteit kenbaar welke essentiële diensten en lidstaten het betreft.

1. De bevoegde autoriteit stelt het centrale contactpunt zonder onnodige vertraging op de hoogte van de identiteit van de kritieke entiteit die een kennisgeving als bedoeld in artikel 20 heeft gedaan, alsmede van de gemelde essentiële diensten en lidstaten. Vervolgens stelt het centrale contactpunt de Europese Commissie zonder onnodige vertraging daarvan op de hoogte.
2. Zodra de Europese Commissie de bevoegde autoriteit in kennis heeft gesteld van het besluit om een kritieke entiteit te beschouwen als kritieke entiteit van bijzonder Europees belang, zendt de bevoegde autoriteit die kennisgeving zonder onnodige vertraging toe aan de kritieke entiteit.
3. De bevoegde autoriteit verstrekt aan de Europese Commissie en aan de centrale contactpunten van de lidstaten waaraan of waarin de essentiële dienst wordt verleend informatie over de maatregelen die zij heeft genomen naar aanleiding van het oordeel van de Europese Commissie, bedoeld in artikel 18, vierde lid, van de CER-richtlijn.

Indien van toepassing houdt de kritieke entiteit van bijzonder Europees belang bij het nemen van de maatregelen, bedoeld in artikel 15, rekening met het oordeel van de Europese Commissie, bedoeld in artikel 18, vierde lid, van de CER-richtlijn.

De artikelen 14, 15, 17, 19, 20 en 22 zijn niet van toepassing op kritieke entiteiten in de sectoren bankwezen, infrastructuur voor de financiële markt en digitale infrastructuur, genoemd in de bijlage van deze wet.

1. Onze Minister die het aangaat kan bij regeling of besluit, in overeenstemming met Onze Minister, een kritieke entiteit die activiteiten uitvoert op het gebied van nationale veiligheid, openbare veiligheid, defensie of rechtshandhaving of die uitsluitend diensten verleent aan een overheidsinstantie als bedoeld in artikel 5, met betrekking tot die activiteiten of diensten ontheffen van de verplichtingen uit de artikelen 14, 15, 17, 19, 20 en 22.
2. Onze Minister die het aangaat kan bij regeling of besluit, in overeenstemming met Onze Minister, een kritieke entiteit die behoort tot een op grond van artikel 7, eerste lid, aangewezen sector, subsector of categorie van entiteiten ontheffen van de verplichtingen uit de artikelen 14, 15, 17, 19, 20 en 22.

De bevoegde autoriteiten werken met elkaar samen voor de doeltreffende en doelmatige uitvoering van hun taken uit hoofde van deze wet en wisselen daartoe onderling alle daarvoor noodzakelijke gegevens uit, waaronder persoonsgegevens.

Het centrale contactpunt en de bevoegde autoriteit werken met elkaar samen voor de doeltreffende en doelmatige uitvoering van hun taken uit hoofde van deze wet en wisselen daartoe onderling alle daarvoor noodzakelijke gegevens uit, waaronder persoonsgegevens.

1. De bevoegde autoriteiten, bedoeld in artikel 8, en de bevoegde autoriteiten, bedoeld in artikel 15 van de Cyberbeveiligingswet, werken met elkaar samen voor de doeltreffende en doelmatige uitvoering van hun taken uit hoofde van deze wet en de Cyberbeveiligingswet. In het kader van die samenwerking wisselen zij alle daarvoor noodzakelijke gegevens uit, met inbegrip van persoonsgegevens, waaronder gegevens over:
a. het aanmerken van entiteiten als kritieke entiteiten;
b. cyberbeveiligingsrisico’s, cyberdreigingen, cyberincidenten en niet-cybergerelateerde risico’s, dreigingen en incidenten die negatieve gevolgen hebben voor kritieke entiteiten; en
c. de maatregelen die zij in reactie op dergelijke risico’s, dreigingen en incidenten hebben genomen.
2. De betrokken bevoegde autoriteit, bedoeld in artikel 8, stelt de betrokken bevoegde autoriteit, bedoeld in artikel 15 van de Cyberbeveiligingswet, binnen één maand na de aanwijzing van een entiteit als kritieke entiteit in kennis van die aanwijzing. Indien van toepassing vermeldt de betrokken bevoegde autoriteit, bedoeld in artikel 8, daarbij dat het een kritieke entiteit betreft in de sector bankwezen, infrastructuur voor de financiële markt of digitale infrastructuur, genoemd in de bijlage van deze wet, en welke verplichtingen niet op die entiteit van toepassing zijn.
3. De betrokken bevoegde autoriteit, bedoeld in artikel 8, stelt de betrokken bevoegde autoriteit, bedoeld in artikel 15 van de Cyberbeveiligingswet, op de hoogte van haar beoordeling van de naleving van het bepaalde bij of krachtens deze wet door een kritieke entiteit en van de uitoefening van toezichts- en handhavingsbevoegdheden om ervoor te zorgen dat die entiteit voldoet aan het bepaalde bij of krachtens deze wet.
4. Het derde lid is van overeenkomstige toepassing op de beoordeling van de naleving van en de uitoefening van toezichts- en handhavingsbevoegdheden met betrekking tot het bepaalde in de op grond van artikel 13, zesde lid, van de CER-richtlijn vastgestelde uitvoeringshandelingen, voor zover in die uitvoeringshandelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie.
5. De betrokken bevoegde autoriteit, bedoeld in artikel 8, kan de betrokken bevoegde autoriteit, bedoeld in artikel 15 van de Cyberbeveiligingswet, verzoeken om toezichts- en handhavingsbevoegdheden uit te oefenen of uit te laten oefenen voor de naleving van het bepaalde bij of krachtens de Cyberbeveiligingswet door een kritieke entiteit.
6. Het vijfde lid is van overeenkomstige toepassing op het toezicht op de naleving van en de handhaving van het bepaalde in de op grond van de artikelen 21, vijfde lid, en 23, elfde lid, van de NIS2-richtlijn vastgestelde uitvoeringshandelingen en de op grond van artikel 24, tweede lid, van de NIS2-richtlijn vastgestelde gedelegeerde handelingen, voor zover in die uitvoeringshandelingen of gedelegeerde handelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie.

De bevoegde autoriteiten overleggen en werken samen met andere betrokken nationale autoriteiten, waaronder autoriteiten die belast zijn met civiele bescherming, rechtshandhaving en de bescherming van persoonsgegevens, met kritieke entiteiten en met betrokken belanghebbende partijen, en wisselen in het kader van die samenwerking alle daarvoor noodzakelijke gegevens uit, waaronder persoonsgegevens.

De bevoegde autoriteiten werken samen met bevoegde autoriteiten van andere lidstaten van de Europese Unie en van derde landen voor de doeltreffende en doelmatige uitvoering van hun taken uit hoofde van deze wet en kunnen daartoe alle daarvoor noodzakelijke gegevens verstrekken, waaronder persoonsgegevens.

De bevoegde autoriteiten ontvangen van en verstrekken aan kritieke entiteiten gegevens voor de doeltreffende en doelmatige uitvoering van hun taken uit hoofde van deze wet, waaronder persoonsgegevens.

Het centrale contactpunt kan voor de doeltreffende en doelmatige uitvoering van zijn taken uit hoofde van deze wet gegevens, waaronder persoonsgegevens, verstrekken aan kritieke entiteiten, de centrale contactpunten van andere lidstaten van de Europese Unie, de Europese Commissie en de Groep voor de weerbaarheid van kritieke entiteiten, genoemd in artikel 19 van de CER-richtlijn, en bevoegde autoriteiten van derde landen.

De bevoegde autoriteit, het centrale contactpunt en Onze Minister zijn de verwerkingsverantwoordelijken voor de verwerking van persoonsgegevens ten behoeve van de taken die op grond van deze wet aan hen zijn toegewezen.

Bij of krachtens algemene maatregel van bestuur worden regels gesteld over de periode gedurende welke de persoonsgegevens die bij of krachtens deze wet zijn verwerkt, worden bewaard.

1. De bevoegde autoriteit, het centrale contactpunt en Onze Minister kunnen vertrouwelijke gegevens verstrekken, doch uitsluitend voor zover:
a. dat noodzakelijk is ter uitvoering van hun taken uit hoofde van deze wet;
b. de verstrekking beperkt blijft tot die vertrouwelijke gegevens die relevant zijn voor de ontvangende partij en verstrekking evenredig is aan het doel van die verstrekking;
c. de vertrouwelijkheid van die vertrouwelijke gegevens is gewaarborgd; en
d. de veiligheids- en commerciële belangen van de betrokken kritieke entiteit worden beschermd.
2. De Wet open overheid is niet van toepassing op vertrouwelijke gegevens als bedoeld in het eerste lid, behalve voor zover die gegevens milieu-informatie inhouden als bedoeld in artikel 19.1a van de Wet milieubeheer. De eerste volzin geldt ook als de gegevens bij een ander overheidsorgaan berusten na verstrekking op grond van dit artikel.

Het bepaalde bij of krachtens deze wet omvat niet de verstrekking van gegevens waarvan de bekendmaking strijdig is met de wezenlijke belangen van nationale veiligheid, openbare veiligheid of defensie.

1. Met het toezicht op de naleving van het bepaalde bij of krachtens deze wet zijn belast: de bij besluit van de bevoegde autoriteit aangewezen ambtenaren.
2. De ambtenaren, bedoeld in het eerste lid, zijn tevens belast met het toezicht op de naleving van het bepaalde in de op grond van artikel 13, zesde lid, van de CER-richtlijn vastgestelde uitvoeringshandelingen, voor zover in die uitvoeringshandelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie.
3. Van een besluit als bedoeld in het eerste lid wordt mededeling gedaan door plaatsing in de Staatscourant.

1. De bevoegde autoriteit kan een kritieke entiteit verplichten om:
a. een onafhankelijke en gekwalificeerde deskundige te laten onderzoeken of de entiteit voldoet aan het bepaalde bij of krachtens deze wet, met uitzondering van artikel 22, en het bepaalde in de op grond van artikel 13, zesde lid, van de CER-richtlijn vastgestelde uitvoeringshandelingen, voor zover in die uitvoeringshandelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie; of
b. de resultaten van dat onderzoek binnen een bij het besluit gestelde redelijke termijn te verstrekken aan de bevoegde autoriteit.
2. Het onderzoek wordt uitgevoerd op een door de bevoegde autoriteit voorgeschreven wijze.
3. De kritieke entiteit draagt de kosten van het onderzoek, tenzij de kosten naar het oordeel van de bevoegde autoriteit redelijkerwijs moeten worden gedragen door de bevoegde autoriteit.
4. Bij of krachtens algemene maatregel van bestuur kunnen regels worden gesteld over het eerste en tweede lid.

De bevoegde autoriteit kan een kritieke entiteit een bindende aanwijzing geven om binnen een daarbij gestelde redelijke termijn de daarin omschreven handelingen te verrichten of de daarin omschreven maatregelen te nemen ter naleving van het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van artikel 13, zesde lid, van de CER-richtlijn vastgestelde uitvoeringshandelingen, voor zover in die uitvoeringshandelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie.

De bevoegde autoriteit is bevoegd tot oplegging van een last onder bestuursdwang aan een kritieke entiteit ter handhaving van het bepaalde bij of krachtens deze wet en het bepaalde in de op grond van artikel 13, zesde lid, van de CER-richtlijn vastgestelde uitvoeringshandelingen, voor zover in die uitvoeringshandelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie.

1. De bevoegde autoriteit kan een kritieke entiteit een bestuurlijke boete opleggen in geval van:
a. overtreding van het bepaalde bij of krachtens deze wet, met uitzondering van artikel 22;
b. overtreding van het bepaalde in de op grond van artikel 13, zesde lid, van de CER-richtlijn vastgestelde uitvoeringshandelingen, voor zover in die uitvoeringshandelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie;
c. overtreding van artikel 5:20, eerste lid, van de Algemene wet bestuursrecht.
2. De boete bedraagt ten hoogste:
a. in geval van overtreding van het bepaalde bij of krachtens de artikelen 15, 15a en 17 en het bepaalde in de op grond van artikel 13, zesde lid, van de CER-richtlijn vastgestelde uitvoeringshandelingen, voor zover in die uitvoeringshandelingen is bepaald dat deze verbindend zijn en rechtstreeks toepasselijk zijn in elke lidstaat van de Europese Unie: € 10.000.000,– of 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe de kritieke entiteit behoort, indien het laatstbedoelde bedrag hoger is;
b. in geval van een andere overtreding: € 1.000.000,–.
3. De werking van het besluit tot oplegging van de boete wordt opgeschort totdat het besluit onherroepelijk is.
4. Verzet schorst de tenuitvoerlegging van een dwangbevel dat strekt tot invordering van de boete.
5. Artikel 184 van het Wetboek van Strafrecht is niet van toepassing op de overtreding, bedoeld in het eerste lid, onderdeel c.

1. Onze Minister zendt jaarlijks aan beide Kamers der Staten-Generaal een geanonimiseerd verslag over de uitvoering van deze wet, waarin in elk geval wordt ingegaan op:
a. het aantal kritieke entiteiten per sector;
b. het aantal op grond van artikel 17, eerste lid, gemelde incidenten per sector, voor zover dit de nationale veiligheid niet schaadt;
c. de toepassing van artikel 34; en
d. de uitvoering van toezicht en handhaving in geaggregeerde vorm.
2. Onze Minister zendt voorts tweemaal per jaar aan beide Kamers der Staten-Generaal een vertrouwelijke, geaggregeerde kennisgeving over:
a. op hoofdlijnen de soorten gevallen waarin artikel 34 is toegepast; en
b. de toepassing van de bij of krachtens deze wet geregelde bevoegdheid op grond waarvan Onze Minister die het aangaat een kritieke entiteit kan verplichten om in de aangewezen kritieke infrastructuur geen gebruik te maken van producten of diensten van een door die minister genoemde partij, het aantal betrokken kritieke entiteiten en de sectoren waartoe zij behoren, de algemene aard van het risico of de dreiging en de stand van eventuele bezwaar- en beroepsprocedures.

Onze Minister zendt binnen vier jaar na de inwerkingtreding van deze wet aan de Staten-Generaal een verslag over de doeltreffendheid en de effecten van deze wet in de praktijk.

Een wijziging van een bepaling uit een bindende rechtshandeling van de Europese Unie waarnaar in deze wet en de bijlage van deze wet wordt verwezen geldt voor de toepassing van de bepaling uit deze wet en de bijlage van deze wet waarin de verwijzing is opgenomen met ingang van de dag waarop aan de betrokken wijziging uitvoering moet zijn gegeven, tenzij bij ministerieel besluit, dat in de Staatscourant wordt bekendgemaakt, een ander tijdstip wordt vastgesteld.

De eerste aanwijzingen van entiteiten in de sectoren, genoemd in de bijlage van deze wet, als kritieke entiteit op grond van artikel 6 geschieden uiterlijk op 17 juli 2026. Indien dit artikel na 17 juli 2026 in werking treedt, geschieden de eerste aanwijzingen binnen één maand na de inwerkingtreding van dit artikel.

De eerste risicobeoordeling, bedoeld in artikel 9, geschiedt uiterlijk op 17 januari 2026. Indien dit artikel na 17 januari 2026 in werking treedt, geschiedt de eerste risicobeoordeling binnen één maand na de inwerkingtreding van dit artikel.

De vaststelling van de eerste strategie, bedoeld in artikel 13, geschiedt uiterlijk op 17 januari 2026. Indien dit artikel na 17 januari 2026 in werking treedt, geschiedt de vaststelling van de eerste strategie binnen één maand na de inwerkingtreding van dit artikel.

Wijzigt de Algemene wet bestuursrecht.

Wijzigt de Wet open overheid.

Wijzigt de Wet coördinatie terrorismebestrijding en nationale veiligheid.

1. De voordracht voor een krachtens deze wet vast te stellen algemene maatregel van bestuur wordt niet eerder gedaan dan vier weken nadat het ontwerp aan beide Kamers der Staten-Generaal is overgelegd.
2. Indien zwaarwegende belangen van nationale veiligheid of openbare veiligheid toepassing van het eerste lid verhinderen, kan de voordracht, anders dan van een krachtens artikel 15, vijfde lid, vast te stellen algemene maatregel van bestuur, onverwijld worden gedaan. In dat geval wordt aan beide Kamers der Staten-Generaal gelijktijdig een gemotiveerde mededeling gedaan.

Deze wet treedt in werking op een bij koninklijk besluit te bepalen tijdstip, dat voor de verschillende artikelen of onderdelen daarvan verschillend kan worden vastgesteld.

Deze wet wordt aangehaald als: Wet weerbaarheid kritieke entiteiten.