Wet weerbaarheid kritieke entiteiten: wat verandert er voor beveiligers?

Er zijn twee soorten wetten voor beveiligers. De ene gaat over jóu: of je het werk mag doen, welke pas je nodig hebt, wat er gebeurt als je gescreend wordt. De andere gaat over de plek waar je staat. De Wet weerbaarheid kritieke entiteiten is nadrukkelijk het tweede type — en juist daarom wordt hij in berichten voor beveiligers vaak verkeerd uitgelegd.

Hieronder staat wat er echt in staat, met de artikelnummers van de Europese richtlijn erbij zodat je alles zelf kunt nalezen. En ook het eerlijke antwoord op de vraag die je waarschijnlijk het meest bezighoudt: wannéér merk ik hier iets van op mijn post?

Wat is de Wet weerbaarheid kritieke entiteiten?

De Wwke is de Nederlandse uitwerking van de Europese CER-richtlijn (richtlijn 2022/2557), voluit de richtlijn over de weerbaarheid van kritieke entiteiten. Het wetsvoorstel is op 2 juni 2025 ingediend, de Tweede Kamer stemde er op 15 april 2026 mee in, de Eerste Kamer op 7 juli 2026, en de wet is op 15 augustus 2026 in werking getreden.

De kern is simpel: sommige organisaties leveren een dienst die de samenleving niet kan missen. Valt de stroom uit, ligt het drinkwater eruit of moet een ziekenhuis sluiten, dan is dat geen bedrijfsprobleem meer maar een maatschappelijk probleem. Zulke organisaties heten in deze wet kritieke entiteiten. Ze moeten aantoonbaar in kaart brengen wat hun risico’s zijn en maatregelen nemen om ze terug te brengen tot een aanvaardbaar niveau.

Het woord dat er voor beveiligers toe doet is weerbaarheid, niet cyber. De Wwke gaat uitdrukkelijk ook over fysieke dreiging: sabotage, inbraak, brand, terrorisme, overstroming, extreem weer, een pandemie. Dat is precies het terrein waarop beveiligingspersoneel werkt.

Twee wetten die op dezelfde dag ingingen — en steeds door elkaar worden gehaald

Op 15 augustus 2026 traden er twéé wetten in werking, niet één. Ze worden voortdurend verward, ook in artikelen die zeggen over beveiligers te gaan. Het verschil is de moeite waard, want alleen de eerste raakt jouw werk direct.

Een organisatie kan onder beide wetten vallen. Een kritieke entiteit moet namelijk ook aan de Cyberbeveiligingswet voldoen. Maar het omgekeerde geldt niet: verreweg de meeste van die ruim achtduizend organisaties zijn géén kritieke entiteit en krijgen dus niets van de fysieke eisen te maken.

Werk jij op een kritieke entiteit?

De bijlage bij de Wwke noemt elf sectoren. Ministeries kunnen daar later sectoren aan toevoegen; in overzichten van de rijksoverheid worden in dat verband ook de nucleaire sector en meteorologie genoemd. Hieronder staan de elf uit de wet zelf, vertaald naar werkplekken die je herkent uit vacatureteksten. Let op: dat een sector in de wet staat, betekent niet dat elk bedrijf erin wordt aangewezen. Het gaat om de organisaties waarvan het uitvallen echt maatschappelijk doorwerkt.

Herken je je werkplek hierin? Dan zit je in de juiste hoek — maar reken je niet rijk. Het gaat om ongeveer 500 organisaties in heel Nederland, en er zijn veel meer ziekenhuizen, datacenters en distributiecentra dan dat. Aangewezen wordt alleen wie zo groot of zo onmisbaar is dat uitval maatschappelijk doorwerkt; de enige manier om het zeker te weten is het vragen, en daar komen we onderaan op terug. Werk je in objectbeveiliging, op een luchthaven of in een ziekenhuis, dan zit je precies in de hoek waar deze wet landt. Hetzelfde geldt voor collega’s in de geld- en waardelogistiek, die met het bankwezen verweven is.

Wat de wet van je opdrachtgever eist — en waarom dat jouw werk is

Aangewezen organisaties krijgen een zorgplicht: passende en evenredige technische, beveiligings- en organisatorische maatregelen nemen. Dat klinkt als beleidstaal, tot je de tekst zelf openslaat. Artikel 15, eerste lid, onderdeel b van de Wwke verplicht de entiteit "te zorgen voor adequate fysieke bescherming van haar gebouwen en de kritieke infrastructuur", en die zin loopt in de Nederlandse wettekst zelf door: "terdege rekening houdend met bijvoorbeeld"

• het plaatsen van omheiningen;
• het oprichten van barrières;
• instrumenten en routines voor bewaking van de omgeving;
• detectieapparatuur;
• toegangscontroles.

Lees dat rijtje nog eens. Dat is geen nieuwe technologie en geen extra laag bureaucratie — dat is de functieomschrijving van een objectbeveiliger, opgeschreven in de Nederlandse wet. Ronde lopen, hekwerk controleren, camerabeelden uitkijken, bepalen wie er naar binnen mag: het staat er allemaal.

Daar zit ook de kans in. Waar beveiliging tot nu toe een kostenpost was die bij de eerste bezuinigingsronde onder druk stond, wordt ze bij deze organisaties een wettelijke verplichting waarop een toezichthouder controleert. Verplichtingen laten zich moeilijker wegbezuinigen dan goede voornemens. Voor de arbeidsmarkt in objectbeveiliging is dat een steun in de rug.

De tweede screening: een antecedentenonderzoek naast je beveiligingspas

Dit is het onderdeel dat je persóónlijk kan raken, en het wordt zelden goed uitgelegd — ook omdat er twee teksten door elkaar lopen. Begin daarom bij de bepaling die in Nederland écht geldt. Artikel 15, eerste lid, onderdeel e van de Wwke verplicht een kritieke entiteit om te zorgen voor adequaat beheer van personeelsbeveiliging, en noemt daarbij vier maatregelen:

1. het vaststellen van categorieën personeelsleden die kritieke functies vervullen, daarbij rekening houdend met het personeel van externe dienstverleners;
2. het vaststellen van het recht van toegang tot gebouwen, kritieke infrastructuur en gevoelige informatie;
3. het instellen van procedures voor antecedentenonderzoek en het aanwijzen van categorieën van personen die daaraan moeten worden onderworpen;
4. het vaststellen van passende opleidingsvoorschriften en kwalificaties.

Punt 3 is waar het voor jou om draait, en let goed op wie daar aan zet is: de entiteit stelt die procedure zélf op en bepaalt zélf welke categorieën mensen eraan worden onderworpen. Er is geen landelijk loket en geen voorgeschreven standaardonderzoek. In de praktijk betekent dat voorlopig: screening met de middelen die er al zijn — in Nederland vrijwel altijd een VOG — bóvenop de screening die je voor je beveiligingspas al hebt doorlopen.

Wie er onder zo’n onderzoek gaat vallen, bepaalt de entiteit dus zelf — maar de richtlijn laat wel zien welke kant het op wijst. Artikel 14 noemt drie groepen: mensen met een gevoelige functie in of voor de kritieke entiteit, mensen die rechtstreeks of op afstand toegang hebben tot de gebouwen, de informatie of de controlesystemen, en mensen die voor zo’n functie in aanmerking komen — dus ook sollicitanten.

Die tweede groep is voor beveiligers de belangrijkste, want die is ruim en gaat over tóegang. Wie de sleutels heeft, wie de meldkamer in mag en wie ’s nachts alleen over het terrein loopt, valt daar naar de letter gewoon in. Werk je via een extern beveiligingsbedrijf en niet vanuit de loonlijst van de entiteit? Dan helpt dat je er niet buiten: de eerste groep spreekt met zoveel woorden over een functie "in of voor" de entiteit, en de tweede gaat over toegang en niet over wie je salaris betaalt. Sterker nog: de wet zegt het met zoveel woorden. Bij het vaststellen van de categorieën personeelsleden met een kritieke functie moet de entiteit uitdrukkelijk "rekening houden met het personeel van externe dienstverleners" (artikel 15, eerste lid, onderdeel e onder 1°). Een inhuurconstructie houdt je dus niet buiten schot — dat staat in bindend Nederlands recht, niet alleen in de richtlijn.

Over de inhoud is de richtlijn concreet. Zo’n onderzoek stelt ten minste de identiteit van de persoon vast en raadpleegt het strafregister — en dan op strafbare feiten die relevant zijn voor die specifieke functie, niet op alles wat je ooit is overkomen. Heb je in een ander EU-land gewoond of gewerkt, dan kunnen de gegevens uit dat land worden opgevraagd via het Europees Strafregisterinformatiesysteem. Voor beveiligers met een buitenlandse werkhistorie is dát het verschil met de screening die ze kennen.

Want die screening kennen ze al. Als beveiliger ben je al doorgelicht door de korpschef voordat je je pas kreeg. Het punt is dat dit een twééde, andere toets is, met een andere opdrachtgever en een ander doel.

Dat laatste vakje verdient een aparte alinea. Een negatief oordeel bij een opdrachtgever is juridisch iets anders dan het intrekken van je toestemming door de korpschef: dat zijn twee losse trajecten met twee verschillende beoordelaars, en je raakt je pas er dus niet automatisch door kwijt. Maar wees eerlijk naar jezelf: komt er bij zo’n onderzoek iets boven tafel waar je werkgever niet van wist, dan kan dat wél aanleiding zijn om je Wpbr-toestemming opnieuw tegen het licht te houden. Wat er precies gebeurt als je een strafblad hebt, en welke terugkijktermijnen daarbij gelden, staat uitgebreid in beveiliger worden met een strafblad. De regels rond de pas zelf staan in de meest gestelde vragen over beveiligingspassen.

De klok van 24 uur: jouw rapportage is het begin van de melding

Kritieke entiteiten krijgen een meldplicht. Een incident dat hun essentiële dienst aanzienlijk verstoort, moeten ze zonder onnodige vertraging melden bij de bevoegde autoriteit, en artikel 17, eerste lid van de Wwke zet daar een termijn op: een eerste melding binnen 24 uur nadat de organisatie kennis heeft genomen van het incident — of, als dat operationeel niet mogelijk is, zo snel mogelijk daarna. Het gedetailleerde verslag volgt uiterlijk een maand na die melding (artikel 17, vierde lid). Dezelfde termijnen staan in artikel 15 van de CER-richtlijn, waar deze bepaling op teruggaat.

Nu de praktische vertaling. Wie neemt er in zo’n organisatie als eerste kennis van een fysiek incident? Dat is bijna altijd de beveiliger. De receptie is dicht, de kantoren zijn leeg, en jij loopt de ronde. Die 24 uur begint dus in de praktijk te lopen op het moment dat jij iets constateert — en de melding die de organisatie doet, wordt gebouwd op jouw rapport.

Daarmee verandert het gewicht van een dagrapport. Tot nu toe was dat vooral intern; straks kan het de onderbouwing zijn van een wettelijke melding aan een toezichthouder. Vijf dingen die dan echt in je rapportage moeten staan:

Vraag bij je werkgever of opdrachtgever na wie de melding doet en hoe jouw rapportage daar terechtkomt. Als die route niet is afgesproken, is dat op een aangewezen object een gat — en het is een gat dat jij als eerste ziet. Hoe je diensten en bereikbaarheid formeel geregeld zijn, staat in je rooster in de beveiliging.

Wat de Wet weerbaarheid kritieke entiteiten voor jou betekent — en wanneer

Hier wijkt dit artikel af van de berichten die suggereren dat er per 15 augustus iets veranderde op de werkvloer. Dat is niet zo, en de reden staat gewoon in de procedure.

Tel het op: een organisatie die in september 2026 wordt aangewezen, moet ergens in de zomer van 2027 aan de zorgplicht voldoen. De praktische gevolgen op je post — strengere toegangsprocedures, een extra screening, aangescherpte rapportage-eisen — komen dus in de loop van 2027, en waarschijnlijk gefaseerd. Wie je vertelt dat er per 15 augustus iets op je post is veranderd, gaat te snel.

Wat je wél al kunt merken: organisaties die weten dat ze worden aangewezen, beginnen nu met voorbereiden. Aanbestedingen voor beveiligingsdiensten krijgen zwaardere eisen, en werkgevers gaan vragen stellen over opleiding en screening die ze vorig jaar niet stelden.

En voor beveiligingsbedrijven: je staat in de risicobeoordeling van je opdrachtgever

Voor werkgevers zit de grootste consequentie niet in de wettekst over henzelf — die is er niet — maar in wat de wet van hun opdrachtgevers eist. Een kritieke entiteit moet bij haar risicobeoordeling meewegen in hoeverre ze afhankelijk is van diensten van andere partijen (artikel 12 lid 2 van de richtlijn), én ze moet haar personeelsbeveiliging op orde hebben: toegangsrechten, screeningprocedures en opleidingsvoorschriften.

Bewaak jij haar terrein, dan zit je in allebei die plaatjes. In de praktijk betekent dat:

• Papieren gaan meetellen bij de gunning. Verwacht in aanbestedingen vragen over screening, opleidingsniveau, verloop en continuïteit bij uitval — en dat je die met documenten moet staven, niet met een toezegging.
• Onderaanneming wordt gevoeliger. Zet je werk door naar zzp’ers of een ander bureau, dan wordt de keten langer — en je opdrachtgever moet die hele keten kunnen verantwoorden.
• Bezetting wordt een contractrisico. Bij een organisatie met een zorgplicht is een onbezette post niet langer alleen een servicekwestie.
• Er ontstaat ruimte om je te onderscheiden. Een bedrijf dat zijn screening, opleiding en aflossing op orde heeft en dat kan láten zien, wint hier werk mee.

Dat vraagt vooral om personeel dat gescreend, opgeleid en beschikbaar is. Precies daar wringt het op dit moment: in de sectoren die worden aangewezen — zorg, energie, vervoer, datacenters — staat de bezetting al onder druk.

Wat je nu al kunt doen

1. Zoek uit of je opdrachtgever wordt aangewezen. Vraag het gewoon aan je leidinggevende of objectleider. Op een aangewezen object gaan de komende maanden dingen veranderen en het is prettiger dat te weten dan het te merken.
2. Houd je rapportages strak. Tijdstip van constatering, feitelijke waarneming, wie gealarmeerd. Dat is sowieso goed vakwerk, en op een kritieke entiteit wordt het straks meegelezen door een toezichthouder.
3. Regel je papieren op tijd. Een verlopen pas of een diploma dat je nog moet halen, is bij een opdrachtgever met een zorgplicht een groter probleem dan elders.
4. Wees niet verrast door een extra screening. Word je gevraagd mee te werken aan een antecedentenonderzoek van de opdrachtgever, dan is dat geen wantrouwen richting jou, maar een verplichting van hen. Vraag wel op waarvoor het dient en wie de uitkomst krijgt.
5. Zie de kans. Ervaring op een vitaal object — datacenter, ziekenhuis, energiebedrijf, haven — wordt de komende jaren waardevoller op je cv, niet minder.

Wat je nu al aan rechten hébt — loon, toeslagen, verlof, rooster — staat bij elkaar in ons overzicht van de cao Particuliere Beveiliging 2026. En de wet die over jóu gaat in plaats van over je opdrachtgever, met de discussie over de persoonsgebonden pas, staat in de Wpbr en de nieuwe beveiligingswet.

Veelgestelde vragen over de Wet weerbaarheid kritieke entiteiten