Weerbaarheid van kritieke entiteiten, de nieuwe grens van risicotoezicht
Uiterlijk 17 juli 2026 waren Belgische sectorale autoriteiten verplicht de kritieke entiteiten aan te wijzen onder de Europese richtlijn voor de weerbaarheid van kritieke entiteiten (EU) 2022/2557, met een formele kennisgeving aan deze entiteiten een maand later. Voor raden in strategische sectoren, zoals energie, bankwezen of digitale infrastructuur, is de vraag niet langer of zij getroffen zullen worden, maar of zij bereid zijn het toezicht op zich te nemen dat dit vereist.
De weerbaarheid van essentiële diensten en de mogelijke impact op de samenleving bij verstoringen zijn al lange tijd een zorg voor beleidsmakers. Toch is de manier waarop deze zorg wordt geformuleerd de afgelopen twee decennia aanzienlijk geëvolueerd. De overgang van de Europese Richtlijn Kritieke Infrastructuur van 2008 naar de CER-richtlijn is meer dan een regelgevende update: het signaleert een bredere conceptuele verschuiving in hoe risico, verstoring en bedrijfscontinuïteit binnen de EU worden begrepen.
Voor bedrijven die actief zijn in strategische sectoren, waarvan veel beursgenoteerd zijn, roept deze ontwikkeling een belangrijke vraag op: wordt weerbaarheid, die lange tijd vooral als operationele kwestie werd behandeld, nu een governancevraagstuk?
Van een beveiligingsparadigma naar een weerbaarheidsparadigma
De richtlijn van 2008 ontstond in een context die werd gedomineerd door zorgen over terrorisme en de bescherming van fysieke infrastructuur. De logica was duidelijk: bepaalde activa, zoals energiecentrales, energienetwerken en transportsystemen, waren van kritiek belang, en hun verstoring kon ernstige grensoverschrijdende gevolgen hebben. Het doel was daarom om deze activa op Europees niveau te identificeren en hun bescherming te verbeteren.
In de loop van de tijd bleek dit kader echter te beperkt naarmate de economie zich ontwikkelde. Essentiële diensten zijn nu afhankelijk van digitale netwerken, financiële infrastructuur en zorgsystemen, en het dreigingslandschap is veel verder gegaan dan terrorisme. Het werd ook duidelijk dat het beschermen van individuele infrastructuurcomponenten niet noodzakelijkerwijs de continuïteit van de diensten die zij ondersteunen garandeert. Een dienst kan falen door organisatorische zwaktes, verstoringen in de toeleveringsketen of kettingreacties tussen sectoren, zelfs wanneer geen enkel stuk "kritieke infrastructuur" direct wordt aangevallen. Het bestaande kader richtte zich op de bescherming van activa, niet op de weerbaarheid van diensten. Die kloof is wat de CER-richtlijn bedoeld is om te dichten.
De CER-richtlijn: een verandering van perspectief
De CER-richtlijn verschuift het organiseringsprincipe van infrastructuur naar entiteiten. In plaats van een gesloten categorie van "essentiële diensten" te definiëren, stelt zij een mechanisme vast waarmee lidstaten kritieke entiteiten identificeren: organisaties in elf vooraf gedefinieerde sectoren, zoals energie, bankwezen, transport, gezondheidszorg en digitale infrastructuur, waarvan de diensten als essentieel worden beschouwd en waarvan de verstoring een "significante" impact zou hebben.
De Richtlijn vermijdt bewust het vastleggen van "essentiële diensten" als een strikte juridische categorie. In plaats daarvan behandelt zij de term als een functioneel referentiepunt: diensten die noodzakelijk zijn voor vitale maatschappelijke of economische activiteiten, beoordeeld aan de hand van het eigen risicolandschap van elke lidstaat in plaats van definitief te worden gedefinieerd. Die flexibiliteit is nuttig, maar betekent ook dat een bedrijf zijn eigen toepassingsomvang niet alleen kan bepalen door de richtlijn te lezen. Het hangt af van hoe nationale autoriteiten de aanwijzingscriteria toepassen.
Die criteria zijn impactgebaseerd in plaats van op activa gebaseerd. Lidstaten moeten onder andere wegen: het aantal gebruikers dat afhankelijk is van de dienst; hoeveel andere sectoren ervan afhankelijk zijn; het marktbelang van de entiteit en de beschikbaarheid van alternatieven; de geografische reikwijdte en waarschijnlijke duur van de verstoring; en onderlinge afhankelijkheden met andere sectoren en systemen. De analyse is systemisch in plaats van statisch. Wat telt is niet of een asset op zichzelf belangrijk is, maar of het verstoren van de dienst die het ondersteunt aanzienlijk zou doorslaan in de economie en samenleving.
Deze verschuiving in aanwijzingslogica weerspiegelt een diepere verschuiving in de regelgevende filosofie. Waar het raamwerk van 2008 bedoeld was om specifieke bedreigingen te voorkomen of te beperken, hanteert de CER-richtlijn een "all-hazards"-benadering: zij gaat ervan uit dat er verstoringen zullen optreden en richt zich op het vermogen van een entiteit om ze te voorkomen, te absorberen, zich aan te passen en ervan te herstellen. Kritieke entiteiten moeten risico's beoordelen, passende technische en organisatorische maatregelen nemen, de bedrijfscontinuïteit waarborgen en belangrijke incidenten rapporteren aan de bevoegde autoriteiten.
Weerbaarheid is in deze zin geen toestand die een bedrijf ooit bereikt. Het is een capaciteit die continu ontwikkeld en verankerd moet worden in de organisatie.
De rol van de lidstaten: discretie en divergentie
Lidstaten staan centraal in het CER-kader. Zij zijn verantwoordelijk voor het uitvoeren van nationale risicobeoordelingen, het aanwijzen van kritieke entiteiten en het toezicht houden op de naleving. Dit gedecentraliseerde ontwerp weerspiegelt reële verschillen in nationale systemen en risico-omgevingen, maar introduceert ook variabiliteit in de toepassing van de Richtlijn.
Aangezien er geen kwantitatieve drempels zijn en de aanwijzingscriteria kwalitatief zijn, kunnen twee lidstaten redelijkerwijs verschillende conclusies trekken over welke entiteiten "kritisch" zijn voor in wezen dezelfde activiteit. Voor bedrijven die over grenzen opereren, kan dat leiden tot asymmetrieënin regelgeving, waarbij sommige diensten in het ene land als kritisch worden beschouwd, maar niet in het buurland.
De praktische implicatie is dat bedrijven niet moeten wachten op een drempel of een checklist. Ze moeten proactief beoordelen of hun activiteiten, gezien hun aard en impact, waarschijnlijk binnen de scope vallen, in plaats van aan te nemen dat de vraag voor hen beantwoord zal worden.
Hoe staat België?
De Belgische wet tot invoering van de CER-richtlijn werd aangenomen op 19 december 2025 en gepubliceerd in het Belgische Staatsblad op 19 januari 2026, waarmee de vorige wet uit 2011 over de bescherming van kritieke infrastructuur werd ingetrokken. De wet is van toepassing op elf sectoren, van energie en transport tot banksector, digitale infrastructuur, water, gezondheid, ruimte en voedselproductie. Elke sector wordt gecontroleerd door een eigen sectorale autoriteit en vereist dat de bevoegde nationale autoriteit een weerbaarheidsstrategie hanteert waarin de prioriteiten van het land worden vastgesteld en afgestemd wordt met NIS2.
De tijdlijn is krap. Sectorale autoriteiten hadden tot 17 juli 2026 om kritieke entiteiten in hun sector aan te wijzen; formele kennisgeving aan die entiteiten moest binnen een maand, vóór 17 augustus 2026. Vanaf de kennisgeving hebben aangewezen entiteiten korte deadlines: zes maanden om een contactpersoon aan te wijzen, negen maanden om een risicoanalyse af te ronden en tien maanden om de maatregelen in hun weerbaarheidsplan uit te voeren. Entiteiten die al als kritieke infrastructuur zijn aangewezen onder het regime van 2011 gaan automatisch over naar de nieuwe status vanaf 17 juli 2026, terwijl ze onderworpen blijven aan bepaalde overgangsverplichtingen van de oude wet tot 17 mei 2027. De wetgevingsfase is nu afgerond. Wat overblijft is de identificatie en aanwijzing, risicoanalyse en weerbaarheidsplanning, allemaal binnen deze deadlines.
Niet-naleving vormt geen papierwerkrisico. Administratieve boetes kunnen oplopen tot €125.000 per overtreding, en strafrechtelijke sancties, waaronder gevangenisstraf, gelden bij ernstige schendingen van de interne weerbaarheidsmaatregelen. Sectorale inspecteurs hebben ook brede controlebevoegdheden, waaronder onaangekondigde toegang tot het pand en documenten van een entiteit, inclusief het weerbaarheidsplan zelf.
Wat dit betekent voor besturen
De CER-richtlijn behandelt niet direct corporate governance-structuren. Zij legt verplichtingen op aan "entiteiten", niet aan raden of bestuurders. Toch zijn risicobeoordeling, weerbaarheidsplanning en continuïteitsbeheer niet puur technische functies. Ze omvatten strategische keuzes, middelenallocatie en het prioriteren van risico's – inclusief afwegingen tussen efficiëntie en redundantie, en tussen korte termijnprestaties en langetermijnrobuustheid. Dit zijn van nature vragen op bestuursniveau.
Drie gevolgen volgen voor raden in kritieke sectoren:
Weerbaarheid wordt een vast agendapunt, geen onderwerp dat alleen in een crisis wordt aangekaart.
De toezichtsverantwoordelijkheden breiden zich uit van financiële en compliance-risico's tot een breder scala aan operationele en systemische risico's. Besturen moeten controleren of hun bestaande monitoringskaders deze dimensies daadwerkelijk omvatten.
Regelgevende regimes beginnen elkaar te overlappen op manieren die coördinatie vereisen. CER staat naast NIS2 (cybersecurity) en CSRD (duurzaamheidsrapportage), en de drie delen nu echt terrein: NIS2 en CER leggen beide incidentrapportageverplichtingen op die door hetzelfde incident kunnen worden getriggerd, en de weerbaarheids- en risicomanagementrapportages van CSRD maken steeds meer gebruik van dezelfde onderliggende risicoanalyse die een CER-resilienceplan vereist. Een raad die deze als drie afzonderlijke compliance-trajecten behandelt, geleid door drie afzonderlijke teams, zal uiteindelijk werk dupliceren en het risico lopen op inconsistente openbaarmakingen. De meer verdedigbare aanpak is een geïntegreerd risico-governance kader dat alle drie voedt.
Voor raden in mogelijk getroffen sectoren is het praktische uitgangspunt minder een checklist dan een reeks vragen die aan het management en aan het bestuur zelf worden voorgelegd:
Hebben we onze blootstelling bevestigd? Controleer bij het management of het bedrijf op de hoogte is gebracht of waarschijnlijk zal worden geïnformeerd.
Wie bezit CER op bestuursniveau? Identificeer waar CER-risicoanalyse, NIS2-verplichtingen en CSRD-rapportages al data of processen delen, en bepaal wie het op bestuursniveau bezit. Sommige sectoren profiteren ook van een equivalentiemechanisme dat bepaalde CER-verplichtingen kan verlichten waar al een vergelijkbaar sectoraal regime van toepassing is.
Is weerbaarheid momenteel zichtbaar voor de raad? Als verstoringsrisico alleen naar voren komt als een onderdeel binnen een cybersecurity- of auditupdate, kan het bestuur het bredere beeld missen dat de CER-richtlijn moet weergeven.
Hebben bestuurders wat ze nodig hebben om het weerbaarheidsplan uit te dagen? Een weerbaarheidsplan dat door het management is opgesteld, moet iets zijn dat de raad zinvol kan bevragen – over afwegingen, aannames en wat "significante impact" betekent voor hun organisatie.
In die zin herdefinieert de CER-richtlijn de onderliggende vraag voor raden: niet hoe verstoring te voorkomen, maar hoe te blijven functioneren door deze besturing.
GUBERNA zal blijven volgen hoe CER-, NIS2- en CSRD-verplichtingen op bestuursniveau samenkomen, en wat die convergentie betekent voor hoe raden hun risicotoezicht organiseren.