Hackers lezen geen wetten: waarom cyber (NIS2/Cbw) en fysieke weerbaarheid (Wwke/CER) één verhaal zijn

Het is dinsdagochtend 07.42 uur. In de controlekamer van een regionale netbeheerder komt een verstoring binnen: het klantportaal reageert traag en een deel van de monitoring valt uit, onder meer de telemetrie van enkele onbemande onderstations. Het SOC pakt het op, onderzoekt de logs en houdt rekening met een mogelijke aanval op de ICT-omgeving. De dienstdoend CISO wordt geïnformeerd, de meldplicht-klok gaat voor de zekerheid aan.

Zestig kilometer verderop meldt een monteur die ochtend iets anders: bij een onbemand onderstation staat het hek open, een besturingskast is geforceerd. Vermoedelijk koper diefstal, denkt hij, het gebeurt vaker. De melding gaat naar facilitair, de politie maakt proces-verbaal op.

Twee meldingen, twee systemen, twee managers. Allebei worden ze afgehandeld volgens het eigen draaiboek. Dat ze op hetzelfde moment plaatsvinden, in hetzelfde gebied, valt niemand op, de informatie zit in verschillende hoofden, en niemand heeft de opdracht om die naast elkaar te leggen

Dit scenario is fictief, maar de dreiging is dat allerminst. Precies daarom treden op 15 augustus 2026 twee wetten gelijktijdig in werking: de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Samen vormen ze het antwoord van de wetgever op een dreiging die zich niets aantrekt van de scheidslijn tussen digitaal en fysiek. Toch behandelen veel organisaties beide wetten als gescheiden trajecten. In dit blog lees je waarom dat een blinde vlek is.

Het speelveld op 15 augustus 2026

Alle aandacht gaat naar de Cbw en dat is niet vreemd. De wet raakt zo'n 8.000 tot 9.000 organisaties direct, en nog veel meer indirect via de keten. Dat de Wwke exact dezelfde dag in werking treedt, is echter geen toeval. Het is een bewuste keuze van de Europese wetgever: nu organisaties hybride werken, zijn ook dreigingen hybride geworden.

De NIS2-richtlijn (geïmplementeerd via de Cbw) en de CER-richtlijn (geïmplementeerd via de Wwke) zijn zusterrichtlijnen. Beide vergroten de weerbaarheid van kritieke sectoren: de één digitaal, de ander fysiek.

Eén entiteit, twee regimes

De Cbw wijst 18 kritieke sectoren aan (17 uit bijlage I en II, aangevuld met het hoger onderwijs). De Wwke bestrijkt er 11. De overlap is fors o.a. energie, vervoer, drinkwater, gezondheidszorg en overheid vallen in beide regimes.

Er zijn wel verschillen:

• Reikwijdte: de Cbw richt zich op cyber, de Wwke op fysieke beveiliging, personeel, continuïteit en keten­afhankelijkheden.

• Toepassing: onder de Cbw beoordeel je zélf of je eronder valt. Indien je onder de Wwke valt, word je aangewezen door de minister. Wie is aangewezen, valt automatisch óók onder de Cbw, ongeacht organisatiegrootte.

• Verplichtingen: risicoanalyse, zorgplicht, incidentmeldingen en toezicht komen in beide wetten terug, met eigen deadlines en accenten.

Waarom de Wwke ondergesneeuwd raakt

Ondanks de overlap krijgt de Wwke opvallend weinig aandacht. Daar zijn twee redenen voor.

Ten eerste leent de wet zich slecht voor productverkoop. Zolang organisaties niet zijn aangewezen, weet de markt niet wie de doelgroep is. Bovendien gaat de Wwke over hekwerken, screening, crisisplannen en redundante processen, minder "sexy" dan een dashboard of e-learning.

Ten tweede heeft NIS2 een enorme marketing­machine achter zich: leveranciers, tooling, consultants en verplichte bestuurderstrainingen. Daar komt bij dat CISO's doorgaans aan de bestuurstafel zitten, terwijl de facilitair manager of BCM-verantwoordelijke die positie zelden heeft en vaak niet voldoende kennis om de Wwke te implementeren.

Daar komt bij dat veel organisaties denken dat ze fysieke beveiliging al hebben afgedekt. Fysieke maatregelen zijn immers een expliciet onderdeel van ISO27001 en NEN7510. In de praktijk wordt dat hoofdstuk echter vaak buiten scope gelaten met het argument: “fysiek, dat is het datacenter, daar hebben wij een leverancier voor.” Die redenering is te kort door de bocht. Ook jouw kantoor moet beveiligd zijn, ook jouw serverruimte, ook jouw laptops. Cyberbeveiliging is niet compleet zonder fysieke risico’s, en dat staat zwart-op-wit in de normen die veel organisaties al jaren hanteren. De Wwke maakt die verplichting alleen nog explicieter en breidt hem uit naar continuïteit, personeel en keten.

Het gevolg: organisaties bouwen een prachtig cyberhuis op een fysiek wankel fundament.

De hybride dreiging is de kern

De actualiteit benadrukt waarom die scheiding gevaarlijk is. Drone-incidenten bij vliegvelden en energiecentrales. Sabotage van kabels en pijpleidingen op de Noordzee. Statelijke actoren die IT én OT aanvallen. Insiders die zowel fysieke als digitale toegang misbruiken.

Toch werken we in gescheiden domeinen. De CISO ziet het digitale spoor, de facilitair manager het fysieke. Terwijl incidenten juist bewust samenvallen om detectie en respons te overbelasten. Een digitale verstoring kan fysieke gevolgen triggeren en andersom.

Een aanvaller denkt niet in hoofdstukken van wetten. Jouw verdediging moet dat ook niet doen.

Praktisch: hoe voorkom je dubbel werk én blinde vlekken?

Kies voor een integrale aanpak, het is efficiënter ook wanneer je niet aan beide wetten hoeft te voldoen. Vijf concrete stappen:

1. Eén geïntegreerde risicobeoordeling die cyber- en fysieke risico's afdekt.

2. Eén governance-structuur: vermijd aparte Cbw- en Wwke-stuurgroepen.

3. Gezamenlijke incidentrespons: cyber-SOC en fysieke beveiliging op één piket.

4. Geharmoniseerde meldplichten: voorkom dat hetzelfde incident langs twee lijnen anders wordt gemeld.

5. Verbrede ketenanalyse: leveranciersrisico's zijn nooit puur digitaal of puur fysiek.

Tot slot

15 augustus 2026 is geen cyberdeadline. Het is een weerbaarheidsdeadline. De vraag is niet of jouw organisatie Cbw- en Wwke-compliant is. De vraag is of jouw organisatie op 16 augustus 2026 een gecoördineerde, hybride aanval overleeft.

Wil je weten wat de NIS2 en Cyberbeveiligingswet concreet betekenen voor jouw organisatie en hoe je aan de verplichtingen voldoet? Tijdens onze NIS2-compliance training krijg je praktische handvatten om de vereisten te vertalen naar jouw organisatie.