De Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten gaan op dezelfde datum gelden. De Cbw vormt de Nederlandse implementatie van de Europese NIS2-richtlijn. De Wwke geeft uitvoering aan de Europese CER-richtlijn, die is gericht op de weerbaarheid van kritieke entiteiten.
De twee wettelijke regimes hebben een verschillend vertrekpunt. De Cyberbeveiligingswet richt zich voornamelijk op cybersecurity. De Wwke kijkt breder naar fysieke beveiliging, personeel, continuïteit en afhankelijkheden binnen ketens. Volgens ICTRecht overlappen de wetten onder meer bij sectoren als energie, vervoer, drinkwater, gezondheidszorg en overheid.
Ook zijn er verschillen in de manier waarop organisaties onder de wetten vallen. Voor de Cbw moeten organisaties in beginsel zelf beoordelen of zij binnen de reikwijdte vallen. Kritieke entiteiten onder de Wwke worden door de verantwoordelijke minister aangewezen. Een organisatie die als kritieke entiteit onder de Wwke wordt aangewezen, valt volgens ICTRecht automatisch ook onder de Cyberbeveiligingswet.
Beide wetten bevatten elementen zoals risicoanalyses, zorgplichten, incidentmeldingen en toezicht. Dat maakt het volgens ICTRecht onwenselijk om de implementatie volledig van elkaar te scheiden.
Een beveiligingsincident houdt zich namelijk niet aan organisatorische grenzen. Een aanvaller kan bijvoorbeeld digitale systemen verstoren en tegelijkertijd misbruik maken van fysieke toegang tot een locatie. Andersom kan sabotage van apparatuur of infrastructuur gevolgen hebben voor digitale dienstverlening.
Daarom pleit ICTRecht voor een gezamenlijke aanpak. Organisaties kunnen cyber- en fysieke risico’s samenbrengen in één risicobeoordeling, de governance op elkaar afstemmen en digitale en fysieke beveiliging gezamenlijk betrekken bij incidentrespons. Ook leveranciers en andere ketenpartners moeten vanuit beide perspectieven worden beoordeeld.
Bron: ICTRecht