Sinds 15 augustus zijn de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten (Wwke) van kracht. Nieuwsuur berichtte deze week dat beveiligingsbedrijven die red team-acties uitvoeren, een flinke toename in aanvragen zien. Onder de organisaties die door het programma werden aangehaald: Cocoon Risk Management.
De twee wetten verplichten samen zo’n 8000 Nederlandse organisaties om hun digitale en fysieke weerbaarheid serieus in kaart te brengen. De 500 meest essentiële daarvan, zoals drinkwaterbedrijven, energiebedrijven en digitale infrastructuur, gelden als kritieke entiteit en moeten aan de hoogste eisen voldoen.
De balie blijft het zwakste punt
Wat opvalt in het item, is niet de techniek. Het is hoe vaak de eenvoudigste route werkt. Cocoon-directeur Tim Gerding vertelt aan Nieuwsuur dat zijn team over allerlei middelen beschikt, van drones tot gekopieerde toegangspasjes. Maar de meest gebruikte ingang is een balie waar iemand gewoon wordt binnengelaten.
Dat sluit aan bij wat Cocoon al langer ziet in de praktijk: technische maatregelen zeggen weinig over wat er gebeurt op het moment dat iemand er daadwerkelijk mee te maken krijgt. Een sluitend toegangsbeleid op papier is geen bewijs dat het ook standhoudt bij een onaangekondigd bezoek.
Gerding wijst in het item ook op de bredere context. Nederland onderschat de dreiging, stelt hij, terwijl de geopolitieke situatie minder vanzelfsprekend is geworden dan een paar jaar geleden. Die inschatting is precies waarom de wetgever nu vastlegt wat voorheen vrijblijvend was.
Waarom dit meer is dan een compliance-verplichting
De Cyberbeveiligingswet implementeert de Europese NIS2-richtlijn, de Wwke de CER-richtlijn. Beide zijn gericht op weerbaarheid, niet alleen op digitale systemen maar ook op de fysieke kant: gebouwen, toegang, mensen. Voor organisaties die onder de wetten vallen, geldt een zorgplicht en een meldplicht. Bij essentiële instellingen kunnen boetes voor het niet naleven oplopen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet.
De wet schrijft niet voor dat elke organisatie verplicht een red team moet inhuren. Wel moeten organisaties hun eigen risico’s in kaart brengen en passende maatregelen nemen, inclusief de risico’s die ontstaan via leveranciers en ketenpartners. Precies dat ketenaspect wordt in het Nieuwsuur-item genoemd als onderbelicht: een organisatie kan de eigen beveiliging op orde hebben en alsnog kwetsbaar zijn via een cateraar of leverancier met minder budget voor security.
Voor bestuurders betekent dit een verschuiving. Waar weerbaarheid eerder een kwestie van goed fatsoen was, is het nu een aantoonbare verantwoordelijkheid. En aantoonbaar is het sleutelwoord: niet wat er op papier staat, maar wat blijkt zodra iemand het echt test.
Wat dit betekent voor de praktijk
Een compliance-checklist beantwoordt niet de vraag of een toegangsbeleid ook standhoudt bij een onaangekondigd bezoek. Dat is precies waar fysieke validatie een rol speelt, naast de bekendere digitale kant van NIS2 en Wwke:
- Een fysieke penetratietest test toegangsbeveiliging, procedures en het gedrag van medewerkers in de praktijk
- Een red teaming-traject simuleert een realistische aanval over meerdere vectoren tegelijk, fysiek en digitaal
- Een social engineering assessment legt bloot hoe medewerkers reageren op een overtuigend verhaal aan de balie
Bron: NOS/Nieuwsuur, “Inbreken tegen betaling populair door nieuwe beveiligingswetten”, 15 augustus 2026. Aanvullende context: Rijksoverheid, nieuwsbericht over de inwerkingtreding.