Er is een nieuwe wet. Hij heet de Wet weerbaarheid kritieke entiteiten, afgekort Wwke. Voor organisaties die tot de vitale infrastructuur van Nederland behoren, brengt hij concrete verplichtingen mee. Niet alleen op papier, maar aantoonbaar in de praktijk.
Dat laatste is precies waar het bij veel organisaties wringt. De beleidsnotities zijn geschreven. De risicoanalyses zijn uitgevoerd. De maatregelen zijn gedocumenteerd. Maar of de beveiliging ook daadwerkelijk standhoudt wanneer iemand haar onder druk zet, blijft in de meeste gevallen ongetoetst.
De Wwke vraagt expliciet om meer dan dat. En dat maakt fysieke pentesten actueler dan ooit.
Wat de Wwke vraagt
De Wet weerbaarheid kritieke entiteiten is de Nederlandse implementatie van de Europese CER-richtlijn (Critical Entities Resilience). De wet richt zich op organisaties in sectoren die voor de samenleving essentieel zijn: energie, drinkwater, transport, banken, gezondheidszorg, digitale infrastructuur en overheid.
De kern van de wet is eenvoudig samen te vatten: kritieke entiteiten moeten kunnen aantonen dat zij weerbaar zijn tegen verstoringen, sabotage en ongeautoriseerde toegang. Dat vraagt om drie concrete stappen.
- Een risicoanalyse die actuele dreigingen in kaart brengt, inclusief fysieke en menselijke risicofactoren.
- Een weerbaarheidsplan met concrete maatregelen voor toegangsbeveiliging, personeelsscreening, incidentrespons en bedrijfscontinuiteit.
- Periodieke evaluatie en aantoonbare validatie van die maatregelen in de praktijk.
Die derde stap is cruciaal en wordt tegelijkertijd het vaakst overgeslagen. Documentatie beschrijft wat er zou moeten werken. Validatie toont aan wat er daadwerkelijk werkt.
„De vraag is niet óf u beveiligingsmaatregelen heeft. De vraag is of ze functioneren wanneer iemand ze daadwerkelijk test.”
Fysieke weerbaarheid: het onderschatte onderdeel
In de praktijk richten beveiligingsprogramma’s zich overwegend op digitale risico’s. Firewalls, toegangsbeheer in systemen, encryptie, patchbeleid. Dat is begrijpelijk, want de dreiging is zichtbaar en de markt voor oplossingen is groot.
Maar de Wwke maakt geen onderscheid tussen digitaal en fysiek. De wet vraagt om weerbaarheid. En die begint bij de voordeur.
Fysieke kwetsbaarheden zijn in de praktijk vaak opvallend toegankelijk:
- Medewerkers die deuren openhóuden voor onbekenden, omdat behulpzaamheid nu eenmaal in de cultuur zit.
- Bezoekers die onbegeleid doorlopen naar ruimtes waar ze niets te zoeken hebben.
- Receptieprocedures die op papier kloppen, maar in de praktijk niet consequent worden nageleefd.
- Technische ruimtes die bereikbaar zijn via publieke zones, zonder noemenswaardige barriere.
- Medewerkers die gevoelige informatie delen op basis van een overtuigend verhaal van een onbekende.
Geen van deze kwetsbaarheden is zichtbaar in een IT-audit. Ze worden zichtbaar wanneer iemand ze daadwerkelijk test.
Wat een fysieke pentest is en wat niet
Een fysieke penetratietest is een gecontroleerde poging om zonder toestemming toegang te krijgen tot een gebouw, afdeling, systeem of vertrouwelijke informatie. De test wordt uitgevoerd door getrainde specialisten, binnen vooraf vastgelegde kaders en in volledige afstemming met de opdrachtgever.
Dat laatste verdient nadruk. Een fysieke pentest is geen verrassingsaanval op medewerkers. Het is geen spectaculaire inbraakoperatie. Het is een methodische, professionele toets van de beveiligingsmaatregelen die een organisatie heeft getroffen.
De aanpak volgt vaste fasen:
- Voorbereiding: afstemming van doelstellingen, dreigingsprofiel, daderprofiel en Rules of Engagement.
- Observatie en verkenning: inzicht in de fysieke omgeving, routines en gedragspatronen.
- Uitvoering: realistische scenario’s waarbij toegangscontrole, bezoekersprocessen, sociale controle en medewerkersbewustzijn worden getoetst.
- Rapportage: concrete bevindingen, bewijslast, risicoduiding en praktische verbeterrichting.
Het doel is niet om medewerkers te betrappen of te beschamen. Het doel is om processen, maatregelen en bewustzijn te versterken. Dat onderscheid bepaalt ook de toon van een goede rapportage.
Hoe fysieke pentesten aansluiten op de Wwke
De Wwke vraagt van kritieke entiteiten dat zij hun weerbaarheid periodiek evalueren en aantoonbaar maken. Fysieke pentesten zijn daarbinnen geen luxe optie, maar een logisch instrument.
Ten eerste sluiten ze direct aan op de risicoanalyse die de wet vereist. Waar een risicoanalyse dreigingen beschrijft op basis van aannames en ervaringen, maakt een pentest zichtbaar welke van die dreigingen in de praktijk realiseerbaar zijn. Dat geeft de risicoanalyse concretere onderbouwing.
Ten tweede bieden ze invulling aan de validatieplicht. Organisaties moeten kunnen aantonen dat hun maatregelen werken. Een rapportage van een fysieke pentest, inclusief bevindingen en opvolging, is daarvoor een sterker bewijs dan een intern beleidsaudit.
Ten derde versterken ze de security awareness die de Wwke impliciet vraagt. Medewerkers die weten dat hun organisatie periodiek wordt getoetst, zijn alerter. Niet vanuit angst, maar vanuit eigenaarschap.
„Compliance betekent niet automatisch weerbaarheid.”
De verbinding met NIS2
De Wwke staat niet op zichzelf. Parallel daaraan verplicht de Cyberbeveiligingswet, de Nederlandse implementatie van NIS2, essentiële en belangrijke entiteiten tot aantoonbare beveiligingsmaatregelen en periodieke toetsing.
Hoewel NIS2 primair wordt geassocieerd met digitale beveiliging, stelt de wet expliciet eisen aan fysieke beveiliging van systemen en faciliteiten, toegangscontrole, personeelsbeleid en ketenbeveiliging. De fysieke en digitale laag zijn in de NIS2-context onlosmakelijk verbonden.
Voor organisaties die onder zowel de Wwke als NIS2 vallen, biedt een integraal fysiek beveiligingsprogramma, inclusief periodieke pentesten, een efficiënte manier om aan beide verplichtingen invulling te geven. Twee wetten, één aanpak.
Welke sectoren dit raakt
De Wwke richt zich op organisaties in sectoren die als kritiek worden aangemerkt. In de Nederlandse context gaat het om:
- Energie: elektriciteitsproducenten en -distributeurs, gasnetbeheerders, oliebedrijven.
- Drinkwater: drinkwaterbedrijven en beheerders van waterzuiveringsinstallaties.
- Transport: luchtvaart, zeehavens, spoorwegen, wegbeheerders.
- Bancaire sector en financiele marktinfrastructuur.
- Gezondheidszorg: ziekenhuizen, laboratoria, farmaceutische producenten.
- Digitale infrastructuur: datacenters, cloudaanbieders, knooppunten van internetverkeer.
- Overheid: rijksoverheid en in bepaalde gevallen medeoverheden.
Voor al deze sectoren geldt dat fysieke toegangsbeveiliging, het gedrag van medewerkers en de weerbaarheid van processen direct raken aan de continuiteit van kritieke diensten. Een gerichte poging tot ongeautoriseerde toegang is in al deze omgevingen een realistisch scenario, geen theoretische aanname.
Periodiek toetsen als structurele keuze
Een eenmalige pentest geeft inzicht in de situatie op dat moment. Maar beveiliging is geen statische toestand. Medewerkers wisselen. Processen veranderen. Gebouwen worden verbouwd. Dreigingen evolueren.
Organisaties die periodiek toetsen, bouwen aan iets dat structureel waardevoller is dan een goedgekeurd rapport: aantoonbare weerbaarheid die in de tijd is gevolgd en verbeterd. Dat geeft stuurinformatie aan het management, onderbouwing richting toezichthouders en vertrouwen binnen de organisatie.
De Wwke en NIS2 gaan ervan uit dat beveiliging een continu proces is. Fysieke pentesten zijn in dat kader geen eenmalige maatregel, maar een terugkerend instrument in een volwassen beveiligingsprogramma. Om die continuiteit ook meetbaar te maken, worden de uitkomsten van pentesten bij Cocoon samengebracht in een overzichtelijk dashboard. Daarin zijn bevindingen per toets vastgelegd, worden resultaten over de tijd vergeleken en is de progressie in security maturity inzichtelijk voor management en toezichthouders. Zo wordt periodiek toetsen niet alleen een verplichting, maar een instrument voor aantoonbare groei — en de basis voor een langdurige samenwerking.
Wat dit betekent voor uw organisatie
Als uw organisatie onder de Wwke of NIS2 valt, of als u werkt met kritieke processen, gevoelige informatie of een omgeving waar ongeautoriseerde toegang serieuze gevolgen heeft, is de vraag niet óf u uw fysieke beveiliging moet toetsen. De vraag is wanneer en hoe.
Een fysieke pentest geeft geen ongemakkelijk rapport. Het geeft inzicht. Het maakt zichtbaar wat de organisatie goed doet en waar verbetering mogelijk is. Het versterkt de bewustwording bij medewerkers en geeft het management concrete onderbouwing voor investeringsbeslissingen.
Beveiliging is pas zeker als iemand het echt test. De Wwke maakt dat niet alleen raadzaam, maar aantoonbaar noodzakelijk.
„Wij leveren geen rapport. Wij bouwen aan weerbaarheid.”