Weerbaarheid: weet je of het werkt?

Op papier is pas het begin

De Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten vragen meer dan beleid en maatregelen. De uitvoeringsregels vragen ook om aantoonbare toepassing, testen en oefenen, en periodieke evaluatie van de doeltreffendheid van de maatregelen (Cyberbeveiligingsbesluit, 2026; Besluit weerbaarheid kritieke entiteiten, 2026).

Dat levert drie vragen op bij elke maatregel.

1. Aanwezig: ligt het vast?
2. Toegepast: gebeurt het ook?
3. Werkzaam: bereikt het zijn doel?

Neem toegang. Het toegangsbeleid staat op papier: aanwezig. Rechten worden uitgegeven, gewijzigd én ingetrokken: toegepast. Periodieke controle laat zien of alleen de juiste personen nog toegang hebben: werkzaam.

Besturen gaat niet alleen omlaag

Daarmee wordt een oud inzicht uit de veiligheidskunde opnieuw actueel. Rasmussen (1997) en Leveson (2004) benaderen risicobeheersing als besturing over meerdere niveaus. Sturing gaat omlaag: van risico en beleid naar eisen, maatregelen en uitvoering. Terugkoppeling gaat omhoog: van waarneming en monitoring naar toetsing en evaluatie. Zonder terugkoppeling weet je niet of die sturing in de praktijk werkt.

In mijn werk zie ik dat nieuwe eisen vaak landen als documenten, processen en technische maatregelen. Wat daarna komt, is lastiger: wie ziet of ze daadwerkelijk functioneren, en komt die informatie bij degene die moet besluiten?

Hoe stel je vast dat een maatregel werkt, en niet alleen bestaat?

De weg omhoog

Een afwijking, een storing of een incident begint als signaal. Daarna volgen detectie, beoordeling, informatie en besluit. Niet elk incident hoort in de bestuurskamer. Wel moet de informatie aankomen waar het juiste besluit valt.

De termijnen maken dat concreet. Bij een significant incident volgt onverwijld, en uiterlijk binnen 24 uur nadat de organisatie er kennis van heeft gekregen, een vroegtijdige waarschuwing (Cyberbeveiligingswet, 2026). Een kritieke entiteit meldt vanaf tien maanden na aanwijzing een incident dat de essentiële dienst aanzienlijk verstoort of kan verstoren binnen 24 uur na kennisname, of zo snel mogelijk als dat operationeel niet kan (Wet weerbaarheid kritieke entiteiten, 2026).

De 24 uur begint bij kennis van het significante incident. Weerbaarheid begint daarvoor al: detectie hoort bij de zorgplicht, melden bij de meldplicht.

Weerbaarheid stopt niet bij de systemen

Digitaal gaat het om identiteit, autorisatie en monitoring. Fysiek om zones, toegang en detectie. In de organisatie om rollen, bevoegdheden en opvolging. Een camera kan technisch functioneren, terwijl de opvolging ontbreekt. Dan is de maatregel aanwezig, maar niet werkzaam.

Wat blijkt te werken

Het verschil zit daarom in de werking van beleid en techniek. Vastleggen, toepassen, terugkoppelen en evalueren: weerbaarheid stopt niet bij implementatie.

Weerbaarheid is niet wat je hebt geregeld. Het is wat blijkt te werken.