De CER-richtlijn: wat kritieke entiteiten nu moeten doen

In het kort

De CER-richtlijn — Richtlijn (EU) 2022/2557 betreffende de weerbaarheid van kritieke entiteiten — verving de regels uit 2008 voor Europese kritieke infrastructuur. Ze trad in werking op 16 januari 2023 en moest uiterlijk op 17 oktober 2024 in nationaal recht zijn omgezet. Waar NIS2 over cyberbeveiliging gaat, dekt CER al het andere dat een essentiële dienst kan stilleggen: sabotage, terrorisme, natuurrampen, ongevallen en hybride dreigingen — in de woorden van de richtlijn alle gevaren, “zowel natuurrampen als rampen die, accidenteel of opzettelijk, door de mens worden veroorzaakt”.

De lidstaten moesten hun kritieke entiteiten uiterlijk op 17 juli 2026 aanwijzen en hen daarvan binnen een maand in kennis stellen. Vanaf die kennisgeving loopt de klok: 9 maanden voor een risicobeoordeling, 10 maanden tot de weerbaarheidsmaatregelen gelden.

Voor een exploitant die in augustus 2026 op de hoogte werd gebracht, betekent dat: een risicobeoordeling uiterlijk in mei 2027 en weerbaarheidsmaatregelen van kracht vanaf juni 2027.

Waarom nu

De dreigingen waarvoor CER werd geschreven, zijn niet langer theoretisch. In januari 2026 zette een brandaanslag op hoogspanningskabels in Berlijn zo’n 45.000 huishoudens en 2.200 bedrijven zonder stroom — op sommige plaatsen dagenlang — en het Duitse federale parket onderzoekt de zaak als vermoedelijke sabotage. De Nederlandse inlichtingendienst AIVD stelt sinds de zomer van 2025 een voorzichtige toename vast van sabotage en de voorbereiding ervan, en meer drones in de buurt van vitale infrastructuur. De Belgische Staatsveiligheid (VSSE) zag de dronemeldingen boven luchthavens, militaire terreinen en kerncentrales in het najaar van 2025 een piek bereiken.

Wie valt eronder

CER bestrijkt elf sectoren. Binnen die sectoren wijst elke lidstaat de entiteiten aan waarvan een verstoring aanzienlijke gevolgen zou hebben voor een essentiële dienst:

• Energie, vervoer, volksgezondheid, drinkwater en afvalwater
• Bankwezen, infrastructuur voor de financiële markt en digitale infrastructuur
• Overheid, ruimtevaart, en productie, verwerking en distributie van levensmiddelen

Bankwezen, infrastructuur voor de financiële markt en digitale infrastructuur zijn vrijgesteld van de meeste operationele verplichtingen hieronder, omdat DORA en NIS2 die al dekken (artikel 8). En onder NIS2 geldt elke aangewezen kritieke entiteit ook als essentiële entiteit, ongeacht haar omvang.

Wat een kritieke entiteit moet doen

1. 01

   Risicobeoordeling — binnen 9 maanden

   Beoordeel elk relevant risico voor de dienst: natuurlijk, accidenteel, hybride en terroristisch. Herhaal de beoordeling telkens wanneer dat nodig is, en ten minste om de vier jaar (artikel 12).

2. 02

   Weerbaarheidsmaatregelen — vanaf 10 maanden

   Maatregelen om incidenten te voorkomen; om te zorgen voor fysieke bescherming — de richtlijn noemt “het plaatsen van omheiningen, het oprichten van barrières, instrumenten en routines voor bewaking van de omgeving, detectieapparatuur en toegangscontroles”; om de gevolgen van incidenten te bestrijden, te beperken en ertegen bestand te zijn; om te herstellen; om de personeelsbeveiliging te beheren; en om het personeel bewust te maken (artikel 13). Ze worden vastgelegd in een weerbaarheidsplan, en er wordt een verbindingsfunctionaris aangewezen.

3. 03

   Antecedentenonderzoek

   Voor personen in gevoelige functies, of met toegang tot gebouwen, informatie of controlesystemen, kunnen de lidstaten in antecedentenonderzoek voorzien — ten minste een controle van de identiteit en het strafregister (artikel 14).

4. 04

   Melding van incidenten — binnen 24 uur

   Incidenten die de essentiële dienst aanzienlijk verstoren of kunnen verstoren, worden binnen 24 uur nadat de entiteit er kennis van kreeg gemeld aan de bevoegde autoriteit, in voorkomend geval gevolgd door een gedetailleerd verslag binnen een maand (artikel 15).

5. 05

   Toezicht

   De autoriteiten kunnen inspecties ter plaatse en audits uitvoeren en bevelen dat tekortkomingen worden verholpen. Sancties moeten “doeltreffend, evenredig en afschrikkend” zijn; de bedragen worden nationaal vastgelegd (artikelen 21 en 22).

CER en NIS2: twee helften van één plicht

Stand van zaken per land

Wat het betekent in de controlekamer

Het grootste deel van CER gaat over bestuur en organisatie: risicobeoordelingen, plannen, mensen. Maar drie verplichtingen komen in de controlekamer terecht — en net die kunnen exploitanten het moeilijkst aantonen.

• Detecteren, niet alleen beschermen. Artikel 13 vraagt om detectieapparatuur en perimeterbewaking, niet alleen om omheiningen. Een sensor waar niemand naar kijkt, is geen detectie: alarmen van omheiningen, camera’s, drones en SCADA moeten terechtkomen bij iemand die kan optreden.
• Binnen 24 uur weten. Een eerste melding vraagt dat u snel weet wat er gebeurde, waar, wat er getroffen is en sinds wanneer. Zitten inbraakalarmen, cyberwaarschuwingen en meldingen van ploegen ter plaatse in aparte systemen, dan gaat de eerste dag op aan het reconstrueren van de tijdlijn.
• Maak het aantoonbaar. Toezichthouders kunnen audits en inspecties uitvoeren. Maatregelen die alleen in een plan bestaan, zijn moeilijk te bewijzen; maatregelen die een spoor nalaten — alarmen, interventies, patrouilleverslagen, beslissingen — niet.

Software maakt een exploitant niet in regel. CER is een verantwoordelijkheid van de leiding: de risicobeoordeling, het plan en de beslissingen blijven de uwe. Wat een gedeeld beeld verandert, is of u op tijd kunt detecteren, reageren en melden — en dat kunt aantonen.