De sector gezondheidszorg onder de Wet weerbaarheid kritieke entiteiten
De Wet weerbaarheid kritieke entiteiten verdeelt de sector gezondheidszorg in de volgende categorieën:
- Zorgaanbieders
- EU-referentielaboratoria
- Entiteiten die onderzoeks- en ontwikkelingsactiviteiten uitvoeren met betrekking tot geneesmiddelen
- Entiteiten die farmaceutische basisproducten en farmaceutische bereidingen vervaardigen
- Entiteiten die medische hulpmiddelen vervaardigen in noodsituaties
- Entiteiten die houder zijn van een groothandelsvergunning
Daarnaast biedt de Wwke de mogelijkheid om aanvullende categorieën aan te wijzen binnen de gezondheidszorg. Voor deze categorieën voert het ministerie van VWS een risicobeoordeling uit en heeft het de mogelijkheid om kritieke entiteiten aan te wijzen.
Wanneer moet je als organisatie voldoen aan de Wet weerbaarheid kritieke entiteiten?
De verplichtingen uit de Wwke gelden alleen voor organisaties die formeel zijn aangewezen als ‘kritieke entiteit’ door de minister van VWS. Deze aanwijzing gebeurt op basis van een sectorale risicobeoordeling en de criteria die zijn vastgelegd in de wet en de ministeriële regeling voor de zorg. Kritieke entiteiten hebben na aanwijzing 10 maanden om aan alle verplichtingen uit de wet te voldoen, waarbij de eigen risicobeoordeling uiterlijk na 9 maanden afgerond moet zijn.
Verantwoordelijkheden van aangewezen kritieke entiteiten
Zorgplicht
Kritieke entiteiten zijn verplicht om, nadat ze zijn aangewezen, een risicobeoordeling te doen. Op basis daarvan nemen ze passende maatregelen om fysieke incidenten te voorkomen, beperken en beheersen. Enkele voorbeelden van maatregelen die kritieke entiteiten moeten nemen:
- rechtstreekse leveranciers en dienstverleners in kaart brengen (voor zover relevant voor de essentiële dienst) inclusief het hebben van beleid hiervoor;
- zorgen voor adequate fysieke beveiliging, zoals toegangscontrole, beveiligingszones en bescherming tegen natuur- en klimaatgevaren;
- beschikken over een crisis- en bedrijfscontinuïteitsplan, zodat er goed wordt gehandeld tijdens incidenten en de dienst snel hersteld wordt;
- beleid hebben voor personeel dat verantwoordelijk is voor de weerbaarheid, inclusief periodieke trainingen en oefeningen.
Meldplicht
De Wet weerbaarheid kritieke entiteiten schrijft voor dat incidenten zo snel mogelijk, maar uiterlijk binnen 24 uur worden gemeld bij de bevoegde autoriteit. Voor de zorg is dit de Inspectie Gezondheidszorg en Jeugd (IGJ) en de minister van Volksgezondheid, Welzijn en Sport (VWS). Het gaat dan om incidenten die de verlening van de essentiële diensten aanzienlijk (kunnen) verstoren. Factoren die een incident meldingswaardig maken zijn bijvoorbeeld het aantal personen dat door de verstoring wordt getroffen, de tijdsduur van een verstoring en het door het incident getroffen geografische gebied en eventuele grensoverschrijdende gevolgen. Specifieke drempelwaarden voor de meldplicht zijn opgenomen in de ministeriële regeling voor de zorg: de Regeling weerbaarheid kritieke entiteiten voor de zorg.
Toezicht en handhaving
De Inspectie Gezondheidszorg en Jeugd (IGJ) houdt toezicht op de naleving van de Wet weerbaarheid kritieke entiteiten in de zorgsector. De entiteiten zijn verplicht om alle medewerking te verlenen aan de IGJ bij de uitoefening van het toezicht.
Cyberbeveiligingswet
Organisaties die worden aangewezen als kritieke entiteit onder de Wet weerbaarheid kritieke entiteiten zijn ook een essentiële entiteit onder de Cyberbeveiligingswet. Deze wet gaat over de digitale weerbaarheid van organisaties.