Skip to content

Knowledge base · Cbw/NIS2 for transport and logistics

A customer demands that we comply with NIS2, but we are not covered by it. What now?

If you are not covered by the Cbw yourself, the statutory duties do not apply to you. A customer that is covered must secure its supply chain and periodically check whether its direct suppliers meet its security requirements, insofar as their products or services can affect the security of its network and information systems. Those requirements reach you through the contract.

In force now (since 15 August 2026)Trusq editorial · checked against the official textLast verified:

Next step: Take the Cbw check (in Dutch)

Why the customer asks this

An essential or important entity must arrange the security of its supply chain, including the relationship with direct suppliers and service providers [1]. Its policy concerns suppliers and service providers whose products and services can affect the security of its network and information systems [4]. It takes into account the vulnerabilities and the security practices of each direct supplier [2] and periodically checks whether that supplier meets its security requirements [3].

What that means for you

If you are not covered yourself, you have no reporting duty or registration duty and your management body does not need a certificate. Your customer can, however, impose contractual requirements, send questionnaires or ask for evidence of, for example, backups, access management and incident agreements. That matters especially if you are connected to its systems (EDI, portal, shared planning) or process its data. Ask which requirements the customer derives from its risk analysis; that makes the discussion concrete.

First check whether you really are not covered

Whether you are covered by the Cbw yourself depends on your activity and your size. A company from Annex 1 that is larger than medium-sized is an essential entity [5]. A medium-sized company from Annex 1 and a medium-sized or larger company from Annex 2 is an important entity [6]. That size limit also applies to postal and courier services that carry out at least one step of the postal delivery chain (Annex 2) [7] and to providers of managed IT or security services to other companies (Annex 1) [8].

If you are smaller than medium-sized, you are as a rule not covered. Exceptions are: you have been designated as a critical entity under the Wet weerbaarheid kritieke entiteiten [9], the minister designates you as an essential entity [10], or before 16 January 2023 you were designated as a provider of an essential service under the Wet beveiliging netwerk- en informatiesystemen and the minister designates you as an essential entity [11]. In addition, some digital providers are covered regardless of their size, such as qualified trust service providers and DNS service providers [12]. Providers of managed IT services are not among them.

Sources

  1. [1] Cbw Art. 21(3)(d) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). The duty of care includes the security of the supply chain. Original Dutch text:
    3. De maatregelen, bedoeld in het eerste lid, zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] d. de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen de entiteit en haar rechtstreekse leveranciers of dienstverleners;
    Source, retrieved on 2 October 2026.
  2. [2] Cbw Art. 21(4) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). The entity takes into account the vulnerabilities and practices of suppliers. Original Dutch text:
    4. Wanneer de entiteit overweegt welke maatregelen als bedoeld in het derde lid, onderdeel d, passend zijn, houdt zij rekening met: a. de specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener; b. de algemene kwaliteit van de producten en de cyberbeveiligingspraktijken van haar leveranciers en dienstverleners, met inbegrip van hun veilige ontwikkelingsprocedures;
    Source, retrieved on 2 October 2026.
  3. [3] Cbb Art. 10(2) (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Periodic check of direct suppliers. Original Dutch text:
    2. De essentiële entiteit of belangrijke entiteit toetst of haar rechtstreekse leveranciers en rechtstreekse dienstverleners, bedoeld in het eerste lid, voldoen aan de beveiligingseisen, bedoeld in artikel 7, vijfde lid. De entiteit controleert dit periodiek.
    Source, retrieved on 2 October 2026.
  4. [4] Cbb Art. 10(1) (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). The supply chain policy concerns suppliers and service providers that can affect the security of the network and information systems. Original Dutch text:
    De entiteit bepaalt in dat beleid haar omgang met afhankelijkheden van de producten en diensten van haar leveranciers en dienstverleners die invloed kunnen hebben op de beveiliging van haar netwerk- en informatiesystemen.
    Source, retrieved on 2 October 2026.
  5. [5] Cbw Art. 8(1)(f) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Entities from Annex 1 above the medium-sized threshold are essential entities. Original Dutch text:
    1. De volgende entiteiten zijn essentiële entiteiten: […] f. andere entiteiten, genoemd in bijlage 1 van deze wet, die de in artikel 2, eerste lid, van de bijlage bij Aanbeveling 2003/361/EG bedoelde drempel voor middelgrote ondernemingen overschrijden;
    Source, retrieved on 6 November 2026.
  6. [6] Cbw Art. 12(1)(a)–(b) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Medium-sized entities from Annex 1 and medium-sized or larger entities from Annex 2 are important entities. Original Dutch text:
    1. De volgende entiteiten zijn belangrijke entiteiten: a. entiteiten, genoemd in bijlage 1 van deze wet, niet zijnde een essentiële entiteit, die in aanmerking komen als middelgrote onderneming uit hoofde van artikel 2 van de bijlage bij de Aanbeveling 2003/361/EG; b. entiteiten, genoemd in bijlage 2 van deze wet, niet zijnde een essentiële entiteit, die in aanmerking komen als middelgrote onderneming uit hoofde van artikel 2 van de bijlage bij de Aanbeveling 2003/361/EG of de in het eerste lid van laatstgenoemd artikel vastgestelde drempels voor middelgrote ondernemingen overschrijden;
    Source, retrieved on 6 November 2026.
  7. [7] Cbw, Annex 2 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Annex 2, postal and courier services. Original Dutch text:
    Post- en koeriersdiensten Aanbieders van postdiensten als bedoeld in artikel 2, onderdeel 1 bis, van Richtlijn 97/67/EG, met inbegrip van aanbieders van koeriersdiensten […] voor zover zij ten minste een van de stappen in de postbestelketen verzorgen, met name het ophalen, sorteren, vervoeren en bestellen van postzendingen, met inbegrip van de ophaaldiensten
    Source, retrieved on 6 November 2026.
  8. [8] Cbw, Annex 1 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Annex 1, ICT service management (business-to-business). Original Dutch text:
    Beheer van ICT-diensten (business-to-business) – Aanbieders van beheerde diensten – Aanbieders van beheerde beveiligingsdiensten
    Source, retrieved on 6 November 2026.
  9. [9] Cbw Art. 8(1)(i) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Critical entities under the Wwke are essential entities by operation of law. Original Dutch text:
    1. De volgende entiteiten zijn essentiële entiteiten: […] i. kritieke entiteiten als bedoeld in artikel 6, eerste lid, van de Wet weerbaarheid kritieke entiteiten.
    Source, retrieved on 6 November 2026.
  10. [10] Cbw Art. 9(1) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Designation as an essential entity of an entity from Annex 1 or 2. Original Dutch text:
    1. Bij regeling of besluit van Onze Minister die het aangaat, na overleg met Onze Minister, wordt een in bijlage 1 of bijlage 2 van deze wet genoemde entiteit aangewezen als essentiële entiteit, op grond van de toepasselijkheid van één of meer van de volgende criteria:
    Source, retrieved on 6 November 2026.
  11. [11] Cbw Art. 10 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). A provider designated before 16 January 2023 under the Wbni as a provider of an essential service can be designated as an essential entity. Original Dutch text:
    Bij regeling of besluit van Onze Minister die het aangaat, na overleg met Onze Minister, kan worden aangewezen als essentiële entiteit: een aanbieder die voor 16 januari 2023 op grond van de Wet beveiliging netwerk- en informatiesystemen is aangewezen als aanbieder van een essentiële dienst.
    Source, retrieved on 6 November 2026.
  12. [12] Cbw Art. 8(1)(a)–(c) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Qualified trust service providers and DNS service providers are essential entities, without a size limit. Original Dutch text:
    1. De volgende entiteiten zijn essentiële entiteiten: a. gekwalificeerde verleners van vertrouwensdiensten; b. aanbieders van registers voor topleveldomeinnamen; c. DNS-dienstverleners;
    Source, retrieved on 6 November 2026.

Related questions

What must you arrange under the Cbw for your suppliers and IT service providers (NIS2 21(2)(d))?Is my road transport company covered by the Cyberbeveiligingswet?Which transport and logistics companies fall under the Cyberbeveiligingswet?Is your company an essential or an important entity?

Next step

Six questions about the activities and size of your business. You see at once whether the Cbw probably applies to you, as an essential or important entity, through which sector and under which ministerial regulation. You do not have to enter any data. The check is in Dutch.

Take the Cbw check (in Dutch)

Looking for a specialist? We will look with you for a suitable specialist; mediation is not guaranteed.

This page gives general information based on the text of the law. It is not legal advice for your situation.