Skip to content

Knowledge base · Cbw/NIS2 for transport and logistics

When must a director have completed the Cbw training and what is on the certificate?

Directors who were already in office on 15 August 2026 must have the required knowledge by 15 August 2028 at the latest; a director appointed later, within two years of the appointment. The certificate states name, date, topics and provider, in Dutch or English (Cbw 24, Cbb 20 to 22).

In force now (since 15 August 2026)Trusq editorial · checked against the official textLast verified:

Next step: Set up the Cbw duties in Trusq

The deadline

Cbw Article 24(3) gives directors two years after paragraph 2 enters into force [1]. Paragraph 2 entered into force on 15 August 2026 [5], so the final date is 15 August 2028. The certificate itself has no separate date; it is the evidence that you comply with paragraph 2 [2].

What the training covers

The training covers at least the types of risks, risk management processes and risk assessment methodology, and the ten topics of the duty of care [3].

What is on the certificate

The certificate contains at least the name of the member of the management body, the date or dates, the topics covered and the name of the provider, and is drawn up in Dutch or English [4].

What Trusq bases this on

These released rules are in Trusq and are read again with every publication; if a rule changes, this page changes with it.

  • Organisation: Ensure board members have the required knowledge and skills. Cbw 24(2), Cbw 24(3), NIS2 20(2)
  • Organisation: Hold a training certificate covering the required subjects. Cbw 24(5), NIS2 20(2), Cbb 20, Cbb 21, Cbb 22

Sources

  1. [1] Cbw Art. 24(3) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Deadline for members of the management body. Original Dutch text:
    3. Ieder lid van het bestuur van een essentiële entiteit of belangrijke entiteit voldoet binnen twee jaar na de inwerkingtreding van het tweede lid aan het bepaalde in het tweede lid.
    Source, retrieved on 2 October 2026.
  2. [2] Cbw Art. 24(5) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Every member of the management body holds a certificate of a training on the topics of paragraph 2. Original Dutch text:
    5. Met het oog op het aantonen van de kennis en vaardigheden bezit ieder lid van het bestuur van een essentiële entiteit of belangrijke entiteit een certificaat, waaruit de deelname blijkt aan een training die de onderwerpen, bedoeld in het tweede lid, behandelt.
    Source, retrieved on 2 October 2026.
  3. [3] Cbb Art. 21 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Topics of the training. Original Dutch text:
    1. Ten behoeve van het verkrijgen van kennis en vaardigheden om risico’s voor de beveiliging van netwerk- en informatiesystemen te kunnen identificeren als bedoeld in artikel 24, tweede lid, onderdeel a, van de wet en de gevolgen van deze risico’s te kunnen beoordelen, bedoeld in artikel 24, tweede lid, onderdeel c, van de wet, behandelt de training, bedoeld in artikel 24, vijfde lid, van de wet, daartoe in ieder geval de volgende onderwerpen: a. de soorten risico’s voor netwerk- en informatiesystemen; b. risicomanagementprocessen; en c. risicobeoordelingsmethodiek. […] 2. Ten behoeve van het verkrijgen van kennis en vaardigheden om risicobeheersmaatregelen op het gebied van cyberbeveiliging als bedoeld in artikel 24, tweede lid, onderdeel b, van de wet en de gevolgen van risicobeheersmaatregelen te kunnen beoordelen, bedoeld in artikel 24, tweede lid, onderdeel c, van de wet, behandelt de training, bedoeld in artikel 24, vijfde lid, van de wet, in ieder geval de onderwerpen, genoemd in artikel 21, derde lid, onderdelen a tot en met j, van de wet.
    Source, retrieved on 2 October 2026.
  4. [4] Cbb Art. 22 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Content and language of the certificate. Original Dutch text:
    1. Het certificaat van de training, bedoeld in artikel 24, vijfde lid, van de wet, bevat in ieder geval: a. de naam van het lid van het bestuur van de essentiële entiteit of belangrijke entiteit; b. de datum of data waarop de training is gevolgd; c. de behandelde onderwerpen in de training; en d. de naam van de aanbieder van de training. 2. Het certificaat van de training, bedoeld in artikel 24, vijfde lid, van de wet, is opgesteld in de Nederlandse taal of de Engelse taal.
    Source, retrieved on 2 October 2026.
  5. [5] Cbb Art. 35 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Entry into force on 15 August 2026. Original Dutch text:
    De Cyberbeveiligingswet en dit besluit treden in werking met ingang van 15 augustus 2026.
    Source, retrieved on 2 October 2026.

Related questions

What must the management body do under the Cyberbeveiligingswet?What are the Cbw requirements for cyber hygiene and staff training (NIS2 21(2)(g))?Does the Cbw management duty also apply to partners of a vof, maatschap or cv?Since when does the Cyberbeveiligingswet apply, and is there a transitional period?

Next step

Register your organisation and your Cbw sector. Trusq sets up the duty of care, the reporting duty, the tasks of the management body and the registration as actions, each with the evidence that is expected and the article it rests on.

Set up the Cbw duties in Trusq

Not sure whether the Cbw applies to your business? Take the Cbw check (in Dutch).

Looking for a specialist? We will look with you for a suitable specialist; mediation is not guaranteed.

This page gives general information based on the text of the law. It is not legal advice for your situation.