Skip to content

Knowledge base · Cbw/NIS2 for transport and logistics

As an important entity, do you face inspections or an audit by the supervisory authority?

For an important entity the supervisory authority acts only if there is evidence, an indication or information about a possible infringement. It can then have a security scan carried out, require an audit by an independent expert, give a binding instruction or demand publication of the infringement. For an essential entity that condition does not apply and it can also appoint a monitoring officer. The cost of an audit is as a rule borne by the entity.

In force now (since 15 August 2026)Trusq editorial · checked against the official textLast verified:

Next step: Set up the Cbw duties in Trusq

After-the-fact supervision of important entities

The powers towards an important entity apply only if the competent authority has evidence, an indication or information of a possible infringement [1].

What the supervisory authority can then do

  • carry out or have carried out a security scan, at its own cost [2]
  • require you to have an independent expert investigate whether you comply with the act, with the results and the implementation of recommendations within a reasonable period; the cost is as a rule yours [3]
  • give a binding instruction [4]
  • require you to make parts of an infringement public [8]

The difference with essential entities

For an essential entity that condition is not in the act. There the authority can, among other things, have a security scan carried out on the basis of risk assessment criteria [5] and require an audit [6]. It can also appoint an independent monitoring officer for a certain period, at the cost of the entity [7].

What you can do

Make sure you can show your measures and choices: the policy, the risk analysis and the recorded evaluations. An audit is simpler if those documents are in order.

Sources

  1. [1] Cbw Art. 81 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). The powers towards important entities apply only in the case of evidence, an indication or information about a possible infringement. Original Dutch text:
    De artikelen 82 tot en met 87 zijn alleen van toepassing voor zover de bevoegde autoriteit het bewijs, de aanwijzing of informatie heeft van een mogelijke overtreding door een belangrijke entiteit
    Source, retrieved on 3 October 2026.
  2. [2] Cbw Art. 82 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Security scan at an important entity, at the cost of the authority. Original Dutch text:
    1. De bevoegde autoriteit kan een beveiligingsscan op basis van objectieve, niet-discriminerende, eerlijke en transparante risicobeoordelingscriteria uitvoeren of door een onafhankelijke deskundige laten uitvoeren bij een belangrijke entiteit. 2. De bevoegde autoriteit draagt de kosten van de beveiligingsscan.
    Source, retrieved on 3 October 2026.
  3. [3] Cbw Art. 83 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Audit by an independent expert at an important entity; cost as a rule for the entity. Original Dutch text:
    1. De bevoegde autoriteit kan een belangrijke entiteit verplichten om: a. een onafhankelijke en gekwalificeerde deskundige te laten onderzoeken of de entiteit voldoet aan het bepaalde bij of krachtens deze wet […] 4. De belangrijke entiteit draagt de kosten van het onderzoek, tenzij de kosten naar het oordeel van de bevoegde autoriteit redelijkerwijs moeten worden gedragen door de bevoegde autoriteit.
    Source, retrieved on 3 October 2026.
  4. [4] Cbw Art. 85 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Binding instruction to an important entity. Original Dutch text:
    De bevoegde autoriteit kan een belangrijke entiteit een bindende aanwijzing geven om binnen een daarbij gestelde redelijke termijn de daarin omschreven handelingen te verrichten of de daarin omschreven maatregelen te nemen
    Source, retrieved on 3 October 2026.
  5. [5] Cbw Art. 71(1) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Security scan at an essential entity on the basis of risk assessment criteria. Original Dutch text:
    1. De bevoegde autoriteit kan een beveiligingsscan op basis van objectieve, niet-discriminerende, eerlijke en transparante risicobeoordelingscriteria uitvoeren of door een onafhankelijke en gekwalificeerde deskundige laten uitvoeren bij een essentiële entiteit.
    Source, retrieved on 3 October 2026.
  6. [6] Cbw Art. 72(1) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Audit at an essential entity. Original Dutch text:
    1. De bevoegde autoriteit kan een essentiële entiteit verplichten om: a. een onafhankelijke en gekwalificeerde deskundige te laten onderzoeken of de entiteit voldoet aan het bepaalde bij of krachtens deze wet
    Source, retrieved on 3 October 2026.
  7. [7] Cbw Art. 70 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Monitoring officer at an essential entity, at the cost of the entity. Original Dutch text:
    1. De bevoegde autoriteit kan voor een bepaalde periode een controlefunctionaris aanwijzen bij een essentiële entiteit. 2. De controlefunctionaris is een onafhankelijke deskundige zijnde een natuurlijk persoon […] 3. De essentiële entiteit draagt de kosten van de controlefunctionaris.
    Source, retrieved on 3 October 2026.
  8. [8] Cbw Art. 84 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). An important entity can be required to make parts of an infringement public. Original Dutch text:
    De bevoegde autoriteit kan een belangrijke entiteit verplichten om onderdelen van een door de entiteit begane overtreding van het bepaalde bij of krachtens deze wet
    Source, retrieved on 3 October 2026.

Related questions

Who supervises the Cbw in transport and logistics, and how high are the fines?Is your company an essential or an important entity?Can the supervisory authority have a director suspended under the Cbw?

Next step

Register your organisation and your Cbw sector. Trusq sets up the duty of care, the reporting duty, the tasks of the management body and the registration as actions, each with the evidence that is expected and the article it rests on.

Set up the Cbw duties in Trusq

Not sure whether the Cbw applies to your business? Take the Cbw check (in Dutch).

Looking for a specialist? We will look with you for a suitable specialist; mediation is not guaranteed.

This page gives general information based on the text of the law. It is not legal advice for your situation.