Skip to content

Knowledge base · Cbw/NIS2 for transport and logistics

What does the Cbw require on business continuity, backups and crisis management (NIS2 21(2)(c))?

You have a business continuity policy and plan, a recovery plan and a crisis plan, make backups of software and data, check them periodically and test the plans (Cbw 21(3)(c), Cbb 9).

In force now (since 15 August 2026)Trusq editorial · checked against the official textLast verified:

Next step: Set up the Cbw duties in Trusq

What the act requires

Business continuity, backup management, recovery and crisis management are part of the duty of care [1]. The NIS2 directive names the same topic [2].

How the Cyberbeveiligingsbesluit elaborates this

The Cbb names four documents: a business continuity policy, a business continuity plan, a recovery plan and a crisis management plan. You make backups of software and data according to fixed processes and periodically verify whether they are reliable [3].

What the sector regulation adds

The ministerial regulation for your sector elaborates this further; for transport and chemicals that is the Cyberbeveiligingsregeling IenW [5], and for, among others, postal and courier services and food, equivalent regulations apply [6]. The backup procedures state which software and data you back up, with recovery times, recovery points, safeguards for completeness, integrity and recovery, and retention periods [7]. The business continuity plan contains at least purpose and scope, tasks and responsibilities, the main contacts and communication channels, conditions for activation, the resources needed and the conditions for recovery [8].

What you record in practice

  • which systems are critical for trips, planning and transshipment
  • a backup arrangement per system: what, where, recovery time and recovery point, retention period and the last recovery test
  • a crisis plan with tasks, means of communication and emergency provisions
  • when you last tested or exercised the plans

Does this also apply to cloud and IT service providers?

If your company falls under Cbb Article 4 (among others cloud, data centres and managed (security) services), Cbb Articles 6 to 18 do not apply [4] and Implementing Regulation (EU) 2024/2690 elaborates this measure. The obligation under Cbw Article 21 remains.

What Trusq bases this on

These released rules are in Trusq and are read again with every publication; if a rule changes, this page changes with it.

  • Organisation: Maintain business continuity, recovery and crisis arrangements. NIS2 21(2)(c), Cbw 21(3)(c)
  • Per ICT system: Back up this ICT system's software and data, verify the backups and test recovery. Cbw 21(3)(c), NIS2 21(2)(c)

Sources

  1. [1] Cbw Art. 21(3)(c) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Cbw Article 21(3)(c). Original Dutch text:
    3. De maatregelen, bedoeld in het eerste lid, zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] c. bedrijfscontinuïteit, zoals back-upbeheer en herstelplannen, en crisisbeheer;
    Source, retrieved on 2 October 2026.
  2. [2] NIS2 Art. 21(2)(c) (Directive (EU) 2022/2555 (NIS2)). The NIS2 counterpart: Article 21(2)(c).
    2. The measures referred to in paragraph 1 shall be based on an all-hazards approach that aims to protect network and information systems and the physical environment of those systems from incidents, and shall include at least the following: […] (c) business continuity, such as backup management and disaster recovery, and crisis management;
    Source, retrieved on 2 October 2026.
  3. [3] Cbb Art. 9 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Cbb Article 9: verify backups, test recovery and a crisis plan with tasks, communication and emergency provisions. Original Dutch text:
    2. De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, processen en procedures vast voor het borgen van haar bedrijfscontinuïteit, waaronder in ieder geval processen en procedures voor het herstellen van haar netwerk- en informatiesystemen en voor het maken en periodiek verifiëren van de betrouwbaarheid van back-ups van software en gegevens. De entiteit past deze processen en procedures aantoonbaar toe en test deze periodiek. […] 5. De essentiële entiteit of belangrijke entiteit heeft een plan voor crisisbeheer, legt dit plan schriftelijk vast, past dat plan toe in geval van een crisis en test en beoefent dit plan periodiek. Het plan bevat ten minste: a. de taken, verantwoordelijkheden en bevoegdheden ten tijde van crisis voor het personeel en andere binnen de entiteit werkzame personen; b. een beschrijving van de communicatiemiddelen ten tijde van crisis; en c. wanneer passend, een beschrijving van de beschikbare noodvoorzieningen, waaronder het gebruik van beveiligde noodcommunicatiesystemen ten tijde van crisis.
    Source, retrieved on 2 October 2026.
  4. [4] Cbb Art. 4 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Cbb Article 4 excludes Articles 6 to 18 for, among others, cloud, data centre and managed service providers. Original Dutch text:
    Gelet op artikel 1 van de Uitvoeringsverordening (EU) 2024/2690 zijn de artikelen 6 tot en met 18 niet van toepassing op de volgende essentiële entiteiten en belangrijke entiteiten: a. DNS-dienstverleners; b. registers voor topleveldomeinnamen; c. aanbieders van cloudcomputingdiensten; d. aanbieders van datacentrumdiensten; e. aanbieders van netwerken voor de levering van inhoud; f. aanbieders van beheerde diensten; g. aanbieders van beheerde beveiligingsdiensten; h. aanbieders van onlinemarktplaatsen; i. aanbieders van onlinezoekmachines; j. aanbieders van platforms voor socialenetwerkdiensten; en k. verleners van vertrouwensdiensten.
    Source, retrieved on 2 October 2026.
  5. [5] Cyberbeveiligingsregeling IenW Art. 2(1) (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). The Cyberbeveiligingsregeling IenW applies to essential and important entities in, among others, transport (air, rail, water, road) and the chemical sector. Original Dutch text:
    1. Deze regeling is van toepassing op alle essentiële entiteiten en belangrijke entiteiten in de volgende sectoren dan wel subsectoren: Sector Subsector Vervoer Lucht Spoor Water Weg Drinkwater Afvalwater Afvalstoffenbeheer Vervaardiging, productie en distributie van chemische stoffen
    Source, retrieved on 3 October 2026.
  6. [6] Cyberbeveiligingsregeling IenW, explanatory note, section 4.3 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). According to the explanatory memorandum, the elaboration of the duty of care is identical for the sectors of EZ, KGG, LVVN and IenW. Original Dutch text:
    De uitwerking van de zorgplicht is gelijkluidend voor entiteiten in de sectoren waarvoor de Minister van Economische Zaken (EZ), Klimaat en Groene Groei (KGG), Landbouw, Visserij, Voedselzekerheid en Natuur (LVVN) en Infrastructuur en Waterstaat (IenW) de bevoegde autoriteit zijn.
    Source, retrieved on 3 October 2026.
  7. [7] Cyberbeveiligingsregeling IenW Art. 11(1) (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). Backup procedures state which software and data are backed up, with recovery times, recovery points, safeguards and retention periods. Original Dutch text:
    1. De processen en procedures voor het maken en periodiek verifiëren van de betrouwbaarheid van back-ups van software en gegevens, bedoeld in artikel 9, tweede lid, van het besluit, omschrijven van welke software en gegevens een back-up wordt gemaakt en bevatten ten aanzien van die software en gegevens: a. hersteltijden; b. herstelpunten; c. waarborgen voor de volledigheid en nauwkeurigheid van back-ups; d. waarborgen voor integriteit, vertrouwelijkheid en beschikbaarheid van back-ups; e. waarborgen voor herstel van software en gegevens uit back-ups; f. bewaartermijnen.
    Source, retrieved on 3 October 2026.
  8. [8] Cyberbeveiligingsregeling IenW Art. 11(2) (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). Minimum content of the business continuity plan. Original Dutch text:
    2. Het bedrijfscontinuïteitplan, bedoeld in artikel 9, derde lid, van het besluit, houdt rekening met de uitgevoerde beoordeling van risico’s, bedoeld in artikel 7 van het besluit en omvat, in ieder geval: a. doel en reikwijdte; b. taken en verantwoordelijkheden; c. belangrijkste contacten en interne en externe communicatiekanalen; d. voorwaarden voor activering en de-activering van het plan; e. vereiste middelen, met inbegrip van back-ups en redundanties; f. voorwaarden voor herstel en hervatting van activiteiten na afloop van tijdelijke maatregelen.
    Source, retrieved on 3 October 2026.

Related questions

How do you set up incident handling under the Cbw (NIS2 21(2)(b))?What does the duty of care of the Cyberbeveiligingswet involve?Does the Cbw duty of care also apply to your TMS, WMS or telematics in the cloud?How do you show that your cybersecurity measures work (NIS2 21(2)(f))?

Next step

Register your organisation and your Cbw sector. Trusq sets up the duty of care, the reporting duty, the tasks of the management body and the registration as actions, each with the evidence that is expected and the article it rests on.

Set up the Cbw duties in Trusq

Not sure whether the Cbw applies to your business? Take the Cbw check (in Dutch).

Looking for a specialist? We will look with you for a suitable specialist; mediation is not guaranteed.

This page gives general information based on the text of the law. It is not legal advice for your situation.