Skip to content

Knowledge base · Cbw/NIS2 for transport and logistics

What does the duty of care of the Cyberbeveiligingswet involve?

The duty of care (Cbw Article 21) obliges an essential or important entity to take appropriate and proportionate measures to manage the risks to its network and information systems. The act names ten topics that must be in it at least; the duty has applied since 15 August 2026 and the management body approves the measures.

In force now (since 15 August 2026)Trusq editorial · checked against the official textLast verified:

Next step: Set up the Cbw duties in Trusq

What the act requires

Article 21 of the Dutch Cyberbeveiligingswet (Cbw) is the Dutch elaboration of NIS2 Article 21. The essential or important entity takes technical, operational and organisational measures for the systems it uses for its work or its services [1]. So it is not only about IT security in the narrow sense, but also about processes, people and the physical environment of the systems [3].

Appropriate and proportionate: what does that mean for an SME?

The act does not prescribe a fixed list of measures per company size. The measures must fit your risks. You take account of the state of the art and the costs, and, for proportionality, of your exposure to risks, your size and the likelihood and severity of incidents [2]. A medium-sized transport company therefore does not have to do the same as an airport, but must be able to substantiate its choices.

The ten topics

The measures cover at least [3]:

  • policy for risk analysis and security of information systems
  • incident handling
  • business continuity, backups, recovery and crisis management
  • security of the supply chain
  • security in acquiring, developing and maintaining, including vulnerabilities
  • assessing whether the measures work
  • cyber hygiene and training
  • cryptography and encryption
  • personnel, access policy and asset management
  • where appropriate, multi-factor authentication and secure communication

The Cyberbeveiligingsbesluit (Cbb) elaborates each topic in Articles 6 to 18. The ministerial regulation for your sector supplements this, among others with patch management and vulnerability scans [7], network segmentation [8] and policy for privileged accounts [9]; for transport and chemicals that is the Cyberbeveiligingsregeling IenW [6], for, among others, postal and courier services and food an equivalent regulation [10]. Every topic has its own question page in the overview of this knowledge base.

Since when and who signs

The Cbw and the Cbb have applied since 15 August 2026 [4]. There is no separate transitional period for the duty of care. The measures need the approval of the management body [5].

What Trusq bases this on

These released rules are in Trusq and are read again with every publication; if a rule changes, this page changes with it.

  • Per ICT system: Include this ICT system in the cybersecurity risk analysis and treat its risks. Cbw 21(1), Cbw 21(2), Cbw 21(3)(a), NIS2 21(1), NIS2 21(2)(a)
  • Organisation: Maintain security and risk-management policies. NIS2 21(2)(a), Cbw 21(3)(a)
  • Organisation: Use appropriate authentication and secure communications. NIS2 21(2)(j), Cbw 21(3)(j)
  • Organisation: Obtain board approval for cybersecurity risk-management measures. Cbw 24(1), NIS2 20(1)

Sources

  1. [1] Cbw Art. 21(1) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). The duty of care concerns the network and information systems the entity uses for its activities or services. Original Dutch text:
    1. De essentiële entiteit of belangrijke entiteit neemt passende en evenredige technische, operationele en organisatorische maatregelen om de risico’s voor de beveiliging van de netwerk- en informatiesystemen, die zij voor haar werkzaamheden of voor het verlenen van haar diensten gebruikt, te beheersen.
    Source, retrieved on 2 October 2026.
  2. [2] Cbw Art. 21(2) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). The measures are matched to the risks; proportionality depends, among others, on exposure, size and the likelihood and severity of incidents. Original Dutch text:
    2. De maatregelen, bedoeld in het eerste lid, zorgen voor een beveiligingsniveau van de netwerk- en informatiesystemen dat is afgestemd op de risico’s, bedoeld in het eerste lid. Bij het nemen van de maatregelen houdt de entiteit in ieder geval rekening met de stand van de techniek, de uitvoeringskosten en, indien van toepassing, de desbetreffende Europese en internationale normen. Ten aanzien van de evenredigheid van de maatregelen, bedoeld in het eerste lid, houdt de entiteit naar behoren rekening met de mate waarin zij aan risico’s is blootgesteld, de omvang van de entiteit en de kans dat zich incidenten voordoen en de ernst ervan, met inbegrip van de maatschappelijke en economische gevolgen.
    Source, retrieved on 2 October 2026.
  3. [3] Cbw Art. 21(3) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). The measures cover at least ten topics (points a to j). Original Dutch text:
    3. De maatregelen, bedoeld in het eerste lid, zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] a. beleid inzake risicoanalyse en beveiliging van informatiesystemen; b. incidentenbehandeling; c. bedrijfscontinuïteit, zoals back-upbeheer en herstelplannen, en crisisbeheer; d. de beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen de entiteit en haar rechtstreekse leveranciers of dienstverleners; e. beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden; f. beleid en procedures om de effectiviteit van maatregelen voor het beheersen van cyberbeveiligingsrisico’s te beoordelen; g. basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging; h. beleid en procedures inzake het gebruik van cryptografie en, in voorkomend geval, encryptie; i. beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van assets; en j. wanneer gepast, het gebruik van multifactor-authenticatie- of continue-authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit.
    Source, retrieved on 2 October 2026.
  4. [4] Cbb Art. 35 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). The Cbw and the Cbb entered into force on 15 August 2026. Original Dutch text:
    De Cyberbeveiligingswet en dit besluit treden in werking met ingang van 15 augustus 2026.
    Source, retrieved on 2 October 2026.
  5. [5] Cbw Art. 24(1) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). The measures of Article 21 require the approval of the management body. Original Dutch text:
    1. De maatregelen, bedoeld in artikel 21, behoeven de goedkeuring van het bestuur van de essentiële entiteit of belangrijke entiteit.
    Source, retrieved on 2 October 2026.
  6. [6] Cyberbeveiligingsregeling IenW Art. 2(1) (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). The Cyberbeveiligingsregeling IenW applies to essential and important entities in, among others, transport (air, rail, water, road) and the chemical sector. Original Dutch text:
    1. Deze regeling is van toepassing op alle essentiële entiteiten en belangrijke entiteiten in de volgende sectoren dan wel subsectoren: Sector Subsector Vervoer Lucht Spoor Water Weg Drinkwater Afvalwater Afvalstoffenbeheer Vervaardiging, productie en distributie van chemische stoffen
    Source, retrieved on 3 October 2026.
  7. [7] Cyberbeveiligingsregeling IenW Art. 12(1) and (2) (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). Maintenance procedures include security testing and patch management; patches are applied within a reasonable period or the postponement is justified and documented. Original Dutch text:
    1. De processen en procedures, bedoeld in artikel 11, derde lid, van het besluit, hebben betrekking op ten minste de processen en procedures inzake: a. beveiligingstesten; b. beveiligingspatchbeheer. 2. De processen en procedures inzake beveiligingspatchbeheer zorgen ervoor dat: a. waar passend, beveiligingspatches afkomstig zijn van betrouwbare bronnen en op integriteit worden gecontroleerd; b. waar passend, beveiligingspatches worden getest voordat zij in productiesystemen worden toegepast; c. beveiligingspatches worden toegepast binnen een redelijke termijn nadat zij beschikbaar zijn, tenzij de nadelen van de toepassing van de beveiligingspatches zwaarder wegen dan de voordelen, in welk geval de essentiële entiteit of belangrijke entiteit motiveert waarom de beveiligingspatches niet of op een later moment toegepast worden en dit documenteert.
    Source, retrieved on 3 October 2026.
  8. [8] Cyberbeveiligingsregeling IenW Art. 12(4) (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). Network segmentation based on the risk analysis and, where appropriate, in relation to systems of third parties. Original Dutch text:
    4. Ter uitvoering van artikel 21, derde lid, onderdeel g, van de wet segmenteert de essentiële entiteit of belangrijke entiteit: a. haar netwerk- en informatiesystemen in netwerken of zones overeenkomstig de resultaten van de in artikel 7, vijfde lid, van het besluit bedoelde risicoanalyse; b. waar passend, haar netwerk- en informatiesystemen van de netwerk- en informatiesystemen van derden.
    Source, retrieved on 3 October 2026.
  9. [9] Cyberbeveiligingsregeling IenW Art. 13 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). The access policy covers privileged accounts and system administrator accounts, with strong identification, authentication and authorisation. Original Dutch text:
    1. Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, omvat het beleid over bevoorrechte accounts en systeembeheeraccounts. 2. Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, zorgt ervoor dat: a. sterke identificatie-, authenticatie-, en autorisatieprocedures voor bevoorrechte accounts en systeembeheeraccounts worden toegepast;
    Source, retrieved on 3 October 2026.
  10. [10] Cyberbeveiligingsregeling IenW, explanatory note, section 4.3 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). According to the explanatory memorandum, the elaboration of the duty of care is identical for the sectors of EZ, KGG, LVVN and IenW. Original Dutch text:
    De uitwerking van de zorgplicht is gelijkluidend voor entiteiten in de sectoren waarvoor de Minister van Economische Zaken (EZ), Klimaat en Groene Groei (KGG), Landbouw, Visserij, Voedselzekerheid en Natuur (LVVN) en Infrastructuur en Waterstaat (IenW) de bevoegde autoriteit zijn.
    Source, retrieved on 3 October 2026.

Related questions

Which measures does NIS2 Article 21 require and where are they in the Cbw?What must be in your policy for risk analysis and information security (NIS2 21(2)(a))?What must the management body do under the Cyberbeveiligingswet?Since when does the Cyberbeveiligingswet apply, and is there a transitional period?Does the Cbw duty of care also apply to your TMS, WMS or telematics in the cloud?Which documents and policies must you have under the Cyberbeveiligingswet?Do you comply with the Cyberbeveiligingswet if you hold an ISO 27001 certificate?

Next step

Register your organisation and your Cbw sector. Trusq sets up the duty of care, the reporting duty, the tasks of the management body and the registration as actions, each with the evidence that is expected and the article it rests on.

Set up the Cbw duties in Trusq

Not sure whether the Cbw applies to your business? Take the Cbw check (in Dutch).

Looking for a specialist? We will look with you for a suitable specialist; mediation is not guaranteed.

This page gives general information based on the text of the law. It is not legal advice for your situation.