Skip to content

Knowledge base · Cbw/NIS2 for transport and logistics

What must be in your policy for risk analysis and information security (NIS2 21(2)(a))?

You record a security policy and a risk management policy in writing and demonstrably apply them: with a method, criteria for risk acceptance, a risk overview and the security requirements that follow from it (Cbw 21(3)(a), Cbb 6 and 7).

In force now (since 15 August 2026)Trusq editorial · checked against the official textLast verified:

Next step: Set up the Cbw duties in Trusq

What the act requires

The duty of care starts with policy for risk analysis and security of information systems [1]. The NIS2 directive names the same topic [2].

How the Cyberbeveiligingsbesluit elaborates this

The Cbb requires two policy documents: a security policy with roles and responsibilities and a management system, and a risk management policy with a method and criteria for risk acceptance. The risk analysis results in an overview of risks and from that your security requirements [3] [4].

What the sector regulation adds

The ministerial regulation for your sector asks you to record in your management system which measures you monitor and measure, and when you measure and analyse and evaluate the results [6]. On the basis of your risk analysis you also segment your systems into networks or zones [7]. For transport and chemicals that is the Cyberbeveiligingsregeling IenW [8]; for, among others, postal and courier services and food, equivalent regulations apply [9].

What you record in practice

  • an established security policy with roles, responsibilities and powers
  • a risk management method and your criteria for risk acceptance
  • an up-to-date overview of risks, also for your planning, on-board and warehouse systems
  • the security requirements you derive from that overview, also towards suppliers

Does this also apply to cloud and IT service providers?

If your company falls under Cbb Article 4 (among others cloud, data centres and managed (security) services), Cbb Articles 6 to 18 do not apply [5] and Implementing Regulation (EU) 2024/2690 elaborates this measure. The obligation under Cbw Article 21 remains.

What Trusq bases this on

These released rules are in Trusq and are read again with every publication; if a rule changes, this page changes with it.

  • Organisation: Maintain security and risk-management policies. NIS2 21(2)(a), Cbw 21(3)(a)
  • Per ICT system: Include this ICT system in the cybersecurity risk analysis and treat its risks. Cbw 21(1), Cbw 21(2), Cbw 21(3)(a), NIS2 21(1), NIS2 21(2)(a)

Sources

  1. [1] Cbw Art. 21(3)(a) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Cbw Article 21(3)(a). Original Dutch text:
    3. De maatregelen, bedoeld in het eerste lid, zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] a. beleid inzake risicoanalyse en beveiliging van informatiesystemen;
    Source, retrieved on 2 October 2026.
  2. [2] NIS2 Art. 21(2)(a) (Directive (EU) 2022/2555 (NIS2)). The NIS2 counterpart: Article 21(2)(a).
    2. The measures referred to in paragraph 1 shall be based on an all-hazards approach that aims to protect network and information systems and the physical environment of those systems from incidents, and shall include at least the following: […] (a) policies on risk analysis and information system security;
    Source, retrieved on 2 October 2026.
  3. [3] Cbb Art. 6 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Cbb Article 6: established, written security policy and a management system. Original Dutch text:
    1. De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over de beveiliging van haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe. […] 4. De essentiële entiteit of belangrijke entiteit hanteert een managementsystematiek voor de beveiliging van haar netwerk- en informatiesystemen om aantoonbaar te kunnen voldoen aan het bepaalde bij of krachtens artikel 21 van de wet.
    Source, retrieved on 2 October 2026.
  4. [4] Cbb Art. 7 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Cbb Article 7: risk management methodology, criteria for risk acceptance and an overview of risks. Original Dutch text:
    2. Het beleid, bedoeld in het eerste lid, omvat ten minste: a. een risicomanagementmethodiek; en b. criteria voor risicoacceptatie. […] 4. De essentiële entiteit of belangrijke entiteit maakt op basis van de uitgevoerde risicoanalyse een overzicht van de risico’s met betrekking tot de beveiliging van haar netwerk- en informatiesystemen.
    Source, retrieved on 2 October 2026.
  5. [5] Cbb Art. 4 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Cbb Article 4 excludes Articles 6 to 18 for, among others, cloud, data centre and managed service providers. Original Dutch text:
    Gelet op artikel 1 van de Uitvoeringsverordening (EU) 2024/2690 zijn de artikelen 6 tot en met 18 niet van toepassing op de volgende essentiële entiteiten en belangrijke entiteiten: a. DNS-dienstverleners; b. registers voor topleveldomeinnamen; c. aanbieders van cloudcomputingdiensten; d. aanbieders van datacentrumdiensten; e. aanbieders van netwerken voor de levering van inhoud; f. aanbieders van beheerde diensten; g. aanbieders van beheerde beveiligingsdiensten; h. aanbieders van onlinemarktplaatsen; i. aanbieders van onlinezoekmachines; j. aanbieders van platforms voor socialenetwerkdiensten; en k. verleners van vertrouwensdiensten.
    Source, retrieved on 2 October 2026.
  6. [6] Cyberbeveiligingsregeling IenW Art. 10 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). The management system records which measures are monitored and measured and when measuring and evaluating takes place. Original Dutch text:
    Ter uitvoering van artikel 6 van het besluit legt de essentiële entiteit of de belangrijke entiteit als onderdeel van haar managementsystematiek, bedoeld in artikel 6, vierde lid, van het besluit, vast: a. welke maatregelen voor het beheer van cyberbeveiligingsrisico’s, met inbegrip van processen en controles, moeten worden gemonitord, gemeten, geanalyseerd en geëvalueerd; […] c. wanneer de monitoring en de meting moeten worden uitgevoerd; […] e. wanneer de resultaten van de monitoring en meting moeten worden geanalyseerd en geëvalueerd;
    Source, retrieved on 3 October 2026.
  7. [7] Cyberbeveiligingsregeling IenW Art. 12(4) (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). Network segmentation based on the risk analysis and, where appropriate, in relation to systems of third parties. Original Dutch text:
    4. Ter uitvoering van artikel 21, derde lid, onderdeel g, van de wet segmenteert de essentiële entiteit of belangrijke entiteit: a. haar netwerk- en informatiesystemen in netwerken of zones overeenkomstig de resultaten van de in artikel 7, vijfde lid, van het besluit bedoelde risicoanalyse; b. waar passend, haar netwerk- en informatiesystemen van de netwerk- en informatiesystemen van derden.
    Source, retrieved on 3 October 2026.
  8. [8] Cyberbeveiligingsregeling IenW Art. 2(1) (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). The Cyberbeveiligingsregeling IenW applies to essential and important entities in, among others, transport (air, rail, water, road) and the chemical sector. Original Dutch text:
    1. Deze regeling is van toepassing op alle essentiële entiteiten en belangrijke entiteiten in de volgende sectoren dan wel subsectoren: Sector Subsector Vervoer Lucht Spoor Water Weg Drinkwater Afvalwater Afvalstoffenbeheer Vervaardiging, productie en distributie van chemische stoffen
    Source, retrieved on 3 October 2026.
  9. [9] Cyberbeveiligingsregeling IenW, explanatory note, section 4.3 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). According to the explanatory memorandum, the elaboration of the duty of care is identical for the sectors of EZ, KGG, LVVN and IenW. Original Dutch text:
    De uitwerking van de zorgplicht is gelijkluidend voor entiteiten in de sectoren waarvoor de Minister van Economische Zaken (EZ), Klimaat en Groene Groei (KGG), Landbouw, Visserij, Voedselzekerheid en Natuur (LVVN) en Infrastructuur en Waterstaat (IenW) de bevoegde autoriteit zijn.
    Source, retrieved on 3 October 2026.

Related questions

What does the duty of care of the Cyberbeveiligingswet involve?Which measures does NIS2 Article 21 require and where are they in the Cbw?What must you arrange under the Cbw for your suppliers and IT service providers (NIS2 21(2)(d))?How do you show that your cybersecurity measures work (NIS2 21(2)(f))?

Next step

Register your organisation and your Cbw sector. Trusq sets up the duty of care, the reporting duty, the tasks of the management body and the registration as actions, each with the evidence that is expected and the article it rests on.

Set up the Cbw duties in Trusq

Not sure whether the Cbw applies to your business? Take the Cbw check (in Dutch).

Looking for a specialist? We will look with you for a suitable specialist; mediation is not guaranteed.

This page gives general information based on the text of the law. It is not legal advice for your situation.