Skip to content

Knowledge base · Cbw/NIS2 for transport and logistics

What does the Cbw require on vulnerabilities, patches and maintenance of systems (NIS2 21(2)(e))?

You secure the acquisition, development and maintenance of systems, with processes for configuration and change management, and assess in writing what you do with targeted notifications about vulnerabilities (Cbw 21(3)(e), Cbb 11 and 17). The ministerial regulation for your sector additionally requires patch management within a reasonable period, vulnerability scans where appropriate and remedying vulnerabilities that pose a risk without delay.

In force now (since 15 August 2026)Trusq editorial · checked against the official textLast verified:

Next step: Set up the Cbw duties in Trusq

What the act requires

Security in acquiring, developing and maintaining, with vulnerabilities, is point e [1]. The NIS2 directive names the same topic [2].

How the Cyberbeveiligingsbesluit elaborates this

The Cbb requires policy for acquiring software, hardware and services, processes for secure development if you develop yourself, and processes for maintenance with at least configuration and change management [3]. If you receive a targeted warning about a vulnerability, you assess whether your measures must change and you record that [4].

Patches and scans under the sector regulation

The Cbb has no separate patch article, the ministerial regulation for your sector does. For transport and chemicals that is the Cyberbeveiligingsregeling IenW [6]; for, among others, postal and courier services and food, equivalent regulations apply [7]. You apply security patches within a reasonable period after they become available, where appropriate after checking origin and integrity and after a test, unless the disadvantages of applying them outweigh the advantages; in that case you record with reasons why a patch is applied later or not at all [8]. Where appropriate you carry out periodic vulnerability scans and record the results, and you remedy vulnerabilities that pose a risk without delay or record with reasons why that does not happen or happens later [9].

What you record in practice

  • security requirements when purchasing software, equipment and services
  • which sources you follow for vulnerabilities in your systems
  • patch records, and the justification with the weighing of disadvantages and advantages if a patch is not applied or applied later
  • the results of vulnerability scans and what you did with them
  • the recorded assessment after a targeted warning

Does this also apply to cloud and IT service providers?

If your company falls under Cbb Article 4 (among others cloud, data centres and managed (security) services), Cbb Articles 6 to 18 do not apply [5] and Implementing Regulation (EU) 2024/2690 elaborates this measure. The obligation under Cbw Article 21 remains.

What Trusq bases this on

These released rules are in Trusq and are read again with every publication; if a rule changes, this page changes with it.

  • Organisation: Secure acquisition, development and maintenance, including vulnerability handling. NIS2 21(2)(e), Cbw 21(3)(e)
  • Per ICT system: Monitor vulnerabilities in this ICT system and apply security patches, or record why not. Cbw 21(3)(e), NIS2 21(2)(e)

Sources

  1. [1] Cbw Art. 21(3)(e) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Cbw Article 21(3)(e). Original Dutch text:
    3. De maatregelen, bedoeld in het eerste lid, zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] e. beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden;
    Source, retrieved on 2 October 2026.
  2. [2] NIS2 Art. 21(2)(e) (Directive (EU) 2022/2555 (NIS2)). The NIS2 counterpart: Article 21(2)(e).
    2. The measures referred to in paragraph 1 shall be based on an all-hazards approach that aims to protect network and information systems and the physical environment of those systems from incidents, and shall include at least the following: […] (e) security in network and information systems acquisition, development and maintenance, including vulnerability handling and disclosure;
    Source, retrieved on 2 October 2026.
  3. [3] Cbb Art. 11 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Cbb Article 11: acquisition policy and processes for maintenance, configuration and change management. Original Dutch text:
    1. De essentiële entiteit of belangrijke entiteit heeft op basis van de beveiligingseisen, bedoeld in artikel 7, vijfde lid, vastgesteld beleid voor het mitigeren en beheersen van risico’s die voortvloeien uit het verwerven van software, hardware of diensten die betrekking hebben op haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe. […] 3. De essentiële entiteit of belangrijke entiteit stelt processen en procedures vast voor het onderhoud en beheer van haar netwerk- en informatiesystemen. De entiteit past deze processen en procedures aantoonbaar toe. Deze processen en procedures hebben ten minste betrekking op het configuratiebeheer en het wijzigingsbeheer van de netwerk- en informatiesystemen van de entiteit.
    Source, retrieved on 2 October 2026.
  4. [4] Cbb Art. 17 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Cbb Article 17: assessing and recording what a targeted warning about a vulnerability means. Original Dutch text:
    1. Indien de essentiële entiteit of belangrijke entiteit gericht wordt geattendeerd op voor de beveiliging van haar netwerk- en informatiesystemen relevante kwetsbaarheden of cyberdreigingen, beoordeelt zij of op basis daarvan aanpassingen of aanvullingen nodig zijn van de maatregelen ter uitvoering van artikel 21 van de wet. De entiteit legt de uitkomsten van die beoordeling schriftelijk vast.
    Source, retrieved on 2 October 2026.
  5. [5] Cbb Art. 4 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Cbb Article 4 excludes Articles 6 to 18 for, among others, cloud, data centre and managed service providers. Original Dutch text:
    Gelet op artikel 1 van de Uitvoeringsverordening (EU) 2024/2690 zijn de artikelen 6 tot en met 18 niet van toepassing op de volgende essentiële entiteiten en belangrijke entiteiten: a. DNS-dienstverleners; b. registers voor topleveldomeinnamen; c. aanbieders van cloudcomputingdiensten; d. aanbieders van datacentrumdiensten; e. aanbieders van netwerken voor de levering van inhoud; f. aanbieders van beheerde diensten; g. aanbieders van beheerde beveiligingsdiensten; h. aanbieders van onlinemarktplaatsen; i. aanbieders van onlinezoekmachines; j. aanbieders van platforms voor socialenetwerkdiensten; en k. verleners van vertrouwensdiensten.
    Source, retrieved on 2 October 2026.
  6. [6] Cyberbeveiligingsregeling IenW Art. 2(1) (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). The Cyberbeveiligingsregeling IenW applies to essential and important entities in, among others, transport (air, rail, water, road) and the chemical sector. Original Dutch text:
    1. Deze regeling is van toepassing op alle essentiële entiteiten en belangrijke entiteiten in de volgende sectoren dan wel subsectoren: Sector Subsector Vervoer Lucht Spoor Water Weg Drinkwater Afvalwater Afvalstoffenbeheer Vervaardiging, productie en distributie van chemische stoffen
    Source, retrieved on 3 October 2026.
  7. [7] Cyberbeveiligingsregeling IenW, explanatory note, section 4.3 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). According to the explanatory memorandum, the elaboration of the duty of care is identical for the sectors of EZ, KGG, LVVN and IenW. Original Dutch text:
    De uitwerking van de zorgplicht is gelijkluidend voor entiteiten in de sectoren waarvoor de Minister van Economische Zaken (EZ), Klimaat en Groene Groei (KGG), Landbouw, Visserij, Voedselzekerheid en Natuur (LVVN) en Infrastructuur en Waterstaat (IenW) de bevoegde autoriteit zijn.
    Source, retrieved on 3 October 2026.
  8. [8] Cyberbeveiligingsregeling IenW Art. 12(1) and (2) (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). Maintenance procedures include security testing and patch management; patches are applied within a reasonable period, unless the disadvantages outweigh the advantages; then the postponement is justified and documented. Original Dutch text:
    1. De processen en procedures, bedoeld in artikel 11, derde lid, van het besluit, hebben betrekking op ten minste de processen en procedures inzake: a. beveiligingstesten; b. beveiligingspatchbeheer. 2. De processen en procedures inzake beveiligingspatchbeheer zorgen ervoor dat: a. waar passend, beveiligingspatches afkomstig zijn van betrouwbare bronnen en op integriteit worden gecontroleerd; b. waar passend, beveiligingspatches worden getest voordat zij in productiesystemen worden toegepast; c. beveiligingspatches worden toegepast binnen een redelijke termijn nadat zij beschikbaar zijn, tenzij de nadelen van de toepassing van de beveiligingspatches zwaarder wegen dan de voordelen, in welk geval de essentiële entiteit of belangrijke entiteit motiveert waarom de beveiligingspatches niet of op een later moment toegepast worden en dit documenteert.
    Source, retrieved on 3 October 2026.
  9. [9] Cyberbeveiligingsregeling IenW Art. 12(3) (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). Measures against malicious software, periodic vulnerability scans where appropriate, and remedying risky vulnerabilities without delay or a justified postponement. Original Dutch text:
    3. Ter uitvoering van artikel 21, derde lid, onderdeel e, van de wet: a. implementeert de essentiële entiteit of belangrijke entiteit maatregelen om het gebruik van kwaadaardige en ongeoorloofde software in haar netwerk- en informatiesystemen te detecteren en te voorkomen; b. voert de essentiële entiteit of belangrijke entiteit, waar passend, periodiek kwetsbaarheidsscans uit en legt zij de resultaten van deze scans vast; […] d. verhelpt de essentiële entiteit of belangrijke entiteit onverwijld kwetsbaarheden die een risico vormen voor de beveiliging van haar netwerk- en informatiesystemen, of motiveert waarom de kwetsbaarheid niet of op een later moment verholpen wordt en documenteert dit.
    Source, retrieved on 3 October 2026.

Related questions

What must you arrange under the Cbw for your suppliers and IT service providers (NIS2 21(2)(d))?What does the duty of care of the Cyberbeveiligingswet involve?How do you show that your cybersecurity measures work (NIS2 21(2)(f))?Does the Cbw duty of care also apply to your TMS, WMS or telematics in the cloud?Where do you report a vulnerability you find in a supplier's software or equipment?

Next step

Register your organisation and your Cbw sector. Trusq sets up the duty of care, the reporting duty, the tasks of the management body and the registration as actions, each with the evidence that is expected and the article it rests on.

Set up the Cbw duties in Trusq

Not sure whether the Cbw applies to your business? Take the Cbw check (in Dutch).

Looking for a specialist? We will look with you for a suitable specialist; mediation is not guaranteed.

This page gives general information based on the text of the law. It is not legal advice for your situation.