Skip to content

Knowledge base · Cbw/NIS2 for transport and logistics

Must you review your risk analysis and security policy every year under the Cbw?

The Cbb names no fixed period. You evaluate your measures periodically and record the result, test your continuity, recovery and crisis plans periodically, and check suppliers and access rights periodically. You determine and justify yourself which period is appropriate, based on your risks. Only for cloud, IT and other digital service providers does at least once a year apply.

In force now (since 15 August 2026)Trusq editorial · checked against the official textLast verified:

Next step: Set up the Cbw duties in Trusq

What must be periodic

  • evaluate the effectiveness of your measures and record the result [1]
  • verify backups and test the procedures, the business continuity plan, the recovery plan and the crisis plan [2]
  • check whether your direct suppliers meet your security requirements [3]
  • check identities, authentication means and authorisations [4]
  • evaluate the designation of people with security roles [5]

How often is periodic?

According to the explanatory memorandum, you determine and justify yourself, depending on your risks, which period is appropriate [6]. Transport companies also record in their management system which measures they monitor and measure, and when they measure and analyse and evaluate the results [12]. Record that choice; a period without justification is hard to defend in supervision.

Also in between

If you are specifically warned about a relevant vulnerability or threat, you assess immediately whether your measures must change and record that [7]. Transport companies also carry out periodic vulnerability scans where appropriate and record the results [8].

Cloud and IT service providers: at least annually

These articles do not apply to the digital providers referred to in Article 4 of the decree [9]. The European implementing regulation asks of them that the management body evaluates the security policy at least annually, and also after significant incidents or changes [10], and that they evaluate the risk assessment at least once a year [11].

What Trusq bases this on

These released rules are in Trusq and are read again with every publication; if a rule changes, this page changes with it.

  • Organisation: Evaluate the effectiveness of cybersecurity measures. NIS2 21(2)(f), Cbw 21(3)(f)
  • Organisation: Manage supply-chain security. NIS2 21(2)(d), Cbw 21(3)(d)
  • Organisation: Manage personnel security, access and assets. NIS2 21(2)(i), Cbw 21(3)(i)
  • Per ICT system: Include this ICT system in the cybersecurity risk analysis and treat its risks. Cbw 21(1), Cbw 21(2), Cbw 21(3)(a), NIS2 21(1), NIS2 21(2)(a)

Sources

  1. [1] Cbb Art. 18 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). The entity periodically evaluates the effectiveness of its measures and records the result. Original Dutch text:
    De essentiële entiteit of belangrijke entiteit evalueert periodiek de doeltreffendheid van de maatregelen die zij heeft genomen op grond van artikel 21, eerste lid, van de wet en de effecten ervan in de praktijk, en legt het resultaat daarvan schriftelijk vast.
    Source, retrieved on 3 October 2026.
  2. [2] Cbb Art. 9(2)–(5) (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Procedures, the business continuity plan, the recovery plan and the crisis plan are tested periodically. Original Dutch text:
    De entiteit past deze processen en procedures aantoonbaar toe en test deze periodiek. 3. De essentiële entiteit of belangrijke entiteit heeft een vastgesteld bedrijfscontinuïteitsplan met betrekking tot haar netwerk- en informatiesystemen. De entiteit legt dat plan schriftelijk vast, past dat plan toe in geval van een incident dat de bedrijfscontinuïteit in gevaar brengt, en test dit plan periodiek. 4. De essentiële entiteit of belangrijke entiteit heeft een herstelplan. De entiteit legt dat plan schriftelijk vast, past dat plan toe in geval van een incident en test dit plan periodiek. 5. De essentiële entiteit of belangrijke entiteit heeft een plan voor crisisbeheer, legt dit plan schriftelijk vast, past dat plan toe in geval van een crisis en test en beoefent dit plan periodiek.
    Source, retrieved on 3 October 2026.
  3. [3] Cbb Art. 10(2) (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). The entity periodically checks whether direct suppliers meet the security requirements. Original Dutch text:
    2. De essentiële entiteit of belangrijke entiteit toetst of haar rechtstreekse leveranciers en rechtstreekse dienstverleners, bedoeld in het eerste lid, voldoen aan de beveiligingseisen, bedoeld in artikel 7, vijfde lid. De entiteit controleert dit periodiek.
    Source, retrieved on 3 October 2026.
  4. [4] Cbb Art. 15(3) (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Identities, authentication means and authorisations are checked periodically. Original Dutch text:
    3. De essentiële entiteit of belangrijke entiteit controleert identiteiten, authenticatiemiddelen en autorisaties periodiek op de noodzakelijkheid, juistheid en actualiteit en voert indien nodig wijzigingen door in de identiteiten, authenticatiemiddelen en autorisaties.
    Source, retrieved on 3 October 2026.
  5. [5] Cbb Art. 14(2) (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). The designation of persons with security roles is evaluated periodically. Original Dutch text:
    2. De essentiële entiteit of belangrijke entiteit evalueert periodiek de aanwijzing, bedoeld in het eerste lid, en werkt deze aanwijzing indien nodig bij.
    Source, retrieved on 3 October 2026.
  6. [6] Explanatory note to the Cbb, section 4.6 (Duty of care) (Explanatory note to the Dutch Cyberbeveiligingsbesluit (Stb. 2026, 189); Dutch law, unofficial translation). According to the explanatory memorandum, the entity determines and justifies itself which period is appropriate. Original Dutch text:
    Meerdere partijen vragen in de consultatie wat er met termen als «periodiek» en «tijdig» wordt bedoeld. De reactie hierop is als volgt. Afhankelijk van de geïdentificeerde risico’s zal een entiteit zelf moeten bepalen en onderbouwen welke periode passend is en wat tijdig is in de context van die entiteit.
    Source, retrieved on 3 October 2026.
  7. [7] Cbb Art. 17(1) (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). After a specific warning, the entity assesses its measures and records the outcome. Original Dutch text:
    1. Indien de essentiële entiteit of belangrijke entiteit gericht wordt geattendeerd op voor de beveiliging van haar netwerk- en informatiesystemen relevante kwetsbaarheden of cyberdreigingen, beoordeelt zij of op basis daarvan aanpassingen of aanvullingen nodig zijn van de maatregelen ter uitvoering van artikel 21 van de wet. De entiteit legt de uitkomsten van die beoordeling schriftelijk vast.
    Source, retrieved on 3 October 2026.
  8. [8] Cyberbeveiligingsregeling IenW Art. 12(3)(b) (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). Transport companies carry out periodic vulnerability scans where appropriate and record the results. Original Dutch text:
    b. voert de essentiële entiteit of belangrijke entiteit, waar passend, periodiek kwetsbaarheidsscans uit en legt zij de resultaten van deze scans vast;
    Source, retrieved on 3 October 2026.
  9. [9] Cbb Art. 4 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Articles 6 to 18 Cbb do not apply to the digital providers referred to in Article 4 Cbb. Original Dutch text:
    Gelet op artikel 1 van de Uitvoeringsverordening (EU) 2024/2690 zijn de artikelen 6 tot en met 18 niet van toepassing op de volgende essentiële entiteiten en belangrijke entiteiten:
    Source, retrieved on 3 October 2026.
  10. [10] IR 2024/2690, Annex, point 1.1.2 (Implementing Regulation (EU) 2024/2690). Digital providers: the management body evaluates the security policy at least annually and after significant incidents or changes.
    1.1.2. The network and information system security policy shall be reviewed and, where appropriate, updated by management bodies at least annually and when significant incidents or significant changes to operations or risks occur.
    Source, retrieved on 3 October 2026.
  11. [11] IR 2024/2690, Annex, point 2.1.4 (Implementing Regulation (EU) 2024/2690). Digital providers evaluate the risk assessment at least once a year.
    2.1.4. The relevant entities shall review and, where appropriate, update the risk assessment results and the risk treatment plan at planned intervals and at least annually,
    Source, retrieved on 3 October 2026.
  12. [12] Cyberbeveiligingsregeling IenW Art. 10 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). The management system records which measures are monitored and measured and when measuring and evaluating take place. Original Dutch text:
    Ter uitvoering van artikel 6 van het besluit legt de essentiële entiteit of de belangrijke entiteit als onderdeel van haar managementsystematiek, bedoeld in artikel 6, vierde lid, van het besluit, vast: a. welke maatregelen voor het beheer van cyberbeveiligingsrisico’s, met inbegrip van processen en controles, moeten worden gemonitord, gemeten, geanalyseerd en geëvalueerd; […] c. wanneer de monitoring en de meting moeten worden uitgevoerd; […] e. wanneer de resultaten van de monitoring en meting moeten worden geanalyseerd en geëvalueerd;
    Source, retrieved on 3 October 2026.

Related questions

How do you show that your cybersecurity measures work (NIS2 21(2)(f))?What must be in your policy for risk analysis and information security (NIS2 21(2)(a))?Which documents and policies must you have under the Cyberbeveiligingswet?What does the Cbw require on business continuity, backups and crisis management (NIS2 21(2)(c))?

Next step

Register your organisation and your Cbw sector. Trusq sets up the duty of care, the reporting duty, the tasks of the management body and the registration as actions, each with the evidence that is expected and the article it rests on.

Set up the Cbw duties in Trusq

Not sure whether the Cbw applies to your business? Take the Cbw check (in Dutch).

Looking for a specialist? We will look with you for a suitable specialist; mediation is not guaranteed.

This page gives general information based on the text of the law. It is not legal advice for your situation.