Skip to content

Knowledge base · Cbw/NIS2 for transport and logistics

Who supervises the Cbw in transport and logistics, and how high are the fines?

For transport the Minister of Infrastructure and Water Management is the competent authority and the Inspectie Leefomgeving en Transport (ILT) supervises; for postal and courier services and the management of ICT services that is the Minister of Economic Affairs, with the Rijksinspectie Digitale Infrastructuur (RDI); for food it is the Minister of Agriculture, Fisheries, Food Security and Nature, with the Netherlands Food and Consumer Product Safety Authority (NVWA). If your company has also been designated as a critical entity under the Wet weerbaarheid kritieke entiteiten (Critical Entities Resilience Act), the competent authority under that act is also your competent authority under the Cbw. For a breach of the duty of care or the reporting duty the fine is at most EUR 10 million or 2% of worldwide annual turnover (essential) or EUR 7 million or 1.4% (important); a member of the management body can be fined up to EUR 25,000.

In force now (since 15 August 2026)Trusq editorial · checked against the official textLast verified:

Next step: Ask a specialist

Who is competent

Article 15 designates a minister per sector as the competent authority [1]. The supervision itself lies with the officials whom the competent authority designates [2]: the ILT for transport [6] [7], the RDI for postal and courier services and the management of ICT services [8] and the NVWA for food [9]. If an entity has been designated as a critical entity under the Wet weerbaarheid kritieke entiteiten, the competent authority under that act is also the competent authority under the Cbw [10].

Maximum fines for the company

  • Essential entity, breach of the duty of care or the reporting duty: at most EUR 10 million or 2% of the company's worldwide annual turnover, whichever is higher [3]
  • Important entity, the same breaches: at most EUR 7 million or 1.4% [4]
  • Other breaches: at most EUR 1 million [3] [4]

Fine for members of the management body

A member of the management body who does not meet the knowledge, updating or certificate requirement can be fined at most EUR 25,000 [5].

Fine together with or after a warning

A fine on the entity is imposed together with or after a warning, or together with or after another measure, such as an instruction or an order subject to administrative enforcement [3] [4].

Sources

  1. [1] Cbw Art. 15(1) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Competent authorities per sector. Original Dutch text:
    Onze Minister van Economische Zaken digitale infrastructuur beheer van ICT-diensten (business-to-business) ruimtevaart post- en koeriersdiensten […] Onze Minister van Infrastructuur en Waterstaat vervoer lucht spoor water weg
    Source, retrieved on 2 October 2026.
  2. [2] Cbw Art. 68(1) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Supervision by designated officials. Original Dutch text:
    zijn belast: de bij besluit van de bevoegde autoriteit aangewezen ambtenaren.
    Source, retrieved on 2 October 2026.
  3. [3] Cbw Art. 80 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Maximum fine for an essential entity. Original Dutch text:
    aan een essentiële entiteit een bestuurlijke boete opleggen: a. tezamen met of na het geven van een waarschuwing aan de betrokken entiteit over de overtreding; of b. tezamen met of na de toepassing van de artikelen 38, 70, 72, eerste lid, onderdeel c, 73, 74, 75, 76, 77 of 78. […] 3. De boete bedraagt ten hoogste: a. in geval van overtreding van het bepaalde bij of krachtens de artikelen 21, 21a en 25 tot en met 30 […] € 10.000.000,– of 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe de essentiële entiteit behoort, indien het laatstbedoelde bedrag hoger is; b. in geval van een andere overtreding: € 1.000.000,–.
    Source, retrieved on 2 October 2026.
  4. [4] Cbw Art. 87 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Maximum fine for an important entity. Original Dutch text:
    aan een belangrijke entiteit een bestuurlijke boete opleggen: a. tezamen met of na het geven van een waarschuwing aan de betrokken entiteit over de overtreding; of b. tezamen met of na de toepassing van de artikelen 38, 83, eerste lid, onderdeel c, 84, 85 of 86. […] 3. De boete bedraagt ten hoogste: a. in geval van overtreding van het bepaalde bij of krachtens de artikelen 21, 21a en 25 tot en met 30 […] € 7.000.000,– of 1,4% van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe de belangrijke entiteit behoort, indien het laatstbedoelde bedrag hoger is; b. in geval van een andere overtreding: € 1.000.000,–.
    Source, retrieved on 2 October 2026.
  5. [5] Cbw Art. 93 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Fine for a member of the management body. Original Dutch text:
    1. De bevoegde autoriteit kan een lid van het bestuur van een essentiële entiteit of belangrijke entiteit een bestuurlijke boete opleggen in geval van: a. overtreding van het bepaalde bij of krachtens artikel 24, tweede tot en met zesde lid; […] 2. De boete, bedoeld in het eerste lid, bedraagt ten hoogste € 25.000,–.
    Source, retrieved on 2 October 2026.
  6. [6] Designation decree IenW supervisors Art. 1 (Decision designating the supervisors under the Cbw and the Wwk (Stcrt. 2026, 24155); Dutch law, unofficial translation). The officials of the ILT have been designated as supervisors for the sectors of Article 2 of the Cyberbeveiligingsregeling IenW. Original Dutch text:
    De ambtenaren van de Inspectie Leefomgeving en Transport worden aangewezen als ambtenaren belast met het toezicht op de naleving van het bepaalde bij of krachtens de Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten voor de in artikel 2 van de Cyberbeveiligingsregeling IenW en de in de artikelen 2 en 3 van de Regeling weerbaarheid kritieke entiteiten IenW genoemde sectoren, met uitzondering van de sector nucleair en de sector drinkwater, subsector verpakt water.
    Source, retrieved on 2 October 2026.
  7. [7] Cyberbeveiligingsregeling IenW Art. 2(1) (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). Article 2 of the Cyberbeveiligingsregeling IenW names the transport sector with the subsectors air, rail, water and road. Original Dutch text:
    1. Deze regeling is van toepassing op alle essentiële entiteiten en belangrijke entiteiten in de volgende sectoren dan wel subsectoren: Sector Subsector Vervoer Lucht Spoor Water Weg
    Source, retrieved on 2 October 2026.
  8. [8] Regeling cyberbeveiliging EZK, explanatory note, section 3 (Regeling cyberbeveiliging EZK (Stcrt. 2026, 25627); Dutch law, unofficial translation). For the EZK sectors, including postal and courier services and the management of ICT services, the RDI is charged with supervising compliance with the Regeling cyberbeveiliging EZK. Original Dutch text:
    Met het toezicht op de naleving van deze regeling worden ambtenaren van de Rijksinspectie Digitale Infrastructuur (hierna: RDI) belast.
    Source, retrieved on 2 October 2026.
  9. [9] Regeling cyberbeveiliging LVVN, explanatory note, section 3 (Regeling cyberbeveiliging LVVN (Stcrt. 2026, 25478); Dutch law, unofficial translation). For the LVVN food sector, the NVWA is charged with supervising compliance with the Regeling cyberbeveiliging LVVN. Original Dutch text:
    Met het toezicht op de naleving van deze regeling worden ambtenaren van de Nederlandse Voedsel- en Warenautoriteit (hierna: NVWA) belast.
    Source, retrieved on 22 October 2026.
  10. [10] Cbw Art. 15(5) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). The Wwke authority of a designated critical entity is also its competent authority under the Cbw. Original Dutch text:
    5. De bevoegde autoriteit, bedoeld in artikel 8 van de Wet weerbaarheid kritieke entiteiten, van een op grond van artikel 6, eerste lid, van de Wet weerbaarheid kritieke entiteiten aangewezen kritieke entiteit is tevens de bevoegde autoriteit in de zin van deze wet voor die entiteit.
    Source, retrieved on 22 October 2026.

Related questions

Is your company an essential or an important entity?What must the management body do under the Cyberbeveiligingswet?When and where do you report a significant incident under the Cbw?What does the duty of care of the Cyberbeveiligingswet involve?As an important entity, do you face inspections or an audit by the supervisory authority?Can the supervisory authority have a director suspended under the Cbw?

Next step

Looking for a specialist? We will look with you for a suitable specialist; mediation is not guaranteed. Describe your question; we reply within one working day.

Ask a specialist

Not sure whether the Cbw applies to your business? Take the Cbw check (in Dutch).

This page gives general information based on the text of the law. It is not legal advice for your situation.