Skip to content

Knowledge base · Cbw/NIS2 for transport and logistics

When is a cyber incident a significant incident?

You test that first against the threshold values for your sector. For transport and chemicals they are in the Cyberbeveiligingsregeling IenW, for postal and courier services in the Regeling cyberbeveiliging EZK and for food in the Regeling cyberbeveiliging LVVN; if an incident reaches such a threshold or can reach it, it is significant. The act itself names as the yardstick a severe operational disruption or financial losses for your company, or considerable damage to others (Cbw 25, paragraph 2). Only significant incidents fall under the reporting duty.

In force now (since 15 August 2026)Trusq editorial · checked against the official textLast verified:

Next step: Set up the Cbw duties in Trusq

The statutory yardstick

The Cbw names two situations [1]:

  • a severe operational disruption of the services or financial losses for the entity itself, even if it can still occur
  • damage to other entities: considerable material or non-material damage, even if it can still occur

The word “can” matters: you do not have to wait until the damage is there.

Examples from transport and logistics

First test an incident against the threshold values below and record your assessment; that is part of your incident handling. Think of ransomware that brings down your planning system, terminal or sorting centre.

Further criteria

The act allows criteria to be laid down per sector [2]; the minister responsible for your sector does so by regulation [3]. According to the explanatory note to the regulation for transport, an incident is significant if it meets one of those criteria or can come to meet one [4]. Some thresholds:

  • transport by water: access to the port, nautical services or transshipment in the port unavailable for twelve hours or longer, or transport over the main waterway network unavailable for twenty-four hours or longer [5]
  • manufacture and distribution of chemical substances: contractual delivery times exceeded by three weeks or more, or a critical entity unable to use your service for six hours or longer [6]
  • postal and courier services: at least 30% of recipients receive the item two delivery days or more late, or digital data are compromised so that personal and address data are processed unlawfully or the secrecy of letters is violated [7]; in addition in any case in the event of death or considerable damage to health [8]
  • food companies: production, processing or distribution interrupted for at least 24 hours in part, for 12 hours for half or more, or for six hours entirely [9]

For air, rail and road, the regulation for transport has its own thresholds. Planned maintenance interruptions with foreseen effects do not count [10]. For cloud and IT service providers, among others, Implementing Regulation (EU) 2024/2690 specifies when an incident is significant.

What Trusq bases this on

These released rules are in Trusq and are read again with every publication; if a rule changes, this page changes with it.

  • Organisation: Submit an early warning of a significant incident. Cbw 26, Cbw 25, NIS2 23(4)(a), Cbb 24, Cbb 25
  • Organisation: Submit the incident notification and available initial assessment. Cbw 27(1)–(2), Cbw 25, NIS2 23(4)(b), Cbb 25

Sources

  1. [1] Cbw Art. 25(2) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). An incident is significant in the case of severe operational disruption or financial losses, or considerable damage to others. Original Dutch text:
    2. Een incident is een significant incident als het: a. een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken entiteit veroorzaakt of kan veroorzaken; of b. andere entiteiten heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken.
    Source, retrieved on 2 October 2026.
  2. [2] Cbw Art. 25(3) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Criteria can be laid down by order in council. Original Dutch text:
    3. Bij of krachtens algemene maatregel van bestuur kunnen de criteria worden vastgesteld op basis waarvan wordt bepaald of sprake is van een significant incident als bedoeld in het tweede lid, waarbij onderscheid kan worden gemaakt tussen sectoren, subsectoren, soorten entiteiten en entiteiten.
    Source, retrieved on 2 October 2026.
  3. [3] Cbb Art. 23(1) (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). The minister concerned can lay down by regulation the criteria for a significant incident, per sector, subsector or type of entity. Original Dutch text:
    1. Bij regeling van Onze Minister die het aangaat, na overleg met Onze Minister, kunnen de criteria worden vastgesteld op basis waarvan wordt bepaald of sprake is van een significant incident als bedoeld in artikel 25, tweede lid, van de wet, waarbij onderscheid kan worden gemaakt tussen sectoren, subsectoren, soorten entiteiten en entiteiten.
    Source, retrieved on 3 October 2026.
  4. [4] Cyberbeveiligingsregeling IenW, explanatory note, article-by-article explanation to section 5 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). According to the explanatory note, an incident is significant if it meets or can come to meet one of the threshold values of paragraph 5 of the regulation. Original Dutch text:
    Een incident is significant wanneer het aan een van de in paragraaf 5 genoemde criteria voldoet of kan gaan voldoen (drempelwaarden).
    Source, retrieved on 3 October 2026.
  5. [5] Cyberbeveiligingsregeling IenW Art. 17 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). Threshold values for transport by water. Original Dutch text:
    Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector vervoer, subsector vervoer over water, significant als: a. dienstverlening met betrekking tot toegang tot de haven en nautische dienstverlening voor een periode van twaalf uur of langer niet beschikbaar is; b. overslag in de haven voor een periode van twaalf uur of langer niet beschikbaar is; of c. dienstverlening met betrekking tot transport in het maritieme achterland over, op en langs het hoofdvaarwegennet voor een periode van vierentwintig uur of langer niet beschikbaar is.
    Source, retrieved on 3 October 2026.
  6. [6] Cyberbeveiligingsregeling IenW Art. 25 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). Threshold values for manufacture, production and distribution of chemical substances. Original Dutch text:
    Een incident is voor essentiële entiteiten en belangrijke entiteiten in de sector vervaardiging, productie en distributie van chemische stoffen significant als: a. daardoor de bij een overeenkomst vastgestelde levertijden overschreden worden met een periode van drie weken of meer; of b. daardoor een kritieke entiteit die voor haar dienstverlening afhankelijk is van de verleende dienst, daarvan voor een periode van zes uur of langer geen gebruik kan maken.
    Source, retrieved on 3 October 2026.
  7. [7] Regeling cyberbeveiliging EZK Art. 11 (Regeling cyberbeveiliging EZK (Stcrt. 2026, 25627); Dutch law, unofficial translation). Threshold values for postal and courier services. Original Dutch text:
    Voor een essentiële entiteit of een belangrijke entiteit in de sector post- en koerierdiensten is een incident in ieder geval een significant incident als: a. ten minste 30% van de ontvangers van de post- en koerierdienst hun postzending ten minste twee bezorgdagen later ontvangt dan op grond van wettelijke of contractuele verplichtingen zou moeten; of b. de integriteit, vertrouwelijkheid of authenticiteit van digitale gegevens die in verband met haar dienstverlening worden opgeslagen, verzonden of verwerkt, is aangetast, waardoor persoonsgegevens en adresgegevens onrechtmatig worden verwerkt of het briefgeheim wordt geschonden.
    Source, retrieved on 3 October 2026.
  8. [8] Regeling cyberbeveiliging EZK Art. 7(1) and (2) (Regeling cyberbeveiliging EZK (Stcrt. 2026, 25627); Dutch law, unofficial translation). For EZK sectors an incident is in any case significant in the event of death or considerable damage to health, and also if it meets a sector criterion. Original Dutch text:
    1. Voor de toepassing van artikel 25, tweede lid, van de wet is een incident in ieder geval een significant incident als: a. het de dood van een of meer natuurlijke personen heeft veroorzaakt of kan veroorzaken; of b. het aanzienlijke schade aan de gezondheid van een of meer natuurlijke personen heeft veroorzaakt of kan veroorzaken. 2. Een incident is tevens een significant incident als het voldoet aan een of meer criteria, bedoeld in de artikelen 8 tot en met 13.
    Source, retrieved on 3 October 2026.
  9. [9] Regeling cyberbeveiliging LVVN Art. 7(1) (Regeling cyberbeveiliging LVVN (Stcrt. 2026, 25478); Dutch law, unofficial translation). When an operational disruption at a food company is severe. Original Dutch text:
    1. Voor een essentiële entiteit of een belangrijke entiteit die levensmiddelenbedrijf is, is een operationele verstoring ernstig als bedoeld in artikel 25, tweede lid, onderdeel a, van de wet, indien deze voldoet aan een of meer van de volgende criteria: a. de productie, verwerking of distributie van levensmiddelen gedurende ten minste 24 uur gedeeltelijk onderbroken is; b. ten minste 50% van de productie, verwerking of distributie van levensmiddelen gedurende ten minste 12 uur onderbroken is; of c. de productie, verwerking of distributie van levensmiddelen gedurende ten minste zes uur geheel onderbroken is.
    Source, retrieved on 3 October 2026.
  10. [10] Cyberbeveiligingsregeling IenW Art. 14 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). Planned service interruptions and maintenance do not count as a significant incident. Original Dutch text:
    Geplande dienstonderbrekingen en geplande gevolgen van geplande onderhoudswerkzaamheden die door of namens de belangrijke entiteit of essentiële entiteit worden uitgevoerd, worden niet als significante incidenten beschouwd.
    Source, retrieved on 3 October 2026.

Related questions

When and where do you report a significant incident under the Cbw?What must the early warning within 24 hours contain?How do you set up incident handling under the Cbw (NIS2 21(2)(b))?Must you also report a cyber incident as a data breach to the Autoriteit Persoonsgegevens?Must you report an incident that takes place at your IT supplier or cloud provider?Do you have to report a near miss or a cyber threat under the Cbw?

Next step

Register your organisation and your Cbw sector. Trusq sets up the duty of care, the reporting duty, the tasks of the management body and the registration as actions, each with the evidence that is expected and the article it rests on.

Set up the Cbw duties in Trusq

Not sure whether the Cbw applies to your business? Take the Cbw check (in Dutch).

Looking for a specialist? We will look with you for a suitable specialist; mediation is not guaranteed.

This page gives general information based on the text of the law. It is not legal advice for your situation.