Skip to content

Knowledge base · Cbw/NIS2 for transport and logistics

Who is your CSIRT under the Cbw and what help do you get after a report?

For essential and important entities the Minister of Justice and Security is the CSIRT; in practice the Nationaal Cyber Security Centrum (NCSC) carries out that task. For transport and logistics, a different CSIRT has been designated only for the water boards (waterschappen). After an early warning the CSIRT gives an initial response without delay and, where possible, within 24 hours, at your request with advice on measures, and on request additional technical support. Responsibility for resolving the incident stays with you.

In force now (since 15 August 2026)Trusq editorial · checked against the official textLast verified:

Next step: Set up the Cbw duties in Trusq

Who your CSIRT is

A CSIRT is designated for every essential and important entity [1]. The Cyberbeveiligingsbesluit designates the Minister; for specific sectors another CSIRT can be designated by regulation [2]. By "the Minister", the Cbw and the rules based on it mean the Minister of Justice and Security [3]. The regulation for transport designates a different CSIRT only for the water boards [4]. According to the explanatory note, the ministers responsible for postal and courier services and food have also left the CSIRT task with the Minister of Justice and Security [10], and the NCSC carries out those tasks in practice [11].

What the CSIRT does after your report

The CSIRT responds without delay and, where possible, within 24 hours to your early warning, with an initial reply and, at your request, guidance or operational advice. On request it gives additional technical support, and where a criminal offence is suspected, guidance on reporting to the law enforcement authorities [5].

What else the CSIRT does

At your request the CSIRT can help monitor your systems or proactively scan them for vulnerabilities [6]. It can also scan your publicly accessible systems non-intrusively and inform you if it finds something [7].

It remains your incident

According to the explanatory note, the CSIRT does not take over responsibility when it assists; you remain responsible yourself for resolving the incident [8]. You report via the reporting point that the Minister has set up for this [9].

What Trusq bases this on

These released rules are in Trusq and are read again with every publication; if a rule changes, this page changes with it.

  • Organisation: Submit an early warning of a significant incident. Cbw 26, Cbw 25, NIS2 23(4)(a), Cbb 24, Cbb 25

Sources

  1. [1] Cbw Art. 16(1) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). A CSIRT is designated for every essential and important entity. Original Dutch text:
    1. Bij of krachtens algemene maatregel van bestuur wordt het CSIRT aangewezen voor elke essentiële entiteit en belangrijke entiteit.
    Source, retrieved on 3 October 2026.
  2. [2] Cbb Art. 2(1)–(2) (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). The Minister is the CSIRT, unless another has been designated for a sector by regulation. Original Dutch text:
    1. Onze Minister wordt voor essentiële entiteiten en belangrijke entiteiten aangewezen als het CSIRT, bedoeld in artikel 16, eerste lid, van de wet. 2. Bij regeling van Onze Minister die het aangaat, in overeenstemming met Onze Minister, kan in afwijking van het eerste lid voor essentiële entiteiten en belangrijke entiteiten uit specifieke sectoren en subsectoren, voor specifieke soorten entiteiten en voor specifieke entiteiten een ander dan Onze Minister worden aangewezen als het CSIRT,
    Source, retrieved on 3 October 2026.
  3. [3] Cbw Art. 1 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). "Our Minister" in the Cbw and the provisions based on it is the Minister of Justice and Security. Original Dutch text:
    In deze wet en de daarop berustende bepalingen wordt verstaan onder: […] Onze Minister: Onze Minister van Justitie en Veiligheid;
    Source, retrieved on 3 October 2026.
  4. [4] Cyberbeveiligingsregeling IenW Art. 3 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). The IenW regulation designates a different CSIRT only for the water boards. Original Dutch text:
    In afwijking van artikel 2, eerste lid, van het besluit wordt als CSIRT voor de waterschappen aangewezen: de dienst CERT-WM die is ondergebracht bij het openbaar lichaam Het Waterschapshuis als bedoeld in de gemeenschappelijke regeling Het Waterschapshuis.
    Source, retrieved on 3 October 2026.
  5. [5] Cbw Art. 36 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Tasks of the CSIRT after an early warning. Original Dutch text:
    1. Het CSIRT verstrekt onverwijld en zo mogelijk binnen 24 uur na ontvangst van de vroegtijdige waarschuwing, bedoeld in artikel 26, een antwoord aan de meldende entiteit, met inbegrip van een eerste terugkoppeling over het significante incident en, op verzoek van de entiteit, richtsnoeren of operationeel advies voor de uitvoering van mogelijke risicobeperkende maatregelen. 2. Het CSIRT verleent aanvullende technische ondersteuning indien de betrokken entiteit daar om verzoekt. 3. Wanneer wordt vermoed dat het significante incident van criminele aard is, geeft het CSIRT ook richtsnoeren aan de meldende entiteit voor het melden van het significante incident aan de rechtshandhavingsinstanties.
    Source, retrieved on 3 October 2026.
  6. [6] Cbw Art. 16(2) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). On request the CSIRT helps with monitoring and scans proactively for vulnerabilities. Original Dutch text:
    2. Het CSIRT heeft de volgende taken: a. het monitoren en analyseren van cyberdreigingen, kwetsbaarheden en incidenten op nationaal niveau, en het op verzoek verlenen van bijstand aan de betrokken essentiële entiteit of belangrijke entiteit met betrekking tot het realtime of bijna-realtime monitoren van haar netwerk- en informatiesysteem; […] e. het op verzoek van een essentiële entiteit of belangrijke entiteit proactief scannen van het netwerk- en informatiesysteem van de betrokken entiteit om kwetsbaarheden met mogelijk significante gevolgen op te sporen;
    Source, retrieved on 3 October 2026.
  7. [7] Cbw Art. 16(3) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). The CSIRT can scan publicly accessible systems non-intrusively and inform the entity. Original Dutch text:
    3. Het CSIRT kan een openbaar toegankelijk netwerk- en informatiesysteem van een essentiële entiteit en belangrijke entiteit proactief en niet-intrusief scannen met het oog op het opsporen van een kwetsbaar of onveilig geconfigureerd netwerk- en informatiesysteem en het informeren van de betrokken entiteit.
    Source, retrieved on 3 October 2026.
  8. [8] Explanatory note to the Cbb, section 2.4 (Designation of the CSIRT) (Explanatory note to the Dutch Cyberbeveiligingsbesluit (Stb. 2026, 189); Dutch law, unofficial translation). According to the explanatory note, the CSIRT does not take over responsibility when it assists. Original Dutch text:
    Het CSIRT zal bij het verlenen van bijstand niet de verantwoordelijkheid overnemen van de entiteit. De entiteit blijft zelfstandig verantwoordelijk voor het oplossen van een incident en haar cyberweerbaarheid.
    Source, retrieved on 3 October 2026.
  9. [9] Cbb Art. 25 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). The report is made at a reporting point set up by the Minister. Original Dutch text:
    De melding, bedoeld in artikel 25, eerste lid, van de wet, wordt gedaan bij een hiervoor door Onze Minister ingericht meldpunt.
    Source, retrieved on 3 October 2026.
  10. [10] Explanatory note to the Cbb, article-by-article explanation to Article 2(1) (Explanatory note to the Dutch Cyberbeveiligingsbesluit (Stb. 2026, 189); Dutch law, unofficial translation). According to the explanatory note, the ministers of EZ, IenW and LVVN, among others, have left the CSIRT task for their sectors with the Minister of Justice and Security. Original Dutch text:
    De Minister van Binnenlandse Zaken en Koninkrijksrelaties, de Minister van Economische Zaken, de Minister van Financiën, de Minister van Infrastructuur en Waterstaat, de Minister van Klimaat en Groene Groei en de Minister van Landbouw, Visserij, Voedselzekerheid en Natuur hebben in samenspraak met de Minister van Justitie en Veiligheid besloten de CSIRT-taak te beleggen bij de Minister van Justitie en Veiligheid voor de sectoren waar zij politiek verantwoordelijk voor zijn.
    Source, retrieved on 3 October 2026.
  11. [11] Explanatory note to the Cbb, article-by-article explanation to Article 2(1) (Explanatory note to the Dutch Cyberbeveiligingsbesluit (Stb. 2026, 189); Dutch law, unofficial translation). According to the explanatory note, the NCSC carries out the CSIRT tasks of the Minister of Justice and Security in practice. Original Dutch text:
    De taken die de Minister van Justitie en Veiligheid als CSIRT op grond van de Cbw moet verrichten zullen in de praktijk worden uitgevoerd door het NCSC.
    Source, retrieved on 3 October 2026.

Related questions

When and where do you report a significant incident under the Cbw?What must the early warning within 24 hours contain?Do you have to report a near miss or a cyber threat under the Cbw?How do you set up incident handling under the Cbw (NIS2 21(2)(b))?

Next step

Register your organisation and your Cbw sector. Trusq sets up the duty of care, the reporting duty, the tasks of the management body and the registration as actions, each with the evidence that is expected and the article it rests on.

Set up the Cbw duties in Trusq

Not sure whether the Cbw applies to your business? Take the Cbw check (in Dutch).

Looking for a specialist? We will look with you for a suitable specialist; mediation is not guaranteed.

This page gives general information based on the text of the law. It is not legal advice for your situation.