Skip to content

Knowledge base · Cbw/NIS2 for transport and logistics

Which documents and policies must you have under the Cyberbeveiligingswet?

The Cbb requires written policy for security, risk management, incident handling, business continuity, the supply chain, acquisition, cryptography, access and assets, plus a business continuity plan, a recovery plan, a crisis plan and an up-to-date inventory of your assets. You also record the outcome of evaluations and of assessments of targeted warnings. How many documents that becomes and how thick they are is up to you.

In force now (since 15 August 2026)Trusq editorial · checked against the official textLast verified:

Next step: Set up the Cbw duties in Trusq

What the decree prescribes

To implement the duty of care you take at least the measures in Articles 6 to 18 of the Cyberbeveiligingsbesluit [1]. Almost every measure carries the same formula: you have established policy, record it in writing and demonstrably apply it [2].

The documents at a glance

  • policy on the security of your network and information systems, with the roles, responsibilities and powers [2]
  • policy on risk management, with a methodology, criteria for risk acceptance and an overview of the risks [3]
  • policy on incident handling [4]
  • business continuity policy, a business continuity plan, a recovery plan and a crisis management plan [5]
  • policy on the security of the supply chain [6]
  • policy for acquiring software, hardware and services [7]
  • policy on the use of cryptography [8]
  • policy on logical and physical access [9]
  • policy for asset management, with a complete and up-to-date inventory [10]

What else you record

If you receive a targeted warning about a vulnerability or cyber threat, you record whether your measures must change [11]. You also record the periodic evaluation of your measures in writing [12]. The management body approves the measures [13].

One document or several

The decree does not prescribe what the exact scope and content of the policy must be [14]. According to the explanatory memorandum, you may work out the policy in one or more documents or place it in an information security management system [15]. If you are a transport company, then as part of that management system you also record how, when and by whom the effectiveness of the measures is measured and evaluated [16]. The transport regulation additionally asks for recorded backup procedures with recovery times, recovery points and retention periods [18], the justification if you do not apply a security patch or apply it later [19], the results of vulnerability scans and the justification if you do not remedy a vulnerability or remedy it later [20], and policy for privileged accounts and system administrator accounts [21]. For, among others, postal and courier services and food, equivalent regulations apply [22].

Does this apply to everyone?

Not to cloud and IT service providers and other digital providers under Article 4 of the decree: Articles 6 to 18 do not apply to them [17]. They follow Implementing Regulation (EU) 2024/2690.

What Trusq bases this on

These released rules are in Trusq and are read again with every publication; if a rule changes, this page changes with it.

  • Organisation: Maintain security and risk-management policies. NIS2 21(2)(a), Cbw 21(3)(a)
  • Organisation: Organise incident handling. NIS2 21(2)(b), Cbw 21(3)(b)
  • Organisation: Maintain business continuity, recovery and crisis arrangements. NIS2 21(2)(c), Cbw 21(3)(c)
  • Organisation: Manage supply-chain security. NIS2 21(2)(d), Cbw 21(3)(d)
  • Organisation: Secure acquisition, development and maintenance, including vulnerability handling. NIS2 21(2)(e), Cbw 21(3)(e)
  • Organisation: Maintain policies for cryptography and, where appropriate, encryption. NIS2 21(2)(h), Cbw 21(3)(h)
  • Organisation: Manage personnel security, access and assets. NIS2 21(2)(i), Cbw 21(3)(i)
  • Organisation: Evaluate the effectiveness of cybersecurity measures. NIS2 21(2)(f), Cbw 21(3)(f)
  • Organisation: Obtain board approval for cybersecurity risk-management measures. Cbw 24(1), NIS2 20(1)

Sources

  1. [1] Cbb Art. 5 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). The duty of care is implemented with at least the measures of Cbb Articles 6 to 18. Original Dutch text:
    Ter uitvoering van artikel 21 van de wet neemt de essentiële entiteit of belangrijke entiteit ten minste de maatregelen, bedoeld in de artikelen 6 tot en met 18.
    Source, retrieved on 3 October 2026.
  2. [2] Cbb Art. 6(1)–(2) (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Policy on the security of network and information systems, recorded in writing and demonstrably applied, with established roles and responsibilities. Original Dutch text:
    1. De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over de beveiliging van haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe. 2. De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, de rollen, verantwoordelijkheden en bevoegdheden in relatie tot de beveiliging van haar netwerk- en informatiesystemen vast.
    Source, retrieved on 3 October 2026.
  3. [3] Cbb Art. 7 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Risk management policy with a methodology and criteria for risk acceptance, and an overview of the risks. Original Dutch text:
    1. De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over risicomanagement voor de beveiliging van haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe. 2. Het beleid, bedoeld in het eerste lid, omvat ten minste: a. een risicomanagementmethodiek; en b. criteria voor risicoacceptatie. […] 4. De essentiële entiteit of belangrijke entiteit maakt op basis van de uitgevoerde risicoanalyse een overzicht van de risico’s met betrekking tot de beveiliging van haar netwerk- en informatiesystemen.
    Source, retrieved on 3 October 2026.
  4. [4] Cbb Art. 8(1) (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Written policy on incident handling. Original Dutch text:
    1. De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over incidentenbehandeling. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.
    Source, retrieved on 3 October 2026.
  5. [5] Cbb Art. 9 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Business continuity policy, a business continuity plan, a recovery plan and a crisis management plan. Original Dutch text:
    1. De essentiële entiteit of belangrijke entiteit heeft vastgesteld bedrijfscontinuïteitsbeleid met betrekking tot haar netwerk- en informatiesystemen. […] 3. De essentiële entiteit of belangrijke entiteit heeft een vastgesteld bedrijfscontinuïteitsplan met betrekking tot haar netwerk- en informatiesystemen. […] 4. De essentiële entiteit of belangrijke entiteit heeft een herstelplan. […] 5. De essentiële entiteit of belangrijke entiteit heeft een plan voor crisisbeheer, legt dit plan schriftelijk vast,
    Source, retrieved on 3 October 2026.
  6. [6] Cbb Art. 10(1) (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Policy on the security of the supply chain. Original Dutch text:
    1. De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over de beveiliging van de toeleveringsketen.
    Source, retrieved on 3 October 2026.
  7. [7] Cbb Art. 11(1) (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Policy for risks when acquiring software, hardware or services. Original Dutch text:
    1. De essentiële entiteit of belangrijke entiteit heeft op basis van de beveiligingseisen, bedoeld in artikel 7, vijfde lid, vastgesteld beleid voor het mitigeren en beheersen van risico’s die voortvloeien uit het verwerven van software, hardware of diensten die betrekking hebben op haar netwerk- en informatiesystemen.
    Source, retrieved on 3 October 2026.
  8. [8] Cbb Art. 13(1) (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Written policy on the use of cryptography. Original Dutch text:
    1. De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over het gebruik van cryptografie. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.
    Source, retrieved on 3 October 2026.
  9. [9] Cbb Art. 15(1) (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Policy on logical and physical access. Original Dutch text:
    1. De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over de logische en fysieke toegang tot haar netwerk- en informatiesystemen.
    Source, retrieved on 3 October 2026.
  10. [10] Cbb Art. 16 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Policy for asset management and a complete, up-to-date inventory. Original Dutch text:
    1. De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid voor het beheer van haar assets die zij voor haar werkzaamheden of voor het verlenen van haar diensten gebruikt. […] 4. De essentiële entiteit of belangrijke entiteit heeft een volledige en actuele inventaris van haar assets, en houdt deze bij.
    Source, retrieved on 3 October 2026.
  11. [11] Cbb Art. 17(1) (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). On a targeted warning the entity assesses whether measures must change and records the outcome in writing. Original Dutch text:
    1. Indien de essentiële entiteit of belangrijke entiteit gericht wordt geattendeerd op voor de beveiliging van haar netwerk- en informatiesystemen relevante kwetsbaarheden of cyberdreigingen, beoordeelt zij of op basis daarvan aanpassingen of aanvullingen nodig zijn van de maatregelen ter uitvoering van artikel 21 van de wet. De entiteit legt de uitkomsten van die beoordeling schriftelijk vast.
    Source, retrieved on 3 October 2026.
  12. [12] Cbb Art. 18 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). The periodic evaluation of the measures is recorded in writing. Original Dutch text:
    De essentiële entiteit of belangrijke entiteit evalueert periodiek de doeltreffendheid van de maatregelen die zij heeft genomen op grond van artikel 21, eerste lid, van de wet en de effecten ervan in de praktijk, en legt het resultaat daarvan schriftelijk vast.
    Source, retrieved on 3 October 2026.
  13. [13] Cbw Art. 24(1) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). The measures require the approval of the management body. Original Dutch text:
    1. De maatregelen, bedoeld in artikel 21, behoeven de goedkeuring van het bestuur van de essentiële entiteit of belangrijke entiteit.
    Source, retrieved on 3 October 2026.
  14. [14] Explanatory note to the Cbb, section 4.6 (Duty of care) (Explanatory note to the Dutch Cyberbeveiligingsbesluit (Stb. 2026, 189); Dutch law, unofficial translation). The explanatory memorandum says the exact scope and content of the policy are not prescribed. Original Dutch text:
    Er wordt niet voorgeschreven wat de exacte omvang en inhoud van dit beleid moet zijn.
    Source, retrieved on 3 October 2026.
  15. [15] Explanatory note to the Cbb, section 2.2 (Duty of care) (Explanatory note to the Dutch Cyberbeveiligingsbesluit (Stb. 2026, 189); Dutch law, unofficial translation). According to the explanatory memorandum, the policy may be worked out in one or more documents or placed in an information security management system. Original Dutch text:
    Het beleid kan in één of meerdere beleidsdocumenten worden uitgewerkt of bijvoorbeeld geïntegreerd worden in een managementsysteem voor informatiebeveiliging waarmee ook aan de aantoonbaarheid kan worden voldaan.
    Source, retrieved on 3 October 2026.
  16. [16] Cyberbeveiligingsregeling IenW Art. 10 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). For transport companies that are not a government organisation, the regulation lays down what is recorded in the management system about measuring and evaluating. Original Dutch text:
    Ter uitvoering van artikel 6 van het besluit legt de essentiële entiteit of de belangrijke entiteit als onderdeel van haar managementsystematiek, bedoeld in artikel 6, vierde lid, van het besluit, vast: a. welke maatregelen voor het beheer van cyberbeveiligingsrisico’s, met inbegrip van processen en controles, moeten worden gemonitord, gemeten, geanalyseerd en geëvalueerd; b. de methoden voor het monitoren, meten, analyseren en evalueren om valide resultaten te waarborgen; c. wanneer de monitoring en de meting moeten worden uitgevoerd; d. wie is belast met het monitoren en meten van de doeltreffendheid van de maatregelen voor het beheer van cyberbeveiligingsrisico’s;
    Source, retrieved on 3 October 2026.
  17. [17] Cbb Art. 4 (Dutch Cyberbeveiligingsbesluit (Cbb); Dutch law, unofficial translation). Cbb Articles 6 to 18 do not apply to the digital providers under Cbb Article 4. Original Dutch text:
    Gelet op artikel 1 van de Uitvoeringsverordening (EU) 2024/2690 zijn de artikelen 6 tot en met 18 niet van toepassing op de volgende essentiële entiteiten en belangrijke entiteiten:
    Source, retrieved on 3 October 2026.
  18. [18] Cyberbeveiligingsregeling IenW Art. 11(1) (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). Backup procedures state which software and data are backed up, with recovery times, recovery points, safeguards and retention periods. Original Dutch text:
    1. De processen en procedures voor het maken en periodiek verifiëren van de betrouwbaarheid van back-ups van software en gegevens, bedoeld in artikel 9, tweede lid, van het besluit, omschrijven van welke software en gegevens een back-up wordt gemaakt en bevatten ten aanzien van die software en gegevens: a. hersteltijden; b. herstelpunten; c. waarborgen voor de volledigheid en nauwkeurigheid van back-ups; d. waarborgen voor integriteit, vertrouwelijkheid en beschikbaarheid van back-ups; e. waarborgen voor herstel van software en gegevens uit back-ups; f. bewaartermijnen.
    Source, retrieved on 3 October 2026.
  19. [19] Cyberbeveiligingsregeling IenW Art. 12(1) and (2) (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). Maintenance procedures include security testing and patch management; patches are applied within a reasonable period or the postponement is justified and documented. Original Dutch text:
    1. De processen en procedures, bedoeld in artikel 11, derde lid, van het besluit, hebben betrekking op ten minste de processen en procedures inzake: a. beveiligingstesten; b. beveiligingspatchbeheer. 2. De processen en procedures inzake beveiligingspatchbeheer zorgen ervoor dat: a. waar passend, beveiligingspatches afkomstig zijn van betrouwbare bronnen en op integriteit worden gecontroleerd; b. waar passend, beveiligingspatches worden getest voordat zij in productiesystemen worden toegepast; c. beveiligingspatches worden toegepast binnen een redelijke termijn nadat zij beschikbaar zijn, tenzij de nadelen van de toepassing van de beveiligingspatches zwaarder wegen dan de voordelen, in welk geval de essentiële entiteit of belangrijke entiteit motiveert waarom de beveiligingspatches niet of op een later moment toegepast worden en dit documenteert.
    Source, retrieved on 3 October 2026.
  20. [20] Cyberbeveiligingsregeling IenW Art. 12(3) (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). Measures against malicious software, periodic vulnerability scans where appropriate, and remedying risky vulnerabilities without delay or a justified postponement. Original Dutch text:
    3. Ter uitvoering van artikel 21, derde lid, onderdeel e, van de wet: a. implementeert de essentiële entiteit of belangrijke entiteit maatregelen om het gebruik van kwaadaardige en ongeoorloofde software in haar netwerk- en informatiesystemen te detecteren en te voorkomen; b. voert de essentiële entiteit of belangrijke entiteit, waar passend, periodiek kwetsbaarheidsscans uit en legt zij de resultaten van deze scans vast; […] d. verhelpt de essentiële entiteit of belangrijke entiteit onverwijld kwetsbaarheden die een risico vormen voor de beveiliging van haar netwerk- en informatiesystemen, of motiveert waarom de kwetsbaarheid niet of op een later moment verholpen wordt en documenteert dit.
    Source, retrieved on 3 October 2026.
  21. [21] Cyberbeveiligingsregeling IenW Art. 13 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). The access policy covers privileged accounts and system administrator accounts, with strong identification, authentication and authorisation. Original Dutch text:
    1. Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, omvat het beleid over bevoorrechte accounts en systeembeheeraccounts. 2. Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, zorgt ervoor dat: a. sterke identificatie-, authenticatie-, en autorisatieprocedures voor bevoorrechte accounts en systeembeheeraccounts worden toegepast;
    Source, retrieved on 3 October 2026.
  22. [22] Cyberbeveiligingsregeling IenW, explanatory note, section 4.3 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093); Dutch law, unofficial translation). According to the explanatory memorandum, the elaboration of the duty of care is identical for the sectors of EZ, KGG, LVVN and IenW. Original Dutch text:
    De uitwerking van de zorgplicht is gelijkluidend voor entiteiten in de sectoren waarvoor de Minister van Economische Zaken (EZ), Klimaat en Groene Groei (KGG), Landbouw, Visserij, Voedselzekerheid en Natuur (LVVN) en Infrastructuur en Waterstaat (IenW) de bevoegde autoriteit zijn.
    Source, retrieved on 3 October 2026.

Related questions

What does the duty of care of the Cyberbeveiligingswet involve?Do you comply with the Cyberbeveiligingswet if you hold an ISO 27001 certificate?Must you review your risk analysis and security policy every year under the Cbw?What must the management body do under the Cyberbeveiligingswet?

Next step

Register your organisation and your Cbw sector. Trusq sets up the duty of care, the reporting duty, the tasks of the management body and the registration as actions, each with the evidence that is expected and the article it rests on.

Set up the Cbw duties in Trusq

Not sure whether the Cbw applies to your business? Take the Cbw check (in Dutch).

Looking for a specialist? We will look with you for a suitable specialist; mediation is not guaranteed.

This page gives general information based on the text of the law. It is not legal advice for your situation.