Skip to content

Knowledge base · Cbw/NIS2 for transport and logistics

Which transport and logistics companies fall under the Cyberbeveiligingswet?

Within transport, the Cbw names airlines, airports and air traffic control, railway undertakings and infrastructure managers, water transport companies and port authorities, and on the road only road authorities and operators of intelligent transport systems. Postal and courier services, wholesalers of food, distributors of chemicals and IT service providers may also fall under it. Small and micro enterprises as a rule do not.

In force now (since 15 August 2026)Trusq editorial · checked against the official textLast verified:

Next step: Take the Cbw check (in Dutch)

Annex 1: transport

  • Air: airlines for commercial purposes, airport managing bodies and air traffic control
  • Rail: infrastructure managers and railway undertakings, including operators of service facilities
  • Water: water transport companies (inland, coastal and sea transport) of passengers and freight, port authorities, entities operating works and equipment contained within ports [6], and operators of vessel traffic services
  • Road: road authorities responsible for traffic management and operators of intelligent transport systems

This is in Annex 1 [1]. A carrier of goods or persons by road is not in it.

Annex 2: postal and courier services

Providers of postal services, including courier services, fall under Annex 2 if they provide at least one step of the postal delivery chain. Transport apart from those steps is excluded [2].

Annex 2: food and chemicals

Wholesale of food and the manufacture or distribution of chemical substances or mixtures are also in Annex 2 [4]. This concerns companies that carry out that activity themselves; transport or storage for someone else alone, as a rule, does not fall under it.

Digital service providers in the chain

If you supply managed IT services or security services to other companies, you are in Annex 1 under "ICT service management (business-to-business)" [3].

Size also counts

As a rule only medium-sized and large enterprises fall under it. For the sectors on this page a smaller company falls under it only if it has been designated as a critical entity under the Wet weerbaarheid kritieke entiteiten (Dutch Critical Entities Resilience Act) [7], if the minister designates it as an essential entity [5], or if before 16 January 2023 it was designated under the Wet beveiliging netwerk- en informatiesystemen (Wbni, the former Dutch network and information systems security act) as a provider of an essential service and the minister designates it as an essential entity [8].

It does not count for size that governments together control 25% or more of the capital or the voting rights. Under the SME definition such an enterprise is as a rule not an SME [11], but that rule does not apply to the Cbw [9] [10]. So for a port or rail company in government hands too, the number of persons employed, the turnover and the balance sheet total decide. See the question on essential and important entities.

Sector-specific EU rules

If a sector-specific EU legal act prescribes cybersecurity measures that are at least equivalent to the duty of care, Article 21 of the Cbw does not apply to you. Equivalent means: at least a comparable elaboration [12]. For the reporting duty (Articles 25 to 30) the same applies if such a legal act contains an at least equivalent reporting duty for significant incidents. Among other things, the CSIRT, the competent authority or the single point of contact must have immediate access to the notifications [13]. The act does not name those legal acts. Whether there is an equivalent one for your subsector, you check with your competent authority.

Sources

  1. [1] Cbw, Annex 1 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Annex 1, transport sector. Original Dutch text:
    Vervoer Lucht – Luchtvaartmaatschappijen als bedoeld in artikel 3, onderdeel 4, Verordening (EG) nr. 300/2008 die voor commerciële doeleinden worden gebruikt […] Spoor – Infrastructuurbeheerders […] Water – Bedrijven voor vervoer over water (binnenvaart, kust- en zeevervoer) van passagiers en vracht […] Weg – Wegenautoriteiten als bedoeld in artikel 2, onderdeel 12, van gedelegeerde Verordening (EU) 2015/962 die verantwoordelijk zijn voor het verkeersbeheer
    Source, retrieved on 2 October 2026.
  2. [2] Cbw, Annex 2 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Annex 2, postal and courier services. Original Dutch text:
    Post- en koeriersdiensten Aanbieders van postdiensten als bedoeld in artikel 2, onderdeel 1 bis, van Richtlijn 97/67/EG, met inbegrip van aanbieders van koeriersdiensten […] voor zover zij ten minste een van de stappen in de postbestelketen verzorgen, met name het ophalen, sorteren, vervoeren en bestellen van postzendingen, met inbegrip van de ophaaldiensten […] Uitgezonderd zijn vervoersdiensten die niet in samenhang met een van die stappen worden ondernomen.
    Source, retrieved on 2 October 2026.
  3. [3] Cbw, Annex 1 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Annex 1, ICT service management (business-to-business). Original Dutch text:
    Beheer van ICT-diensten (business-to-business) – Aanbieders van beheerde diensten – Aanbieders van beheerde beveiligingsdiensten
    Source, retrieved on 2 October 2026.
  4. [4] Cbw, Annex 2 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Annex 2 names the manufacture and distribution of chemical substances and the wholesale of food. Original Dutch text:
    Ondernemingen die stoffen vervaardigen en stoffen of mengsels distribueren als bedoeld in artikel 3, onderdelen 9 en 14, van Verordening (EG) nr. 1907/2006 […] Levensmiddelenbedrijven als bedoeld in artikel 3, onderdeel 2, Verordening (EG) nr. 178/2002 die zich bezighouden met groothandel en industriële productie en verwerking
    Source, retrieved on 2 October 2026.
  5. [5] Cbw Art. 9(1) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Designation as an essential entity of an entity from Annex 1 or 2. Original Dutch text:
    1. Bij regeling of besluit van Onze Minister die het aangaat, na overleg met Onze Minister, wordt een in bijlage 1 of bijlage 2 van deze wet genoemde entiteit aangewezen als essentiële entiteit, op grond van de toepasselijkheid van één of meer van de volgende criteria:
    Source, retrieved on 2 October 2026.
  6. [6] Cbw, Annex 1 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Annex 1, water subsector: port authorities with port facilities, entities operating works and equipment contained within ports, and operators of vessel traffic services. Original Dutch text:
    – Beheerders van havens als bedoeld in artikel 3, onderdeel 1, van Richtlijn 2005/65/EG, inclusief hun havenfaciliteiten als bedoeld in artikel 2, onderdeel 11, van Verordening (EG) nr. 725/2004; alsook entiteiten die werken en uitrusting in havens beheren – Exploitanten van verkeersbegeleidingssystemen (VBS)
    Source, retrieved on 3 October 2026.
  7. [7] Cbw Art. 8(1)(i) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). Critical entities under the Wwke are essential entities by operation of law. Original Dutch text:
    1. De volgende entiteiten zijn essentiële entiteiten: […] i. kritieke entiteiten als bedoeld in artikel 6, eerste lid, van de Wet weerbaarheid kritieke entiteiten.
    Source, retrieved on 6 November 2026.
  8. [8] Cbw Art. 10 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). A provider that was designated before 16 January 2023 under the Wbni as a provider of an essential service can be designated as an essential entity. Original Dutch text:
    Bij regeling of besluit van Onze Minister die het aangaat, na overleg met Onze Minister, kan worden aangewezen als essentiële entiteit: een aanbieder die voor 16 januari 2023 op grond van de Wet beveiliging netwerk- en informatiesystemen is aangewezen als aanbieder van een essentiële dienst.
    Source, retrieved on 6 November 2026.
  9. [9] Cbw Art. 8(2) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). For essential entities by operation of law under d to f, the fourth paragraph of Article 3 of the annex to Recommendation 2003/361/EC does not apply. Original Dutch text:
    2. Ten aanzien van het bepaalde in het eerste lid, onderdelen d tot en met f, is artikel 3, vierde lid, van de bijlage bij Aanbeveling 2003/361/EG niet van toepassing.
    Source, retrieved on 6 November 2026.
  10. [10] Cbw Art. 12(2) (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). For important entities by operation of law, the fourth paragraph of Article 3 of the annex to Recommendation 2003/361/EC does not apply. Original Dutch text:
    2. Ten aanzien van het bepaalde in het eerste lid is artikel 3, vierde lid, van de bijlage bij de Aanbeveling 2003/361/EG niet van toepassing.
    Source, retrieved on 6 November 2026.
  11. [11] Recommendation 2003/361/EC, Annex, Article 3(4) (Commission Recommendation 2003/361/EC (definition of SMEs)). An enterprise of which governments together control 25% or more of the capital or the voting rights is not an SME under the SME definition.
    4. Except in the cases set out in paragraph 2, second subparagraph, an enterprise cannot be considered an SME if 25 % or more of the capital or voting rights are directly or indirectly controlled, jointly or individually, by one or more public bodies.
    Source, retrieved on 6 November 2026.
  12. [12] Cbw Art. 22 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). For at least equivalent sector-specific EU measures, Article 21 does not apply. Original Dutch text:
    1. Indien sectorspecifieke rechtshandelingen van de Europese Unie voorschrijven dat een essentiële entiteit of belangrijke entiteit risicobeheersmaatregelen op het gebied van cyberbeveiliging neemt en indien deze verplichtingen ten minste gelijkwaardig zijn aan de verplichtingen, bedoeld in artikel 21, is artikel 21 niet van toepassing op die entiteit. 2. De verplichtingen, bedoeld in het eerste lid, worden geacht gelijkwaardig te zijn aan de verplichtingen, bedoeld in artikel 21, wanneer de door sectorspecifieke rechtshandelingen van de Europese Unie voorgeschreven risicobeheersmaatregelen op het gebied van cyberbeveiliging ten minste een vergelijkbare uitwerking hebben als de verplichtingen, bedoeld in artikel 21.
    Source, retrieved on 6 November 2026.
  13. [13] Cbw Art. 31 (Dutch Cyberbeveiligingswet (Cbw); Dutch law, unofficial translation). For an at least equivalent sector-specific EU reporting duty, Articles 25 to 30 do not apply. Original Dutch text:
    1. Indien sectorspecifieke rechtshandelingen van de Europese Unie voorschrijven dat een essentiële entiteit of belangrijke entiteit significante incidenten moet melden en indien deze eisen ten minste gelijkwaardig zijn aan die uit deze wet, zijn de verplichtingen uit de artikelen 25 tot en met 30 niet van toepassing op die specifieke entiteit. 2. De eisen, bedoeld in het eerste lid, worden geacht gelijkwaardig te zijn wanneer de sectorspecifieke rechtshandeling voorziet in onmiddellijke toegang, in voorkomend geval automatisch en rechtstreeks, tot de meldingen van incidenten door het CSIRT, de bevoegde autoriteit of het centrale contactpunt,
    Source, retrieved on 6 November 2026.

Related questions

Is my road transport company covered by the Cyberbeveiligingswet?Is your company an essential or an important entity?Must you register your company under the Cyberbeveiligingswet, and when?Which Cbw rules apply if you are a cloud or IT service provider for logistics?Is my inland shipping or shipping line company covered by the Cyberbeveiligingswet?Are port terminals, stevedores and other port companies covered by the Cyberbeveiligingswet?

Next step

Six questions about the activities and size of your business. You see at once whether the Cbw probably applies to you, as an essential or important entity, through which sector and under which ministerial regulation. You do not have to enter any data. The check is in Dutch.

Take the Cbw check (in Dutch)

Looking for a specialist? We will look with you for a suitable specialist; mediation is not guaranteed.

This page gives general information based on the text of the law. It is not legal advice for your situation.