Cbw/NIS2 voor transport en logistiek

• Een klant eist dat wij aan NIS2 voldoen, maar wij vallen er niet onder. Wat nu?

  Valt u zelf niet onder de Cbw, dan gelden de wettelijke plichten niet voor u. Een klant die er wel onder valt, moet zijn toeleveringsketen beveiligen en periodiek toetsen of zijn rechtstreekse leveranciers aan zijn beveiligingseisen voldoen, voor zover hun producten of diensten de beveiliging van zijn netwerk- en informatiesystemen kunnen raken. Die eisen bereiken u via het contract.

• Geldt de bestuurdersplicht van de Cbw ook voor vennoten van een vof, maatschap of cv?

  Ja, als de maatschap, vof of cv zelf een essentiële of belangrijke entiteit is. De goedkeuring van de maatregelen en de kennis- en certificaateisen gelden dan voor iedere maat, iedere vennoot van de vof en de beherende vennoten van de cv. Is een rechtspersoon bestuurder, dan gelden de kennis- en certificaateisen voor de natuurlijke personen die namens haar in het bestuur zitten.

• Geldt de Cbw-zorgplicht ook voor uw TMS, WMS of telematica in de cloud?

  Ja. De zorgplicht betreft alle netwerk- en informatiesystemen die u voor uw werk of diensten gebruikt, ook als een leverancier ze als SaaS of clouddienst levert. U blijft verantwoordelijk; de leverancier valt onder uw ketenbeveiliging (Cbw 21).

• Hoe lang moet u logbestanden bewaren onder de Cyberbeveiligingswet?

  De Cbw en het Cyberbeveiligingsbesluit noemen geen vast aantal maanden. U logt de gebeurtenissen die relevant zijn voor de beveiliging, bepaalt vooraf hoe lang u de logbestanden bewaart en beschermt ze tegen ongeautoriseerde wijzigingen. Kies een termijn waarmee u een incident kunt reconstrueren, en bewaar persoonsgegevens in logs niet langer dan nodig.

• Hoe richt u incidentenbehandeling in onder de Cbw (NIS2 21(2)(b))?

  U stelt schriftelijk beleid op voor incidentenbehandeling, legt rollen vast voor detecteren, analyseren, reageren, documenteren, rapporteren en leren, monitort relevante gebeurtenissen en bewaart logbestanden (Cbw 21(3)(b), Cbb 8).

• Hoe toont u aan dat uw cyberbeveiligingsmaatregelen werken (NIS2 21(2)(f))?

  U evalueert periodiek de doeltreffendheid van uw maatregelen en hun effect in de praktijk, legt het resultaat schriftelijk vast en past de maatregelen waar nodig aan (Cbw 21(3)(f), Cbb 18).

• Is multifactorauthenticatie verplicht onder de Cbw (NIS2 21(2)(j))?

  De wet eist multifactor- of continue authenticatie en beveiligde communicatie wanneer dat gepast is: u beoordeelt het per toegang en legt uw besluit vast. Toegang en autorisaties controleert u periodiek (Cbw 21(3)(j), Cbb 15).

• Is uw bedrijf een essentiële of een belangrijke entiteit?

  Een bedrijf in een sector van bijlage 1 dat groter is dan middelgroot (250 of meer werkzame personen, of meer dan 50 miljoen euro jaaromzet én meer dan 43 miljoen euro balanstotaal) is een essentiële entiteit. Een middelgroot bedrijf in bijlage 1, en een middelgroot of groter bedrijf in bijlage 2 (zoals post- en koeriersdiensten), is een belangrijke entiteit. Kleine en micro-ondernemingen vallen er in de regel niet onder, tenzij de minister ze als essentiële entiteit aanwijst.

• Kan de toezichthouder onder de Cbw een bestuurder laten schorsen?

  Alleen bij een essentiële entiteit, en alleen als laatste stap. Heeft de entiteit een overtreding niet beëindigd vóór een einddatum die de autoriteit pas mag stellen nadat eerdere maatregelen niet hebben gewerkt, dan kan de autoriteit de rechter vragen een of meer bestuursleden te schorsen zolang de entiteit niet voldoet. Voor belangrijke entiteiten kent de wet die stap niet. Wel kan elk bestuurslid een boete krijgen als het niet aan de kennis- en certificaateisen voldoet.

• Krijgt u als belangrijke entiteit controles of een audit van de toezichthouder?

  Bij een belangrijke entiteit treedt de toezichthouder pas op als er bewijs, een aanwijzing of informatie is over een mogelijke overtreding. Dan kan zij een beveiligingsscan laten uitvoeren, een audit door een onafhankelijke deskundige verplichten, een bindende aanwijzing geven of openbaarmaking van de overtreding eisen. Bij een essentiële entiteit geldt die voorwaarde niet en kan zij ook een controlefunctionaris aanwijzen. De kosten van een audit draagt in de regel de entiteit.

• Mag u informatie over cyberdreigingen en incidenten delen met andere logistieke bedrijven?

  Ja. De Cbw staat uitdrukkelijk toe dat bedrijven, ook bedrijven die zelf niet onder de wet vallen, vrijwillig informatie over cyberbeveiliging uitwisselen om incidenten te voorkomen, te detecteren of te beperken, bijvoorbeeld in een sectorale uitwisseling met afspraken over vertrouwelijkheid. Valt u onder de Cbw, dan meldt u deelname aan of terugtrekking uit zo'n regeling voor het nationale register.

• Moet u een bijna-incident of een cyberdreiging melden onder de Cbw?

  Nee, de meldplicht geldt alleen voor significante incidenten. Een incident, bijna-incident of cyberdreiging mag u vrijwillig melden bij uw CSIRT. Wel moet u klanten die door een significante cyberdreiging geraakt kunnen worden, onverwijld laten weten welke maatregelen zij kunnen nemen.

• Moet u een cyberincident ook als datalek melden bij de Autoriteit Persoonsgegevens?

  Vaak wel. Raakt een cyberincident persoonsgegevens, dan meldt u het als datalek zonder onredelijke vertraging en zo mogelijk binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het waarschijnlijk geen risico voor de betrokkenen oplevert. Die AVG-plicht staat los van de Cbw: die geldt ook bij een incident dat niet significant is en ook als u niet onder de Cbw valt.

• Moet u een incident melden dat bij uw IT-leverancier of cloudprovider plaatsvindt?

  Ja, als het voor uw eigen dienstverlening een significant incident is. De meldplicht hangt aan de gevolgen voor uw diensten, niet aan de plek waar het incident ontstaat: veroorzaakt een storing of hack bij uw leverancier een ernstige operationele verstoring van uw diensten of financiële verliezen voor u, dan meldt u dat zelf, binnen 24 uur nadat u ervan weet. Een cloudprovider die zelf onder de Cbw valt, heeft daarnaast een eigen meldplicht.

• Moet u onder de Cbw een beleid voor cryptografie en versleuteling hebben (NIS2 21(2)(h))?

  Ja. U legt beleid en procedures vast over het gebruik van cryptografie: wanneer u het inzet, welke versleuteling u gebruikt, en wie verantwoordelijk is voor implementatie en sleutelbeheer (Cbw 21(3)(h), Cbb 13).

• Moet u onder de Cyberbeveiligingswet een CISO of securityofficer aanstellen?

  Een functie met die naam is niet verplicht. Wel legt u de rollen, verantwoordelijkheden en bevoegdheden voor beveiliging vast, scheidt u conflicterende rollen zoveel mogelijk, wijst u de mensen met beveiligingstaken aan en zorgt u dat zij regelmatig opleiding krijgen. Bij een melding noemt u een functionaris die verantwoordelijk is voor de melding. Het bestuur blijft eindverantwoordelijk.

• Moet u uw bedrijf registreren onder de Cyberbeveiligingswet, en wanneer?

  Ja. Een essentiële of belangrijke entiteit verstrekt de gegevens voor het nationale register; die plicht geldt sinds 15 augustus 2026, zonder latere termijn of overgangsperiode. Wijzigingen meldt u onverwijld en uiterlijk binnen twee weken (Cbw 44, Cbb 27).

• Moet u uw klanten informeren over een cyberincident?

  Ja, in voorkomend geval onverwijld: over significante incidenten die de dienstverlening aan hen kunnen schaden, en bij een significante cyberdreiging over de maatregelen die zij zelf kunnen nemen (Cbw 30).

• Moet u uw risicoanalyse en beveiligingsbeleid onder de Cbw elk jaar herzien?

  Het Cyberbeveiligingsbesluit noemt geen vaste termijn. U evalueert uw maatregelen periodiek en legt het resultaat vast, test uw continuïteits-, herstel- en crisisplannen periodiek, en controleert leveranciers en toegangsrechten periodiek. Welke periode passend is, bepaalt en onderbouwt u zelf op basis van uw risico's. Alleen voor cloud-, IT- en andere digitale dienstverleners geldt ten minste eenmaal per jaar.

• Sinds wanneer geldt de Cyberbeveiligingswet, en is er een overgangstermijn?

  De Cyberbeveiligingswet en het Cyberbeveiligingsbesluit gelden sinds 15 augustus 2026. Voor de zorgplicht, de meldplicht en de registratie is er geen overgangstermijn; alleen bestuursleden krijgen tot 15 augustus 2028 om aan de kennis-eis te voldoen.

• Uw moederbedrijf of een vestiging zit in een ander EU-land. Welke NIS2-wet geldt voor u?

  Voor een bedrijf dat in Nederland is gevestigd en zijn diensten in de EU verleent, geldt de Nederlandse Cbw, ook als het moederbedrijf in het buitenland zit. Voor uw vestigingen in andere lidstaten gelden de wetten van die landen. Alleen voor bepaalde digitale aanbieders, zoals cloud-, datacenter- en beheerde IT-dienstverleners, telt waar de hoofdvestiging zit.

• Vallen handscanners, besturingssystemen en warehouse-automatisering onder de Cbw-zorgplicht?

  Ja, als uw bedrijf onder de Cbw valt en u die systemen gebruikt voor uw werk of uw diensten. De wet rekent elk apparaat dat op grond van een programma automatisch digitale gegevens verwerkt tot de netwerk- en informatiesystemen, en de maatregelen beschermen ook de fysieke omgeving van die systemen. Neem handscanners, sorteer- en besturingssystemen, boordcomputers en vergelijkbare apparatuur dus op in uw inventaris en risicoanalyse.

• Vallen haventerminals, stuwadoors en andere bedrijven in de haven onder de Cyberbeveiligingswet?

  Vaak wel, als zij middelgroot of groter zijn en in een zeehaven werken. Bijlage 1 van de Cbw noemt naast havenbeheerders en hun havenfaciliteiten uitdrukkelijk de entiteiten die werken en uitrusting in havens beheren. Een terminal of stuwadoor die zelf kranen of andere uitrusting in een zeehaven exploiteert, valt daar in de regel onder; een terminal in een binnenhaven die alleen binnenvaart bedient, in de regel niet. Voor vervoersbedrijven op het water geldt bovendien dat uitval van overslag van twaalf uur of langer een significant incident is.

• Valt mijn binnenvaart- of rederijbedrijf onder de Cyberbeveiligingswet?

  Als u middelgroot of groter bent wel. Bijlage 1 van de Cbw noemt bedrijven voor vervoer over water, binnenvaart, kust- en zeevervoer, van passagiers en vracht. Het gaat om het bedrijf dat de schepen exploiteert; de afzonderlijke schepen zijn uitgezonderd. Een klein of micro-bedrijf, zoals veel eenschipsondernemingen, valt er in de regel niet onder.

• Valt mijn wegvervoerbedrijf onder de Cyberbeveiligingswet?

  In de regel niet. Bijlage 1 van de Cbw noemt bij wegvervoer alleen wegenautoriteiten en exploitanten van intelligente vervoerssystemen, niet vervoerders van goederen of personen. U valt er wel onder als u middelgroot of groter bent en daarnaast een activiteit uit bijlage 1 of 2 uitvoert, bijvoorbeeld als post- of koeriersdienst.

• Voldoet u met een ISO 27001-certificaat aan de Cyberbeveiligingswet?

  Niet automatisch. De Cbw schrijft geen ISO 27001-certificering voor en een norm is volgens de wet niet verplicht. Wel houdt u rekening met Europese en internationale normen, en vraagt het Cyberbeveiligingsbesluit een managementsystematiek waarmee u aantoonbaar aan de zorgplicht voldoet. De regels zijn met ISO 27001 als uitgangspunt opgesteld, dus een bestaand managementsysteem is een goede basis, maar u controleert zelf of alle Cbw-eisen erin zitten.

• Waar meldt u een kwetsbaarheid die u vindt in software of apparatuur van een leverancier?

  Iedereen kan een kwetsbaarheid vrijwillig, en desgewenst anoniem, melden bij de coördinator voor gecoördineerde bekendmaking van kwetsbaarheden. Dat is de minister van Justitie en Veiligheid; in de praktijk voert het Nationaal Cyber Security Centrum (NCSC) die rol uit. De coördinator kan bemiddelen tussen u en de fabrikant of aanbieder. Valt u zelf onder de Cbw, dan hoort de omgang met kwetsbaarheden ook bij uw zorgplicht.

• Wanneer en waar meldt u een significant incident onder de Cbw?

  Een significant incident meldt u in stappen bij uw CSIRT en uw bevoegde autoriteit: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag uiterlijk een maand later. U meldt bij het meldpunt dat de minister daarvoor heeft ingericht.

• Wanneer is een cyberincident een significant incident?

  Dat toetst u eerst aan de drempelwaarden voor uw sector. Voor vervoer en chemie staan die in de Cyberbeveiligingsregeling IenW, voor post- en koeriersdiensten in de Regeling cyberbeveiliging EZK en voor levensmiddelen in de Regeling cyberbeveiliging LVVN; haalt een incident zo'n drempel of kan het die halen, dan is het significant. De wet zelf noemt als maatstaf een ernstige operationele verstoring of financiële verliezen voor uw bedrijf, of aanzienlijke schade bij anderen (Cbw 25, lid 2). Alleen significante incidenten vallen onder de meldplicht.

• Wanneer moet een bestuurder de Cbw-training gevolgd hebben en wat staat er op het certificaat?

  Bestuurders die op 15 augustus 2026 al in functie waren, moeten uiterlijk 15 augustus 2028 over de vereiste kennis beschikken; een later benoemd bestuurslid binnen twee jaar na benoeming. Het certificaat noemt naam, datum, onderwerpen en aanbieder, in het Nederlands of Engels (Cbw 24, Cbb 20 tot en met 22).

• Wat eist de Cbw over kwetsbaarheden, patches en onderhoud van systemen (NIS2 21(2)(e))?

  U beveiligt het verwerven, ontwikkelen en onderhouden van systemen, met processen voor configuratie- en wijzigingsbeheer, en beoordeelt schriftelijk wat u doet met gerichte meldingen over kwetsbaarheden (Cbw 21(3)(e), Cbb 11 en 17). De ministeriële regeling voor uw sector vraagt daarnaast patchbeheer binnen een redelijke termijn, kwetsbaarheidsscans waar passend en het onverwijld verhelpen van kwetsbaarheden die een risico vormen.

• Wat houdt de zorgplicht van de Cyberbeveiligingswet in?

  De zorgplicht (Cbw artikel 21) verplicht een essentiële of belangrijke entiteit passende en evenredige maatregelen te nemen om de risico’s voor haar netwerk- en informatiesystemen te beheersen. De wet noemt tien onderwerpen die er ten minste in moeten zitten; de plicht geldt sinds 15 augustus 2026 en het bestuur keurt de maatregelen goed.

• Wat is het verschil tussen NIS2 en de Cyberbeveiligingswet?

  NIS2 is een Europese richtlijn, gericht tot de lidstaten; die moesten haar omzetten in nationaal recht. In Nederland is dat gebeurd met de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit, die sinds 15 augustus 2026 gelden en de oude Wet beveiliging netwerk- en informatiesystemen vervangen. Als bedrijf toetst u dus aan de Cbw, het besluit en de ministeriële regeling voor uw sector; cloud- en IT-dienstverleners daarnaast aan een rechtstreeks werkende Europese uitvoeringsverordening.

• Wat moet er in de vroegtijdige waarschuwing binnen 24 uur?

  In de vroegtijdige waarschuwing meldt u of het incident vermoedelijk kwaadwillig is, of het grensoverschrijdende gevolgen kan hebben en wie de contactpersoon is, plus het vermoedelijke begintijdstip en waar mogelijk de aard, de verwachte hersteltijd en de maatregelen (Cbw 26, Cbb 24).

• Wat moet er in het eindverslag over een incident, en wanneer?

  Uiterlijk een maand na de melding dient u een eindverslag in met een gedetailleerde beschrijving, de oorzaak, de genomen maatregelen en eventuele grensoverschrijdende gevolgen. Duurt het incident dan nog, dan dient u een voortgangsverslag in en volgt het eindverslag binnen een maand na afhandeling (Cbw 29).

• Wat moet het bestuur doen onder de Cyberbeveiligingswet?

  Het bestuur keurt de cyberbeveiligingsmaatregelen goed, elk bestuurslid beschikt over de kennis en vaardigheden om risico’s en maatregelen te beoordelen, en houdt die kennis aantoonbaar actueel (Cbw 24).

• Wat moet in uw beleid voor risicoanalyse en informatiebeveiliging (NIS2 21(2)(a))?

  U legt een beveiligingsbeleid en een risicomanagementbeleid schriftelijk vast en past ze aantoonbaar toe: met een methode, criteria voor risicoacceptatie, een risico-overzicht en beveiligingseisen die daaruit volgen (Cbw 21(3)(a), Cbb 6 en 7).

• Wat moet u onder de Cbw regelen voor uw leveranciers en IT-dienstverleners (NIS2 21(2)(d))?

  U stelt beleid vast voor de beveiliging van uw toeleveringsketen, bepaalt hoe u omgaat met afhankelijkheden van leveranciers en toetst periodiek of uw rechtstreekse leveranciers en dienstverleners aan uw beveiligingseisen voldoen (Cbw 21(3)(d) en 21(4), Cbb 10).

• Wat vraagt de Cbw over bedrijfscontinuïteit, back-ups en crisisbeheer (NIS2 21(2)(c))?

  U hebt een bedrijfscontinuïteitsbeleid en -plan, een herstelplan en een crisisplan, maakt back-ups van software en gegevens, controleert die periodiek en test de plannen (Cbw 21(3)(c), Cbb 9).

• Wat vraagt de Cbw over personeel, toegangsbeheer en een inventaris van assets (NIS2 21(2)(i))?

  U wijst beveiligingsrollen aan en stelt betrouwbaarheidseisen, hebt beleid voor logische en fysieke toegang met periodieke controle van autorisaties, en houdt een volledige en actuele inventaris van uw assets bij (Cbw 21(3)(i), Cbb 14 tot en met 16).

• Wat zijn de Cbw-eisen voor cyberhygiëne en opleiding van personeel (NIS2 21(2)(g))?

  Uw personeel, voor zover relevant voor de functie, is zich bewust van de risico’s en past cyberhygiëne toe; medewerkers met beveiligingstaken krijgen regelmatig opleiding (Cbw 21(3)(g), Cbb 12). Dit is een organisatiebrede plicht.

• Welke Cbw-regels gelden als u cloud- of IT-dienstverlener bent voor de logistiek?

  Bent u aanbieder van cloud-, datacenter- of beheerde (beveiligings)diensten, dan gelden de Cbb-artikelen 6 tot en met 18 niet. De zorgplicht van Cbw artikel 21 blijft, maar Uitvoeringsverordening (EU) 2024/2690 bepaalt de technische eisen en wanneer een incident significant is.

• Welke documenten en beleidsstukken moet u onder de Cyberbeveiligingswet hebben?

  Het Cyberbeveiligingsbesluit vraagt schriftelijk vastgelegd beleid voor beveiliging, risicomanagement, incidentenbehandeling, bedrijfscontinuïteit, de toeleveringsketen, verwerving, cryptografie, toegang en assets, plus een bedrijfscontinuïteitsplan, een herstelplan, een crisisplan en een actuele inventaris van uw assets. Daarnaast legt u de uitkomst van evaluaties en van beoordelingen van gerichte waarschuwingen vast. Hoeveel documenten het worden en hoe dik ze zijn, bepaalt u zelf.

• Welke maatregelen eist NIS2 artikel 21 en waar staan ze in de Cbw?

  NIS2 artikel 21, lid 2, noemt tien maatregelen (a tot en met j). Nederland heeft ze woordelijk overgenomen in artikel 21, lid 3, van de Cyberbeveiligingswet en uitgewerkt in de artikelen 6 tot en met 18 van het Cyberbeveiligingsbesluit.

• Welke transport- en logistieke bedrijven vallen onder de Cyberbeveiligingswet?

  Binnen vervoer noemt de Cbw luchtvaartmaatschappijen, luchthavens en luchtverkeersleiding, spoorwegondernemingen en infrastructuurbeheerders, bedrijven voor vervoer over water en havenbeheerders, en bij de weg alleen wegenautoriteiten en exploitanten van intelligente vervoerssystemen. Daarnaast kunnen post- en koeriersdiensten, groothandels in levensmiddelen, distributeurs van chemische stoffen en IT-dienstverleners eronder vallen. Kleine en micro-ondernemingen vallen er in de regel niet onder.

• Wie houdt toezicht op de Cbw in transport en logistiek, en hoe hoog zijn de boetes?

  Voor vervoer is de minister van Infrastructuur en Waterstaat de bevoegde autoriteit en houdt de Inspectie Leefomgeving en Transport (ILT) toezicht; voor post- en koeriersdiensten en beheer van ICT-diensten is dat de minister van Economische Zaken, met de Rijksinspectie Digitale Infrastructuur (RDI). Bij overtreding van de zorgplicht of meldplicht is de boete ten hoogste 10 miljoen euro of 2% van de wereldwijde jaaromzet (essentieel) of 7 miljoen euro of 1,4% (belangrijk); een bestuurslid kan een boete tot 25.000 euro krijgen.

• Wie is uw CSIRT onder de Cbw en welke hulp krijgt u na een melding?

  Voor essentiële en belangrijke entiteiten is de minister van Justitie en Veiligheid het CSIRT; in de praktijk voert het Nationaal Cyber Security Centrum (NCSC) die taak uit. Voor transport en logistiek is alleen voor de waterschappen een ander CSIRT aangewezen. Na een vroegtijdige waarschuwing geeft het CSIRT onverwijld en zo mogelijk binnen 24 uur een eerste reactie, op uw verzoek met advies over maatregelen, en op verzoek aanvullende technische ondersteuning. De verantwoordelijkheid voor het oplossen van het incident blijft bij u.

Deze pagina geeft algemene informatie op basis van de wettekst. Zij is geen juridisch advies voor uw situatie.