Naar inhoud

Kennisbank · Cbw/NIS2 voor transport en logistiek

Wat moet er in het eindverslag over een incident, en wanneer?

Uiterlijk een maand na de melding dient u een eindverslag in met een gedetailleerde beschrijving, de oorzaak, de genomen maatregelen en eventuele grensoverschrijdende gevolgen. Duurt het incident dan nog, dan dient u een voortgangsverslag in en volgt het eindverslag binnen een maand na afhandeling (Cbw 29).

Geldt nu (sinds 15 augustus 2026)Laatst geverifieerd:

Inhoud van het eindverslag

Het eindverslag bevat [1]:

  • een gedetailleerde beschrijving van het incident, de ernst en de gevolgen
  • het soort bedreiging of de grondoorzaak die waarschijnlijk tot het incident heeft geleid
  • de toegepaste en lopende risicobeperkende maatregelen
  • in voorkomend geval de grensoverschrijdende gevolgen

Als het incident nog niet voorbij is

Op het moment dat het eindverslag verschuldigd is, dient u in plaats daarvan een voortgangsverslag in over dezelfde onderwerpen. Het eindverslag volgt binnen een maand nadat het incident is afgehandeld [2].

Tussentijds verslag op verzoek

Het CSIRT of de bevoegde autoriteit kan tussendoor om een verslag met relevante updates vragen [3].

Waar Trusq dit op baseert

Deze gekeurde regels staan in Trusq en worden bij elke publicatie opnieuw ingelezen; verandert een regel, dan verandert deze pagina mee.

  • Organisatie: Dien het eindverslag over het incident in. Cbw 29(1)–(2), Cbw 25, NIS2 23(4)(d), NIS2 23(4)(e), Cbb 25
  • Organisatie: Lever een voortgangsverslag als het incident nog voortduurt. Cbw 29(2), Cbw 25, NIS2 23(4)(e), Cbb 25
  • Organisatie: Lever op verzoek een tussentijds verslag. Cbw 28, Cbw 25, NIS2 23(4)(c), Cbb 25

Bronnen

  1. [1] Cbw art. 29(1) (Cyberbeveiligingswet). Inhoud en termijn van het eindverslag.
    1. De essentiële entiteit of belangrijke entiteit dient uiterlijk één maand na de melding, bedoeld in artikel 27, eerste lid, een eindverslag in bij haar CSIRT en haar bevoegde autoriteit waarin het volgende is opgenomen: a. een gedetailleerde beschrijving van het incident, de ernst en de gevolgen ervan; b. het soort bedreiging of de grondoorzaak die waarschijnlijk tot het incident heeft geleid; c. toegepaste en lopende risicobeperkende maatregelen; en d. in voorkomend geval, de grensoverschrijdende gevolgen van het incident.
    Bron, opgehaald op 2 oktober 2026.
  2. [2] Cbw art. 29(2) (Cyberbeveiligingswet). Voortgangsverslag bij een voortdurend incident.
    2. Indien het incident nog voortduurt op het moment dat het eindverslag had moeten worden ingediend, dient de essentiële entiteit of belangrijke entiteit op dat moment in plaats van een eindverslag een voortgangsverslag in waarin wordt ingegaan op de aspecten, genoemd in het eerste lid. Zij dient een eindverslag in binnen één maand nadat het incident is afgehandeld.
    Bron, opgehaald op 2 oktober 2026.
  3. [3] Cbw art. 28 (Cyberbeveiligingswet). Tussentijds verslag op verzoek.
    De essentiële entiteit of belangrijke entiteit dient in het kader van de melding, bedoeld in artikel 27, eerste lid, op verzoek van haar CSIRT of haar bevoegde autoriteit een tussentijds verslag in over relevante updates van de situatie.
    Bron, opgehaald op 2 oktober 2026.

Gerelateerde vragen

Wanneer en waar meldt u een significant incident onder de Cbw?Wat moet er in de vroegtijdige waarschuwing binnen 24 uur?Wanneer is een cyberincident een significant incident?Moet u uw klanten informeren over een cyberincident?

Leg één systeem vast en zie welke verplichtingen erop van toepassing zijn, met artikel en bron.

Maak een systeemsnapshot Of vraag een expert

Deze pagina geeft algemene informatie op basis van de wettekst. Zij is geen juridisch advies voor uw situatie.