Naar inhoud

Kennisbank · Cbw/NIS2 voor transport en logistiek

Geldt de Cbw-zorgplicht ook voor uw TMS, WMS of telematica in de cloud?

Ja. De zorgplicht betreft alle netwerk- en informatiesystemen die u voor uw werk of diensten gebruikt, ook als een leverancier ze als SaaS of clouddienst levert. U blijft verantwoordelijk; de leverancier valt onder uw ketenbeveiliging (Cbw 21).

Geldt nu (sinds 15 augustus 2026)Laatst geverifieerd:

Volgende stap: Leg uw ICT-systemen vast in Trusq

Gebruik telt, niet eigendom

Artikel 21 spreekt van de systemen die de entiteit voor haar werkzaamheden of voor haar diensten gebruikt [1]. Een transportmanagementsysteem, magazijnsysteem of telematicaplatform dat u afneemt, valt daar dus onder, ook als het bij de leverancier draait.

Wat u per systeem doet

Neem het systeem op in uw inventaris en risicoanalyse [2], en regel de toegang, back-ups, logging en de afspraken met de leverancier. De ministeriële regeling voor uw sector vraagt bovendien dat u uw systemen segmenteert in netwerken of zones op basis van uw risicoanalyse en, waar passend, ten opzichte van systemen van derden [5], en dat u maatregelen neemt tegen kwaadaardige software [6]. Voor vervoer en chemie is dat de Cyberbeveiligingsregeling IenW [3]; voor onder meer post- en koeriersdiensten en levensmiddelen gelden gelijkluidende regelingen [4].

Wat organisatiebreed blijft

Cyberhygiëne en opleiding, beveiligde communicatie, bestuursgoedkeuring, de meldplicht en de registratie zijn plichten van de organisatie als geheel, niet per systeem.

Waar Trusq dit op baseert

Deze gekeurde regels staan in Trusq en worden bij elke publicatie opnieuw ingelezen; verandert een regel, dan verandert deze pagina mee.

  • Per ICT-systeem: Neem dit ICT-systeem op in de risicoanalyse voor cyberbeveiliging en behandel de risico's ervan. Cbw 21(1), Cbw 21(2), Cbw 21(3)(a), NIS2 21(1), NIS2 21(2)(a)
  • Per ICT-systeem: Breng de rechtstreekse leveranciers en dienstverleners van dit ICT-systeem in kaart en toets hen aan uw beveiligingseisen. Cbw 21(3)(d), Cbw 21(4), NIS2 21(2)(d), NIS2 21(3)
  • Per ICT-systeem: Neem dit ICT-systeem op in de inventaris van assets en classificeer het. Cbw 21(3)(i), NIS2 21(2)(i)

Bronnen

  1. [1] Cbw art. 21(1) (Cyberbeveiligingswet). De zorgplicht betreft de systemen die de entiteit gebruikt.
    1. De essentiële entiteit of belangrijke entiteit neemt passende en evenredige technische, operationele en organisatorische maatregelen om de risico’s voor de beveiliging van de netwerk- en informatiesystemen, die zij voor haar werkzaamheden of voor het verlenen van haar diensten gebruikt, te beheersen.
    Bron, opgehaald op 2 oktober 2026.
  2. [2] Cbw art. 21(3)(a) (Cyberbeveiligingswet). Elk systeem hoort in de risicoanalyse en de inventaris.
    3. De maatregelen, bedoeld in het eerste lid, zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] a. beleid inzake risicoanalyse en beveiliging van informatiesystemen;
    Bron, opgehaald op 2 oktober 2026.
  3. [3] Cyberbeveiligingsregeling IenW art. 2, lid 1 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). De Cyberbeveiligingsregeling IenW geldt voor essentiële en belangrijke entiteiten in onder meer vervoer (lucht, spoor, water, weg) en de chemische sector.
    1. Deze regeling is van toepassing op alle essentiële entiteiten en belangrijke entiteiten in de volgende sectoren dan wel subsectoren: Sector Subsector Vervoer Lucht Spoor Water Weg Drinkwater Afvalwater Afvalstoffenbeheer Vervaardiging, productie en distributie van chemische stoffen
    Bron, opgehaald op 3 oktober 2026.
  4. [4] Cyberbeveiligingsregeling IenW, toelichting, paragraaf 4.3 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Volgens de toelichting is de uitwerking van de zorgplicht gelijkluidend voor de sectoren van EZ, KGG, LVVN en IenW.
    De uitwerking van de zorgplicht is gelijkluidend voor entiteiten in de sectoren waarvoor de Minister van Economische Zaken (EZ), Klimaat en Groene Groei (KGG), Landbouw, Visserij, Voedselzekerheid en Natuur (LVVN) en Infrastructuur en Waterstaat (IenW) de bevoegde autoriteit zijn.
    Bron, opgehaald op 3 oktober 2026.
  5. [5] Cyberbeveiligingsregeling IenW art. 12, lid 4 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Netwerksegmentatie op basis van de risicoanalyse en, waar passend, ten opzichte van systemen van derden.
    4. Ter uitvoering van artikel 21, derde lid, onderdeel g, van de wet segmenteert de essentiële entiteit of belangrijke entiteit: a. haar netwerk- en informatiesystemen in netwerken of zones overeenkomstig de resultaten van de in artikel 7, vijfde lid, van het besluit bedoelde risicoanalyse; b. waar passend, haar netwerk- en informatiesystemen van de netwerk- en informatiesystemen van derden.
    Bron, opgehaald op 3 oktober 2026.
  6. [6] Cyberbeveiligingsregeling IenW art. 12, lid 3 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Maatregelen tegen kwaadaardige software, periodieke kwetsbaarheidsscans waar passend, en onverwijld verhelpen van risicovolle kwetsbaarheden of gemotiveerd uitstel.
    3. Ter uitvoering van artikel 21, derde lid, onderdeel e, van de wet: a. implementeert de essentiële entiteit of belangrijke entiteit maatregelen om het gebruik van kwaadaardige en ongeoorloofde software in haar netwerk- en informatiesystemen te detecteren en te voorkomen; b. voert de essentiële entiteit of belangrijke entiteit, waar passend, periodiek kwetsbaarheidsscans uit en legt zij de resultaten van deze scans vast; […] d. verhelpt de essentiële entiteit of belangrijke entiteit onverwijld kwetsbaarheden die een risico vormen voor de beveiliging van haar netwerk- en informatiesystemen, of motiveert waarom de kwetsbaarheid niet of op een later moment verholpen wordt en documenteert dit.
    Bron, opgehaald op 3 oktober 2026.

Gerelateerde vragen

Wat moet u onder de Cbw regelen voor uw leveranciers en IT-dienstverleners (NIS2 21(2)(d))?Wat houdt de zorgplicht van de Cyberbeveiligingswet in?Wat vraagt de Cbw over personeel, toegangsbeheer en een inventaris van assets (NIS2 21(2)(i))?Wat vraagt de Cbw over bedrijfscontinuïteit, back-ups en crisisbeheer (NIS2 21(2)(c))?Vallen handscanners, besturingssystemen en warehouse-automatisering onder de Cbw-zorgplicht?Moet u een incident melden dat bij uw IT-leverancier of cloudprovider plaatsvindt?

Volgende stap

Registreer uw organisatie en systemen zoals uw TMS, WMS of scanners. Trusq zet per systeem de Cbw-maatregelen klaar, elk met het bewijs dat wordt verwacht en het artikel waarop het rust. De werkomgeving is Engelstalig.

Leg uw ICT-systemen vast in Trusq

Heeft u een specialist nodig? Dan zorgen wij daarvoor.

Deze pagina geeft algemene informatie op basis van de wettekst. Zij is geen juridisch advies voor uw situatie.