Naar inhoud

Kennisbank · Cbw/NIS2 voor transport en logistiek

Wanneer en waar meldt u een significant incident onder de Cbw?

Een significant incident meldt u in stappen bij uw CSIRT en uw bevoegde autoriteit: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag uiterlijk een maand later. U meldt bij het meldpunt dat de minister daarvoor heeft ingericht.

Geldt nu (sinds 15 augustus 2026)Laatst geverifieerd:

De termijnen op een rij

  • Binnen 24 uur na kennisname: vroegtijdige waarschuwing [2]
  • Binnen 72 uur na kennisname: de melding met een update en een eerste beoordeling [3]
  • Op verzoek: een tussentijds verslag
  • Uiterlijk een maand na de melding: het eindverslag; duurt het incident dan nog, een voortgangsverslag en het eindverslag binnen een maand na afhandeling [4]

In alle gevallen geldt eerst “onverwijld”; de uren zijn het uiterste moment als eerder niet mogelijk is.

Welke incidenten

De meldplicht geldt voor ieder significant incident [1]. Wanneer een incident significant is, leest u op de pagina over significante incidenten.

Aan wie en hoe

De meldingen gaan naar het CSIRT en de bevoegde autoriteit van uw sector. U doet de melding bij het meldpunt dat de minister daarvoor heeft ingericht [5].

Voor wie

De meldplicht geldt voor essentiële en belangrijke entiteiten [1].

Waar Trusq dit op baseert

Deze gekeurde regels staan in Trusq en worden bij elke publicatie opnieuw ingelezen; verandert een regel, dan verandert deze pagina mee.

  • Organisatie: Dien een vroegtijdige waarschuwing over een significant incident in. Cbw 26, Cbw 25, NIS2 23(4)(a), Cbb 24, Cbb 25
  • Organisatie: Dien de incidentmelding en beschikbare initiële beoordeling in. Cbw 27(1)–(2), Cbw 25, NIS2 23(4)(b), Cbb 25
  • Organisatie: Dien het eindverslag over het incident in. Cbw 29(1)–(2), Cbw 25, NIS2 23(4)(d), NIS2 23(4)(e), Cbb 25
  • Organisatie: Lever een voortgangsverslag als het incident nog voortduurt. Cbw 29(2), Cbw 25, NIS2 23(4)(e), Cbb 25

Bronnen

  1. [1] Cbw art. 25(1) (Cyberbeveiligingswet). Een essentiële of belangrijke entiteit meldt ieder significant incident volgens de artikelen 26 tot en met 29.
    1. De essentiële entiteit of belangrijke entiteit meldt overeenkomstig de artikelen 26 tot en met 29 ieder significant incident.
    Bron, opgehaald op 2 oktober 2026.
  2. [2] Cbw art. 26(1) (Cyberbeveiligingswet). Vroegtijdige waarschuwing onverwijld, uiterlijk binnen 24 uur.
    1. De essentiële entiteit of belangrijke entiteit geeft ten behoeve van de melding, bedoeld in artikel 27, eerste lid, een vroegtijdige waarschuwing over het significante incident aan haar CSIRT en haar bevoegde autoriteit. Dit doet zij onverwijld of, indien dat niet mogelijk is, binnen 24 uur nadat zij kennis heeft gekregen van het significante incident.
    Bron, opgehaald op 2 oktober 2026.
  3. [3] Cbw art. 27(1) (Cyberbeveiligingswet). Melding onverwijld, uiterlijk binnen 72 uur.
    1. De essentiële entiteit of belangrijke entiteit dient onverwijld of, indien dat niet mogelijk is, binnen 72 uur nadat zij kennis heeft gekregen van het significante incident een melding in bij haar CSIRT en haar bevoegde autoriteit met:
    Bron, opgehaald op 2 oktober 2026.
  4. [4] Cbw art. 29(1) (Cyberbeveiligingswet). Eindverslag uiterlijk een maand na de melding; bij voortduren een voortgangsverslag.
    1. De essentiële entiteit of belangrijke entiteit dient uiterlijk één maand na de melding, bedoeld in artikel 27, eerste lid, een eindverslag in bij haar CSIRT en haar bevoegde autoriteit […] 2. Indien het incident nog voortduurt op het moment dat het eindverslag had moeten worden ingediend, dient de essentiële entiteit of belangrijke entiteit op dat moment in plaats van een eindverslag een voortgangsverslag in waarin wordt ingegaan op de aspecten, genoemd in het eerste lid. Zij dient een eindverslag in binnen één maand nadat het incident is afgehandeld.
    Bron, opgehaald op 2 oktober 2026.
  5. [5] Cbb art. 25 (Cyberbeveiligingsbesluit). De melding gebeurt bij het meldpunt van de minister.
    De melding, bedoeld in artikel 25, eerste lid, van de wet, wordt gedaan bij een hiervoor door Onze Minister ingericht meldpunt.
    Bron, opgehaald op 2 oktober 2026.

Gerelateerde vragen

Wanneer is een cyberincident een significant incident?Wat moet er in de vroegtijdige waarschuwing binnen 24 uur?Wat moet er in het eindverslag over een incident, en wanneer?Moet u uw klanten informeren over een cyberincident?Moet u een cyberincident ook als datalek melden bij de Autoriteit Persoonsgegevens?

Leg één systeem vast en zie welke verplichtingen erop van toepassing zijn, met artikel en bron.

Maak een systeemsnapshot Of vraag een expert

Deze pagina geeft algemene informatie op basis van de wettekst. Zij is geen juridisch advies voor uw situatie.