Naar inhoud

Kennisbank · Cbw/NIS2 voor transport en logistiek

Wat vraagt de Cbw over bedrijfscontinuïteit, back-ups en crisisbeheer (NIS2 21(2)(c))?

U hebt een bedrijfscontinuïteitsbeleid en -plan, een herstelplan en een crisisplan, maakt back-ups van software en gegevens, controleert die periodiek en test de plannen (Cbw 21(3)(c), Cbb 9).

Geldt nu (sinds 15 augustus 2026)Laatst geverifieerd:

Volgende stap: Zet de Cbw-verplichtingen klaar in Trusq

Wat de wet vraagt

Bedrijfscontinuïteit, back-upbeheer, herstel en crisisbeheer horen bij de zorgplicht [1]. De NIS2-richtlijn noemt hetzelfde onderwerp [2].

Hoe het Cyberbeveiligingsbesluit dit uitwerkt

Het Cbb noemt vier stukken: een bedrijfscontinuïteitsbeleid, een bedrijfscontinuïteitsplan, een herstelplan en een plan voor crisisbeheer. Back-ups van software en gegevens maakt u volgens vaste processen en u verifieert periodiek of ze betrouwbaar zijn [3].

Wat de sectorregeling toevoegt

De ministeriële regeling voor uw sector werkt dit verder uit; voor vervoer en chemie is dat de Cyberbeveiligingsregeling IenW [5], en voor onder meer post- en koeriersdiensten en levensmiddelen gelden gelijkluidende regelingen [6]. De back-upprocedures noemen van welke software en gegevens u back-ups maakt, met hersteltijden, herstelpunten, waarborgen voor volledigheid, integriteit en herstel, en bewaartermijnen [7]. Het bedrijfscontinuïteitsplan bevat ten minste doel en reikwijdte, taken en verantwoordelijkheden, de belangrijkste contacten en communicatiekanalen, voorwaarden voor activering, de benodigde middelen en de voorwaarden voor herstel [8].

Wat u concreet vastlegt

  • welke systemen kritiek zijn voor ritten, planning en overslag
  • back-uparrangement per systeem: wat, waar, hersteltijd en herstelpunt, bewaartermijn en de laatste hersteltest
  • een crisisplan met taken, communicatiemiddelen en noodvoorzieningen
  • wanneer u de plannen voor het laatst getest of geoefend hebt

Geldt dit ook voor cloud- en IT-dienstverleners?

Valt uw bedrijf onder Cbb artikel 4 (onder meer cloud, datacenters en beheerde (beveiligings)diensten), dan gelden de Cbb-artikelen 6 tot en met 18 niet [4] en werkt Uitvoeringsverordening (EU) 2024/2690 deze maatregel uit. De verplichting uit Cbw artikel 21 blijft gelden.

Waar Trusq dit op baseert

Deze gekeurde regels staan in Trusq en worden bij elke publicatie opnieuw ingelezen; verandert een regel, dan verandert deze pagina mee.

  • Organisatie: Onderhoud bedrijfscontinuïteit, herstel en crisisbeheer. NIS2 21(2)(c), Cbw 21(3)(c)
  • Per ICT-systeem: Maak back-ups van de software en gegevens van dit ICT-systeem, controleer de back-ups en test het herstel. Cbw 21(3)(c), NIS2 21(2)(c)

Bronnen

  1. [1] Cbw art. 21(3)(c) (Cyberbeveiligingswet). Cbw artikel 21, lid 3, onderdeel c.
    3. De maatregelen, bedoeld in het eerste lid, zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] c. bedrijfscontinuïteit, zoals back-upbeheer en herstelplannen, en crisisbeheer;
    Bron, opgehaald op 2 oktober 2026.
  2. [2] NIS2 art. 21(2)(c) (Richtlijn (EU) 2022/2555 (NIS2)). De NIS2-tegenhanger: artikel 21, lid 2, onderdeel c.
    2. De in lid 1 bedoelde maatregelen zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] c) bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen, en crisisbeheer;
    Bron, opgehaald op 2 oktober 2026.
  3. [3] Cbb art. 9 (Cyberbeveiligingsbesluit). Cbb artikel 9: back-ups verifiëren, herstel testen en een crisisplan met taken, communicatie en noodvoorzieningen.
    2. De essentiële entiteit of belangrijke entiteit stelt in het kader van de toepassing van het beleid, bedoeld in het eerste lid, processen en procedures vast voor het borgen van haar bedrijfscontinuïteit, waaronder in ieder geval processen en procedures voor het herstellen van haar netwerk- en informatiesystemen en voor het maken en periodiek verifiëren van de betrouwbaarheid van back-ups van software en gegevens. De entiteit past deze processen en procedures aantoonbaar toe en test deze periodiek. […] 5. De essentiële entiteit of belangrijke entiteit heeft een plan voor crisisbeheer, legt dit plan schriftelijk vast, past dat plan toe in geval van een crisis en test en beoefent dit plan periodiek. Het plan bevat ten minste: a. de taken, verantwoordelijkheden en bevoegdheden ten tijde van crisis voor het personeel en andere binnen de entiteit werkzame personen; b. een beschrijving van de communicatiemiddelen ten tijde van crisis; en c. wanneer passend, een beschrijving van de beschikbare noodvoorzieningen, waaronder het gebruik van beveiligde noodcommunicatiesystemen ten tijde van crisis.
    Bron, opgehaald op 2 oktober 2026.
  4. [4] Cbb art. 4 (Cyberbeveiligingsbesluit). Cbb artikel 4 sluit de artikelen 6 tot en met 18 uit voor onder meer cloud-, datacenter- en beheerde-dienstenaanbieders.
    Gelet op artikel 1 van de Uitvoeringsverordening (EU) 2024/2690 zijn de artikelen 6 tot en met 18 niet van toepassing op de volgende essentiële entiteiten en belangrijke entiteiten: a. DNS-dienstverleners; b. registers voor topleveldomeinnamen; c. aanbieders van cloudcomputingdiensten; d. aanbieders van datacentrumdiensten; e. aanbieders van netwerken voor de levering van inhoud; f. aanbieders van beheerde diensten; g. aanbieders van beheerde beveiligingsdiensten; h. aanbieders van onlinemarktplaatsen; i. aanbieders van onlinezoekmachines; j. aanbieders van platforms voor socialenetwerkdiensten; en k. verleners van vertrouwensdiensten.
    Bron, opgehaald op 2 oktober 2026.
  5. [5] Cyberbeveiligingsregeling IenW art. 2, lid 1 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). De Cyberbeveiligingsregeling IenW geldt voor essentiële en belangrijke entiteiten in onder meer vervoer (lucht, spoor, water, weg) en de chemische sector.
    1. Deze regeling is van toepassing op alle essentiële entiteiten en belangrijke entiteiten in de volgende sectoren dan wel subsectoren: Sector Subsector Vervoer Lucht Spoor Water Weg Drinkwater Afvalwater Afvalstoffenbeheer Vervaardiging, productie en distributie van chemische stoffen
    Bron, opgehaald op 3 oktober 2026.
  6. [6] Cyberbeveiligingsregeling IenW, toelichting, paragraaf 4.3 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Volgens de toelichting is de uitwerking van de zorgplicht gelijkluidend voor de sectoren van EZ, KGG, LVVN en IenW.
    De uitwerking van de zorgplicht is gelijkluidend voor entiteiten in de sectoren waarvoor de Minister van Economische Zaken (EZ), Klimaat en Groene Groei (KGG), Landbouw, Visserij, Voedselzekerheid en Natuur (LVVN) en Infrastructuur en Waterstaat (IenW) de bevoegde autoriteit zijn.
    Bron, opgehaald op 3 oktober 2026.
  7. [7] Cyberbeveiligingsregeling IenW art. 11, lid 1 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Back-upprocedures noemen welke software en gegevens worden geback-upt, met hersteltijden, herstelpunten, waarborgen en bewaartermijnen.
    1. De processen en procedures voor het maken en periodiek verifiëren van de betrouwbaarheid van back-ups van software en gegevens, bedoeld in artikel 9, tweede lid, van het besluit, omschrijven van welke software en gegevens een back-up wordt gemaakt en bevatten ten aanzien van die software en gegevens: a. hersteltijden; b. herstelpunten; c. waarborgen voor de volledigheid en nauwkeurigheid van back-ups; d. waarborgen voor integriteit, vertrouwelijkheid en beschikbaarheid van back-ups; e. waarborgen voor herstel van software en gegevens uit back-ups; f. bewaartermijnen.
    Bron, opgehaald op 3 oktober 2026.
  8. [8] Cyberbeveiligingsregeling IenW art. 11, lid 2 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Minimale inhoud van het bedrijfscontinuïteitsplan.
    2. Het bedrijfscontinuïteitplan, bedoeld in artikel 9, derde lid, van het besluit, houdt rekening met de uitgevoerde beoordeling van risico’s, bedoeld in artikel 7 van het besluit en omvat, in ieder geval: a. doel en reikwijdte; b. taken en verantwoordelijkheden; c. belangrijkste contacten en interne en externe communicatiekanalen; d. voorwaarden voor activering en de-activering van het plan; e. vereiste middelen, met inbegrip van back-ups en redundanties; f. voorwaarden voor herstel en hervatting van activiteiten na afloop van tijdelijke maatregelen.
    Bron, opgehaald op 3 oktober 2026.

Gerelateerde vragen

Hoe richt u incidentenbehandeling in onder de Cbw (NIS2 21(2)(b))?Wat houdt de zorgplicht van de Cyberbeveiligingswet in?Geldt de Cbw-zorgplicht ook voor uw TMS, WMS of telematica in de cloud?Hoe toont u aan dat uw cyberbeveiligingsmaatregelen werken (NIS2 21(2)(f))?

Volgende stap

Registreer uw organisatie en uw Cbw-sector. Trusq zet de zorgplicht, de meldplicht, de taken van het bestuur en de registratie klaar als acties, elk met het bewijs dat wordt verwacht en het artikel waarop het rust. De werkomgeving is Engelstalig.

Zet de Cbw-verplichtingen klaar in Trusq

Heeft u een specialist nodig? Dan zorgen wij daarvoor.

Deze pagina geeft algemene informatie op basis van de wettekst. Zij is geen juridisch advies voor uw situatie.