Naar inhoud

Kennisbank · Cbw/NIS2 voor transport en logistiek

Moet u onder de Cbw een beleid voor cryptografie en versleuteling hebben (NIS2 21(2)(h))?

Ja. U legt beleid en procedures vast over het gebruik van cryptografie: wanneer u het inzet, welke versleuteling u gebruikt, en wie verantwoordelijk is voor implementatie en sleutelbeheer (Cbw 21(3)(h), Cbb 13).

Geldt nu (sinds 15 augustus 2026)Laatst geverifieerd:

Wat de wet vraagt

Beleid en procedures voor cryptografie en, waar passend, encryptie zijn onderdeel h [1]. De NIS2-richtlijn noemt hetzelfde onderwerp [2].

Hoe het Cyberbeveiligingsbesluit dit uitwerkt

Het Cbb vraagt vastgesteld, schriftelijk beleid met processen over cryptografie. Daarin staat ten minste in welke gevallen u cryptografie inzet, welke typen versleuteling u gebruikt, en wie verantwoordelijk is voor de implementatie en het sleutelbeheer [3].

Wat u concreet vastlegt

  • waar u versleuteling gebruikt: verbindingen met boordcomputers, klantportalen, laptops, back-ups
  • welke typen versleuteling en hoe u die toepast
  • wie de sleutels en certificaten beheert

Geldt dit ook voor cloud- en IT-dienstverleners?

Valt uw bedrijf onder Cbb artikel 4 (onder meer cloud, datacenters en beheerde (beveiligings)diensten), dan gelden de Cbb-artikelen 6 tot en met 18 niet [4] en werkt Uitvoeringsverordening (EU) 2024/2690 deze maatregel uit. De verplichting uit Cbw artikel 21 blijft gelden.

Waar Trusq dit op baseert

Deze gekeurde regels staan in Trusq en worden bij elke publicatie opnieuw ingelezen; verandert een regel, dan verandert deze pagina mee.

  • Organisatie: Onderhoud beleid voor cryptografie en, waar passend, versleuteling. NIS2 21(2)(h), Cbw 21(3)(h)
  • Per ICT-systeem: Pas uw beleid voor cryptografie toe op dit ICT-systeem, inclusief versleuteling waar passend. Cbw 21(3)(h), NIS2 21(2)(h)

Bronnen

  1. [1] Cbw art. 21(3)(h) (Cyberbeveiligingswet). Cbw artikel 21, lid 3, onderdeel h.
    3. De maatregelen, bedoeld in het eerste lid, zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] h. beleid en procedures inzake het gebruik van cryptografie en, in voorkomend geval, encryptie;
    Bron, opgehaald op 2 oktober 2026.
  2. [2] NIS2 art. 21(2)(h) (Richtlijn (EU) 2022/2555 (NIS2)). De NIS2-tegenhanger: artikel 21, lid 2, onderdeel h.
    2. De in lid 1 bedoelde maatregelen zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] h) beleid en procedures inzake het gebruik van cryptografie en, in voorkomend geval, encryptie;
    Bron, opgehaald op 2 oktober 2026.
  3. [3] Cbb art. 13 (Cyberbeveiligingsbesluit). Cbb artikel 13: het beleid regelt gebruik, type versleuteling en verantwoordelijkheid voor implementatie en sleutelbeheer.
    3. In het beleid en de processen en procedures, bedoeld in het eerste en tweede lid, worden in ieder geval uitgewerkt: a. in welke gevallen cryptografie ingezet wordt; b. in voorkomende gevallen, welke typen encryptie worden gebruikt en de wijze waarop deze worden toegepast; c. wie binnen de entiteit verantwoordelijk zijn voor de implementatie van cryptografie; en d. wie binnen de entiteit verantwoordelijk zijn voor het sleutelbeheer.
    Bron, opgehaald op 2 oktober 2026.
  4. [4] Cbb art. 4 (Cyberbeveiligingsbesluit). Cbb artikel 4 sluit de artikelen 6 tot en met 18 uit voor onder meer cloud-, datacenter- en beheerde-dienstenaanbieders.
    Gelet op artikel 1 van de Uitvoeringsverordening (EU) 2024/2690 zijn de artikelen 6 tot en met 18 niet van toepassing op de volgende essentiële entiteiten en belangrijke entiteiten: a. DNS-dienstverleners; b. registers voor topleveldomeinnamen; c. aanbieders van cloudcomputingdiensten; d. aanbieders van datacentrumdiensten; e. aanbieders van netwerken voor de levering van inhoud; f. aanbieders van beheerde diensten; g. aanbieders van beheerde beveiligingsdiensten; h. aanbieders van onlinemarktplaatsen; i. aanbieders van onlinezoekmachines; j. aanbieders van platforms voor socialenetwerkdiensten; en k. verleners van vertrouwensdiensten.
    Bron, opgehaald op 2 oktober 2026.

Gerelateerde vragen

Wat vraagt de Cbw over personeel, toegangsbeheer en een inventaris van assets (NIS2 21(2)(i))?Is multifactorauthenticatie verplicht onder de Cbw (NIS2 21(2)(j))?Wat houdt de zorgplicht van de Cyberbeveiligingswet in?Geldt de Cbw-zorgplicht ook voor uw TMS, WMS of telematica in de cloud?

Leg één systeem vast en zie welke verplichtingen erop van toepassing zijn, met artikel en bron.

Maak een systeemsnapshot Of vraag een expert

Deze pagina geeft algemene informatie op basis van de wettekst. Zij is geen juridisch advies voor uw situatie.