Naar inhoud

Kennisbank · Cbw/NIS2 voor transport en logistiek

Hoe toont u aan dat uw cyberbeveiligingsmaatregelen werken (NIS2 21(2)(f))?

U evalueert periodiek de doeltreffendheid van uw maatregelen en hun effect in de praktijk, legt het resultaat schriftelijk vast en past de maatregelen waar nodig aan (Cbw 21(3)(f), Cbb 18).

Geldt nu (sinds 15 augustus 2026)Laatst geverifieerd:

Volgende stap: Zet de Cbw-verplichtingen klaar in Trusq

Wat de wet vraagt

De wet vraagt beleid en procedures om te beoordelen of uw maatregelen effectief zijn [1]. De NIS2-richtlijn noemt hetzelfde onderwerp [2].

Hoe het Cyberbeveiligingsbesluit dit uitwerkt

Het Cbb vraagt een periodieke evaluatie van de doeltreffendheid en de effecten in de praktijk, schriftelijk vastgelegd, met aanpassing waar nodig. De frequentie bepaalt u zelf, passend bij uw risico’s [3]. De ministeriële regeling voor uw sector vraagt dat u die keuzes in uw managementsystematiek vastlegt: welke maatregelen u monitort en meet, en wanneer u meet en de resultaten analyseert en evalueert [7]. Voor vervoer en chemie is dat de Cyberbeveiligingsregeling IenW [5]; voor onder meer post- en koeriersdiensten en levensmiddelen gelden gelijkluidende regelingen [6].

Wat u concreet vastlegt

  • wanneer u evalueert en wie dat doet
  • wat u meet: bijvoorbeeld uitkomsten van hersteltests, toegangscontroles en incidenten
  • het verslag en de aanpassingen die eruit volgden

Geldt dit ook voor cloud- en IT-dienstverleners?

Valt uw bedrijf onder Cbb artikel 4 (onder meer cloud, datacenters en beheerde (beveiligings)diensten), dan gelden de Cbb-artikelen 6 tot en met 18 niet [4] en werkt Uitvoeringsverordening (EU) 2024/2690 deze maatregel uit. De verplichting uit Cbw artikel 21 blijft gelden.

Waar Trusq dit op baseert

Deze gekeurde regels staan in Trusq en worden bij elke publicatie opnieuw ingelezen; verandert een regel, dan verandert deze pagina mee.

  • Organisatie: Evalueer de doeltreffendheid van cyberbeveiligingsmaatregelen. NIS2 21(2)(f), Cbw 21(3)(f)
  • Per ICT-systeem: Evalueer de doeltreffendheid van de maatregelen voor dit ICT-systeem en pas ze waar nodig aan. Cbw 21(3)(f), NIS2 21(2)(f)

Bronnen

  1. [1] Cbw art. 21(3)(f) (Cyberbeveiligingswet). Cbw artikel 21, lid 3, onderdeel f.
    3. De maatregelen, bedoeld in het eerste lid, zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] f. beleid en procedures om de effectiviteit van maatregelen voor het beheersen van cyberbeveiligingsrisico’s te beoordelen;
    Bron, opgehaald op 2 oktober 2026.
  2. [2] NIS2 art. 21(2)(f) (Richtlijn (EU) 2022/2555 (NIS2)). De NIS2-tegenhanger: artikel 21, lid 2, onderdeel f.
    2. De in lid 1 bedoelde maatregelen zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] f) beleid en procedures om de effectiviteit van maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen;
    Bron, opgehaald op 2 oktober 2026.
  3. [3] Cbb art. 18 (Cyberbeveiligingsbesluit). Cbb artikel 18: periodieke, schriftelijk vastgelegde evaluatie en aanpassing.
    De essentiële entiteit of belangrijke entiteit evalueert periodiek de doeltreffendheid van de maatregelen die zij heeft genomen op grond van artikel 21, eerste lid, van de wet en de effecten ervan in de praktijk, en legt het resultaat daarvan schriftelijk vast. De entiteit past naar aanleiding van de uitkomst van die evaluaties de maatregelen waar nodig aan.
    Bron, opgehaald op 2 oktober 2026.
  4. [4] Cbb art. 4 (Cyberbeveiligingsbesluit). Cbb artikel 4 sluit de artikelen 6 tot en met 18 uit voor onder meer cloud-, datacenter- en beheerde-dienstenaanbieders.
    Gelet op artikel 1 van de Uitvoeringsverordening (EU) 2024/2690 zijn de artikelen 6 tot en met 18 niet van toepassing op de volgende essentiële entiteiten en belangrijke entiteiten: a. DNS-dienstverleners; b. registers voor topleveldomeinnamen; c. aanbieders van cloudcomputingdiensten; d. aanbieders van datacentrumdiensten; e. aanbieders van netwerken voor de levering van inhoud; f. aanbieders van beheerde diensten; g. aanbieders van beheerde beveiligingsdiensten; h. aanbieders van onlinemarktplaatsen; i. aanbieders van onlinezoekmachines; j. aanbieders van platforms voor socialenetwerkdiensten; en k. verleners van vertrouwensdiensten.
    Bron, opgehaald op 2 oktober 2026.
  5. [5] Cyberbeveiligingsregeling IenW art. 2, lid 1 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). De Cyberbeveiligingsregeling IenW geldt voor essentiële en belangrijke entiteiten in onder meer vervoer (lucht, spoor, water, weg) en de chemische sector.
    1. Deze regeling is van toepassing op alle essentiële entiteiten en belangrijke entiteiten in de volgende sectoren dan wel subsectoren: Sector Subsector Vervoer Lucht Spoor Water Weg Drinkwater Afvalwater Afvalstoffenbeheer Vervaardiging, productie en distributie van chemische stoffen
    Bron, opgehaald op 3 oktober 2026.
  6. [6] Cyberbeveiligingsregeling IenW, toelichting, paragraaf 4.3 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Volgens de toelichting is de uitwerking van de zorgplicht gelijkluidend voor de sectoren van EZ, KGG, LVVN en IenW.
    De uitwerking van de zorgplicht is gelijkluidend voor entiteiten in de sectoren waarvoor de Minister van Economische Zaken (EZ), Klimaat en Groene Groei (KGG), Landbouw, Visserij, Voedselzekerheid en Natuur (LVVN) en Infrastructuur en Waterstaat (IenW) de bevoegde autoriteit zijn.
    Bron, opgehaald op 3 oktober 2026.
  7. [7] Cyberbeveiligingsregeling IenW art. 10 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). In de managementsystematiek wordt vastgelegd welke maatregelen worden gemonitord en gemeten en wanneer wordt gemeten en geëvalueerd.
    Ter uitvoering van artikel 6 van het besluit legt de essentiële entiteit of de belangrijke entiteit als onderdeel van haar managementsystematiek, bedoeld in artikel 6, vierde lid, van het besluit, vast: a. welke maatregelen voor het beheer van cyberbeveiligingsrisico’s, met inbegrip van processen en controles, moeten worden gemonitord, gemeten, geanalyseerd en geëvalueerd; […] c. wanneer de monitoring en de meting moeten worden uitgevoerd; […] e. wanneer de resultaten van de monitoring en meting moeten worden geanalyseerd en geëvalueerd;
    Bron, opgehaald op 3 oktober 2026.

Gerelateerde vragen

Wat moet in uw beleid voor risicoanalyse en informatiebeveiliging (NIS2 21(2)(a))?Wat houdt de zorgplicht van de Cyberbeveiligingswet in?Wat moet het bestuur doen onder de Cyberbeveiligingswet?Wat vraagt de Cbw over bedrijfscontinuïteit, back-ups en crisisbeheer (NIS2 21(2)(c))?Moet u uw risicoanalyse en beveiligingsbeleid onder de Cbw elk jaar herzien?

Volgende stap

Registreer uw organisatie en uw Cbw-sector. Trusq zet de zorgplicht, de meldplicht, de taken van het bestuur en de registratie klaar als acties, elk met het bewijs dat wordt verwacht en het artikel waarop het rust. De werkomgeving is Engelstalig.

Zet de Cbw-verplichtingen klaar in Trusq

Heeft u een specialist nodig? Dan zorgen wij daarvoor.

Deze pagina geeft algemene informatie op basis van de wettekst. Zij is geen juridisch advies voor uw situatie.