Naar inhoud

Kennisbank · Cbw/NIS2 voor transport en logistiek

Wat eist de Cbw over kwetsbaarheden, patches en onderhoud van systemen (NIS2 21(2)(e))?

U beveiligt het verwerven, ontwikkelen en onderhouden van systemen, met processen voor configuratie- en wijzigingsbeheer, en beoordeelt schriftelijk wat u doet met gerichte meldingen over kwetsbaarheden (Cbw 21(3)(e), Cbb 11 en 17). De ministeriële regeling voor uw sector vraagt daarnaast patchbeheer binnen een redelijke termijn, kwetsbaarheidsscans waar passend en het onverwijld verhelpen van kwetsbaarheden die een risico vormen.

Geldt nu (sinds 15 augustus 2026)Laatst geverifieerd:

Volgende stap: Zet de Cbw-verplichtingen klaar in Trusq

Wat de wet vraagt

Beveiliging bij verwerven, ontwikkelen en onderhouden, met kwetsbaarheden, is onderdeel e [1]. De NIS2-richtlijn noemt hetzelfde onderwerp [2].

Hoe het Cyberbeveiligingsbesluit dit uitwerkt

Het Cbb vraagt beleid voor het verwerven van software, hardware en diensten, processen voor veilige ontwikkeling als u zelf ontwikkelt, en processen voor onderhoud met ten minste configuratie- en wijzigingsbeheer [3]. Wordt u gericht gewaarschuwd voor een kwetsbaarheid, dan beoordeelt u of uw maatregelen moeten veranderen en legt u dat vast [4].

Patches en scans volgens de sectorregeling

Het Cbb heeft geen apart patchartikel, de ministeriële regeling voor uw sector wel. Voor vervoer en chemie is dat de Cyberbeveiligingsregeling IenW [6]; voor onder meer post- en koeriersdiensten en levensmiddelen gelden gelijkluidende regelingen [7]. U past beveiligingspatches toe binnen een redelijke termijn nadat ze beschikbaar zijn, waar passend na controle van herkomst en integriteit en na een test, tenzij de nadelen van toepassing zwaarder wegen dan de voordelen; in dat geval legt u gemotiveerd vast waarom een patch later of niet wordt toegepast [8]. U voert waar passend periodiek kwetsbaarheidsscans uit en legt de resultaten vast, en u verhelpt kwetsbaarheden die een risico vormen onverwijld of legt gemotiveerd vast waarom dat niet of later gebeurt [9].

Wat u concreet vastlegt

  • beveiligingseisen bij inkoop van software, apparatuur en diensten
  • welke bronnen u volgt voor kwetsbaarheden in uw systemen
  • patchregistratie, en de motivering met de afweging van nadelen en voordelen als een patch niet of later wordt toegepast
  • de resultaten van kwetsbaarheidsscans en wat u ermee deed
  • de vastgelegde beoordeling na een gerichte waarschuwing

Geldt dit ook voor cloud- en IT-dienstverleners?

Valt uw bedrijf onder Cbb artikel 4 (onder meer cloud, datacenters en beheerde (beveiligings)diensten), dan gelden de Cbb-artikelen 6 tot en met 18 niet [5] en werkt Uitvoeringsverordening (EU) 2024/2690 deze maatregel uit. De verplichting uit Cbw artikel 21 blijft gelden.

Waar Trusq dit op baseert

Deze gekeurde regels staan in Trusq en worden bij elke publicatie opnieuw ingelezen; verandert een regel, dan verandert deze pagina mee.

  • Organisatie: Beveilig verwerving, ontwikkeling en onderhoud, inclusief kwetsbaarhedenbehandeling. NIS2 21(2)(e), Cbw 21(3)(e)
  • Per ICT-systeem: Volg kwetsbaarheden in dit ICT-systeem en pas beveiligingspatches toe, of leg vast waarom niet. Cbw 21(3)(e), NIS2 21(2)(e)

Bronnen

  1. [1] Cbw art. 21(3)(e) (Cyberbeveiligingswet). Cbw artikel 21, lid 3, onderdeel e.
    3. De maatregelen, bedoeld in het eerste lid, zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] e. beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden;
    Bron, opgehaald op 2 oktober 2026.
  2. [2] NIS2 art. 21(2)(e) (Richtlijn (EU) 2022/2555 (NIS2)). De NIS2-tegenhanger: artikel 21, lid 2, onderdeel e.
    2. De in lid 1 bedoelde maatregelen zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] e) beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden;
    Bron, opgehaald op 2 oktober 2026.
  3. [3] Cbb art. 11 (Cyberbeveiligingsbesluit). Cbb artikel 11: beleid voor verwerving en processen voor onderhoud, configuratie- en wijzigingsbeheer.
    1. De essentiële entiteit of belangrijke entiteit heeft op basis van de beveiligingseisen, bedoeld in artikel 7, vijfde lid, vastgesteld beleid voor het mitigeren en beheersen van risico’s die voortvloeien uit het verwerven van software, hardware of diensten die betrekking hebben op haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe. […] 3. De essentiële entiteit of belangrijke entiteit stelt processen en procedures vast voor het onderhoud en beheer van haar netwerk- en informatiesystemen. De entiteit past deze processen en procedures aantoonbaar toe. Deze processen en procedures hebben ten minste betrekking op het configuratiebeheer en het wijzigingsbeheer van de netwerk- en informatiesystemen van de entiteit.
    Bron, opgehaald op 2 oktober 2026.
  4. [4] Cbb art. 17 (Cyberbeveiligingsbesluit). Cbb artikel 17: beoordelen en vastleggen wat een gerichte waarschuwing over een kwetsbaarheid betekent.
    1. Indien de essentiële entiteit of belangrijke entiteit gericht wordt geattendeerd op voor de beveiliging van haar netwerk- en informatiesystemen relevante kwetsbaarheden of cyberdreigingen, beoordeelt zij of op basis daarvan aanpassingen of aanvullingen nodig zijn van de maatregelen ter uitvoering van artikel 21 van de wet. De entiteit legt de uitkomsten van die beoordeling schriftelijk vast.
    Bron, opgehaald op 2 oktober 2026.
  5. [5] Cbb art. 4 (Cyberbeveiligingsbesluit). Cbb artikel 4 sluit de artikelen 6 tot en met 18 uit voor onder meer cloud-, datacenter- en beheerde-dienstenaanbieders.
    Gelet op artikel 1 van de Uitvoeringsverordening (EU) 2024/2690 zijn de artikelen 6 tot en met 18 niet van toepassing op de volgende essentiële entiteiten en belangrijke entiteiten: a. DNS-dienstverleners; b. registers voor topleveldomeinnamen; c. aanbieders van cloudcomputingdiensten; d. aanbieders van datacentrumdiensten; e. aanbieders van netwerken voor de levering van inhoud; f. aanbieders van beheerde diensten; g. aanbieders van beheerde beveiligingsdiensten; h. aanbieders van onlinemarktplaatsen; i. aanbieders van onlinezoekmachines; j. aanbieders van platforms voor socialenetwerkdiensten; en k. verleners van vertrouwensdiensten.
    Bron, opgehaald op 2 oktober 2026.
  6. [6] Cyberbeveiligingsregeling IenW art. 2, lid 1 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). De Cyberbeveiligingsregeling IenW geldt voor essentiële en belangrijke entiteiten in onder meer vervoer (lucht, spoor, water, weg) en de chemische sector.
    1. Deze regeling is van toepassing op alle essentiële entiteiten en belangrijke entiteiten in de volgende sectoren dan wel subsectoren: Sector Subsector Vervoer Lucht Spoor Water Weg Drinkwater Afvalwater Afvalstoffenbeheer Vervaardiging, productie en distributie van chemische stoffen
    Bron, opgehaald op 3 oktober 2026.
  7. [7] Cyberbeveiligingsregeling IenW, toelichting, paragraaf 4.3 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Volgens de toelichting is de uitwerking van de zorgplicht gelijkluidend voor de sectoren van EZ, KGG, LVVN en IenW.
    De uitwerking van de zorgplicht is gelijkluidend voor entiteiten in de sectoren waarvoor de Minister van Economische Zaken (EZ), Klimaat en Groene Groei (KGG), Landbouw, Visserij, Voedselzekerheid en Natuur (LVVN) en Infrastructuur en Waterstaat (IenW) de bevoegde autoriteit zijn.
    Bron, opgehaald op 3 oktober 2026.
  8. [8] Cyberbeveiligingsregeling IenW art. 12, leden 1 en 2 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Onderhoudsprocedures omvatten beveiligingstesten en patchbeheer; patches worden binnen een redelijke termijn toegepast, tenzij de nadelen zwaarder wegen dan de voordelen; dan wordt het uitstel gemotiveerd en gedocumenteerd.
    1. De processen en procedures, bedoeld in artikel 11, derde lid, van het besluit, hebben betrekking op ten minste de processen en procedures inzake: a. beveiligingstesten; b. beveiligingspatchbeheer. 2. De processen en procedures inzake beveiligingspatchbeheer zorgen ervoor dat: a. waar passend, beveiligingspatches afkomstig zijn van betrouwbare bronnen en op integriteit worden gecontroleerd; b. waar passend, beveiligingspatches worden getest voordat zij in productiesystemen worden toegepast; c. beveiligingspatches worden toegepast binnen een redelijke termijn nadat zij beschikbaar zijn, tenzij de nadelen van de toepassing van de beveiligingspatches zwaarder wegen dan de voordelen, in welk geval de essentiële entiteit of belangrijke entiteit motiveert waarom de beveiligingspatches niet of op een later moment toegepast worden en dit documenteert.
    Bron, opgehaald op 3 oktober 2026.
  9. [9] Cyberbeveiligingsregeling IenW art. 12, lid 3 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Maatregelen tegen kwaadaardige software, periodieke kwetsbaarheidsscans waar passend, en onverwijld verhelpen van risicovolle kwetsbaarheden of gemotiveerd uitstel.
    3. Ter uitvoering van artikel 21, derde lid, onderdeel e, van de wet: a. implementeert de essentiële entiteit of belangrijke entiteit maatregelen om het gebruik van kwaadaardige en ongeoorloofde software in haar netwerk- en informatiesystemen te detecteren en te voorkomen; b. voert de essentiële entiteit of belangrijke entiteit, waar passend, periodiek kwetsbaarheidsscans uit en legt zij de resultaten van deze scans vast; […] d. verhelpt de essentiële entiteit of belangrijke entiteit onverwijld kwetsbaarheden die een risico vormen voor de beveiliging van haar netwerk- en informatiesystemen, of motiveert waarom de kwetsbaarheid niet of op een later moment verholpen wordt en documenteert dit.
    Bron, opgehaald op 3 oktober 2026.

Gerelateerde vragen

Wat moet u onder de Cbw regelen voor uw leveranciers en IT-dienstverleners (NIS2 21(2)(d))?Wat houdt de zorgplicht van de Cyberbeveiligingswet in?Hoe toont u aan dat uw cyberbeveiligingsmaatregelen werken (NIS2 21(2)(f))?Geldt de Cbw-zorgplicht ook voor uw TMS, WMS of telematica in de cloud?Waar meldt u een kwetsbaarheid die u vindt in software of apparatuur van een leverancier?

Volgende stap

Registreer uw organisatie en uw Cbw-sector. Trusq zet de zorgplicht, de meldplicht, de taken van het bestuur en de registratie klaar als acties, elk met het bewijs dat wordt verwacht en het artikel waarop het rust. De werkomgeving is Engelstalig.

Zet de Cbw-verplichtingen klaar in Trusq

Heeft u een specialist nodig? Dan zorgen wij daarvoor.

Deze pagina geeft algemene informatie op basis van de wettekst. Zij is geen juridisch advies voor uw situatie.