Naar inhoud

Kennisbank · Cbw/NIS2 voor transport en logistiek

Is multifactorauthenticatie verplicht onder de Cbw (NIS2 21(2)(j))?

De wet eist multifactor- of continue authenticatie en beveiligde communicatie wanneer dat gepast is: u beoordeelt het per toegang en legt uw besluit vast. Toegang en autorisaties controleert u periodiek (Cbw 21(3)(j), Cbb 15).

Geldt nu (sinds 15 augustus 2026)Laatst geverifieerd:

Volgende stap: Zet de Cbw-verplichtingen klaar in Trusq

Wat de wet vraagt

Onderdeel j vraagt, wanneer gepast, multifactor- of continue authenticatie en beveiligde communicatie [1]. De NIS2-richtlijn noemt hetzelfde onderwerp [2].

Hoe het Cyberbeveiligingsbesluit dit uitwerkt

Het Cbb kent geen apart artikel over multifactorauthenticatie; het toegangsbeleid van Cbb artikel 15 is de plek waar u vastlegt welke toegang met welk middel wordt beveiligd. Voor beveiligde noodcommunicatie noemt het crisisplan van Cbb artikel 9, lid 5, de beschikbare noodvoorzieningen [3]. De ministeriële regeling voor uw sector vraagt wel sterke identificatie-, authenticatie- en autorisatieprocedures voor bevoorrechte accounts en systeembeheeraccounts [7]; voor vervoer en chemie is dat de Cyberbeveiligingsregeling IenW [5], voor onder meer post- en koeriersdiensten en levensmiddelen een gelijkluidende regeling [6].

Wat u concreet vastlegt

  • voor welke toegang u multifactorauthenticatie gebruikt, en waarom niet waar u dat niet doet
  • sterke authenticatie voor beheerdersaccounts, en een besluit voor toegang op afstand
  • hoe uw organisatie communiceert als e-mail of telefonie uitvalt

Geldt dit ook voor cloud- en IT-dienstverleners?

Valt uw bedrijf onder Cbb artikel 4 (onder meer cloud, datacenters en beheerde (beveiligings)diensten), dan gelden de Cbb-artikelen 6 tot en met 18 niet [4] en werkt Uitvoeringsverordening (EU) 2024/2690 deze maatregel uit. De verplichting uit Cbw artikel 21 blijft gelden.

Waar Trusq dit op baseert

Deze gekeurde regels staan in Trusq en worden bij elke publicatie opnieuw ingelezen; verandert een regel, dan verandert deze pagina mee.

  • Organisatie: Gebruik passende authenticatie en beveiligde communicatie. NIS2 21(2)(j), Cbw 21(3)(j)
  • Per ICT-systeem: Beheer de toegang tot dit ICT-systeem en gebruik waar passend multifactor- of continue authenticatie. Cbw 21(3)(i), Cbw 21(3)(j), NIS2 21(2)(i), NIS2 21(2)(j)

Bronnen

  1. [1] Cbw art. 21(3)(j) (Cyberbeveiligingswet). Cbw artikel 21, lid 3, onderdeel j.
    3. De maatregelen, bedoeld in het eerste lid, zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] j. wanneer gepast, het gebruik van multifactor-authenticatie- of continue-authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit.
    Bron, opgehaald op 2 oktober 2026.
  2. [2] NIS2 art. 21(2)(j) (Richtlijn (EU) 2022/2555 (NIS2)). De NIS2-tegenhanger: artikel 21, lid 2, onderdeel j.
    2. De in lid 1 bedoelde maatregelen zijn gebaseerd op een benadering die alle gevaren omvat en tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen, en omvatten ten minste het volgende: […] j) wanneer gepast, het gebruik van multifactor-authenticatie- of continue-authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit.
    Bron, opgehaald op 2 oktober 2026.
  3. [3] Cbb art. 15 (Cyberbeveiligingsbesluit). Cbb artikel 15: vastgesteld beleid voor logische en fysieke toegang.
    1. De essentiële entiteit of belangrijke entiteit heeft vastgesteld beleid over de logische en fysieke toegang tot haar netwerk- en informatiesystemen. De entiteit legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe.
    Bron, opgehaald op 2 oktober 2026.
  4. [4] Cbb art. 4 (Cyberbeveiligingsbesluit). Cbb artikel 4 sluit de artikelen 6 tot en met 18 uit voor onder meer cloud-, datacenter- en beheerde-dienstenaanbieders.
    Gelet op artikel 1 van de Uitvoeringsverordening (EU) 2024/2690 zijn de artikelen 6 tot en met 18 niet van toepassing op de volgende essentiële entiteiten en belangrijke entiteiten: a. DNS-dienstverleners; b. registers voor topleveldomeinnamen; c. aanbieders van cloudcomputingdiensten; d. aanbieders van datacentrumdiensten; e. aanbieders van netwerken voor de levering van inhoud; f. aanbieders van beheerde diensten; g. aanbieders van beheerde beveiligingsdiensten; h. aanbieders van onlinemarktplaatsen; i. aanbieders van onlinezoekmachines; j. aanbieders van platforms voor socialenetwerkdiensten; en k. verleners van vertrouwensdiensten.
    Bron, opgehaald op 2 oktober 2026.
  5. [5] Cyberbeveiligingsregeling IenW art. 2, lid 1 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). De Cyberbeveiligingsregeling IenW geldt voor essentiële en belangrijke entiteiten in onder meer vervoer (lucht, spoor, water, weg) en de chemische sector.
    1. Deze regeling is van toepassing op alle essentiële entiteiten en belangrijke entiteiten in de volgende sectoren dan wel subsectoren: Sector Subsector Vervoer Lucht Spoor Water Weg Drinkwater Afvalwater Afvalstoffenbeheer Vervaardiging, productie en distributie van chemische stoffen
    Bron, opgehaald op 3 oktober 2026.
  6. [6] Cyberbeveiligingsregeling IenW, toelichting, paragraaf 4.3 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Volgens de toelichting is de uitwerking van de zorgplicht gelijkluidend voor de sectoren van EZ, KGG, LVVN en IenW.
    De uitwerking van de zorgplicht is gelijkluidend voor entiteiten in de sectoren waarvoor de Minister van Economische Zaken (EZ), Klimaat en Groene Groei (KGG), Landbouw, Visserij, Voedselzekerheid en Natuur (LVVN) en Infrastructuur en Waterstaat (IenW) de bevoegde autoriteit zijn.
    Bron, opgehaald op 3 oktober 2026.
  7. [7] Cyberbeveiligingsregeling IenW art. 13 (Cyberbeveiligingsregeling IenW (Stcrt. 2026, 24093)). Het toegangsbeleid omvat bevoorrechte accounts en systeembeheeraccounts, met sterke identificatie, authenticatie en autorisatie.
    1. Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, omvat het beleid over bevoorrechte accounts en systeembeheeraccounts. 2. Het beleid, bedoeld in artikel 15, eerste lid, van het besluit, zorgt ervoor dat: a. sterke identificatie-, authenticatie-, en autorisatieprocedures voor bevoorrechte accounts en systeembeheeraccounts worden toegepast;
    Bron, opgehaald op 3 oktober 2026.

Gerelateerde vragen

Wat vraagt de Cbw over personeel, toegangsbeheer en een inventaris van assets (NIS2 21(2)(i))?Moet u onder de Cbw een beleid voor cryptografie en versleuteling hebben (NIS2 21(2)(h))?Wat vraagt de Cbw over bedrijfscontinuïteit, back-ups en crisisbeheer (NIS2 21(2)(c))?Wat houdt de zorgplicht van de Cyberbeveiligingswet in?

Volgende stap

Registreer uw organisatie en uw Cbw-sector. Trusq zet de zorgplicht, de meldplicht, de taken van het bestuur en de registratie klaar als acties, elk met het bewijs dat wordt verwacht en het artikel waarop het rust. De werkomgeving is Engelstalig.

Zet de Cbw-verplichtingen klaar in Trusq

Heeft u een specialist nodig? Dan zorgen wij daarvoor.

Deze pagina geeft algemene informatie op basis van de wettekst. Zij is geen juridisch advies voor uw situatie.