NIS2 voor transport en logistiek: wie binnen de reikwijdte valt en welke verplichtingen daaruit volgen

Artikel 2, lid 1, verklaart de richtlijn van toepassing op publieke of private entiteiten van een in bijlage I of II genoemd type die op grond van Aanbeveling 2003/361/EG als middelgrote onderneming kwalificeren of de plafonds voor middelgrote ondernemingen overschrijden, en die diensten verlenen of activiteiten verrichten in de Unie. Volgens die aanbeveling betekent middelgroot: minder dan 250 werknemers en een jaaromzet van ten hoogste 50 miljoen EUR en/of een balanstotaal van ten hoogste 43 miljoen EUR; de praktische instapdrempel ligt daarmee ruwweg op 50 werknemers of meer dan 10 miljoen EUR aan jaaromzet en balanstotaal. De omvangstoets kent uitzonderingen: ongeacht de omvang kan een entiteit uit bijlage I of II onder het toepassingsgebied worden gebracht wanneer zij bijvoorbeeld in een lidstaat de enige aanbieder is van een dienst die essentieel is voor kritieke maatschappelijke of economische activiteiten, wanneer verstoring van haar dienst de openbare veiligheid, de beveiliging of de volksgezondheid aanzienlijk zou kunnen aantasten, of wanneer zij is aangewezen als kritieke entiteit op grond van Richtlijn (EU) 2022/2557 (artikel 2, leden 2–3). Binnen het toepassingsgebied deelt artikel 3 de entiteiten in twee categorieën in: entiteiten uit bijlage I die de plafonds voor middelgrote ondernemingen overschrijden zijn essentiële entiteiten; de meeste overige entiteiten binnen het toepassingsgebied — waaronder middelgrote vervoersentiteiten en de typen uit bijlage II — zijn belangrijke entiteiten, al is een entiteit die op grond van Richtlijn (EU) 2022/2557 als kritiek is aangewezen ongeacht haar omvang een essentiële entiteit, en kan een lidstaat een entiteit die zij op grond van artikel 2, lid 2, onder b)–e), onder het toepassingsgebied brengt, als essentieel aanmerken (artikel 3, lid 1, onder e)–f)). De categorie bepaalt het toezichtregime en het sanctieplafond, niet de inhoud van de verplichtingen.

Bijlage I, punt 2, noemt de soorten vervoersentiteiten per subsector. Lucht: luchtvaartmaatschappijen die voor commerciële doeleinden worden gebruikt, luchthavenbeheerders en luchthavens met inbegrip van entiteiten die nevenvoorzieningen binnen luchthavens exploiteren (een rubriek waaronder vrachtafhandeling op luchthaventerrein kan vallen), en exploitanten van luchtverkeersleiding. Spoor: infrastructuurbeheerders en spoorwegondernemingen, met inbegrip van exploitanten van dienstvoorzieningen. Water: binnenvaart-, zee- en kustvaartondernemingen voor personen- en goederenvervoer over water (niet de afzonderlijke vaartuigen), havenbeheerders met inbegrip van hun havenfaciliteiten en entiteiten die werken en uitrusting binnen havens exploiteren — de rubriek waaronder vracht- en containerterminals binnen een havengebied het meest plausibel vallen — en scheepvaartbegeleidende diensten. Weg is enger dan vaak wordt aangenomen: alleen wegautoriteiten die verantwoordelijk zijn voor verkeersmanagement en exploitanten van intelligente vervoerssystemen worden genoemd; commerciële wegvervoerders niet. Bijlage II voegt daaraan aanbieders van postdiensten met inbegrip van koeriersdiensten toe en — relevant voor verladers met veel distributie — levensmiddelenbedrijven die zich bezighouden met groothandelsdistributie. Expeditie en opslag komen in geen van beide bijlagen als soorten entiteiten voor.

Artikel 21, lid 2, onder d), verplicht elke entiteit binnen het toepassingsgebied de beveiliging van de toeleveringsketen aan te pakken, met inbegrip van de beveiligingsgerelateerde aspecten van haar betrekkingen met directe leveranciers en dienstverleners. Artikel 21, lid 3, scherpt dit aan: entiteiten moeten rekening houden met de kwetsbaarheden die specifiek zijn voor elke directe leverancier en dienstverlener en met de algehele kwaliteit van hun producten en cyberbeveiligingspraktijken, met inbegrip van veilige ontwikkelingsprocedures. Een expediteur, magazijnexploitant of logistieke IT-aanbieder die een vervoerder, terminal, haven of fabrikant binnen het toepassingsgebied bedient, krijgt daardoor waarschijnlijk te maken met van NIS2 afgeleide eisen — beveiligingsvragenlijsten, contractuele clausules, auditrechten — ook al legt de richtlijn hem geen rechtstreekse wettelijke verplichting op. De verplichting ligt bij de klant binnen het toepassingsgebied, maar het commerciële effect komt bij de leverancier terecht: aantoonbare incidentafhandeling, patchdiscipline en toegangsbeheer worden steeds vaker voorwaarden om contracten met gereguleerde tegenpartijen te behouden.

Entiteiten die binnen het toepassingsgebied vallen, moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen op basis van een alle gevaren omvattende aanpak, die ten minste tien in artikel 21, lid 2, opgesomde gebieden bestrijken: beleid inzake risicoanalyse en beveiliging van informatiesystemen; incidentenbehandeling; bedrijfscontinuïteit, waaronder back-upbeheer, noodherstel en crisisbeheer; beveiliging van de toeleveringsketen; beveiliging bij verwerving, ontwikkeling en onderhoud van systemen, met inbegrip van de behandeling en openbaarmaking van kwetsbaarheden; procedures om de doeltreffendheid van de maatregelen te beoordelen; basispraktijken op het gebied van cyberhygiëne en cyberbeveiligingsopleiding; beleid inzake cryptografie en, waar passend, encryptie; beveiliging van personeel, toegangsbeleid en beheer van activa; en, waar passend, multifactor- of continue authenticatie en beveiligde communicatie. De evenredigheid wordt uitdrukkelijk afgestemd op de risicoblootstelling van de entiteit, haar omvang en de waarschijnlijkheid en ernst van incidenten (artikel 21, lid 1). De melding verloopt volgens vaste termijnen op grond van artikel 23: een incident is significant wanneer het ernstige operationele verstoring of financieel verlies heeft veroorzaakt of kan veroorzaken, dan wel aanzienlijke schade aan andere partijen; een significant incident leidt tot een vroegtijdige waarschuwing binnen 24 uur na kennisname, een incidentmelding binnen 72 uur, een tussentijds verslag op verzoek en een eindverslag uiterlijk één maand na de incidentmelding. Waar relevant moeten ook de afnemers van de diensten worden geïnformeerd.

Artikel 20 legt de naleving bij de top: bestuursorganen moeten de maatregelen voor het beheer van cyberbeveiligingsrisico's goedkeuren, toezien op de uitvoering ervan en kunnen aansprakelijk worden gesteld voor inbreuken; leden van het bestuursorgaan zijn verplicht opleiding te volgen. Het toezicht verschilt per categorie: essentiële entiteiten krijgen proactief toezicht, met inbegrip van inspecties ter plaatse, regelmatige en gerichte beveiligingsaudits en beveiligingsscans (artikel 32), terwijl belangrijke entiteiten te maken krijgen met toezicht achteraf dat in gang wordt gezet door aanwijzingen van niet-naleving (artikel 33). De boeteplafonds bedragen voor essentiële entiteiten maximaal ten minste 10 miljoen EUR of 2% van de totale wereldwijde jaaromzet, en voor belangrijke entiteiten ten minste 7 miljoen EUR of 1,4%, waarbij het hoogste bedrag geldt (artikel 34). De omzettingstermijn liep af op 17 oktober 2024, met toepassing vanaf 18 oktober 2024, en de lidstaten moesten uiterlijk op 17 april 2025 een lijst opstellen van essentiële en belangrijke entiteiten op basis van informatie die de entiteiten zelf moeten verstrekken (artikelen 41 en 3, leden 3–4). De nationale implementatie blijft ongelijk: de Commissie stuurde op 7 mei 2025 met redenen omklede adviezen aan 19 lidstaten en verwees op 8 juli 2026 Ierland, Spanje, Frankrijk en Nederland naar het Hof van Justitie omdat zij geen omzettingsmaatregelen hadden meegedeeld. De verplichtingen op richtlijnniveau staan vast; wat per lidstaat verschilt, zijn het tijdstip en de uitwerking van het nationale recht, zodat het toepasselijke nationale regime in elk land waar u actief bent moet worden gecontroleerd.

Ontvang een e-mail zodra hier iets verandert. Geen account nodig; bevestigen per e-mail (double opt-in).