Cyberbeveiligingswet
NIS2 is sinds 15 augustus Nederlandse wet: wat betekent de Cyberbeveiligingswet voor transport en logistiek?
Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht in Nederland. Daarmee is de Europese NIS2-richtlijn omgezet in Nederlandse wetgeving. Voor ruim 8.000 organisaties gelden vanaf dat moment nieuwe verplichtingen op het gebied van digitale weerbaarheid. De sector vervoer valt expliciet binnen het toepassingsgebied.
Voor transport- en logistieke bedrijven gaat dit over veel meer dan antivirussoftware, sterke wachtwoorden of de beveiliging van kantoorcomputers.
Als één schakel uitvalt, kan dat direct gevolgen hebben voor de operatie. De relevante vraag is daarom niet alleen: is onze IT goed beveiligd?
Maar vooral: welke digitale systemen en koppelingen zijn noodzakelijk om onze logistieke operatie draaiende te houden, en wat gebeurt er als één daarvan wegvalt?
Snelle navigatie:
- Wat is er op 15 augustus 2026 veranderd?
- Welke verplichtingen brengt de Cyberbeveiligingswet mee?
- Begin met het digitale landschap van de logistieke operatie
- TMS en WMS: wat gebeurt er wanneer een systeem uitvalt?
- EDI- en API-koppelingen verdienen afzonderlijke aandacht
- Vergeet boordcomputers, scanners en mobiele apparaten niet
- Ook logistieke softwareleveranciers kunnen indirect met NIS2 te maken krijgen
- Wat kunnen logistieke organisaties nu doen?
- Conclusie
Medeoprichter en directeur van Adaption, expert in logistieke software en procesdigitalisering
Wat is er op 15 augustus 2026 veranderd?
De Cyberbeveiligingswet, afgekort Cbw, implementeert de Europese NIS2-richtlijn in Nederland en vervangt de eerdere Wet beveiliging netwerk- en informatiesystemen. De Eerste Kamer stemde op 7 juli 2026 in met de wet. Sinds 15 augustus 2026 gelden de nieuwe verplichtingen daadwerkelijk. Organisaties moeten zelf bepalen of zij binnen het toepassingsgebied van de Cyberbeveiligingswet vallen. De wet richt zich op essentiële en belangrijke organisaties binnen achttien sectoren. Vervoer is daar één van.
Of een individueel transport- of logistiek bedrijf daadwerkelijk onder de wet valt, hangt onder andere af van het soort activiteit en de omvang van de organisatie. Alleen zeggen dat je actief bent in logistiek is dus niet voldoende om te bepalen of de wet van toepassing is. Het NCSC heeft hiervoor een zelfevaluatie beschikbaar. Voor veel organisaties is dat de logische eerste stap.
Welke verplichtingen brengt de Cyberbeveiligingswet mee?
Organisaties die onder de Cyberbeveiligingswet vallen, krijgen in de kern met drie verplichtingen te maken:
- registratieplicht;
- zorgplicht;
- meldplicht bij significante incidenten.
Daarnaast wordt toezicht gehouden op de naleving.
Voor logistieke bedrijven wordt vooral de zorgplicht interessant. De wet verlangt namelijk niet alleen dat losse systemen worden beveiligd. Organisaties moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen om de risico’s voor hun netwerk- en informatiesystemen te beheersen.
Dat begint met begrijpen waar de operationele afhankelijkheden zitten.
Begin met het digitale landschap van de logistieke operatie
Voor veel logistieke organisaties is het IT-landschap in de loop der jaren steeds uitgebreider geworden. Een transportbedrijf heeft bijvoorbeeld niet alleen een TMS. Het TMS is gekoppeld met verschillende andere systemen. Denk aan:
- een ERP- of financieel systeem;
- WMS;
- boordcomputers;
- chauffeursapps;
- klantportalen;
- EDI-verbindingen;
- API-koppelingen;
- routeplanning;
- telematica;
- documentmanagement;
- douanesystemen;
- systemen van opdrachtgevers en vervoerders.
Juist de verbinding tussen die systemen is belangrijk.
Wanneer het TMS beschikbaar blijft, maar de EDI-koppeling waarmee honderden transportopdrachten per dag binnenkomen uitvalt, kan het primaire proces alsnog worden geraakt. Voor NIS2 is het daarom te beperkt om alleen een lijst te maken van gebruikte software. Breng ook de digitale afhankelijkheden tussen systemen in kaart.
TMS en WMS: wat gebeurt er wanneer een kernsysteem uitvalt?
Een TMS of WMS is bij veel logistieke organisaties onderdeel van het primaire bedrijfsproces. Wanneer een TMS uitvalt, kan dit bijvoorbeeld betekenen dat:
- planners geen transportopdrachten kunnen verwerken;
- ritten niet kunnen worden aangepast;
- chauffeurs geen nieuwe opdrachten ontvangen;
- transportdocumenten niet beschikbaar zijn;
- statussen niet naar klanten worden teruggekoppeld.
Bij een WMS kan uitval ertoe leiden dat medewerkers niet weten waar goederen staan, welke batches beschikbaar zijn of welke orders moeten worden gepickt. De risicoanalyse die vanuit de Cyberbeveiligingswet wordt gevraagd, moet daarom niet alleen kijken naar de kans op een cyberincident. De operationele impact is minstens zo belangrijk. Stel bijvoorbeeld vragen als:
- Hoe lang kunnen we zonder het TMS werken?
- Kunnen orders tijdelijk handmatig worden verwerkt?
- Is de informatie daarvoor beschikbaar buiten het systeem?
- Wat gebeurt er met het warehouse als de koppeling tussen ERP en WMS wegvalt?
- Hoe snel kan een back-up worden teruggezet?
- Wie beslist welke processen als eerste worden hersteld?
EDI- en API-koppelingen verdienen afzonderlijke aandacht
EDI en API’s maken logistieke processen efficiënter, maar vergroten tegelijkertijd de digitale afhankelijkheid tussen organisaties. Een verlader stuurt automatisch een transportopdracht. Het TMS verwerkt deze. Vervolgens worden transportstatussen teruggestuurd en ontvangt het financiële systeem gegevens voor facturatie. Wanneer zo’n verbinding wordt misbruikt, kan een incident zich bovendien over organisaties heen bewegen. Daarom zijn vragen rond toegangsbeheer en authenticatie relevant:
- Welke externe partijen mogen gegevens versturen?
- Welke API-credentials bestaan er?
- Wanneer zijn deze voor het laatst gewijzigd?
- Welke koppelingen worden nog daadwerkelijk gebruikt?
- Wordt afwijkend verkeer gedetecteerd?
- Wat gebeurt er wanneer een externe koppeling wordt gecompromitteerd?
Oude koppelingen vormen daarbij een aandachtspunt. In logistieke omgevingen bestaan integraties soms jarenlang omdat een klant of partner dezelfde berichtenstructuur blijft gebruiken.
Een goed overzicht van interfaces en toegangsrechten is daarom onderdeel van goed risicomanagement.
Vergeet boordcomputers, scanners en mobiele apparaten niet
Netwerk- en informatiesystemen staan niet alleen in een serverruimte. In logistiek bevinden digitale toegangspunten zich overal in de operatie. Denk aan: boordcomputers in vrachtwagens; smartphones van chauffeurs; handscanners in het magazijn; tablets; terminals op laad- en loslocaties; mobiele printers.
Een verloren scanner of telefoon lijkt misschien een klein incident. Maar wanneer een apparaat rechtstreeks toegang heeft tot operationele systemen, wordt toegangsbeheer belangrijk.
Controleer daarom bijvoorbeeld of medewerkers alleen toegang hebben tot informatie die zij nodig hebben, of accounts direct worden afgesloten wanneer iemand uit dienst gaat en of apparaten op afstand kunnen worden geblokkeerd.
De Cyberbeveiligingswet noemt naast systeembeveiliging ook toegangsbeheer, assetmanagement en beveiliging van personeel als onderdelen van de zorgplicht.
Ook logistieke softwareleveranciers kunnen indirect met NIS2 te maken krijgen
Niet ieder IT-bedrijf valt zelf rechtstreeks onder de Cyberbeveiligingswet. Toch kan NIS2 ook gevolgen hebben voor leveranciers die buiten het directe toepassingsgebied vallen. Wanneer een softwareleverancier diensten levert aan een organisatie die wél onder de Cyberbeveiligingswet valt en toegang heeft tot kritieke netwerk- of informatiesystemen, kan die klant strengere beveiligingseisen stellen.
Het NCSC noemt expliciet dat Cbw-organisaties cybersecuritymaatregelen kunnen verlangen van hun rechtstreekse leveranciers en dienstverleners. Hierdoor kan NIS2 zich verder door de logistieke keten verspreiden.
Een vervoerder kan eisen krijgen van een grote opdrachtgever. Een logistiek bedrijf kan aanvullende eisen stellen aan zijn softwareleverancier. Die softwareleverancier kan vervolgens strengere afspraken maken met zijn hostingpartij. Ketenbeveiliging wordt daarmee letterlijk een ketenvraagstuk.
Wat kunnen logistieke organisaties nu doen?
Voor organisaties die onder de Cyberbeveiligingswet vallen, geldt deze sinds 15 augustus 2026. De voorbereiding is daarmee geen toekomstig project meer. Een praktische eerste inventarisatie kan bestaan uit vijf stappen:
- Controleer of de organisatie onder de Cyberbeveiligingswet valt.
Gebruik hiervoor de informatie en zelfevaluatie van het NCSC en de Rijksinspectie Digitale Infrastructuur. - Breng kritieke systemen en koppelingen in kaart.
Inventariseer TMS, WMS, ERP, klantportalen, EDI, API’s, boordcomputers en overige operationele systemen. - Leg afhankelijkheden vast.
Bepaal welke processen stilvallen wanneer een systeem, koppeling of externe dienst niet beschikbaar is. - Inventariseer kritieke leveranciers.
Controleer welke IT-partners toegang hebben tot systemen of noodzakelijk zijn voor de continuïteit van de operatie. - Test incidentrespons en herstel.
Een back-up hebben is iets anders dan kunnen herstellen. Test hoe snel essentiële logistieke processen na een incident daadwerkelijk kunnen worden hervat.
Conclusie: NIS2 maakt het complete logistieke IT-landschap relevant
De Cyberbeveiligingswet maakt cybersecurity voor transport- en logistieke bedrijven veel concreter. Het gaat niet alleen om de beveiliging van een server of laptop. Een logistieke operatie bestaat inmiddels uit een netwerk van TMS, WMS, ERP, EDI, API’s, mobiele apparaten, boordcomputers, klantportalen en externe IT-leveranciers. Juist die onderlinge afhankelijkheid verdient aandacht.
Een organisatie kan haar eigen TMS uitstekend beveiligen, maar alsnog stilvallen wanneer een cruciale koppeling, leverancier of extern platform uitvalt.
De belangrijkste stap is daarom om het logistieke softwarelandschap niet alleen technisch, maar procesmatig in kaart te brengen: welke systemen zijn essentieel, wie heeft toegang, waarvan zijn ze afhankelijk en hoe blijft de operatie functioneren wanneer één schakel wegvalt?
Sinds 15 augustus 2026 is dat voor organisaties die onder de Cyberbeveiligingswet vallen niet alleen goed risicomanagement. Het is onderdeel van de wettelijke verantwoordelijkheid voor digitale weerbaarheid.
Bronnen en achtergrond
- Rijksoverheid, Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf vandaag van kracht, 15 augustus 2026. Rijksoverheid, inwerkingtreding Cyberbeveiligingswet
- Nationaal Cyber Security Centrum, Cyberbeveiligingswet (NIS2). NCSC, Cyberbeveiligingswet NIS2
- Nationaal Cyber Security Centrum, Valt mijn organisatie onder de Cyberbeveiligingswet? NCSC, toepassingsbereik Cyberbeveiligingswet
- Nationaal Cyber Security Centrum, Zorgplicht. NCSC, zorgplicht Cyberbeveiligingswet
- Nationaal Cyber Security Centrum, Meld incidenten onder de Cyberbeveiligingswet. NCSC, meldplicht Cyberbeveiligingswet
- Nationaal Cyber Security Centrum, De Cyberbeveiligingswet en toeleveranciers. NCSC, NIS2 en toeleveranciers