Cyberbeveiligingswet voor de vervoerssector
De Cyberbeveiligingswet (Cbw) is op 15 augustus 2026 in werking getreden - de Nederlandse implementatie van de Europese NIS2-richtlijn. Deze richtlijn heeft tot doel om een hoog gemeenschappelijk niveau van cyberbeveiliging in de Europese Unie te bereiken binnen sectoren die worden gezien als essentieel voor de maatschappij. Daarbij horen ook verschillende sectoren gerelateerd aan vervoer, waaronder luchtvaartmaatschappijen en spoorwegondernemingen.
De wet bevat verplichtingen rond informatiebeveiliging en incidentmelding. Specifieke regels voor vervoer op dit vlak zijn uitgewerkt in een ministeriële regeling. De Cbw introduceert daarnaast een stelsel van bestuurdersverantwoordelijkheid, ketenverantwoordelijkheid en actief toezicht dat cyberveiligheid definitief tot een onderwerp voor de bestuurskamer maakt.
In dit artikel bespreken wij de belangrijkste onderdelen van het nieuwe kader, specifiek voor de vervoerssector.
Toepassingsbereik
Verschillende sectoren binnen de vervoersector vallen binnen het bereik van de Cbw. De wet werkt in de meeste gevallen met omvangscriteria, waardoor middelgrote en grote ondernemingen automatisch binnen het toepassingsbereik kunnen vallen. Organisaties die binnen het toepassingsbereik vallen, zijn verplicht zich bij het Nationaal Cyber Security Centrum (NCSC) te registreren.
Nadat toepassing van de wet is vastgesteld, dient te worden bepaald welk toezichtregime geldt. De Cbw maakt namelijk onderscheid tussen essentiële en belangrijke entiteiten. Voor essentiële entiteiten geldt in de regel een proactiever toezichtregime. Toezichthouders kunnen daar onder meer controles en onderzoeken uitvoeren zonder dat eerst een overtreding hoeft te worden vastgesteld. Voor belangrijke entiteiten bestaat het toezicht meer uit reactieve handhaving, waarbij toezichtmaatregelen vaak volgen naar aanleiding van signalen of incidenten.
Sectoroverzicht en omvangscriteria
Gelaagdheid in de regelgeving
Het juridisch kader bestaat uit verschillende lagen. Aan de basis staat de Europese NIS2-richtlijn. Deze richtlijn bevat de uitgangspunten voor cyberrisicobeheer, incidentmeldingen, toezicht, handhaving en bestuurdersverantwoordelijkheid.
Nederland heeft deze verplichtingen geïmplementeerd in de Cbw. De wet bevat de ruim omschreven kernverplichtingen en legt de bevoegdheden van toezichthouders vast.
Daaronder bevindt zich het Cyberbeveiligingsbesluit (Cbb). Het besluit werkt verschillende wettelijke verplichtingen verder uit. Denk aan onderdelen van de zorgplicht, registratievereisten, opleidingsverplichtingen voor bestuurders en de systematiek rond meldingen.
De meest gedetailleerde normen zijn vervolgens opgenomen in Ministeriële regelingen. Voor de vervoersector is dit de Cyberbeveiligingsregeling IenW. Deze regeling is vastgesteld door de Minister van Infrastructuur en Waterstaat en bevat sectorspecifieke voorschriften voor zowel de zorgplicht als de meldplichtdrempels.
Zorgplicht voor informatiebeveiliging
De voornaamste verplichting uit de Cbw is de zorgplicht ten aanzien van cyberveiligheid. De wet verplicht organisaties passende en evenredige technische, operationele en organisatorische maatregelen te nemen om risico's voor netwerk- en informatiesystemen te beheersen.
Het Cbb concretiseert deze verplichting verder door categorieën van maatregelen te benoemen die ten minste dienen te worden geïmplementeerd, waaronder incidentmanagement, bedrijfscontinuïteit, back-upvoorzieningen, crisismanagement, supply chain security, toegangsbeheer, authenticatie en beveiligingsbewustzijn.
De Cyberbeveiligingsregeling IenW gaat vervolgens nog specifieker in op de informatiebeveiligingseisen die gelden voor de vervoerssector. De regeling bevat onder meer de volgende aanvullende eisen:
- entiteiten moeten hun monitoring, meting, analyse en evaluatie van cyberbeveiligingsrisicobeheersmaatregelen documenteren als onderdeel van hun managementsysteem;
- gedetailleerde eisen aan bedrijfscontinuïteitsplannen en back-upprocedures, waaronder hersteltijden, herstelpunten, integriteit/vertrouwelijkheid/beschikbaarheid van back-ups en bewaartermijnen;
- beveiligingseisen bij verwerving, ontwikkeling en onderhoud, waaronder beveiligingstesten, beveiligingspatchbeheer, kwetsbaarheidsscans en netwerksegmentatie; en
- het toegangsbeleid moet specifiek betrekking hebben op bevoorrechte accounts en systeembeheeraccounts.
Anders dan in de zorgsector, kent de vervoerssector geen voorgeschreven sectorspecifiek normenkader zoals NEN 7510. De Cyberbeveiligingsregeling IenW schrijft geen specifiek normenkader voor, maar stelt in plaats daarvan gedetailleerde procedurele eisen. Entiteiten kunnen hun eigen normenkader hanteren (bijvoorbeeld ISO 27001 of IEC 62443 voor OT-systemen), mits de vereisten uit de Cbw daarmee worden gedekt.
Het toepassingsbereik van de Cbw is breder dan veel bestaande sectorale regelgeving. De zorgplicht geldt voor alle netwerk- en informatiesystemen die een organisatie gebruikt. Het gaat dus niet alleen om operationele systemen voor verkeersbeheersing of logistiek, maar bijvoorbeeld ook over systemen waarin personeelsgegevens worden bewaard of financiële administratie wordt gevoerd.
De vervoerssector is sterk afhankelijk van operationele technologie (OT), denk aan verkeersbegeleidingssystemen, seininstallaties en brug- en sluisbediening. De Cbw maakt geen formeel onderscheid tussen IT en OT: de zorgplicht geldt voor alle netwerk- en informatiesystemen.
OT-beveiliging vergt echter een andere benadering, daarom houdt de Cyberbeveiligingsregeling IenW hier rekening mee. Bij het toepassen van beveiligingspatches op OT-systemen mogen continuïteit van dienstverlening en de verouderde aard van industriële componenten worden meegewogen. Dit betekent dat een patch mag worden uitgesteld tot een ingepland onderhoudsmoment, mits dit wordt gemotiveerd en gedocumenteerd.
Sectorale drempels voor meldplichtige incidenten
Ook de meldplicht kent dezelfde gelaagde structuur. In de Cbw is bepaald dat significante incidenten moeten worden gemeld aan de bevoegde autoriteiten, het aangewezen Computer Security Incident Response Team (CSIRT) en (in gevallen) ontvangers van de diensten. De wet schrijft daarbij voor dat meldingen gefaseerd plaatsvinden via een vroegtijdige waarschuwing, een incidentmelding en een eindrapport.
Belangrijk is dat volgens de Cbw niet alleen sprake is van een significant incident als dat incident de in de voornoemde criteria omschreven gevolgen heeft, maar ook als er een reële kans is dat een incident die gevolgen kan veroorzaken. Het risico op een bepaald gevolg kan dus voldoende zijn om te leiden tot een meldplicht, ook als dat risico zich nog niet heeft verwezenlijkt.
De vraag wanneer sprake is van een "significant incident" wordt echter niet uitsluitend in de wet zelf beantwoord.
Het Cbb bevat algemene criteria om te bepalen wanneer een incident als significant kwalificeert. Daarbij wordt onder meer gekeken naar het aantal getroffen gebruikers of afnemers van de dienst, de duur van het incident, de geografische spreiding van de verstoring, de mate waarin de continuïteit van de dienstverlening is aangetast en de omvang van de economische of maatschappelijke gevolgen. Vervolgens geven ministeriële regelingen per sector nadere invulling aan deze criteria.
De Cyberbeveiligingsregeling IenW stelt per deelsector binnen het vervoer specifieke drempels vast. Geplande dienstonderbrekingen en gepland onderhoud tellen niet als significant incident.
Luchtvaart
| Subcategorie | Drempel |
|---|---|
| Luchthavenbeheerders | Opschaling naar hoogste crisisbeheersingsstructuur |
| Logistiek dienstverlener vliegtuigbrandstoffen | ≥ 1 uur geen levering |
| Luchtverkeersleidingsdiensten | Hoogste codering of potentieel-incident-codering |
| Luchtvaartmaatschappijen en overige | ≥ 20% vluchtuitval gedurende ≥ 12 uur, of verwachting hiervan |
Spoor
| Subcategorie | Drempel |
|---|---|
| Infrastructuurbeheerder | Personenvervoer ≥ 4 uur gestremd Goederenvervoer ≥ 12 uur |
| Personenvervoerder | Uitval ≥ 4 uur en ≥ 100.000 reizigers getroffen |
| Goederenvervoerder | Dienstverlening ≥ 12 uur gestaakt |
Water
| Subcategorie | Drempel |
|---|---|
| Haventoegang/nautische diensten | ≥ 12 uur niet beschikbaar |
| Overslag in haven | ≥ 12 uur niet beschikbaar |
| Transport maritiem achterland hoofdvaarwegennet | ≥ 24 uur niet beschikbaar |
Weg
| Subcategorie | Drempel |
|---|---|
| Wegbeheerders trans-Europees vervoersnetwerk | Weg ≥ 12 uur niet beschikbaar |
| Wegbeheerders hoofdwegennet/onderliggend | Weg ≥ 24 uur niet beschikbaar |
| ITS-dataverstrekkers | Dienst ≥ 4 uur niet beschikbaar |
| ITS-dienstverleners | Dienst ≥ 8 uur niet beschikbaar |
| RDW | Essentiële dienst ≥ 4 uur niet beschikbaar |
Openbaar vervoer
| Subcategorie | Drempel |
|---|---|
| Personenvervoer | Uitval ≥ 4 uur en ≥ 100.000 reizigers getroffen |
Bestuurdersverantwoordelijkheid en -aansprakelijkheid
Een belangrijke verandering ten opzichte van het eerdere wettelijke kader is de rol van bestuurders. Waar cybersecurity voorheen vaak werd gezien als een aangelegenheid van IT-afdelingen en securityteams, legt de Cbw expliciet verantwoordelijkheden neer bij het hoogste leidinggevende orgaan van de organisatie.
De Cbw legt de volgende verplichtingen neer bij bestuurders:
- goedkeuring van de cyberrisicobeheersmaatregelen van de organisatie;
- actief toezicht op de uitvoering en naleving van deze maatregelen;
- het beschikken over voldoende kennis en deskundigheid om cyberrisico’s te begrijpen en te beoordelen; en
- het volgen van passende opleiding en training op het gebied van cyberveiligheid.
Concreet betekent dit dat bestuurders die deze verplichtingen niet nakomen persoonlijk aansprakelijk kunnen worden gesteld. Toezichthouders kunnen bestuurders onder omstandigheden tijdelijk schorsen in hun functie. Daarnaast zullen toezichthouders bij controles steeds vaker beoordelen of besluiten rondom cyberrisico's aantoonbaar op bestuursniveau zijn besproken, vastgelegd en geëvalueerd. Het ontbreken van adequate documentatie hierover kan leiden tot handhavingsmaatregelen.
Leveranciersketen onderdeel van compliance
In de Cbw is veel aandacht voor de toeleveringsketen. De wet gaat ervan uit dat cyberrisico's zich niet beperken tot de eigen systemen van een organisatie. Cloudproviders, SaaS-leveranciers, managed service providers en andere leveranciers maken integraal onderdeel uit van het risicoprofiel van de onderneming.
De wet verlangt dat organisaties ook rekening houden met risico's die voortvloeien uit leveranciersrelaties en afhankelijkheden binnen de keten.
In de praktijk betekent dit dat cyberbeveiliging steeds vaker een contractueel vraagstuk wordt. Organisaties zullen in overeenkomsten met leveranciers onder meer afspraken moeten vastleggen over: beveiligingsnormen en certificeringen waaraan de leverancier moet voldoen, meldverplichtingen bij incidenten die de afnemer raken, medewerking aan audits en controles door de afnemer of diens toezichthouder, continuïteits- en exitregelingen bij beëindiging van de dienstverlening, en aansprakelijkheidsregelingen voor schade als gevolg van beveiligingsincidenten. Organisaties moeten kunnen aantonen dat zij niet alleen hun eigen beveiliging, maar ook die van kritieke leveranciers adequaat hebben beoordeeld.
Voor de vervoerssector is ketenbeveiliging bijzonder relevant vanwege de sterke afhankelijkheid van OT-leveranciers, systeemleveranciers voor verkeersbegeleidingssystemen, signaleringssystemen, en aanbieders van logistieke en operationele platforms. Het uitvallen van een kritieke leverancier kan directe gevolgen hebben voor de continuïteit van het vervoer.
Toezicht
De ILT (Inspectie Leefomgeving en Transport) is aangewezen als bevoegde autoriteit en toezichthouder voor de vervoerssector. De ILT hield al toezicht op veiligheid in de vervoerssector. Die taak wordt nu uitgebreid: de ILT gaat toezicht houden op de naleving van de verplichtingen uit de Cbw voor alle entiteiten in de vervoerssector die daaronder vallen, en krijgt daarbij het volledige Cbw-handhavingsinstrumentarium tot haar beschikking.
Dit betekent onder meer dat de ILT bij essentiële entiteiten proactief onderzoeken kan starten, en de naleving van de Cbw door belangrijke entiteiten kan onderzoeken bij signalen of vermoedens van een overtreding.
De boetebedragen bij overtreding van de zorgplicht of meldplicht zijn voor essentiële entiteiten maximaal €10 miljoen of 2% van de wereldwijde jaaromzet, en voor belangrijke entiteiten ligt het maximum op €7 miljoen of 1,4% van de wereldwijde jaaromzet. Daarnaast kunnen bestuursleden een bestuurlijke boete van €25.000 opgelegd krijgen, als ze de op hen rustende verplichtingen niet naleven.
Meer informatie of advies
Wilt u meer weten of van gedachten wisselen over de Cyberbeveiligingswet en de nieuwe kaders voor informatiebeveiliging, meldplichten en bestuurdersaansprakelijkheid? Neem dan contact met ons op, wij gaan graag met u in gesprek.
