NIS2 · Sector vervoer

NIS2 voor de vervoerssector

Wat de Cyberbeveiligingswet betekent voor luchtvaart, spoor, scheepvaart, weg en ov

Treinen, vliegtuigen, schepen en bussen draaien op software. Liggen de systemen stil, dan staan reizigers en goederen stil. Daarom valt vervoer sinds 15 augustus 2026 onder de Cyberbeveiligingswet. Hier leest u wat dat voor uw organisatie betekent.

Vervoer in het kort

Sector

Bijlage 1: zeer kritiek

Meestal

Essentieel of belangrijk

Toezichthouder

Inspectie Leefomgeving en Transport (ILT)

Melden

NCSC via mijn.ncsc.nl

Welke vervoerders vallen onder NIS2?

De sector vervoer is opgedeeld in deelsectoren. Organisaties daarin vallen onder de wet als zij middelgroot of groot zijn.

Luchtvaart: luchtvaartmaatschappijen, luchthavens en luchtverkeersleiding
Spoor: spoorbeheerders en spoorwegondernemingen
Scheepvaart: rederijen, havenbeheerders, havenfaciliteiten en verkeersbegeleiding
Wegvervoer: wegbeheerders en aanbieders van intelligente vervoerssystemen
Openbaar vervoer: in Nederland een aparte deelsector met eigen meldingsdrempels

Twijfelt u? Doe de gratis check →

Goed om te weten

Omvang
U valt eronder vanaf 50 medewerkers, of met een jaaromzet én balanstotaal boven € 10 miljoen. Vanaf 250 medewerkers, of met een jaaromzet boven € 50 miljoen én een balanstotaal boven € 43 miljoen, bent u groot.

Goederenvervoer over de weg
Een transportbedrijf dat alleen goederen over de weg vervoert, staat niet in de sectorlijst. Wel kunt u eisen krijgen van klanten die wel onder de wet vallen.

Drempel voor het ov
Een incident in het openbaar vervoer is significant als het personenvervoer vier uur of langer uitvalt en daarbij 100.000 reizigers of meer worden getroffen.

Kritieke entiteit?
Bent u aangewezen als kritieke entiteit onder de Wet weerbaarheid kritieke entiteiten (Wwke)? Dan bent u automatisch essentieel onder de Cbw.

Waarom vervoer een doelwit is

In vervoer is elke minuut stilstand direct zichtbaar, voor reizigers en voor de hele logistieke keten.

Operationele systemen

Dienstregeling, verkeersleiding, bagage en havenlogistiek draaien op systemen die niet zomaar uit kunnen.

Veel partijen in de keten

Vervoerders, terminals, expediteurs en systeemleveranciers delen continu data. Een zwakke schakel raakt iedereen.

Direct maatschappelijke impact

Uitval raakt meteen duizenden reizigers of vertraagt goederenstromen door heel Europa.

Uit de praktijk

NotPetya bij APM Terminals Rotterdam, 2017

In juni 2017 raakte de NotPetya malware wereldwijd containerbedrijf Maersk. Ook de terminals van dochter APM Terminals op de Maasvlakte lagen dagen stil. De besmetting kwam binnen via een update van een Oekraïens boekhoudpakket.

Wat de wet van vervoerders vraagt

De vier kernverplichtingen. De ministeriële regeling van Infrastructuur en Waterstaat werkt ze uit per deelsector.

Zorgplicht

U neemt passende maatregelen op basis van een risicobeoordeling. Neem daarin ook uw operationele systemen en uw ketenpartners mee.
Lees meer over de zorgplicht →

Meldplicht

Een significant incident meldt u binnen 24 uur via het portaal van het NCSC (mijn.ncsc.nl). Binnen 72 uur volgt een uitgebreidere melding en binnen een maand een eindverslag. Per deelsector staan drempels in de ministeriële regeling. De melding gaat door naar de ILT.
Lees meer over de meldplicht →

Registreren in het entiteitenregister

U registreert uw organisatie via mijn.ncsc.nl en houdt de gegevens actueel.
Lees meer over de registratieplicht →

Verantwoordelijkheid van het bestuur

Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt verplicht een cybertraining. Bestuurders kunnen persoonlijk worden aangesproken.
Lees meer over toezicht →

Samenhang met andere regels

Voor vervoer gelden al veel veiligheidsregels. Stem die af met uw Cbw-aanpak om dubbel werk te voorkomen.

Wet weerbaarheid kritieke entiteiten

Richt zich op fysieke weerbaarheid. Kritieke entiteiten in vervoer zijn automatisch essentieel onder de Cbw.

Sectorregels luchtvaart en havens

Voor luchtvaart en havens gelden ook Europese beveiligingsregels. Combineer die met de Cbw in één stelsel.

ISO 27001 en IEC 62443

ISO 27001 voor de organisatie, IEC 62443 voor de beveiliging van operationele en besturingssystemen.

Zo pakt u NIS2 aan in vervoer

Vier stappen om grip te krijgen, zonder dat het een papieren exercitie wordt.

Stel vast of u eronder valt

Bepaal uw deelsector en omvang, inclusief concern.

Registreer bij het NCSC

Leg uw gegevens vast in het entiteitenregister via mijn.ncsc.nl.

Breng de keten in kaart

Welke systemen en partners zijn kritiek voor uw dienstverlening? Beoordeel de risico’s.

Ken uw meldingsdrempels

Leg vast wanneer een storing significant is en wie binnen 24 uur meldt.

Bekijk ook andere sectoren

Houd uw organisatie in beweging

Wij helpen vervoerders NIS2 praktisch in te richten, van risicoanalyse tot meldproces.