Voor post- en koeriersdiensten geldt NIS2 rechtstreeks: zij zijn vanaf 50 medewerkers belangrijke entiteit. Garages, taxibedrijven, verhuizers en verhuurbedrijven krijgen de eisen via hun opdrachtgevers. ClickOn, managed service provider (MSP) voor het MKB en zelf ISO 27001-gecertificeerd sinds 2021, levert compliant werkplekbeheer dat de NIS2-maatregelen standaard ingebouwd heeft.
Valt transport onder NIS2?
Post- en koeriersdiensten vallen rechtstreeks onder NIS2 en zijn vanaf 50 medewerkers belangrijke entiteit. Wegtransport valt er niet onder: de categorie vervoer in bijlage 1 betreft wegenautoriteiten en exploitanten van intelligente transportsystemen, niet de vervoerder zelf. De plicht ontstaat alleen indirect, via de opdrachtgever.
De keten is de route waarlangs NIS2 wel binnenkomt. Opdrachtgevers die zelf onder NIS2 vallen, moeten hun toeleveringsketen beheersen en leggen hun beveiligingseisen daarom contractueel door aan de bedrijven die voor hen werken. Dat gebeurt in deze situaties:
- Post- en koeriersdiensten staan in bijlage 2. Vanaf 50 medewerkers of meer dan 10 miljoen euro jaaromzet en balanstotaal, ben je belangrijke entiteit met een eigen zorgplicht, meldplicht en registratieplicht (Cyberbeveiligingswet, 2026).
- Wegtransport staat er niet in. De categorie vervoer in bijlage 1 gaat over wegenautoriteiten en exploitanten van intelligente transportsystemen, niet over de vervoerder zelf. Een transportbedrijf valt er dus niet rechtstreeks onder, hoe groot het ook is.
- Expeditie en logistieke dienstverlening zitten ertussenin. Voer je koeriers- of pakketactiviteiten uit, dan raak je bijlage 2. Doe je uitsluitend expeditie, dus bevrachting, opslag of douaneafhandeling, dan loopt het via de keten.
- Garages, taxi, verhuizing en verhuur komen altijd via de opdrachtgever binnen.
De keten is voor deze categorie geen bijzaak. Verladers en retailketens die zelf onder de wet vallen, moeten hun toeleveringsketen beheersen en een vervoerder die stilvalt raakt hun continuïteit direct. Dat risico is niet theoretisch: ongeveer 40 procent van de bedrijven in transport en logistiek heeft al eens te maken gehad met een cyberaanval (TLN, 2022).
Wat de Cyberbeveiligingswet verandert
Wat NIS2-plichtige opdrachtgevers van je eisen
NIS2-plichtige opdrachtgevers eisen van transport en logistiek aantoonbare beveiligingsmaatregelen, meestal als beveiligingsvragenlijst bij een aanbesteding of contractverlenging. De vragen komen telkens op hetzelfde neer:
- Multifactorauthenticatie (MFA) op alle accounts, ook voor uitvoerend personeel.
- Geteste back-ups van projectdata, calculaties en administratie, met een hersteltermijn.
- Tijdige updates en patching van werkplekken, servers en software.
- Toegangsbeheer: wie kan bij tekeningen, contracten en persoonsgegevens en wordt toegang ingetrokken bij uitdiensttreding.
- Incidentafspraken: bij wie meld je een hack of datalek en hoe snel.
- Steeds vaker een certificaat zoals ISO 27001 of in het MKB de NIS2 Supply Chain-certificering, als bewijs dat de maatregelen structureel geborgd zijn.
Een niet-ingevulde vragenlijst is genoeg om een bieding terzijde te laten leggen. Opdrachtgevers lopen zelf boete- en aansprakelijkheidsrisico onder NIS2, met boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten (NIS2-richtlijn, 2022). Dat risico nemen ze niet over van een leverancier die het bewijs niet heeft.
De ICT van een transport- of logistiekbedrijf en waar NIS2 die raakt
ClickOn beheert de digitale werkplek: Microsoft 365, de apparaten die eraan hangen en de accounts die erop inloggen. Dat is het deel van je ICT waar de beveiligingsvragenlijst van een opdrachtgever vrijwel volledig over gaat. Het transport management systeem, de boordcomputers en de techniek in het voertuig vallen erbuiten en dat staat hieronder net zo expliciet.
| Wat je gebruikt | Waar de eis op landt | ClickOn |
|---|---|---|
| Microsoft 365: mail, planning en de gedeelde postbussen | Orders, vrachtbrieven en tariefafspraken lopen hier langs. Een gekaapte planningsmailbox is de goedkoopste manier om een lading op het verkeerde adres te krijgen. | Beheerd |
| Laptops en telefoons van planners en chauffeurs | Ritgegevens, laadadressen en klantcontacten gaan mee de weg op. | Beheerd |
| Accounts van vast personeel, uitzendkrachten en charters | Charters en uitzendkrachten krijgen tijdelijk toegang tot planning en ritinformatie. Intrekken bij vertrek is een vaste vraag in elke vragenlijst. | Beheerd |
| EDI- en portaalkoppelingen met verladers | De opdrachtgever kijkt hier het scherpst mee: via deze koppeling zit jij in zijn keten. De koppeling zelf ligt bij de leverancier, de inloggegevens en de werkplek eromheen bij jou. | Buiten scope, toegang wel beheerd |
| Transport management systeem, WMS en scanners | De kernregistratie van ritten, voorraad en zendingen. Applicatiebeveiliging bij de leverancier, identiteits- en toegangsbeheer bij jou. | Buiten scope, toegang wel beheerd |
| Boordcomputers, telematica en voertuigtechniek | Operationele techniek in het voertuig, met een eigen risicoprofiel en een eigen leverancier. | Buiten scope |
De regel erachter is simpel: alles wat via een Microsoft 365-account bereikbaar is, richt ClickOn in volgens de norm en bewijst het maandelijks. Alles wat een eigen applicatie of installatie is, blijft van jou of van je leverancier, met uitzondering van wie er toegang toe krijgt en vanaf welk apparaat. Dat laatste is in de praktijk de helft van de vragenlijst.
Het ICT-deel van NIS2, aantoonbaar geregeld
Vraagt je opdrachtgever om bewijs? ClickOn richt het ICT-deel van je NIS2-traject in, of beheert je werkplekken met de maatregelen standaard ingebouwd.
Kies je branche binnen voertuigen en transport
- NIS2 voor autobedrijven
- NIS2 voor autogarages
- NIS2 voor autoverhuurbedrijven
- NIS2 voor expeditiebedrijven
- NIS2 voor koeriersdiensten
- NIS2 voor logistiek dienstverleners
- NIS2 voor schadeherstelbedrijven
- NIS2 voor taxibedrijven
- NIS2 voor transportbedrijven
- NIS2 voor verhuisbedrijven
Andere normen die voor transport en logistiek meespelen
Naast de Cyberbeveiligingswet vragen opdrachtgevers en toezichthouders bij transport en logistiek regelmatig naar de normen hieronder. Ze overlappen met de maatregelen op deze pagina, maar hebben elk een eigen grondslag.
ISO 27001
ISO 27001 is de internationale norm voor informatiebeveiliging en het bewijsstuk dat opdrachtgevers het vaakst uitvragen. De norm toont aan dat maatregelen structureel geborgd zijn in plaats van incidenteel geregeld en overlapt grotendeels met de zorgplicht uit de Cyberbeveiligingswet.
AVG
In je administratie zitten persoonsgegevens van klanten, chauffeurs en medewerkers. De AVG verplicht tot passende technische en organisatorische maatregelen en geldt ongeacht de omvang van je bedrijf. De Autoriteit Persoonsgegevens handhaaft bij een datalek als die maatregelen niet aantoonbaar zijn.
Veelgestelde vragen over NIS2 voor transport en logistiek
Valt een transportbedrijf onder NIS2?
Dat hangt af van wat je vervoert en voor wie. Post- en koeriersdiensten staan in bijlage 2 en hebben vanaf 50 medewerkers een eigen zorgplicht. Wegtransport valt buiten de bijlagen: de categorie vervoer in bijlage 1 gaat over wegenautoriteiten en exploitanten van intelligente transportsystemen, niet over de vervoerder zelf.
Activiteit of omvang: waarom valt een grote vervoerder er niet onder en een kleine koeriersdienst wel?
Omdat de bijlagen op activiteit selecteren, niet op omvang. Staat je activiteit er niet in, dan komt de omvangtoets niet aan de orde, hoe groot je ook bent. Staat hij er wel in, dan bepaalt de omvang alleen nog of je belangrijke of essentiële entiteit bent.
Expeditie en koeriersactiviteiten door elkaar: wat geldt er dan?
Voer je koeriers- of pakketactiviteiten uit, dan raak je bijlage 2 en geldt de wet rechtstreeks voor dat deel. Doe je uitsluitend bevrachting, opslag of douaneafhandeling, dan loopt het via de keten van je opdrachtgever.
Waarom kijken verladers zo scherp naar hun vervoerders?
Omdat een vervoerder die stilvalt hun continuïteit direct raakt. Verladers en retailketens die zelf onder de wet vallen moeten hun toeleveringsketen beheersen en zetten die eis door in aanbestedingen en contractverlengingen.
Welk deel van de ICT van een transportbedrijf valt buiten de scope van ClickOn?
Buiten scope vallen het transport management systeem, WMS en scanners, de EDI- en portaalkoppelingen met verladers en de boordcomputers, telematica en voertuigtechniek. Wie op die systemen inlogt en vanaf welk apparaat, beheert ClickOn wel.