Of een expeditiebedrijf onder NIS2 valt, hangt af van de feitelijke activiteiten. Expediteurs die uitsluitend bevrachting, opslag of douaneafhandeling doen, staan niet in de bijlagen en krijgen de eisen via hun opdrachtgever. ClickOn, managed service provider (MSP) voor het MKB en zelf ISO 27001-gecertificeerd sinds 2021, levert compliant werkplekbeheer dat de NIS2-maatregelen standaard ingebouwd heeft.
Vallen expeditiebedrijven onder NIS2?
Of een expeditiebedrijf onder NIS2 valt, hangt af van de feitelijke activiteiten. Expediteurs die koeriers- of pakketactiviteiten uitvoeren, raken bijlage 2 en zijn vanaf 50 medewerkers belangrijke entiteit (Cyberbeveiligingswet, 2026). Doe je dat niet, dan ontstaat de plicht alleen indirect, via de opdrachtgever.
De keten is de route waarlangs NIS2 wel binnenkomt. Opdrachtgevers die zelf onder NIS2 vallen, moeten hun toeleveringsketen beheersen en leggen hun beveiligingseisen daarom contractueel door aan de bedrijven die voor hen werken. Dat gebeurt in deze situaties:
- Voer je koeriers- of pakketactiviteiten uit, dan raak je bijlage 2. Vanaf 50 medewerkers of meer dan 10 miljoen euro jaaromzet en balanstotaal, ben je belangrijke entiteit met een eigen zorgplicht, meldplicht en registratieplicht (Cyberbeveiligingswet, 2026).
- Doe je uitsluitend bevrachting, opslag of douaneafhandeling, dan sta je niet in de bijlagen en loopt het via de keten van je opdrachtgever.
Die grens is geen formaliteit. Val je er rechtstreeks onder, dan meld je incidenten zelf bij het NCSC en registreer je je in het entiteitenregister. Val je eronder via de keten, dan is je opdrachtgever degene die de eisen stelt en toetst. In beide gevallen zijn de gevraagde maatregelen dezelfde; alleen de partij die erom vraagt verschilt.
Wat de Cyberbeveiligingswet verandert
Wat NIS2-plichtige opdrachtgevers van je eisen
NIS2-plichtige opdrachtgevers eisen van expeditiebedrijven aantoonbare beveiligingsmaatregelen, meestal als beveiligingsvragenlijst bij een aanbesteding of contractverlenging. De vragen komen telkens op hetzelfde neer:
- Multifactorauthenticatie (MFA) op alle accounts, ook voor uitvoerend personeel.
- Geteste back-ups van projectdata, calculaties en administratie, met een hersteltermijn.
- Tijdige updates en patching van werkplekken, servers en software.
- Toegangsbeheer: wie kan bij tekeningen, contracten en persoonsgegevens en wordt toegang ingetrokken bij uitdiensttreding.
- Incidentafspraken: bij wie meld je een hack of datalek en hoe snel.
- Steeds vaker een certificaat zoals ISO 27001 of in het MKB de NIS2 Supply Chain-certificering, als bewijs dat de maatregelen structureel geborgd zijn.
Een niet-ingevulde vragenlijst is genoeg om een bieding terzijde te laten leggen. Opdrachtgevers lopen zelf boete- en aansprakelijkheidsrisico onder NIS2, met boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten (NIS2-richtlijn, 2022). Dat risico nemen ze niet over van een leverancier die het bewijs niet heeft.
De ICT van een expeditiebedrijf en waar NIS2 die raakt
ClickOn beheert de digitale werkplek: Microsoft 365, de apparaten die eraan hangen en de accounts die erop inloggen. Dat is het deel van je ICT waar de beveiligingsvragenlijst van een opdrachtgever vrijwel volledig over gaat. Vakapplicaties, werkplaats- en voertuigtechniek vallen erbuiten en dat staat hieronder net zo expliciet.
| Wat je gebruikt | Waar de eis op landt | ClickOn |
|---|---|---|
| Microsoft 365: mail, dossiers en de gedeelde postbussen | Bevrachtingsopdrachten, vrachtbrieven en douanestukken lopen hierlangs. Een gekaapte postbus in de expeditie is genoeg om een zending om te leiden. | Beheerd |
| Laptops en telefoons van expediteurs | Klantdossiers, tarieven en ladinggegevens gaan mee naar huis en naar de terminal. | Beheerd |
| Accounts van vast personeel, uitzendkrachten en agenten in het buitenland | Buitenlandse agenten krijgen toegang tot dossiers en systemen. Wie wat mag zien en hoe dat wordt ingetrokken, is een vaste vraag in elke vragenlijst. | Beheerd |
| EDI- en douanekoppelingen | Aangiften en statusberichten richting Douane en opdrachtgever. De koppeling ligt bij de leverancier, de inloggegevens en de werkplek eromheen bij jou. | Buiten scope, toegang wel beheerd |
| Expeditie- en transport management systeem | De kernregistratie van zendingen, tarieven en documenten. Applicatiebeveiliging bij de leverancier, identiteits- en toegangsbeheer bij jou. | Buiten scope, toegang wel beheerd |
De regel erachter is simpel: alles wat via een Microsoft 365-account bereikbaar is, richt ClickOn in volgens de norm en bewijst het maandelijks. Alles wat een eigen applicatie of installatie is, blijft van jou of van je leverancier, met uitzondering van wie er toegang toe krijgt en vanaf welk apparaat. Dat laatste is in de praktijk de helft van de vragenlijst.
Het ICT-deel van NIS2, aantoonbaar geregeld
Vraagt je opdrachtgever om bewijs? ClickOn richt het ICT-deel van je NIS2-traject in, of beheert je werkplekken met de maatregelen standaard ingebouwd.
NIS2 ook voor andere branches in voertuigen en transport
- NIS2 voor autobedrijven
- NIS2 voor autogarages
- NIS2 voor autoverhuurbedrijven
- NIS2 voor koeriersdiensten
- NIS2 voor logistiek dienstverleners
- NIS2 voor schadeherstelbedrijven
- NIS2 voor taxibedrijven
- NIS2 voor transportbedrijven
- NIS2 voor verhuisbedrijven
Andere normen die voor expeditiebedrijven meespelen
Naast de Cyberbeveiligingswet vragen opdrachtgevers en toezichthouders bij expeditiebedrijven regelmatig naar de normen hieronder. Ze overlappen met de maatregelen op deze pagina, maar hebben elk een eigen grondslag.
ISO 27001
ISO 27001 is de internationale norm voor informatiebeveiliging en het bewijsstuk dat opdrachtgevers het vaakst uitvragen. De norm toont aan dat maatregelen structureel geborgd zijn in plaats van incidenteel geregeld en overlapt grotendeels met de zorgplicht uit de Cyberbeveiligingswet.
AVG
In je administratie zitten persoonsgegevens van klanten, chauffeurs en medewerkers. De AVG verplicht tot passende technische en organisatorische maatregelen en geldt ongeacht de omvang van je bedrijf. De Autoriteit Persoonsgegevens handhaaft bij een datalek als die maatregelen niet aantoonbaar zijn.
Veelgestelde vragen over NIS2 voor expeditiebedrijven
Vallen expeditiebedrijven onder NIS2?
Dat hangt af van je feitelijke activiteiten. Voer je koeriers- of pakketactiviteiten uit, dan raak je bijlage 2 en ben je vanaf 50 medewerkers belangrijke entiteit (Cyberbeveiligingswet, 2026). Doe je uitsluitend bevrachting, opslag of douaneafhandeling, dan sta je niet in de bijlagen en loopt het via de keten van je opdrachtgever.
Wat verandert er als ik er rechtstreeks onder val?
Dan meld je significante incidenten zelf binnen 24 uur bij het NCSC en registreer je je in het entiteitenregister via mijn.ncsc.nl (NCSC, 2026). Val je eronder via de keten, dan is je opdrachtgever degene die de eisen stelt en toetst. De gevraagde maatregelen zijn in beide gevallen dezelfde.
Waarom is de mailbox bij expeditie extra gevoelig?
Omdat een expediteur aan informatie verdient. Tarieven, marges, klantrelaties en de route van elke zending staan in dossiers en mailwisselingen. Een gekaapte postbus is genoeg om een zending om te leiden of een tarief te lekken.
Waarom komt de vragenlijst bij expeditie vaak eerder dan bij de vervoerder?
Omdat je tussen verlader en vervoerder in zit en beide kanten NIS2-plichtig kunnen zijn. Wie hier stilvalt, legt niet alleen zijn eigen planning plat maar ook die van de verlader en de vervoerder.
Welk deel van de ICT van een expeditiebedrijf valt buiten de scope van ClickOn?
Buiten scope vallen het expeditie- en transport management systeem en de EDI- en douanekoppelingen. Wie op die systemen inlogt en vanaf welk apparaat, beheert ClickOn wel.