Transportbedrijven zijn niet rechtstreeks NIS2-plichtig. De verplichtingen bereiken een transportbedrijf via zijn opdrachtgevers: verladers, retailketens, producenten en overheden die zelf onder de wet vallen en hun toeleveringsketen moeten beheersen. ClickOn, managed service provider (MSP) voor het MKB en zelf ISO 27001-gecertificeerd sinds 2021, levert compliant werkplekbeheer dat de NIS2-maatregelen standaard ingebouwd heeft.
Valt jouw transportbedrijf onder NIS2?
Een transportbedrijf valt niet rechtstreeks onder NIS2. Goederenvervoer over de weg staat niet als zodanig in bijlage 1 of 2: de categorie vervoer gaat over wegenautoriteiten en exploitanten van intelligente transportsystemen, niet over de vervoerder zelf. De plicht ontstaat alleen indirect, via de opdrachtgever.
De keten is de route waarlangs NIS2 wel binnenkomt. Opdrachtgevers die zelf onder NIS2 vallen, moeten hun toeleveringsketen beheersen en leggen hun beveiligingseisen daarom contractueel door aan de vervoerders die voor hen rijden. Dat gebeurt in deze situaties:
- Verladers en retailketens: producenten, groothandels en winkelketens die zelf in een aangewezen sector zitten. Een vervoerder die stilvalt raakt hun continuïteit direct, dus je zit standaard in hun leveranciersbeoordeling.
- Opdrachtgevers in de vitale sectoren: rijd je voor energie, drinkwater, zorg of de digitale infrastructuur, dan komt de eisenlijst uit een organisatie die zelf essentiële entiteit is. Daar is de vragenlijst het strengst.
- Gemeenten, provincies en rijksdiensten: overheden vallen van rechtswege onder de wet en leggen hun eigen beveiligingsbaseline door in de inkoopvoorwaarden.
- Je eigen activiteiten: doe je naast wegvervoer ook koeriers- of pakketwerk, dan raak je bijlage 2 wel. Voor dat deel geldt de omvangtoets van 50 medewerkers of meer dan 10 miljoen euro jaaromzet met een balanstotaal boven 10 miljoen euro (Cyberbeveiligingswet, artikel 12 lid 1, 2026).
Wat de Cyberbeveiligingswet verandert
Wat NIS2-plichtige opdrachtgevers van je eisen
NIS2-plichtige opdrachtgevers eisen van transportbedrijven aantoonbare beveiligingsmaatregelen, meestal als beveiligingsvragenlijst bij een aanbesteding of contractverlenging. De vragen komen telkens op hetzelfde neer:
- Multifactorauthenticatie (MFA) op alle accounts, ook voor planners, chauffeurs en charters.
- Geteste back-ups van ritplanning, vrachtbrieven en administratie, met een hersteltermijn.
- Tijdige updates en patching van werkplekken, servers en mobiele apparaten.
- Toegangsbeheer: wie kan bij orders, laadadressen en personeelsgegevens en wordt toegang ingetrokken bij uitdiensttreding.
- Incidentafspraken: bij wie meld je uitval of een datalek en hoe snel.
- Steeds vaker een certificaat zoals ISO 27001 of in het MKB de NIS2 Supply Chain-certificering, als bewijs dat de maatregelen structureel geborgd zijn.
Een niet-ingevulde vragenlijst is genoeg om een inschrijving terzijde te laten leggen. Opdrachtgevers lopen zelf boete- en aansprakelijkheidsrisico onder NIS2, met boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten (NIS2-richtlijn, 2022). Dat risico nemen ze niet over van een vervoerder die het bewijs niet heeft.
De ICT van een transportbedrijf en waar NIS2 die raakt
De ICT van een transportbedrijf valt uiteen in twee delen. ClickOn beheert de digitale werkplek: Microsoft 365, de apparaten die eraan hangen en de accounts die erop inloggen. Dat is het deel waar de beveiligingsvragenlijst van een opdrachtgever vrijwel volledig over gaat. Het transportmanagementsysteem, de koppelvlakken met verladers en de techniek in het voertuig vallen erbuiten en dat staat hieronder net zo expliciet.
| Wat je gebruikt | Waar de eis op landt | ClickOn |
|---|---|---|
| Microsoft 365: mail, agenda en de gedeelde planningspostbus | Orders, vrachtbrieven en tariefafspraken lopen hier langs. Een gekaapte planningsmailbox is de goedkoopste manier om een lading op het verkeerde adres te krijgen. | Beheerd |
| Laptops van planners en de telefoons en handhelds van chauffeurs | Ritgegevens, laadadressen en klantcontacten gaan mee de weg op. Een verloren toestel is een datalek. | Beheerd |
| Accounts van vast personeel, uitzendkrachten en charters | Charters en uitzendkrachten krijgen tijdelijk toegang tot planning en ritinformatie. Aantoonbaar intrekken bij vertrek is een vaste vraag in elke vragenlijst. | Beheerd |
| Transportmanagementsysteem met de rittenadministratie, plus de EDI-koppelingen en klantportalen van verladers | De kernregistratie van ritten, ladingen en klanten, en de plek waar opdrachten binnenkomen. De leverancier beveiligt het platform, jij bepaalt wie inlogt en met welke authenticatie. | Buiten scope, toegang wel beheerd |
| Boordcomputers, telematica en tachograafapparatuur | De techniek in het voertuig zelf, met eigen leveranciers en eigen keuringen. Buiten de werkplek, maar de uitlezing komt wel op een beheerd account terecht. | Buiten scope |
De regel erachter is simpel: alles wat via een Microsoft 365-account bereikbaar is, richt ClickOn in volgens de norm en bewijst het maandelijks. Alles wat een eigen applicatie of installatie is, blijft van jou of van je leverancier, met uitzondering van wie er toegang toe krijgt en vanaf welk apparaat. Dat laatste is in de praktijk de helft van de vragenlijst.
Het ICT-deel van NIS2, aantoonbaar geregeld
Vraagt je opdrachtgever om bewijs? ClickOn richt het ICT-deel van je NIS2-traject in, of beheert je werkplekken met de maatregelen standaard ingebouwd.
NIS2 ook voor andere branches in voertuigen en transport
- NIS2 voor autobedrijven
- NIS2 voor autogarages
- NIS2 voor autoverhuurbedrijven
- NIS2 voor expeditiebedrijven
- NIS2 voor koeriersdiensten
- NIS2 voor logistiek dienstverleners
- NIS2 voor schadeherstelbedrijven
- NIS2 voor taxibedrijven
- NIS2 voor verhuisbedrijven
Andere normen die voor transportbedrijven meespelen
Andere normen dan de Cyberbeveiligingswet komen bij transportbedrijven regelmatig langs in aanbestedingen en vervoerscontracten. De twee hieronder overlappen met de maatregelen op deze pagina, maar hebben elk een eigen grondslag.
ISO 27001
ISO 27001 is de internationale norm voor informatiebeveiliging en het bewijsstuk dat verladers, retailketens en overheidsopdrachtgevers het vaakst uitvragen. De norm toont aan dat maatregelen structureel geborgd zijn in plaats van incidenteel geregeld en overlapt grotendeels met de zorgplicht uit de Cyberbeveiligingswet.
AVG
Rittenregistratie, tachograafgegevens en cameratoezicht in de cabine zijn persoonsgegevens van je chauffeurs, met een eigen grondslag en bewaartermijn. De AVG verplicht tot passende technische en organisatorische maatregelen; de Autoriteit Persoonsgegevens handhaaft bij een datalek als die maatregelen niet aantoonbaar zijn.
Veelgestelde vragen over NIS2 voor transportbedrijven
Veelgestelde vragen over NIS2 in de transportsector, met korte antwoorden voor wie snel wil weten waar hij aan toe is. Staat je vraag er niet bij, dan geeft de hubpagina over voertuigen en transport het bredere beeld.
Vallen transportbedrijven onder NIS2?
Transportbedrijven vallen er niet rechtstreeks onder. Goederenvervoer over de weg staat niet in bijlage 1 of 2 van de Cyberbeveiligingswet: de categorie vervoer gaat over wegenautoriteiten en exploitanten van intelligente transportsystemen. De eisen komen binnen via verladers, retailketens en overheidsopdrachtgevers.
Waarom stuurt een verlader mij een beveiligingsvragenlijst?
Waarom dat gebeurt is de ketenverplichting: een verlader die zelf onder de wet valt, moet de beveiliging van zijn leveranciers beoordelen. Als vervoerder ben jij zo'n leverancier, en de vragenlijst is het bewijsstuk dat hij aan de toezichthouder moet kunnen laten zien.
Geldt de omvangtoets van 50 medewerkers ook voor mijn transportbedrijf?
Geldt niet voor goederenvervoer over de weg. De drempels voor belangrijke en essentiële entiteiten zijn alleen relevant binnen een aangewezen sector, en wegtransport is dat niet, hoe groot het bedrijf ook is. Doe je daarnaast koeriers- of pakketwerk, dan komt de toets voor dat deel wel in beeld.
Mijn transportmanagementsysteem draait bij een externe leverancier, ben ik dan nog aan zet?
Uitbesteden verplaatst de vraag niet. Je opdrachtgever beoordeelt jou, niet je softwareleverancier, dus jij levert het bewijs over toegang, authenticatie en herstel. Leg vast wie er namens jou inlogt, met welke authenticatie dat gebeurt en welke afspraken over incidentmelding in het contract met die leverancier staan.
Welk deel van de ICT van een transportbedrijf valt buiten de scope van ClickOn?
Buiten scope vallen het transportmanagementsysteem met de rittenadministratie, de EDI-koppelingen en klantportalen van verladers, en de boordcomputers, telematica en tachograafapparatuur met hun eigen leveranciers. Wie op die systemen inlogt en vanaf welk apparaat, beheert ClickOn wel.