Als je een wegtransport-, expeditie- of logistiekbedrijf runt, waar dan ook in de EU, dan is de Network Information and Security Directive 2 (NIS2) geen richtlijn die je vanaf de zijlijn kan bekijken. Nationale wetgeving landt op dit moment – de deadline voor essentiële entiteiten in België is al verstreken, de Nederlandse Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden zonder overgangsperiode, en Frankrijk werkt nog aan de finale versie van zijn wetgeving.
Transport wordt expliciet genoemd als een gedekte sector, en door de omvang-gebaseerde reikwijdte van NIS2 vallen de meeste middelgrote vervoerders en expediteurs eronder, ongeacht of je jouw bedrijf ooit als “kritieke infrastructuur” hebt beschouwd. Hieronder lees je wat NIS2 concreet vereist, waar elke markt staat, en hoe je een voorsprong neemt voordat het een race tegen de klok wordt.
Wat is NIS2?
De Network Information and Security Directive 2, of NIS2, is een EU-brede cyberbeveiligingsrichtlijn. Het is een vervanger van NIS, met bijkomende sectoren die binnen het toepassingsgebied vallen en omvang-gebaseerde regels in plaats van een vaste lijst van kritieke infrastructuur. Als jouw bedrijf binnen een gedekte sector valt, moet je waarschijnlijk aan de NIS2-vereisten voldoen als je 50+ werknemers en €10 miljoen+ omzet hebt.
Verschillende landen binnen de EU hanteren uiteenlopende termijnen voor de inwerkingtreding van NIS2, dus bedrijven die in meerdere landen geregistreerd zijn, moeten alert blijven op een reeks van deadlines, zoals:
- België – het eerst omgezet (Wet van 26 april 2024); CyFun-kader; de deadline voor de zelfevaluatie van essentiële entiteiten (18 april 2026) is al verstreken.
- Nederland – de Cyberbeveiligingswet werd in 2026 goedgekeurd door de Tweede en Eerste Kamer, van kracht sinds 15 augustus 2026, zonder overgangsperiode.
- Frankrijk – de wet is vertraagd door een geschil over encryptie, met een verwijzing naar het EU-Hof in juli 2026; verwacht wordt dat de wet rond september 2026 wordt aangenomen. Contractuele beveiligingsclausules verschijnen echter nu al, los van de wetgeving.
Waarom wegtransport expliciet binnen het toepassingsgebied valt
Transport was al een genoemde sector onder NIS, maar er was een gebrek aan consistentie tussen de lidstaten in hoe elk land bepaalde welke bedrijven als operator van essentiële diensten (OES) golden. Onder NIS2 zijn de richtlijnen voor opname veel specifieker.
Er blijft echter een opsplitsing tussen essentiële en belangrijke entiteiten. Voor wegtransport ziet dat er doorgaans als volgt uit:
- Essentieel: wegautoriteiten, en (afhankelijk van het land) sommige grotere transportoperatoren
- Belangrijk: wegtransportbedrijven, expediteurs, aanbieders van logistiek/opslag
Kleinere transportbedrijven die niet aan de criteria van NIS2 voldoen, moeten mogelijk toch NIS2-conformiteit kunnen aantonen. Dit komt door de onderling verweven aard van de logistieke sector: grotere essentiële bedrijven leggen beveiligingsvereisten door in hun toeleveringsketen (via RFP’s, beveiligingsvragenlijsten en contractclausules).
Wat de NIS2-richtlijn betekent voor transportbedrijven
De belangrijkste vereisten van NIS2 vallen onder een aantal kernthema’s, waaronder governance, risicobeheersmaatregelen en rapportageverplichtingen.
Dit lijkt misschien overweldigend, maar het is goed mogelijk dat je veel van deze cyberbeveiligingsmaatregelen al hebt geïmplementeerd.
In de praktijk betekent dit voor transportoperatoren de implementatie van:
- Basisrisicobeheer – toegangscontrole, Multi-factorauthenticatie (MFA), logging/monitoring, een incidentresponsplan
- Termijnen voor incidentmelding – 24-uursvroegtijdige waarschuwingen, 72-uursmeldingen en een eindrapport binnen één maand, zonder al te diep in te gaan op de regelgeving zelf
- Verantwoordelijkheid van het management – een cultuur creëren waarin cyberbeveiliging niet louter een “IT-probleem” is; leidinggevenden kunnen persoonlijk aansprakelijk worden gesteld als het misloopt
- Due diligence in de toeleveringsketen – verwacht meer beveiligingsvragenlijsten van klanten en partners, en wees voorbereid om vragen te beantwoorden over je eigen systemen, inclusief je Transport Management System (TMS)
Hoe neem je een voorsprong op NIS2?
De eerste stap is nagaan of je voldoet aan de omvang- en sectordrempel in elk land waar je actief bent. Zelfs als je die drempel niet haalt, is het de moeite waard om nu al maatregelen te nemen, aangezien je die drempel later mogelijk wel bereikt, of grote partners in de toeleveringsketen om strengere cyberbeveiligingsmaatregelen kunnen vragen.
Elk land heeft zijn eigen zelfevaluatieproces, zoals CyFun in België, MesServicesCyber in Frankrijk, en het portaal van de Cyberbeveiligingswet in Nederland. Gebruik deze om je digitale beveiliging te evalueren en gecertificeerde tools en providers te vinden.
Vraag bestaande softwareleveranciers om bewijs van hun eigen beveiligingsmaatregelen – en wees zelf voorbereid om hetzelfde te leveren aan je klanten.
Als je dat nog niet gedaan hebt, verscherp dan de toegangscontrole en Multi-factorauthenticatie (MFA) op de systemen die je dagelijks gebruikt. Je Transport Management System (TMS) is een goed startpunt, aangezien daar veel van dit toegangscontrolewerk in de praktijk gebeurt.
Ga na of je provider rolgebaseerde rechten, SSO en Multi-factorauthenticatie (MFA) biedt die beheerders kunnen afdwingen – niet iets wat individuele gebruikers zelf naar believen aan- of uitzetten – plus auditlogs waarnaar je kan verwijzen als een klant of auditor ernaar vraagt. En in plaats van telkens een nieuwe beveiligingsvragenlijst in te vullen wanneer een partner erom vraagt, ga na of je provider deze informatie al publiceert.
Qargo bijvoorbeeld houdt een publiek Trust Centre bij met zijn ISO 27001-certificaat en lijst van subverwerkers, samen met gedetailleerde FAQ’s en een privacybeleid – zodat je niet telkens van nul moet beginnen wanneer er weer zo’n vraag in je inbox landt.
Conclusie
NIS2-conformiteit in wegtransport is geen optionele papierwinkel, het wordt een basisverwachting van klanten en partners doorheen de EU – en nu al de basis op orde krijgen, voorkomt later een race tegen de klok.
Bij Qargo hebben we onlangs onze eigen ISO 27001-/NIS2-afstemming doorgevoerd – we registreerden ons als belangrijke entiteit, formaliseerden ons incidentresponsproces en houden onszelf klaar voor beveiligingsvragenlijsten – zodat klanten hun TMS-leverancier kunnen inzetten als onderdeel van hun eigen conformiteitsverhaal in plaats van als een zwakke schakel erin. In de praktijk betekent dat: versleuteling in rust en tijdens overdracht, rolgebaseerde toegangscontrole, SSO, Multi-factorauthenticatie (MFA) en auditlogging zijn al ingebouwd in het platform, ondersteund door een gedocumenteerd incidentresponsplan met een toezegging tot melding van een inbreuk binnen 72 uur.
Functies zoals afdwingbare Multi-factorauthenticatie (MFA) op beheerdersniveau bestaan specifiek omdat klanten erom vroegen om aan de NIS2-vereisten te voldoen – onze platformconfiguratie helpt om conformiteit gemakkelijker te maken.
Wil je meer weten over de beveiligings- en conformiteitsfuncties van Qargo? Neem vandaag nog contact op.
