Op dinsdag 7 juli 2026 heeft de Eerste Kamer formeel ingestemd met de Cyberbeveiligingswet (Cbw). De wet treedt op 15 augustus 2026 definitief in werking. Omdat er géén overgangstermijn is, moeten organisaties vanaf die datum direct aan de regels voldoen. Voor de Nederlandse luchtvrachtketen heeft deze wet grote gevolgen. Hieronder leest u wat dit voor uw organisatie kan betekenen.
Bron: ACN.
Cyberbeveiligingswet en NIS2: Is dit hetzelfde?
Ja, in de praktijk wel. NIS2 is de Europese richtlijn (de blauwdruk) waarin de regels voor heel Europa zijn afgesproken. Een Europese richtlijn geldt echter niet automatisch rechtstreeks voor bedrijven; ieder EU-land moet dit zelf omzetten in eigen nationale wetgeving. De Cyberbeveiligingswet (Cbw) is simpelweg de officiële Nederlandse naam van deze wet. Als men praat over NIS2 of over de Cyberbeveiligingswet, bedoelt men dus exact dezelfde set verplichtingen.
Het waarom van de wet
De digitalisering in de logistiek biedt enorme voordelen, maar maakt de sector ook kwetsbaar. Als één schakel door bijvoorbeeld ransomware wordt platgelegd, staat de vrachtstroom op de luchthaven stil. De Cbw is ontworpen om de digitale weerbaarheid van Europa en Nederland naar een aanzienlijk hoger niveau te tillen.
De stem van ACN tijdens de consultatie
Tijdens de officiële internetconsultatie en in de daaropvolgende wetgevingsfase heeft Air Cargo Netherlands de belangen van de luchtvrachtsector nadrukkelijk verdedigd. ACN heeft gewaarschuwd voor een te zware administratieve lastendruk voor ondernemers. Het uitgangspunt van ACN was helder: cybersecurity is cruciaal, maar de regels moeten werkbaar blijven en mogen niet leiden tot dubbele administratie ten opzichte van bestaande luchtvaartbeveiligingsregels.
Wat houdt de wet in? Algemeen en voor de luchtvracht
In de kern verplicht de Cbw organisaties om proactief aan risicobeheer te doen. Vrijblijvendheid is definitief voorbij. De wet steunt op vier belangrijke pijlers:
- De Zorgplicht: Organisaties moeten aantoonbare technische en organisatorische maatregelen nemen om hun IT- en OT-systemen (zoals loodsscanners en transportsystemen) te beveiligen.
- De Meldplicht: Bij een “significant incident” dat de bedrijfsvoering ernstig verstoort, moet er binnen 24 uur een vroege waarschuwing naar het Nationaal Cyber Security Centrum (NCSC) en de toezichthouder worden gestuurd.
- Bestuurlijke aansprakelijkheid: Cybersecurity is vanaf nu Chefsache. Bestuurders en directieleden zijn verplicht om cybersecurity-trainingen te volgen. Zij moeten de beveiligingsmaatregelen persoonlijk goedkeuren en kunnen bij grove nalatigheid persoonlijk aansprakelijk worden gesteld.
- De Ketenverplichting: Dit is de belangrijkste factor voor de logistiek. Grote, direct plichtige organisaties zijn wettelijk verplicht om de cyberrisico’s in hun gehele toeleveringsketen te beheersen.
Voor wie geldt de wet? Direct vs. indirect
De wet maakt onderscheid tussen ‘essentiële’ en ‘belangrijke’ entiteiten op basis van sector en omvang. De transportsector (waaronder luchtvervoer en vrachtafhandeling) is aangemerkt als een Zeer Kritieke sector.
| Type instroming | Wie valt eronder? | Gevolgen |
| Direct plichtig | Grote en middelgrote organisaties (vanaf 50 fte óf meer dan €10 miljoen omzet/balanstotaal) actief in de luchtvracht, zoals Schiphol, grote airlines en de hoofd-grondafhandelaren. | Staan onder direct overheidstoezicht, hebben een registratieplicht bij het NCSC en riskeren bij non-compliance boetes tot miljoenen euro’s. |
| Indirect plichtig | Kleinere expediteurs, douane-agenten, transporteurs en IT-leveranciers (<50 fte en <€10 miljoen omzet). | Vallen wettelijk niet direct onder overheidstoezicht, maar krijgen via inkoopcontracten, audits en leveranciersvoorwaarden van hun grotere opdrachtgevers dezelfde zware cybersecurity-eisen opgelegd. |
Zelf testen?
U kunt via de officiële overheidstool op regelhulpenvoorbedrijven.nl/NIS-2-NL binnen enkele minuten controleren wat uw wettelijke status is.
Wat moet u nu concreet doen?
Nu de wet per 15 augustus 2026 ingaat, moeten alle partijen in de luchtvrachtketen direct in actie komen. Geen maatregelen nemen is een reëel bedrijfsrisico: u riskeert niet alleen operationele uitval, maar ook uitsluiting door grote ketenpartners.
- Voer de Zelfevaluatie uit: Bepaal via de officiële regelhulp of uw organisatie direct plichtig is of dat u voornamelijk als ketenpartner (indirect) te maken krijgt met de wet.
- Breng systemen en ketenpartners in kaart (Risicoanalyse): Inventariseer welke systemen (boekingsplatformen, douane-interfaces) kritiek zijn voor uw dagelijkse operatie en welke leveranciers hier toegang toe hebben.
- Tref de basismaatregelen (Zorgplicht): Implementeer direct multifactorauthenticatie (MFA) op alle systemen en e-mail. Zorg voor netwerksegmentatie (zodat een besmetting op kantoor niet overslaat naar de loods) en regel offline/onveranderbare (immutable) back-ups.
- Richt de governance en meldprocedure in: Zorg dat de directie de juiste trainingen volgt. Richt een procedure in waarmee incidenten binnen 24 uur gedetecteerd en gemeld kunnen worden bij het NCSC.
- Regel de bewijsvoering (aantoonbaar veilig): Grote opdrachtgevers gaan bewijs vragen. Gebruik standaarden zoals ISO 27001 als kapstok, of start voor het mkb met gerichte trajecten zoals de Samen Digitaal Veilig NIS2-certificering. Zorg dat cybersecurity-eisen ook in uw eigen contracten met subcontractors (zoals charters) worden verankerd.
