NIS2 voor transport: waar luchtvaart-, spoor- en maritieme regels botsen met artikel 21

Een regionale expediteur met 180 medewerkers vertelde ons dat hun advocaat had vastgesteld dat NIS2 niet op hen van toepassing was. Hun redenering: ze zijn geen luchtvaartmaatschappij, geen haven en geen spoorwegonderneming. Zes weken later stuurde hun grootste klant — een havenbeheerder — een leveranciersvragenlijst met 40 beveiligingsvragen en een contractclausule die verwees naar artikel 21(2)(d).

Transport is de NIS2-sector waarin de reikwijdte het vaakst verkeerd wordt ingeschat. Niet omdat de tekst vaag is, maar omdat "transport" in bijlage I vier afzonderlijke regelgevingswerelden zijn die in één vermelding zijn samengevoegd, elk met een eigen bestaand veiligheidsregime waarvan klanten aannemen dat het hen al dekt.

Dat doet het niet.

Bijlage I behandelt transport als vier sectoren, niet als één

NIS2-bijlage I noemt transport een sector van hoge kritikaliteit en splitst die vervolgens op in vier subsectoren, elk met een eigen lijst van entiteitstypen.

Lucht. Luchtvaartmaatschappijen die voor commerciële doeleinden worden gebruikt. Luchthavenbeheerders, waaronder kernluchthavens, en entiteiten die aanvullende installaties op luchthavens exploiteren. Verkeersleidingsexploitanten die luchtverkeersleiding verzorgen.

Spoor. Infrastructuurbeheerders. Spoorwegondernemingen, met inbegrip van exploitanten van dienstvoorzieningen.

Water. Binnenvaart-, zee- en kustvaartondernemingen voor passagiers- en vrachtvervoer. Havenbeheerders, met inbegrip van havenfaciliteiten en entiteiten die werken en uitrusting in havens exploiteren. Exploitanten van verkeersbegeleidingsdiensten.

Weg. Wegautoriteiten die verantwoordelijk zijn voor verkeersbeheer en -regeling. Exploitanten van intelligente vervoerssystemen.

Uit die lijst volgen twee dingen, en beide worden door consultants over het hoofd gezien.

Ten eerste is wegvervoer veel smaller dan klanten verwachten. Een transportbedrijf dat goederen per vrachtwagen vervoert, valt niet onder wegvervoer in bijlage I. Een overheidsinstantie die verkeersbeheer uitvoert wel. Een ITS-exploitant ook. Het transportbedrijf valt alleen onder de regels als het ergens anders landt — bijvoorbeeld als leverancier binnen de toeleveringsketenverplichtingen van artikel 21(2)(d) van een andere entiteit, precies wat de expediteur hierboven overkwam.

Ten tweede is watervervoer veel breder dan klanten verwachten. "Entiteiten die werken en uitrusting in havens exploiteren" trekt terminalexploitanten, kraan- en portaalkraanexploitanten en onderhoudsbedrijven mee die zichzelf nooit als gereguleerde infrastructuur hebben gezien.

Is NIS2 van toepassing op uw organisatie?
1
Is uw organisatie actief in een essentiële of belangrijke sector (energie, transport, zorg, digitale infrastructuur, enz.)?
Ja▼
Nee▼
2
Heeft uw organisatie 50 of meer werknemers, of een jaarlijkse omzet van meer dan €10 miljoen?
✗
NIS2 is niet rechtstreeks van toepassing op uw organisatie.
Ja▼
Nee▼
✓
NIS2 is van toepassing op uw organisatie als essentiële of belangrijke entiteit.
3
Is uw organisatie een aanbieder van kritieke infrastructuur of een gekwalificeerde vertrouwensdienstverlener?
Ja▼
!
NIS2 kan van toepassing zijn op uw organisatie — raadpleeg juridisch advies om uw status te bevestigen.
1
Is uw organisatie actief in een essentiële of belangrijke sector (energie, transport, zorg, digitale infrastructuur, enz.)?
Ja ↓Nee →
2
Heeft uw organisatie 50 of meer werknemers, of een jaarlijkse omzet van meer dan €10 miljoen?
Ja ↓Nee →
3
Is uw organisatie een aanbieder van kritieke infrastructuur of een gekwalificeerde vertrouwensdienstverlener?
Ja ↓Nee →
✗
NIS2 is niet rechtstreeks van toepassing op uw organisatie.
✓
NIS2 is van toepassing op uw organisatie als essentiële of belangrijke entiteit.
!
NIS2 kan van toepassing zijn op uw organisatie — raadpleeg juridisch advies om uw status te bevestigen.
Van toepassing
Mogelijk van toepassing
Niet van toepassing

Omvang bepaalt het toezichtregime, en transport kent een uitzondering

De standaardregel is mechanisch. In een bijlage I-sector is een grote onderneming — 250 of meer medewerkers, of een omzet boven €50 miljoen en een balanstotaal boven €43 miljoen — een essentiële entiteit. Een middelgrote onderneming, vanaf 50 medewerkers of €10 miljoen omzet, is een belangrijke entiteit.

Essentieel betekent proactief toezicht: inspecties ter plaatse, periodieke audits, beveiligingsscans en verzoeken om bewijs zonder dat er een incident heeft plaatsgevonden. Belangrijk betekent reactief toezicht, geactiveerd door een incident of een klacht. Boetes lopen op tot €10 miljoen of 2% van de wereldwijde omzet voor essentiële entiteiten, en €7 miljoen of 1,4% voor belangrijke entiteiten.

Transport is waar de uitzondering telt. Artikel 2(2) stelt lidstaten in staat entiteiten onder de omvangsdrempels toch binnen de reikwijdte te brengen, ongeacht het personeelsbestand, en transport is het klassieke geval: een exploitant van een verkeersbegeleidingsdienst met 30 medewerkers, of een kleine ITS-exploitant wiens uitval een nationale corridor zou ontwrichten, kan worden aangewezen omdat het de enige aanbieder is van een dienst die essentieel is voor maatschappelijke activiteit.

Voer niet alleen de personeelstoets uit en stop daar. Controleer eerst de nationale aanwijzingslijst. In verschillende lidstaten zijn de transportaanwijzingen los van de algemene registratierichtsnoeren gepubliceerd, en als uw klant erop staat, is de omvangstoets irrelevant. Welke autoriteit die lijst publiceert, hangt af van waar de entiteit is gevestigd — we behandelden de jurisdictieregels in Artikel 26: welke toezichthouder houdt daadwerkelijk toezicht op uw klant.

Part-IS in de luchtvaart schakelt NIS2 niet uit

Dit is op dit moment het duurste misverstand in transportcompliance.

Sinds 16 oktober 2025 geldt EASA Part-IS — Gedelegeerde Verordening (EU) 2022/1645 — voor luchthavenexploitanten, ontwerp- en productieorganisaties en aanbieders van platformbeheerdiensten. Uitvoeringsverordening (EU) 2023/203 breidde het kader vanaf februari 2026 uit naar aanvullende organisatietypen. Luchtvaartklanten lezen dat en concluderen dat NIS2 is afgedekt.

Artikel 4 van NIS2 voorziet hierin. Waar een sectorspecifieke Uniewetgevingshandeling maatregelen voor cyberbeveiligingsrisicobeheer of meldingsvereisten oplegt die ten minste gelijkwaardig zijn in effect, zijn de overeenkomstige NIS2-bepalingen niet van toepassing. Dat is een echte uitzondering.

Maar hij is smaller dan de marketing eromheen suggereert. DORA is het zuivere geval: artikel 1(2) van Verordening (EU) 2022/2554 stelt in de eigen tekst dat het als sectorspecifieke handeling geldt voor de toepassing van artikel 4. Iets vergelijkbaars ontbreekt in de Part-IS-verordeningen. De richtsnoeren van de Commissie over de toepassing van artikel 4(1) en (2) sommen de handelingen op die volgens haar binnen de reikwijdte vallen, en de luchtvaartpositie wordt sindsdien openlijk bediscussieerd — onder meer op het eigen communityforum van EASA.

De praktische positie voor een consultant: ga ervan uit dat beide van toepassing zijn totdat de nationale bevoegde autoriteit van de klant schriftelijk iets anders zegt.

Dat is minder pijnlijk dan het klinkt, want de kaders zijn niet met elkaar in strijd. Part-IS richt zich op informatiebeveiligingsrisico's met een mogelijke impact op de luchtvaartveiligheid. NIS2 artikel 21 richt zich op risico's voor netwerk- en informatiesystemen die de dienst ondersteunen. De overlap is groot, maar de randen verschillen — Part-IS vraagt u niet om toeleveringsketenbeveiliging over uw commerciële IT-landschap aan te tonen, en NIS2 vraagt u niet om elke bevinding terug te koppelen aan een veiligheidsuitkomst.

Breng beide in kaart, markeer de gedeelde maatregelen één keer en documenteer het verschil. Auditors accepteren een gemapte maatregel die twee regimes bedient. Ze accepteren niet "we vallen onder Part-IS" als antwoord op een bewijsverzoek onder artikel 21.

De maritieme sector kent dezelfde structuur met andere namen. ISPS en de richtsnoeren van de IMO voor maritiem cyberrisicobeheer staan náást NIS2, niet in plaats daarvan. Havenbeheerders leggen standaard hun ISPS-havenfaciliteitsbeveiligingsplan over wanneer om NIS2-bewijs wordt gevraagd. Het is een goed document. Het is geen risicobeheerbeleid onder artikel 21(2)(a).

De artikel 21-maatregelen landen anders in een operationele omgeving

De tien maatregelen zijn in elke sector hetzelfde. Wat verandert, is waar het bewijs zich bevindt.

In transport leveren er drie consequent bevindingen op.

Artikel 21(2)(c), bedrijfscontinuïteit en crisisbeheer. Transportexploitanten hebben uitstekende continuïteitsplannen — voor fysieke verstoring. Weer, stakingen, geblokkeerde corridors. Bijna geen van hen heeft een scenario getest waarin het plannings- of dispatchsysteem versleuteld en vier dagen onbeschikbaar is. Dat is het scenario waarnaar de toezichthouder vraagt.

Artikel 21(2)(d), beveiliging van de toeleveringsketen. Transport draait op gedeelde operationele systemen: terminal operating systems, bagageafhandeling, seinleveranciers, leveranciers van onderhoudstelemetrie. Elk daarvan is een met naam genoemde derde partij van wie uw klant de beveiligingspositie moet kunnen beschrijven. Een vragenlijst doorsturen in de keten is op zichzelf niet genoeg — de verplichting is om te beoordelen én te handelen naar wat u aantreft. Zie waarom leverancierscontracten nu onderdeel zijn van NIS2-compliance.

Artikel 21(2)(i), toegangsbeheer en assetbeheer. Operationele technologie in transport is oud, fysiek verspreid en wordt vaak onderhouden door externe technici met permanente toegang op afstand. Een volledige asset-inventaris die spoor-, kade- en platformapparatuur omvat, is de moeilijkste enkele oplevering in deze sector, en het is het eerste dat een inspecteur wil zien.

Artikel 21 — 10 NIS2 Cybersecuritymaatregelen
🛡️
Artikel 21
10 Cybersecuritymaatregelen
📊
Governance & Strategie
1Risicoanalyse & informatiebeveiligingsbeleid
6Effectiviteitsbeoordeling van beveiligingsmaatregelen
🚨
Incidenten & Continuïteit
2Incidentafhandeling & melding
3Bedrijfscontinuïteit & disaster recovery
🔗
Toeleveringsketen & Systemen
4Beveiliging van de toeleveringsketen
5Beveiliging bij de ontwikkeling van netwerk- en informatiesystemen
🔐
Technische Beheersing
8Cryptografie & versleuteling
10Multi-factor authenticatie & veilige communicatie
👥
Mensen & Middelen
7Cyberhygiëne & training
9HR-beveiliging & toegangscontrole

Het IT/OT-grensprobleem is hier hetzelfde als wat we in kaart brachten voor fabrikanten, met één verschil: in transport staat de OT vaak helemaal niet op het terrein van uw klant.

Incidentmelding: twee klokken, twee toezichthouders

Transportexploitanten melden al. De luchtvaart meldt voorvallen onder Verordening (EU) 376/2014. Het spoor meldt aan nationale veiligheidsinstanties. De maritieme sector meldt onder een eigen regime.

Niets daarvan voldoet aan artikel 23.

NIS2 vereist een vroegtijdige waarschuwing aan het CSIRT of de bevoegde autoriteit binnen 24 uur nadat men zich bewust wordt van een significant incident, een incidentmelding binnen 72 uur en een eindrapport binnen één maand. Gemeenschappelijke sjablonen die de NIS2-samenwerkingsgroep in mei 2026 heeft aangenomen, hebben het formaatexcuus weggenomen.

De faalmodus is voorspelbaar: het veiligheidsrapport gaat op tijd de deur uit, het cyberrapport niet, omdat niemand in de operatiekamer weet dat de klok van 24 uur bestaat. Bouw de trigger in de bestaande voorvalmeldingsprocedure in plaats van ernaast, en laat de checklist van de dienstdoende functionaris één extra vraag stellen — kan dit zijn ontstaan in een netwerk- of informatiesysteem? De meldingstermijnen worden hier in detail behandeld.

Wat te doen in de komende 30 dagen

Voor elke transportklant, in deze volgorde:

1. Bevestig de subsector en het entiteitstype uit bijlage I schriftelijk, met de daadwerkelijke formulering van de lijst in plaats van een samenvatting.
2. Controleer de nationale aanwijzingslijst voor entiteiten onder de drempel voordat u de omvangstoets toepast.
3. Bij luchtvaart of maritiem: maak een control mapping tussen het sectorregime en artikel 21 — en markeer de gaten in plaats van dekking aan te nemen.
4. Haal de asset-inventaris voor operationele technologie op. Bestaat die niet, dan is dat uw eerste project, niet uw laatste.
5. Bouw de NIS2-klok van 24 uur in de bestaande operationele incidentprocedure in.

Alles daarna is documentatiediscipline, en we zetten uiteen wat inspecteurs daadwerkelijk opvragen in de checklist met auditbewijs voor toezicht.

Wilt u een gestructureerd startpunt voor een transportklant, voer dan een gratis NIS2 quick scan uit — die levert in ongeveer tien minuten een gap-analyse tegen de artikel 21-maatregelen op, genoeg om te bepalen of het sectorregime waarop de klant vertrouwt daadwerkelijk het gewicht draagt dat hij denkt.