← Alle artikelen

NIS2 Frankrijk: vallen transport en logistiek eronder?

Gepubliceerd op 11 oktober 2026 · 7 min lezen · CyberNovaLabs.io

Een wegvervoerder valt niet onder NIS2 omdat hij vracht vervoert. Maar twee regimes gelden in Frankrijk vandaag al, en een derde komt binnen via de opdrachtgever. De teksten, de data en de cijfers, zonder verzonnen boetes.

Het korte antwoord

Nee, niet als vervoerder. Een wegvervoerbedrijf valt niet onder NIS2 louter omdat het goederen vervoert: voor het wegvervoer noemt bijlage I van richtlijn (EU) 2022/2555 alleen de wegbeheerders die verantwoordelijk zijn voor verkeersmanagement en de exploitanten van intelligente vervoerssystemen^[3]. En op 11 oktober 2026 geldt in Frankrijk geen enkele NIS2-verplichting: de Franse cyberautoriteit ANSSI zegt zelf dat de omzetting nog loopt en dat het wetsvoorstel niet is aangenomen^[1]. Deze gids over NIS2 in Frankrijk voor transport en logistiek laat zien wie er echt onder valt, wat nu al bindt zonder op de wet te wachten, en wat een opdrachtgever deze week terecht van u kan vragen.

Valt u eronder? De toetsen, op volgorde

Stel de vragen in deze volgorde. Het eerste nee haalt u uit het directe toepassingsgebied.

1. Staat mijn activiteit in bijlage I? Voor charter, expeditie, pakketdistributie of gewone opslag: nee. De tabel hieronder geeft per subsector welke entiteiten echt genoemd worden.
2. De omvangsdrempels. Essentiële entiteit: minstens 250 medewerkers, of een omzet boven 50 miljoen euro en een balanstotaal boven 43 miljoen euro. Belangrijke entiteit: minstens 50 medewerkers, of omzet en balanstotaal boven 10 miljoen euro^[3]. Een drempel haalt nooit een activiteit binnen die de bijlagen niet noemen.
3. Ben ik toeleverancier van een gereguleerde entiteit? Dat is in de logistiek de vraag die echt telt, en daar komen we hieronder op terug.
4. Ben ik al aangewezen als operator van vitaal belang? Zo ja, dan gelden uw verplichtingen vandaag al, en die komen niet uit NIS2.

ANSSI stelt MonEspaceNIS2 beschikbaar, met een hulpmiddel om een concreet geval te beoordelen^[2]. Tien minuten. Doe het een keer, bewaar het antwoord en zet er een datum op: dat geeft u aan de eerste klant die ernaar vraagt.

Wat bijlage I echt over vervoer zegt

Twee gevolgen die zelden worden uitgelegd. Ten eerste is de weg de enige subsector waarin geen enkele vervoersonderneming wordt genoemd: de weg komt binnen via verkeersmanagement, niet via vracht^[3]. Ten tweede valt post en pakketpost niet onder vervoer maar onder post- en koeriersdiensten, die in bijlage II bij de belangrijke entiteiten staan^[3]. Dezelfde vrachtwagen geeft dus twee verschillende antwoorden, afhankelijk van de bijlage.

Waar Frankrijk staat op 11 oktober 2026

ANSSI is duidelijk: de omzetting loopt en toekomstige essentiële en belangrijke entiteiten wordt gevraagd nu al te beginnen met beveiliging in lijn met NIS 2^[1]. Drie concrete gevolgen voor een operationeel directeur.

• Er is al een normenkader. Sinds 17 maart 2026 publiceert ANSSI het Référentiel Cyber France (ReCyF), met de maatregelen die zij aanbeveelt om de beveiligingsdoelen van NIS 2 te halen. Het is uitgebracht als werkdocument, standaard niet verplicht, en komt overeen met het kader uit artikel 14 van het wetsvoorstel Résilience; wie het toepast, kan zich erop beroepen bij een controle van ANSSI^[1].
• Registratie kan worden voorbereid, niet opgelegd. ANSSI biedt een omgeving om de NIS 2-registratie voor te bereiden, maar er loopt vandaag geen Franse wettelijke termijn^[1][2].
• De schaalsprong is echt. Parlementaire stukken spreken van de overgang van ongeveer 500 kritieke infrastructuren onder NIS 1 naar zo'n 15 000 essentiële of belangrijke entiteiten^[4]. Uw naam kan daarin staan via geconditioneerde opslag, levensmiddelenproductie of beheerde IT-diensten, niet via vervoer.

Nog iets over boetes. De percentages van de omzet die een aanbieder u aan de telefoon noemt, komen uit de richtlijn en uit het wetsvoorstel, niet uit geldend Frans recht. Wees voorzichtig met wie u een gedateerde Franse sanctie verkoopt. Wij houden de echte data bij in onze cyberdeadlines per land.

Wat nu al bindt, zonder op NIS2 te wachten

Twee regimes gelden vandaag al voor het Franse vervoer, en geen van beide wacht op de wet Résilience.

1. Het regime voor activiteiten van vitaal belang. Een besluit van de premier van 2 juni 2006, gewijzigd op 3 juli 2008, stelt de lijst van 12 sectoren van vitaal belang vast; het regime betreft meer dan 300 aangewezen operatoren en ongeveer 1 500 punten van vitaal belang^[4]. Vervoer hoort daarbij, en dat is geen toeval: samen met energie was het een van de slechts twee sectoren uit de Europese richtlijn van 2008 over kritieke infrastructuur, terwijl de richtlijn over de weerbaarheid van kritieke entiteiten er nu elf telt^[4]. Wie aangewezen is, krijgt via het voorliggende voorstel een weerbaarheidsplan voor de operator, een afhankelijkheidsanalyse en een specifiek weerbaarheidsplan per punt van vitaal belang^[4]. Het sleutelwoord is afhankelijkheid: uw expediteur, uw TMS-leverancier en uw telematicapartij zitten daar middenin.

2. De slimme tachograaf. Deze deadline wordt nooit als cyberverplichting gepresenteerd, maar dat is ze wel. Nieuwe voertuigen die vanaf 21 augustus 2023 zijn ingeschreven hebben een slimme tachograaf van de tweede generatie; het ombouwen van analoge en niet-slimme digitale apparaten moest uiterlijk 31 december 2024 klaar zijn, dat van slimme tachografen van de eerste generatie uiterlijk 18 augustus 2025, en de verplichting geldt vanaf 1 juli 2026 ook voor lichte bedrijfsvoertuigen boven 2,5 ton in internationaal vervoer of cabotage^[6][7]. Praktisch gevolg: elk voertuig wordt een verbonden apparaat dat positie- en activiteitsgegevens doorgeeft, en elk kastje is een toegangsweg naar uw informatiesysteem en naar persoonsgegevens van chauffeurs.

Het echte risico van een Franse vervoerder, in cijfers

In haar Panorama de la cybermenace 2025, gepubliceerd op 11 maart 2026, behandelde ANSSI 3 586 beveiligingsgebeurtenissen, 18 % minder dan het jaar ervoor, met 2 209 meldingen en 1 366 incidenten. Vier sectoren werden bijzonder geraakt: onderwijs en onderzoek (34 %), ministeries en decentrale overheden (24 %), zorg (10 %) en telecom (9 %)^[5]. Vervoer staat er niet bij. Dat betekent niet dat het gespaard blijft: het betekent dat er weinig gemeld wordt.

Twee bevindingen uit hetzelfde rapport raken een transportbedrijf direct. Randapparatuur, dus de firewalls, VPN's en toegang op afstand van uw vestigingen en chauffeurs, blijft een favoriet doel vanwege de kwetsbaarheden erin. En van 460 gebeurtenissen die als mogelijk datalek werden aangemerkt, kon maar 42 % aan een bevestigd lek worden gekoppeld^[5]: het grootste deel van de kosten van zo'n incident is onderzoek, dat u ook betaalt als er niets naar buiten is gegaan.

Nog een cijfer voor het perspectief: de Franse vervoersstatistiek telt ongeveer 41 000 juridische eenheden in het goederenvervoer, een categorie die ruimer is dan alleen het wegvervoer^[8]. De overgrote meerderheid blijft onder de drempel van 50 medewerkers. Voor hen is niet de boete het probleem, maar de vragenlijst van de klant.

De echte ingang: de toeleverketen

Zodra een luchthaven, een haven, een spoorinfrabeheerder, een ziekenhuis of een fabrikant essentiële of belangrijke entiteit wordt, verplicht de richtlijn die partij haar toeleverketen te beveiligen^[3]. Zij wendt zich dan tot haar leveranciers, en de vervoerder staat bovenaan die lijst, want hij heeft toegang tot het warehouse, tot de planning en soms tot het ordersysteem. Dat mechanisme beschreven we voor Nederland in onze NIS2-gids voor transport en logistiek in Nederland, waar de wet er al is: daar komen de vragenlijsten lang voor de toezichthouder.

Niet wachten dus. Vul een keer een herbruikbaar dossier in met onze beveiligingsvragenlijst voor leveranciers en lever dat ongewijzigd bij elke aanbesteding. Een vervoerder die binnen 48 uur antwoordt met een gedateerd document wint werk van een concurrent die drie weken vraagt.

De eerste vijf acties

1. Doe de zelftest van MonEspaceNIS2 en bewaar het gedateerde antwoord^[2]. Tien minuten, en een schriftelijk antwoord voor de eerste klant die het vraagt.
2. Zet uw gereguleerde klanten op een lijst. Luchthaven, haven, infrabeheerder, ziekenhuis, energiebedrijf, fabrikant, overheid. Daar komt de verplichting vandaan, en u weet al welke dat zijn.
3. Maak tweefactorauthenticatie verplicht op alle toegang op afstand: TMS, mail, telematicaportaal, VPN van de vestiging. Dat is de maatregel die het Panorama 2025 het meest oplevert, randapparatuur eerst^[5].
4. Schrijf de procedure voor het wijzigen van een rekeningnummer of de gegevens van een charter. Elke wijziging wordt telefonisch bevestigd, op een nummer dat u al had, nooit het nummer uit de e-mail. Charterwerk wordt per overboeking betaald: daar komt de fraude binnen.
5. Test vier uur werken zonder TMS. Wie laadt, met welke lijst, op welk papier, met welke chauffeursnummers? Kan niemand dat antwoorden, dan hebt u uw continuïteitsplan gevonden en schrijft u het voor het eind van de maand.

Bij CyberNovaLabs.io

Wij verkopen geen NIS2-compliance aan een vervoerder die er niet onder valt. Wij doen twee nuttige dingen: wij geven u een schriftelijk, gedateerd antwoord voor uw opdrachtgevers, en wij halen de gesprekken binnen bij verladers en fabrikanten die juist een vervoerder nodig hebben die een beveiligingsvragenlijst kan invullen. Begin met onze gratis NIS2-check en bekijk daarna hoe wij B2B-afspraken laten maken aanpakken, ook voor transport- en logistiekbedrijven.

Twintig minuten over uw planning praten

→ Afspraken laten maken

Bronnen

1. ANSSI - La directive NIS 2 (transposition, ReCyF, enregistrement)
2. MesServicesCyber (ANSSI) - MonEspaceNIS2 et simulateur
3. Directive (UE) 2022/2555 (NIS2), annexe I - texte consolide
4. Senat - Rapport sur le projet de loi relatif a la resilience des infrastructures critiques et au renforcement de la cybersecurite
5. ANSSI - Panorama de la cybermenace 2025 (publie le 11 mars 2026)
6. Commission europeenne - Questions-reponses sur les tachygraphes, paquet mobilite
7. Commission europeenne - Renforcement du controle du tachygraphe intelligent (19/08/2025)
8. SDES - Chiffres cles des transports : entreprises de transport routier

Lees ook