← Alle artikelen

NIS2 Luxemburg: vallen transport en logistiek eronder?

Gepubliceerd op 24 oktober 2026 · 8 min lezen · CyberNovaLabs.io

De Luxemburgse wet zet wegvervoerders niet onder NIS2. Wel wegbeheerders, exploitanten van intelligente verkeerssystemen, luchtvaart, spoor en havens — en via bijlage II ook expeditiediensten. Hieronder beslist u uw eigen geval, met de artikelen, de toezichthouder en de echte termijnen.

Het korte antwoord

Een Luxemburgse wegvervoerder, expediteur of warehouse-exploitant is in de regel geen NIS2-entiteit op grond van zijn vervoersactiviteit. In Luxemburg trad de wet van 5 mei 2026 over maatregelen voor een hoog niveau van cyberbeveiliging op 10 mei 2026 in werking^[1][2]. Voor het wegvervoer noemt bijlage I maar twee soorten entiteiten: wegbeheerders die verantwoordelijk zijn voor verkeersmanagement, en exploitanten van intelligente transportsystemen^[1]. Opleggers laden in Bettembourg staat er niet bij.

Toch zijn er drie ingangen die een groot deel van de sector alsnog binnenhalen: de regel over expeditiediensten in bijlage II, uw positie als leverancier van een klant die er wel onder valt, en een registratietermijn die al verstreken is — 10 juli 2026^[3]. Alle drie zijn in een uur na te gaan.

NIS2 Luxemburg: valt u eronder? De toetsen op rij

1. Staat uw activiteit in een bijlage? Dat is de eerste en voor vervoer meestal beslissende zeef. De tabel hieronder geeft de vier subsectoren zoals de Luxemburgse wet ze formuleert.
2. Uw omvang, op groepsniveau. Het ILR hanteert de size-cap: een entiteit is middelgroot vanaf 50 medewerkers, of met een jaaromzet tussen 10 en 50 miljoen euro, of een balanstotaal tussen 10 en 43 miljoen euro; daarboven is zij groot^[4]. In de berekening telt 100% van verbonden ondernemingen mee en een pro-rata deel van partnerondernemingen^[4]. Wie de middelgrote plafonds in een bijlage I-sector overschrijdt, is essentieel; andere genoemde entiteiten zijn belangrijk (artikel 11)^[1].
3. Was u aanbieder van essentiële diensten onder NIS1? Artikel 11, lid 1, punt 7 neemt entiteiten die onder de wet van 28 mei 2019 als aanbieder van essentiële diensten waren aangemerkt automatisch over als essentiële entiteit^[1]. Er komt geen nieuw besluit: de status staat al vast.
4. Verzorgt u expeditie? Bijlage II dekt postaanbieders in de zin van artikel 1, punt 12, van de gewijzigde wet van 26 december 2012 over postdiensten, met inbegrip van aanbieders van expeditiediensten^[1]. Dit is de slechtst gelezen regel van de sector: koeriers-, pakket- of groupagewerk kan volstaan waar puur wegvervoer dat niet deed. Onze pagina over NIS2 Luxemburg voor post en koeriers gaat daarop in.

Vervoer: wat de Luxemburgse bijlage precies zegt

De wet kopieert de richtlijn niet. Elke regel verwijst naar een nationale tekst, en juist die verwijzing beslist uw geval.

Daaruit volgen twee dingen. De regel over havenbeheerders kan in Luxemburg maar één toepassing hebben: de rivierhaven van Mertert. En weg is de enige subsector waar de wet publieke entiteiten uitdrukkelijk uitsluit wanneer verkeersmanagement of de exploitatie van intelligente transportsystemen geen wezenlijk deel van hun algemene activiteit is^[1]. Een gemeente met drie verkeerslichten valt erbuiten; de exploitant van een realtime verkeersinformatiesysteem erbinnen.

Wat de wet in Luxemburg eist — en wat zij toevoegt

Één toezichthouder, met één uitzondering. Het Institut luxembourgeois de régulation is de bevoegde autoriteit voor alle sectoren van bijlage I en II en voor kritieke entiteiten. Bij afwijking is de Commission de surveillance du secteur financier bevoegd voor het bankwezen, de infrastructuur van de financiële markten en de activiteiten op het gebied van digitale infrastructuur of beheer van ICT-diensten die onder haar toezicht vallen^[1]. Voor een vervoersbedrijf is het aanspreekpunt dus het ILR, en niemand anders.

Twee CSIRT's, afhankelijk van wie u bent. Het Haut-Commissariat à la Protection nationale is in zijn functie van GOVCERT.LU het CSIRT voor rijksdiensten, openbare instellingen en kritieke entiteiten. CIRCL is het CSIRT "voor alle andere gevallen"^[1]. Een particulier logistiek mkb-bedrijf belt dus CIRCL en niet GOVCERT.LU — zet dat in uw crisiskaart voordat u het nodig hebt.

Registratie, en wat erna komt. De zelfregistratie bij het ILR moest binnen twee maanden na inwerkingtreding gebeuren, dus uiterlijk op 10 juli 2026^[3]. Het ILR is daar helder over: wie zich niet registreert, is daarmee niet van zijn verplichtingen af^[3]. Een detail dat weinig bestuurders kennen: elke wijziging van de geregistreerde gegevens moet binnen twee weken worden gemeld^[1]. Een nieuw contactadres of een nieuwe IP-reeks start die termijn.

Eén typisch Luxemburgse verplichting. Naast de tien rubrieken maatregelen van artikel 12, lid 2 — risicoanalyse, incidentbehandeling, continuïteit en back-ups, beveiliging van de toeleveringsketen, omgang met kwetsbaarheden, cyberhygiëne en training, cryptografie, toegangsbeheer, meervoudige authenticatie — verplicht artikel 12, lid 3 essentiële entiteiten hun maatregelen te melden aan de bevoegde autoriteit, in een vorm en binnen een termijn die bij reglement of circulaire worden bepaald^[1]. Dat is een dossier dat geschreven moet worden, en het bestaat in deze vorm niet in elk buurland.

Sancties, en een zaak die al beslist is

Voor schending van de risicobeheer- of meldplichten staat artikel 26 toe: tot 10 miljoen euro of 2% van de totale wereldwijde jaaromzet voor een essentiële entiteit, en tot 7 miljoen euro of 1,4% voor een belangrijke entiteit, waarbij het hoogste bedrag geldt^[1]. Voor de registratie-, informatie- en samenwerkingsgebreken van artikel 25 mag de administratieve boete niet hoger zijn dan 250 000 euro, na een procedure op tegenspraak, met beroep ten gronde bij de administratieve rechtbank; de inning gaat via de Administration de l'enregistrement, des domaines et de la TVA^[1].

Die bedragen zijn geen theorie. Op 11 juni 2026 legde het ILR een boete van 25 000 euro op aan Eltrona Interdiffusion S.A. omdat het bedrijf een grote storing, gedetecteerd op 9 april 2026, niet binnen 24 uur had voorgemeld: de toezichthouder vernam het van een getroffen gebruiker en uit de pers^[5]. Dat besluit valt onder het telecomregime en niet onder NIS2 — maar het is dezelfde toezichthouder, dezelfde termijn van 24 uur en dezelfde les: wat eerst bestraft wordt, is het stilzwijgen, niet de storing.

Wat ook buiten het toepassingsgebied op u afkomt

• De beveiligingsvragenlijsten van uw klanten. Artikel 12, lid 2, punt 4 verplicht entiteiten binnen het toepassingsgebied hun toeleveringsketen te beveiligen, inclusief de relaties met directe leveranciers en dienstverleners, met inachtneming van de specifieke kwetsbaarheden van elk van hen^[1]. Uw essentiële verlader zal dus vragen stellen, en uw antwoord weegt bij de verlenging. Hetzelfde mechanisme raakt Luxemburgse accountants- en fiduciairekantoren, die er ook zelden onder vallen maar constant worden ondervraagd.
• Vrijwillig melden. Artikel 20 staat elke entiteit, binnen of buiten het toepassingsgebied, toe een belangrijk incident, een cyberdreiging of een bijna-incident bij het ILR te melden, zonder dat die melding extra verplichtingen oplevert^[1].
• Het risico zelf. ENISA analyseerde 98 publiek gerapporteerde incidenten in het Europese vervoer tussen januari 2021 en oktober 2022, waarvan 24 (24%) in het wegvervoer, de auto-industrie meegerekend. In die subsector is ransomware met 43% de belangrijkste dreiging, voor datagerelateerde dreigingen (26%) en malware (17%); over het hele vervoer steeg het aandeel ransomware van 13% in 2021 naar 25% in 2022^[6].

En de volumes groeien: lux-Airport rekent op 1,25 miljoen ton vracht in 2050, een stijging van 50%^[7]. Meer stromen betekent meer datasystemen en meer aanvalsoppervlak. Dezelfde logica geldt in Frankrijk, waar we de NIS2-gids voor transport en logistiek publiceerden: andere toetsen, hetzelfde risico.

De vijf eerste stappen

1. Doe de scopetoets twee keer. Het ILR biedt een NIS 2-simulator met indicatieve uitkomst^[3]; leg die naast onze gratis NIS2-check. Twee gelijke uitkomsten zijn meer waard dan één onderbuikgevoel.
2. Beslis de expeditievraag. Pak uw activiteitencodes en uw drie grootste contracten erbij: zit daar koeriers-, pakket- of groupagewerk in? Zo ja, dan geldt bijlage II en bent u ten minste een belangrijke entiteit.
3. Bereken uw omvang op groepsniveau. Personeel, omzet en balanstotaal, met verbonden ondernemingen voor 100% en partners pro rata^[4]. Veel Luxemburgse dochters van 30 mensen komen via hun moeder binnen het bereik.
4. Valt u eronder, registreer dan nu. De termijn van 10 juli 2026 is verstreken^[3]: de registratie blijft verschuldigd, en elke latere wijziging loopt op een termijn van twee weken. Onze pagina met cyberbeveiligingsdeadlines houdt alle vier landen bij.
5. Schrijf de 24-uurskaart voordat u die nodig hebt. Wie detecteert, wie kwalificeert, wie beslist, wie SERIMA opent, wie CIRCL belt, naar welk ILR-adres de melding gaat. Eén pagina, opgehangen, één keer per jaar getest. Precies het document dat in het dossier Eltrona ontbrak.

Bij CyberNovaLabs.io

Wij werken in Nederland, België, Frankrijk en Luxemburg en helpen transport- en logistiekbedrijven op twee punten: het NIS2-bereik zwart op wit vastleggen, en de antwoorden voorbereiden op de beveiligingsvragenlijsten die over contracten beslissen. Daarnaast werken we aan het automatiseren van administratieve stromen in de sector en aan commerciële pijplijn, met B2B-afspraken laten maken voor leveranciers die de logistieke markt bewerken. Opdrachten gaan op maat, zonder minimumlooptijd.

Wilt u weten waar u staat? Schrijf ons: beschrijf uw activiteit, uw personeelsbestand en uw twee grootste klanten, en wij zeggen u welke bijlage naar u kijkt.

Bronnen

1. Loi du 5 mai 2026 concernant des mesures destinées à assurer un niveau élevé de cybersécurité (Mémorial A n° 225, doc. parl. 8364)
2. ILR — La loi NIS 2
3. ILR — Auto-enregistrement NIS 2 et simulateur
4. ILR — Périmètre et champ d'application (size-cap)
5. ILR — Décision ILR/N26/9 du 11 juin 2026 contre Eltrona Interdiffusion S.A.
6. ENISA Threat Landscape: Transport Sector (21 mars 2023)
7. lux-Airport — communiqué masterplan de l'aéroport de Luxembourg, 16 avril 2026
8. ILR — Notification d'incident sous NIS 2 (plateforme SERIMA)

Lees ook