TMS kiezen na de Cyberbeveiligingswet: 7 criteria

Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht, de Cyberbeveiligingswet (Cbw) is op 15 augustus 2026 in werking getreden en stelt eisen aan de digitale weerbaarheid van ruim 8.000 organisaties die essentiële of belangrijke diensten verlenen. Als je nu een nieuw TMS selecteert of een contract verlengt, hoort beveiligingsbewijs standaard op je checklist, naast rates, labels en koppelingen. Dit artikel geeft je zeven criteria, op volgorde van belang, om een TMS-leverancier daadwerkelijk te toetsen in plaats van op een vaag "wij nemen security serieus" te vertrouwen.

De wet is de Nederlandse implementatie van de Europese NIS2-richtlijn. Belangrijk: je hoeft zelf geen essentiële entiteit te zijn om er iets van te merken. Val je er niet direct onder, dan bereiken de eisen je alsnog via je verladers en opdrachtgevers. Lever je aan bol.com, een retailer of een grotere 3PL die wél onder de wet valt, dan krijg je de vragenlijst gewoon doorgeschoven. Dat gebeurt nu al: het NCSC noemt expliciet dat Cbw-organisaties cybersecuritymaatregelen kunnen verlangen van hun rechtstreekse leveranciers en dienstverleners, waardoor NIS2 zich verder door de logistieke keten verspreidt.

Waarom dit specifiek voor een TMS telt

Een TMS is geen geïsoleerd systeem. Het stuurt rates door naar PostNL, DPD en GLS, ontvangt track-and-tracedata terug, en voedt je WMS en financieel systeem. Valt een koppeling uit of wordt data gemanipuleerd, dan ligt je planning plat, ook als het TMS zelf gewoon online is. Voor wegvervoer specifiek geldt: transport staat in de NIS2-richtlijn in de categorie sectoren van hoge kriticiteit, met vier subsectoren, en bij wegvervoer zijn specifiek de wegenautoriteiten en exploitanten van intelligente transportsystemen aangewezen. Wegvervoerders horen in verreweg de meeste gevallen niet tot de essentiële of belangrijke bedrijven uit de NIS2 zelf, maar dat verandert niets aan de druk die via opdrachtgevers ontstaat. En de drempel is lager dan veel mkb-verladers denken: grote transportbedrijven met meer dan 250 medewerkers of een omzet boven de 50 miljoen euro vallen doorgaans in de categorie essentiële entiteiten, middelgrote bedrijven met meer dan 50 medewerkers of een omzet boven de 10 miljoen euro worden aangemerkt als belangrijke entiteiten.

De zeven criteria, op volgorde van belang

Niet alle zeven wegen even zwaar. Begin bovenaan en werk naar beneden, zeker als je tijd beperkt is in een RFP-traject.

1. Incidentmeldings-SLA naar jou. Dit is het zwaarste criterium, want de meldplicht ligt juridisch bij jou of je opdrachtgever, niet bij de leverancier. De vroegtijdige waarschuwing moet uiterlijk binnen 24 uur na kennisname van het significante incident worden gegeven, gevolgd door een incidentmelding binnen 72 uur en een eindverslag binnen één maand. Krijg je als klant pas na drie dagen bericht van je TMS-leverancier, dan heb je die 24-uurstermijn al gemist. NIS2 beoordeelt niet of er een plan bestaat, maar of een organisatie een gecoördineerde, op feiten gebaseerde vroegtijdige waarschuwing kan leveren binnen 24 uur, terwijl het incident nog gaande is. Eis dus een contractuele meldtermijn naar jou van maximaal 4 tot 8 uur, niet 24.
2. Onafhankelijk bewijs met de juiste scope. Vraag om een ISO 27001-certificaat met scope en geldigheidsdatum, of een SOC 2 Type II-rapport met bridge letter. Controleer expliciet of de certificatiescope de daadwerkelijk gebruikte dienst en datacenterlocaties dekt. Een certificaat voor "het hoofdkantoor" zegt niets over de cloudomgeving waar jouw ritdata staat.
3. Auditrecht. Een contractueel vastgelegd recht om de beveiliging van de leverancier periodiek te laten beoordelen, los van wat er op papier staat. Je moet kunnen aantonen dat je risico's beoordeelt, eisen stelt en passende afspraken maakt, denk aan beveiligingseisen, auditrechten, incidentafspraken en periodieke controles.
4. Subverwerker-register. Weten welke subverwerkers je TMS-leverancier gebruikt voor hosting, support of koppelingen met PostNL, DPD of bpost. De keten stopt niet bij je directe leverancier, en een incident bij een onderaannemer is net zo relevant als eentje bij de hoofdleverancier zelf.
5. Toegangsbeheer en encryptie. MFA waar passend, least privilege, periodieke review van rechten, en snelle intrekking van toegang bij uitdiensttreding van medewerkers aan beide kanten van de koppeling.
6. Continuïteit (BCP/DR). Hersteltests, concrete RTO/RPO-waarden, en bewijs van back-up- en herstelprocedures die passen bij de maximale uitval die jij operationeel kunt verdragen.
7. Exitplan en dataportabiliteit. Een uitgewerkt exitplan, dataportabiliteit en overdrachtsafspraken, zodat je bij problemen beheerst kunt stoppen of migreren in plaats van vast te zitten.

Welke criteria vaak worden overschat

Drie dingen krijgen in RFP's vaak meer gewicht dan ze verdienen. Ten eerste: een los ISO 27001-logo op de website van de leverancier. Een ISO-certificaat kan een nuttig signaal zijn, maar vervangt geen eigen risicoafweging, contractuele borging en beoordeling van de praktijk. Hetzelfde geldt voor zelfverklaringen: ISO 27001 biedt nog steeds een basis, maar is op zichzelf niet voldoende, want NIS2 vereist een continu proces van inzicht, toetsing en controle.

Ten tweede: dure "AI-security"-features terwijl basiszaken als patchbeleid en MFA niet op orde zijn. Toezichthouders en opdrachtgevers kijken naar het incidentresponsproces, de meldtermijn en het bestaan van responsible disclosure-beleid, niet naar marketingclaims over slimme detectie.

Ten derde: prijs als doorslaggevend criterium bij een parcel- of EDI-koppeling. Een goedkope integratie die geen 24-uurs SLA kan leveren, kost je uiteindelijk meer als je zelf de meldtermijn naar je eigen opdrachtgever mist door late informatie van je leverancier.

Keuzekaart: situatie bepaalt aanpak

Leveranciers langs de criteria

Bij de grote enterprise-spelers zoals Oracle Transportation Management, SAP TM, Manhattan Active en Blue Yonder mag je verwachten dat audit- en certificeringsprocessen aanwezig zijn, maar vraag altijd expliciet naar de scope: een wereldwijd certificaat zegt niets over de specifieke module of regio die jij gebruikt.

Bij mid-market en EU-spelers zoals nShift, Alpega, Transporeon en Cargoson verschilt de volwassenheid van bewijsvoering sterk per aanbieder, ongeacht naam of reputatie in de markt. Stel bij elke kandidaat dezelfde zeven vragen, en laat je niet overtuigen door een logo of testimonial alleen.

Multi-carrier en parcel-tools zoals Sendcloud, ShipStation en EasyPost vallen vaak indirect onder ketenverplichtingen omdat hun klanten zelf NIS2-plichtig zijn. Ook bij deze categorie geldt: dezelfde vragenlijst toepassen, want de omvang van de tool zegt niets over de volwassenheid van het beveiligingsproces erachter.

Checklist: zeven vragen voor je volgende TMS-RFP

Kopieer deze vragen direct in je RFP-sectie beveiliging. Begin met vraag één, nu, niet pas bij de eerstvolgende contractverlenging.

1. Binnen hoeveel uur meldt u een significant incident aan ons, contractueel vastgelegd, niet alleen "zo snel mogelijk"?
2. Kunt u een actueel ISO 27001-certificaat of SOC 2 Type II-rapport overleggen met scope die onze specifieke dienst en datacenterlocaties dekt?
3. Krijgen wij contractueel auditrecht om uw beveiligingsmaatregelen periodiek te laten beoordelen?
4. Kunt u een actueel register van subverwerkers delen, inclusief hostingpartijen en koppelpartners?
5. Hoe is toegangsbeheer ingericht, inclusief MFA, least privilege en periodieke rechtenreview?
6. Wat zijn uw RTO/RPO-waarden, en wanneer is dit voor het laatst getest?
7. Welk exitplan en welke dataportabiliteitsafspraken gelden bij beëindiging van het contract?

Krijg je op een van deze zeven geen concreet antwoord, dan heb je geen reden tot paniek, maar wel een bevinding voor je eigen risicoanalyse die je moet vastleggen voordat je tekent.