Vorige week kreeg Marieke, die vanuit Deventer een webshop in fietsaccessoires voor kinderen runt, een onverwacht mailtje van haar hostingpartij. Of ze een vragenlijst wilde invullen over haar digitale beveiliging, met het oog op “de nieuwe cyberbeveiligingswet”. Marieke had er nog nooit van gehoord. Ze staat daarin niet alleen.
Een wet voor de grote spelers
Vanaf 15 augustus 2026 is de Cyberbeveiligingswet van kracht, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Op 7 juli nam de Eerste Kamer het wetsvoorstel aan, en daarmee kreeg cyberbeveiliging voor het eerst een stevige juridische basis buiten de grote infrastructuur om. De wet verplicht ruim 8.000 Nederlandse organisaties tot een zorgplicht, een meldplicht bij incidenten en registratie bij de toezichthouder. Het gaat vooral om bedrijven in kritieke sectoren zoals energie, zorg en digitale infrastructuur, en om middelgrote of grote onlinemarktplaatsen en platforms. Een gemiddelde eenmanszaak met een webshop valt in beginsel buiten die kring: de wet richt zich primair op organisaties met meer dan vijftig werknemers of een jaaromzet boven de tien miljoen euro.
Waarom de kleine webwinkelier toch een mailtje krijgt
Daarmee is het verhaal voor kleinere webshops niet meteen afgelopen. Bedrijven die wel onder de wet vallen, moeten aantonen dat ook hun leveranciers digitaal weerbaar zijn, en een webwinkel is voor een groot bedrijf al snel een schakel in die keten. Denk aan een webshop die producten levert aan een ziekenhuis, of aan een verkoper die via een grote marktplaats werkt. Schattingen lopen uiteen, maar tussen de 50.000 en 100.000 mkb-bedrijven krijgen naar verwachting op deze indirecte manier met de gevolgen te maken. Vandaar de vragenlijst die bij Marieke op de mat viel: niet omdat haar webshop zelf onder de wet valt, maar omdat haar hostingpartij dat wel doet en verantwoording moet afleggen over de eigen toeleveranciers.
Wanneer valt een webshop wel rechtstreeks onder de wet
Voor de meeste zelfstandige webwinkeliers blijft directe toepassing dus theorie. Alleen wie uitgroeit tot een middelgroot of groot platform, met een eigen marktplaatsfunctie of een fors personeelsbestand, komt in beeld als zogeheten digitale aanbieder en krijgt dan zelf te maken met zorgplicht en meldplicht. Voor de doorsnee webshop is dat een ver van mijn bed scenario, al is het geen kwaad om het in de gaten te houden bij snelle groei.
Wat een webwinkelier nu al kan doen
Ook zonder wettelijke verplichting is het verstandig de basis op orde te hebben. Actuele software, sterke wachtwoorden en waar mogelijk tweestapsverificatie zijn geen overbodige luxe, zeker niet nu klanten en zakenpartners steeds vaker vragen stellen over digitale veiligheid. Hetzelfde geldt voor een heldere en actuele privacyverklaring, die klanten laat zien hoe er met hun gegevens wordt omgegaan. Zulke praktische stappen dragen ook bij aan het vertrouwen dat bezoekers in een webshop stellen, en dat merk je terug in de kassa. Wie wil weten hoe de eigen webshop scoort op dit soort wettelijke en praktische verplichtingen, kan de gratis zelftest van Webshop Keurmerk invullen. Bij aanmelding via keurmerk.info wordt onder meer gekeken of dit soort zaken op orde is, en het keurmerk is erkend door de Consumentenbond. Marieke vulde de vragenlijst van haar hostingpartij inmiddels netjes in. Een kwartiertje werk, zei ze achteraf, voor iets waarvan ze niet had gedacht dat het haar ooit zou raken.
Recente reacties