NIS2 webshop: geldt de Cyberbeveiligingswet voor jou?

Sinds 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) in Nederland van kracht. De Eerste Kamer nam de wet op 7 juli 2026 aan. Dat is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De vraag die webshopeigenaren ons stellen is simpel: moet ik hier iets mee?

Het eerlijke antwoord: de meeste gewone webshops vallen er niet rechtstreeks onder. Maar er zijn drie uitzonderingen. En ook als je er niet onder valt, merk je de wet waarschijnlijk toch.

Dit is geen juridisch advies. Wij zijn developers, geen juristen. Controleer je situatie bij de officiële bronnen (NCSC, Rijksoverheid, KvK) of een jurist.

Wat is de stand van zaken?

• Aangenomen: de Eerste Kamer stemde op 7 juli 2026 in met de Cyberbeveiligingswet.
• In werking: 15 augustus 2026, tegelijk met de Wet weerbaarheid kritieke entiteiten (Wwke).
• Registratie: organisaties die eronder vallen moeten zich aanmelden bij het NCSC. De exacte aanmeldtermijn en procedure verschillen per bron. Check die op ncsc.nl.
• Toezicht: per sector een eigen toezichthouder. Niet alle toezichthouders zijn al bekend, zegt de KvK. Voor ICT-bedrijven is dat de Rijksinspectie Digitale Infrastructuur (RDI).

Cijfers over het aantal organisaties of boetebedragen laten we hier weg. Die verschillen per bron en veranderen nog. Zoek ze op bij de NCSC of NCTV.

Valt jouw webshop eronder? Drie vragen

De wet werkt met drie filters. Je moet door alle drie heen om eronder te vallen.

1. Zit je in een aangewezen sector?

NIS2 kent "zeer kritieke" sectoren (energie, transport, bankwezen, zorg, digitale infrastructuur) en "kritieke" sectoren. Onder die tweede groep staan onder meer post, afvalbeheer, productie van bepaalde producten, voedselproductie en distributie, en digitale aanbieders.

Een webshop die gewoon eigen producten verkoopt, is geen sector uit die lijst. Retail als zodanig staat er niet in. Dat is de belangrijkste reden dat de meeste webshops buiten de boot vallen.

2. Ben je een online marktplaats?

Onder digitale aanbieders noemt NIS2 online marktplaatsen, zoekmachines en socialenetwerkplatforms. Bij de richtlijn gaat het om platforms waarop consumenten en andere handelaren onderling overeenkomsten op afstand kunnen sluiten.

In de praktijk betekent dat:

• Je verkoopt eigen assortiment: vermoedelijk geen online marktplaats.
• Je laat externe verkopers hun producten aanbieden en de transactie afsluiten via jouw platform: dan zit je mogelijk wel in de definitie.
• Je bent een Magento-multivendor-shop of een Shopify-marktplaats-opzet: toets dit bij een jurist.

Wij hebben de definitie in de Cbw zelf niet getoetst aan jouw specifieke situatie. Lees de definitie in de wettekst en de NCSC-uitleg voordat je een conclusie trekt.

3. Ben je groot genoeg?

De wet richt zich in de regel op middelgrote en grote organisaties. De KvK noemt als vuistregel: minimaal 50 medewerkers en meer dan 10 miljoen euro jaaromzet. De Europese maatstaf kijkt strikt genomen naar medewerkers en omzet of balanstotaal, en naar partner- en verbonden ondernemingen.

Twee kanttekeningen:

• Sommige aanbieders vallen ongeacht omvang onder de wet, zoals DNS-diensten, domeinnaamregistratie en vertrouwensdiensten.
• Een minister kan ook kleinere organisaties aanwijzen.

Let op: dit is een indicatie, geen uitspraak. Eén activiteit in een aangewezen sector is soms al genoeg.

De echte impact: je klanten vallen er wel onder

Dit is het deel dat niemand je vertelt. De Cbw verplicht organisaties om hun toeleveringsketen te beveiligen. Dat betekent dat jouw B2B-klanten, als zij eronder vallen, hun leveranciers gaan bevragen.

Ben je leverancier van een zorginstelling, energiebedrijf, vervoerder of grote fabrikant? Dan kun je vragen verwachten als:

• Heb je ISO 27001 of een vergelijkbaar framework?
• Gebruik je tweefactorauthenticatie voor beheerders?
• Hoe snel installeer je beveiligingsupdates?
• Hoe zien je backups en herstelplan eruit?
• Doe je pentests?
• Hoe train je medewerkers op phishing?

De KvK noemt deze onderwerpen zelf als voorbeelden. De eisen verschillen per klant. Zo'n vragenlijst is dus geen wettelijke eis aan jou, maar wel een commerciële. Een slecht antwoord kost je een contract.

Dit speelt vooral bij:

• B2B-webshops en bestelportalen voor zakelijke klanten
• Punch-out-koppelingen met inkoopsystemen
• Shops die persoonsgegevens of orderdata van grote organisaties verwerken

Wat vraagt de wet van organisaties die eronder vallen?

Voor wie wel onder de wet valt, draait het om drie dingen.

Zorgplicht en beveiligingsmaatregelen

Je moet je risico's in kaart brengen en passende maatregelen nemen. De maatregelen moeten in verhouding staan tot het risico. Denk aan risicoanalyse, toegangsbeheer, back-ups, personeelstraining, incidentbeheer en beveiliging van de toeleveringsketen. Een deel van de verantwoordelijkheid ligt bij het bestuur.

Meldplicht

Een ernstig incident meld je bij het NCSC. Het schema volgens de NCSC-infosheet en NIS2:

Voor sommige groepen gelden afwijkende termijnen. Trust service providers melden bijvoorbeeld sneller. Controleer de termijn voor jouw categorie.

Let op het verschil met de AVG. Een datalek meld je (indien nodig) bij de Autoriteit Persoonsgegevens binnen 72 uur. Dat is een apart traject. Meer over de privacykant lees je in GDPR voor e-commerce in 2026.

Aanmelden en toezicht

Je meldt je aan bij het NCSC. Daarna kan een toezichthouder controleren en handhaven. Boetes en maatregelen zijn onderdeel van het toezicht. Zoek de actuele bedragen op via de officiële bronnen, wij noemen ze hier niet.

Praktische stappen voor elke webshop

Ook als je er niet onder valt, is dit een prima lijst. Het is grotendeels gewoon goede basishygiëne. En je hebt het nodig zodra een grote klant een vragenlijst stuurt.

Checklist:

• [ ] Stel vast of je eronder valt. Schrijf op waarom wel of niet. Sector, omvang, marktplaatsfunctie. Bewaar die onderbouwing.
• [ ] Doe een risicoanalyse. Welke systemen zijn bedrijfskritisch? Wat gebeurt er als je shop 3 dagen plat ligt?
• [ ] Patch structureel. Houd een vast ritme voor core, modules en server. Hoe je dat inricht staat in onze Magento 2 updatestrategie.
• [ ] Beperk toegang. Tweefactorauthenticatie op admin, hosting, Git, e-mail en payment-dashboards. Geen gedeelde accounts. Verwijder oud personeel direct.
• [ ] Maak een incidentproces. Wie beslist? Wie belt wie? Wie meldt waar? Test het één keer per jaar op papier.
• [ ] Regel back-ups en herstel. Een back-up die je nooit hebt teruggezet, is een aanname. Test een restore.
• [ ] Breng leveranciers in kaart. Hosting, payment, ERP, extensies, agency. Wie heeft toegang tot wat? Wat staat er in het contract over beveiliging en meldingen?
• [ ] Hard je platform. Bij Magento begin je met onze Magento 2 security checklist.
• [ ] Leg alles vast. Beleid, besluiten, testresultaten. Een auditor of klant wil bewijs, geen verhalen.

Per onderdeel kost dit weinig tijd. Het gaat om volgehouden discipline, niet om één grote investering.

Wat dit niet is

Een paar misverstanden die we horen:

• "NIS2 is een certificaat." Nee. Er bestaat geen "NIS2-certificaat". ISO 27001 helpt als bewijs, maar is geen wettelijke vereiste.
• "Mijn hostingpartij regelt dit." Hosting regelt een deel. Applicatie, toegang en processen blijven van jou.
• "Ik val er niet onder, dus het gaat me niet aan." Je klanten en verzekeraars kijken mee. Contractueel kan het alsnog gelden.

Wil je weten hoe wij naar beveiliging kijken in webshops? Lees de securitypagina.

Veelgestelde vragen

Moet mijn webshop zich registreren bij het NCSC?

Alleen als je onder de Cbw valt. Een gewone webshop met eigen assortiment valt waarschijnlijk niet onder een aangewezen sector. Een online marktplaats van voldoende omvang mogelijk wel. Controleer je positie bij het NCSC of een jurist, en let op de actuele aanmeldtermijn.

Is mijn webshop een online marktplaats volgens NIS2?

Waarschijnlijk alleen als externe handelaren via jouw platform overeenkomsten met klanten sluiten. Verkoop je alleen je eigen producten, dan is dat vermoedelijk niet zo. Twijfel je? Toets de definitie in de wet of vraag een jurist. Wij kunnen die toets niet voor je doen.

Moet ik een datalek binnen 24 uur melden?

Dat is een mix van twee regimes. Onder de Cbw geldt een vroegtijdige waarschuwing binnen 24 uur voor ernstige incidenten, maar alleen als je eronder valt. Onder de AVG geldt een meldplicht van 72 uur bij de Autoriteit Persoonsgegevens voor datalekken met risico voor personen. Beide kunnen tegelijk spelen.

Mijn klant stuurt een NIS2-vragenlijst. Moet ik die invullen?

Wettelijk hoef je dat meestal niet, tenzij je zelf onder de wet valt of het in je contract staat. Commercieel is het slim om wel te antwoorden. Weigeren kost je vaak de opdracht. Beantwoord eerlijk en onderbouw met bewijs.

Wat kost niet voldoen?

Voor organisaties onder de wet kunnen toezichthouders maatregelen en boetes opleggen. De actuele bedragen en handhavingspraktijk moet je bij de officiële bronnen nagaan. Voor organisaties buiten de wet is het risico vooral zakelijk: een verloren contract of een incident dat je niet kunt afvangen.

Hulp nodig bij de technische kant?

Wil je weten waar je Magento-, Shopify- of Laravel-shop staat op patching, toegang en herstel? Neem contact met ons op. We kijken technisch mee en zeggen eerlijk wat nodig is en wat niet. Juridische toetsing laten we aan een jurist.