Cyberbeveiligingswet definitief van kracht: dit verandert er voor webwinkels
Sinds 15 augustus is de Cyberbeveiligingswet van kracht, de Nederlandse vertaling van de Europese NIS2 richtlijn. Voor de meeste webwinkeliers klinkt dat als iets voor grote bedrijven met een eigen IT afdeling. Toch is dat maar de helft van het verhaal. De wet raakt in eerste instantie een beperkte groep organisaties rechtstreeks, maar werkt via de achterdeur ook door bij kleinere ondernemers die daar zaken mee doen.
Wie valt er rechtstreeks onder de wet
Volgens het Nationaal Cyber Security Centrum en Ondernemersplein.nl gelden de nieuwe verplichtingen vanaf nu voor ruim achtduizend organisaties in sectoren die de overheid als kritiek of belangrijk beschouwt. Denk aan energie, zorg, transport en digitale infrastructuur. Ook grotere aanbieders van digitale diensten, zoals grote onlinemarktplaatsen en clouddiensten, kunnen eronder vallen. Een gemiddelde eenmanszaak met een webshop op Shopify of WooCommerce hoort daar in de regel niet bij. De omvang van de organisatie is namelijk vaak bepalend: pas vanaf een bepaalde bedrijfsgrootte gelden de zwaarste eisen. Bedrijven die twijfelen of ze onder de wet vallen, kunnen dat navragen bij de eigen toezichthouder of via de checklijst van het NCSC.
En als je webwinkel klein is
Hier wordt het interessant voor de gemiddelde lezer van deze site. De wet legt organisaties die er wel onder vallen namelijk ook een verantwoordelijkheid op voor hun eigen toeleveringsketen. Werk je als webwinkel met een groter bedrijf dat wel binnen de reikwijdte van de Cyberbeveiligingswet valt, bijvoorbeeld als leverancier, fulfilmentpartner of dienstverlener, dan kan die partij vragen gaan stellen over hoe jij met beveiliging omgaat. Branchekenners schatten dat de wet zo indirect tienduizenden mkb bedrijven raakt, ook al staan die zelf niet op de lijst met aangewezen sectoren.
Wat er in de praktijk van je gevraagd kan worden
Organisaties die wel onder de wet vallen, moeten een risicoanalyse maken, passende beveiligingsmaatregelen nemen en incidenten binnen een vaste termijn melden. Ze moeten bovendien kunnen aantonen dat hun leveranciers geen zwakke schakel vormen. In de praktijk kan dat betekenen dat een groter platform of een logistiek partner je een vragenlijst stuurt over wachtwoordbeleid, updates of wie er bij welke systemen kan. Niet iets om van te schrikken, wel iets om niet te negeren als het op je pad komt. Wie zo’n vraag krijgt en niets kan overleggen, loopt het risico een opdracht of samenwerking mis te lopen, simpelweg omdat de grotere partner zelf verantwoording moet afleggen.
Wat je nu al kunt doen
Het loont om nu al na te gaan of je zakelijk werkt met een partij die onder de nieuwe wet valt, en zo ja, welke informatie die van je zou kunnen verwachten. Los daarvan is de basis op orde hebben nooit weg: software actueel houden, sterke wachtwoorden met tweestapsverificatie, regelmatige back-ups en een idee van wie er toegang heeft tot je webwinkel en boekhoudpakket. Wie dat al op orde heeft, hoeft van de Cyberbeveiligingswet weinig te vrezen. Wie het nog moet regelen, heeft er nu in elk geval een concrete reden bij.