Cyberbeveiligingswet per 15 augustus van kracht: dit betekent het voor webwinkels

Vanaf 15 augustus geldt in Nederland de Cyberbeveiligingswet, de nationale uitwerking van de Europese NIS2 richtlijn. Voor de meeste kleine en middelgrote webwinkels verandert er op papier weinig, want de wet richt zich vooral op zogeheten essentiële en belangrijke entiteiten: organisaties met meer dan vijftig medewerkers of een jaaromzet boven de tien miljoen euro, actief in kritieke sectoren zoals energie, zorg, digitale infrastructuur en delen van de logistiek. Toch doen ondernemers er goed aan de wet niet meteen weg te wuiven.

Wie valt er wel onder de wet

Organisaties die wel onder de wet vallen krijgen een zorgplicht voor hun netwerk en informatiesystemen, plus een meldplicht bij ernstige incidenten. In veel gevallen moet een eerste melding al binnen 24 uur bij de toezichthouder liggen, gevolgd door een uitgebreidere rapportage. Denk aan energiebedrijven, ziekenhuizen, grote clouddiensten en, afhankelijk van de omvang, ook grotere retailers en marktplaatsen.

Indirect effect via de keten

Wie zelf niet onder de wet valt, kan er alsnog mee te maken krijgen. Bedrijven die wel gebonden zijn aan de Cyberbeveiligingswet leggen die verplichtingen namelijk vaak door aan leveranciers en partners, via inkoopvoorwaarden of aanvullende contractafspraken. Een webwinkel die producten levert aan een grotere retailer, of die verkoopt via een marktplaats die zelf wel onder de wet valt, kan dus gevraagd worden om aan te tonen dat de basis op orde is: sterke wachtwoorden, actuele software en een plan voor als het toch misgaat.

Klanten verwachten toch al veiligheid

Brancheorganisatie Thuiswinkel.org wijst leden erop dat de verwachting van klanten sowieso al hoog ligt, wet of geen wet. Een webwinkel die slordig omgaat met klantgegevens, of die na een datalek geen duidelijkheid geeft, verliest sneller vertrouwen dan een winkel die vooraf laat zien dat de basis op orde is. Voor een kleinere online winkel is dat vertrouwen vaak het enige onderscheidende vermogen ten opzichte van een groot platform.

Wat een webwinkel nu al kan doen

Zonder dat de wet dat afdwingt, is het verstandig om nu vast een paar dingen op orde te brengen. Zorg dat inloggegevens van het CMS en de webshopsoftware uniek en sterk zijn, laat updates en plug-ins niet te lang liggen, en leg intern vast wie er verantwoordelijk is als er iets misgaat. Wie op een groot platform verkoopt of voor een grotere partij levert, doet er goed aan alvast te informeren of daar aanvullende eisen aankomen. Zo voorkom je dat de Cyberbeveiligingswet dit najaar alsnog voor verrassingen zorgt, ook al staat je eigen bedrijf niet op de lijst met verplichte partijen.

Voor de meeste eigenaren van een webwinkel blijft het dus vooral een kwestie van gezond verstand en een beetje voorwerk. Een wachtwoordmanager voor het team, tweestapsverificatie op de belangrijkste accounts en een back-up die daadwerkelijk regelmatig getest wordt, dat zijn maatregelen die weinig kosten en veel ellende voorkomen. Wie twijfelt of een grotere klant of platform binnenkort met extra vragen komt, kan dat gewoon navragen. Beter nu een half uur besteden aan die vraag dan in oktober alsnog haastwerk moeten leveren omdat een contract plotseling wordt aangepast.