Met branded content van Hypernode.nl

Europese en internationale regelgeving rond cyberbeveiliging heeft zich de afgelopen jaren in hoog tempo gestapeld. Voor eigenaren van webshops voelt dat misschien als iets dat vooral grote techbedrijven raakt, maar dat beeld klopt niet meer. De combinatie van de NIS2-richtlijn, de volledig gehandhaafde PCI DSS 4.0-standaard en de aankomende Cyber Resilience Act treft in 2026 ook middelgrote en groeiende onlinewinkels.

Die verschuiving is niet theoretisch. Webshops verwerken betaalgegevens, slaan klantdata op en zijn afhankelijk van digitale toeleveringsketens. Zodra regelgevers die ketens strenger controleren, sijpelen de eisen vanzelf door naar iedere schakel. Een hostingomgeving zonder actuele beveiligingspatches of een verouderd betaalformulier is geen onschuldig detail meer, maar een potentieel nalevingsprobleem.

De technische basis van een webshop begint bij de infrastructuur waarop die draait. Wie kiest voor hosting voor webshops die beveiligingsupdates, firewalls en monitoring standaard aanbiedt, dekt een deel van die verplichtingen af zonder alles zelf te hoeven beheren. Dat onderscheid tussen zelf doen en ontzorging wordt steeds relevanter naarmate de eisen toenemen.

NIS2 raakt de hele digitale keten

De NIS2-richtlijn (EU 2022/2555) is de opvolger van de eerste Europese richtlijn voor netwerk- en informatiebeveiliging uit 2016. De herziene versie is aanzienlijk breder: meer sectoren, meer organisaties en strengere handhaving. EU-lidstaten hadden tot oktober 2024 om de richtlijn in nationale wetgeving om te zetten, maar Nederland haalde die deadline niet.

De Nederlandse Cyberbeveiligingswet, die NIS2 moet omzetten in lokaal recht, is bij het schrijven van dit artikel nog niet definitief aangenomen. Dat uitstel betekent echter niet dat webshophouders achterover kunnen leunen. De richtlijn verplicht organisaties in de digitale keten tot risicoanalyses, incidentmeldingen en technische beveiligingsmaatregelen. Hostingproviders en clouddiensten vallen daar expliciet onder, en zij zullen die eisen contractueel doorvertalen naar hun klanten.

Voor een webshophouder die gebruikmaakt van managed hosting voor webshops betekent dit concreet: controleer of je hostingpartij aantoonbaar voldoet aan de verwachte NIS2-verplichtingen. Bepaalde partijen, die beveiligingsupdates en een Web Application Firewall standaard meenemen, dekken een deel van die keten af. Maar de verantwoordelijkheid voor de eigen applicatielaag, denk aan extensies, wachtwoordbeleid en toegangsbeheer, blijft bij de ondernemer zelf.

PCI DSS 4.0 laat geen ruimte meer voor uitstel

Waar NIS2 een Europese richtlijn is die nog op nationale implementatie wacht, is PCI DSS 4.0 al volledig van kracht. Sinds 31 maart 2025 zijn alle nieuwe vereisten van deze betaalbeveiligingsstandaard verplicht voor organisaties die kaartbetalingen verwerken. De overgangsperiode is voorbij.

Versie 4.0 bevat aangescherpte regels rondom authenticatie, monitoring van betaalpagina’s en het detecteren van ongeautoriseerde scripts. Dat laatste punt is bijzonder relevant voor webshops die werken met externe integraties op hun afrekenomgeving. Elke JavaScript-snippet die op een betaalpagina draait, moet geautoriseerd en gemonitord zijn.

In de praktijk blijkt dat veel webshophouders afhankelijk zijn van hun payment service provider voor PCI-compliance, zonder precies te weten waar de verantwoordelijkheid van die provider stopt en die van henzelf begint. Die grens is niet altijd scherp. Wie een eigen checkout host in plaats van een volledig gehoste betaaloplossing, draagt aanzienlijk meer verantwoordelijkheid voor naleving.

De Cyber Resilience Act nadert

Bovenop NIS2 en PCI DSS 4.0 komt de Cyber Resilience Act, die de Europese Unie in 2024 heeft aangenomen. Deze verordening richt zich op producten met digitale elementen en stelt eisen aan de beveiliging gedurende de hele levenscyclus van een product. De volledige toepassing wordt verwacht rond 2027.

Voor webshops is de CRA indirect relevant. De software en plugins die zij gebruiken, van e-commerceplatforms tot betaalmodules, moeten op termijn aan deze eisen voldoen. Ontwikkelaars en softwareleveranciers krijgen de verplichting om kwetsbaarheden actief te monitoren en tijdig te verhelpen. Dat zou op langere termijn de veiligheid van het hele ecosysteem moeten verbeteren.

Wat dit betekent voor de dagelijkse praktijk

De stapeling van regels dwingt webshophouders om cyberbeveiliging structureel in te bedden in hun bedrijfsvoering. Dat begint bij de keuze voor een hostingomgeving die meegroeit met regelgeving, maar het stopt daar niet. Toegangsbeheer, updatebeleid voor extensies en een plan voor incidentrespons zijn stuk voor stuk onderdelen die aandacht vragen.

Opvallend is dat de kosten van niet-naleving fors kunnen oplopen. Onder NIS2 kunnen boetes voor essentiële entiteiten oplopen tot tien miljoen euro of twee procent van de wereldwijde omzet. Zelfs als een individuele webshop niet rechtstreeks als essentiële entiteit wordt geclassificeerd, kan een beveiligingsincident leiden tot reputatieschade, verlies van klantvertrouwen en contractuele aansprakelijkheid richting partners in de keten.

De realiteit is dat e-commercebeveiliging geen project is met een einddatum. Het is een doorlopend proces dat meeschuift met nieuwe dreigingen en nieuwe regels. Ondernemers die dat proces voor een deel uitbesteden aan gespecialiseerde hosting voor webshops, winnen tijd om zich op hun kernactiviteit te richten. Maar de eindverantwoordelijkheid voor klantdata en compliance blijft altijd bij de ondernemer zelf liggen.