← Alle artikelen

NIS2 België: valt uw webshop onder de NIS2-wet?

Gepubliceerd op 19 oktober 2026 · 8 min lezen · CyberNovaLabs.io

Een Belgische webshop die eigen producten verkoopt, valt bijna nooit onder NIS2. Een marktplaats wel: als belangrijke entiteit, die zich al op 18 december 2024 bij het CCB moest registreren, drie maanden eerder dan de rest. Wat geldt, wat niet, en wat uw klanten toch zullen vragen.

Het korte antwoord

Voor de meeste Belgische webshops is het antwoord nee: NIS2 geldt niet voor een webshop die eigen producten verkoopt. De richtlijn viseert niet "online verkoop" in het algemeen, maar drie specifieke digitale diensten: onlinemarktplaatsen, onlinezoekmachines en socialenetwerkplatformen^[1][9]. Uw eigen schoenen, onderdelen of cosmetica verkopen via uw eigen site maakt u geen marktplaats: u brengt geen kopers en externe verkopers samen.

Twee uitzonderingen raken een groot deel van de sector. Eén: verkopen er derden via uw platform, dan bent u een onlinemarktplaats en dus een belangrijke entiteit vanaf 50 werknemers of 10 miljoen euro omzet. Twee: ook buiten het toepassingsgebied krijgt u vragen van klanten die er wél onder vallen. Dat is vandaag het echte thema in de Belgische B2B-e-commerce.

Valt u eronder? Vier vragen

Op volgorde. Twee keer nee op de eerste twee vragen haalt u uit het directe toepassingsgebied.

1. Verkopen derden via uw site? Dat is de beslissende toets. Een marktplaats brengt kopers samen met verkopers die u niet zelf bent. Een merksite met 40.000 artikelen en dropshipping blijft een verkoper die verkoopt.
2. Hebt u meer dan 50 werknemers, of meer dan 10 miljoen euro omzet en 10 miljoen balanstotaal? Daaronder valt een marktplaats in principe buiten het toepassingsgebied op grond van de omvang, behoudens aanwijzing^[1].
3. Ligt uw hoofdvestiging in België? Bij digitale diensten volgt de bevoegdheid niet uw klanten: het land van de hoofdvestiging bepaalt de bevoegde autoriteit^[2]. Een marktplaats waarvan de leiding en de beveiligingsbeslissingen in Gent zitten, valt onder het CCB, ook al komt 70% van de omzet uit Frankrijk.
4. Hebt u nog een andere activiteit uit de lijst? Veel e-commercebedrijven rijden ook met een eigen vloot, exploiteren een warehouse voor derden of verkopen hosting door. Die activiteiten hebben hun eigen drempels, en zo komt het toepassingsgebied er doorgaans binnen.

NIS2 België e-commerce: wat de wet van 26 april 2024 vraagt

In België is NIS2 geen richtlijn op afstand gebleven: ze is omgezet door de wet van 26 april 2024, van toepassing sinds 18 oktober 2024^[1][2]. De bevoegde autoriteit is het Centrum voor Cybersecurity België (CCB), niet de Gegevensbeschermingsautoriteit, die de AVG blijft behandelen. Binnen het toepassingsgebied gelden vier blokken verplichtingen.

• Registreren bij het CCB. Dat is een aangifte, geen audit, en het is de voorwaarde voor al het andere: zolang u niet geregistreerd bent, staat u niet op de lijsten van de autoriteit en ontvangt u haar waarschuwingen niet^[3].
• Maatregelen voor risicobeheer invoeren. Het CCB heeft zijn eigen kader, CyberFundamentals (CyFun®), met de niveaus Small, Basic, Important en Essential en een gratis zelfevaluatietool^[6]. Dat is een nuttig Belgisch kenmerk: in plaats van algemene aanbevelingen krijgt u een meetbare set maatregelen en een bewijspad.
• Significante incidenten in drie stappen melden: vroegtijdige waarschuwing binnen 24 uur, incidentmelding binnen 72 uur, eindrapport uiterlijk één maand na de melding^[4]. De valkuil voor e-commerce: een datalek met klantgegevens zet twee klokken in gang, die van het CCB en die van de AVG, 72 uur naar de Gegevensbeschermingsautoriteit^[10]. Twee bestemmelingen, twee dossiers, één incident.
• Verantwoordelijkheid van het bestuur. De boetes gaan tot 10 miljoen euro of 2% van de totale wereldwijde jaaromzet voor een essentiële entiteit, en tot 7 miljoen of 1,4% voor een belangrijke entiteit, waarbij het hoogste bedrag geldt^[5]. Een marktplaats is in principe een belangrijke entiteit, dus geldt het tweede plafond.

De deadline van 18 december 2024: e-commerce was eerst aan de beurt

Dit is het Belgische detail dat vrijwel niemand in de sector heeft zien passeren. De registratiekalender van het CCB was niet voor iedereen gelijk: essentiële en belangrijke entiteiten hadden tot 18 maart 2025, maar een korte lijst — aanbieders van cloudcomputingdiensten, onlinemarktplaatsen, zoekmachines en socialenetwerkplatformen — moest al op 18 december 2024 geregistreerd zijn^[2]. Drie maanden eerder, en midden in Black Friday en de kerstperiode: de slechtste week van het jaar voor een e-commerceteam.

Staat u in rij twee of drie en bent u niet geregistreerd, dan loopt de achterstand op naar twee jaar. Registreren kan nog altijd, en het is de eerste stap, nog voor elke technische maatregel. Dezelfde logica voor uw technische leveranciers staat in onze gids over NIS2 in België voor softwarebedrijven en IT-dienstverleners; verkoopt u ook vanuit het Groothertogdom, dan liggen de criteria anders, zie NIS2 en e-commerce in Luxemburg.

Buiten het toepassingsgebied, maar ingehaald door de keten

Hier wordt de webshop die "niet onder NIS2 valt" opnieuw betrokken partij, via het contract in plaats van via de wet. NIS2 verplicht entiteiten binnen het toepassingsgebied om de beveiliging van hun leveranciers te beheersen. Het praktische gevolg voor een Belgisch e-commercebedrijf dat levert aan ziekenhuizen, industrie, gemeenten of vervoerders: de beveiligingsvragenlijst komt, en die beantwoorden is een voorwaarde om leverancier te blijven. Een kort "NIS2 geldt niet voor ons" is genoeg om uit een aanbesteding te vallen.

De tweede invalshoek is geld, en daar komt geen richtlijn bij kijken. Febelfin registreerde in 2025 93 miljoen euro die via phishing werd buitgemaakt^[8]: het nabootsen van een webshop, een orderbevestiging of een betaalpagina hoort bij dat mechanisme. Een domein met SPF, DKIM en DMARC, een back office achter tweestapsverificatie en een vaste procedure voor gewijzigde bankgegevens van leveranciers kosten minder dan één omgeleide betaling. Is Brussel uw markt en werkt u tweetalig, dan legt onze pagina B2B-afspraken laten maken in Brussel uit hoe deze argumenten in gekwalificeerde afspraken omgezet worden.

De eerste vijf acties

1. Leg de kwalificatie schriftelijk vast, op één pagina. Exacte activiteit, externe verkopers ja of nee, personeelsbestand, omzet, balanstotaal, land van de hoofdvestiging, andere activiteiten uit de lijst. Gedateerd en ondertekend door de leiding: dit is het document dat u overhandigt als het CCB of een klant het vraagt^[1].
2. Bent u een marktplaats of cloudaanbieder: registreer u deze week bij het CCB. Het is de eenvoudigste en meest zichtbare verplichting, en de deadline is op 18 december 2024 verstreken^[2].
3. Doe de CyFun-zelfevaluatie op niveau Basic en houd de tekorten bij in een tabel met een eigenaar en een datum^[6]. Buiten het toepassingsgebied is dat het beste voorgevulde antwoord op de vragenlijsten van uw klanten.
4. Schrijf de incidentprocedure met beide klokken — 24 en 72 uur naar het CCB, 72 uur naar de Gegevensbeschermingsautoriteit bij persoonsgegevens — en zet er een naam in die op zondag bereikbaar is. Een webshop valt uit in het weekend, niet op dinsdagochtend.
5. Zet tweestapsverificatie aan op de back office, het CMS, de betaalprovider, het DNS en de accounts van leveranciers, en schakel de accounts van vertrekkende leveranciers uit op de dag van vertrek.

Bij CyberNovaLabs.io

CyberNovaLabs.io werkt met mkb-bedrijven in Nederland, België, Frankrijk en Luxemburg. Op dit onderwerp doen wij drie dingen: de NIS2-kwalificatienota van één pagina, de CyFun-zelfevaluatie met een tekortenplan, en een herbruikbaar antwoordenpakket voor beveiligingsvragenlijsten van klanten. Onze gratis tools en onze pagina cyberbeveiliging beschrijven de methode; opdrachten gaan op aanvraag met prijsopgave.

Uw NIS2-kwalificatie en uw klantvragenlijsten doornemen

Bronnen

1. CCB — NIS2 : champ d'application
2. CCB — FAQ NIS2 (PDF, FR, v2.0.1)
3. CCB — NIS2 obligations
4. CCB — La notification des incidents NIS2
5. CCB — Administrative measures and fines under NIS2
6. Safeonweb@work — FAQ NIS2 et CyberFundamentals (CyFun)
7. Becom — Rapport annuel sur le commerce electronique en Belgique
8. Febelfin — Rapport annuel 2025 (PDF)
9. Directive (UE) 2022/2555 (NIS2)
10. RGPD — Reglement (UE) 2016/679, article 33

Lees ook