← Alle artikelen

NIS2 Nederland: valt uw webshop onder de Cyberbeveiligingswet?

Gepubliceerd op 1 november 2026 · 8 min lezen · CyberNovaLabs.io

De wet richt zich niet op "e-commerce". Hij richt zich op drie digitale diensten, waaronder de onlinemarktplaats. Hier staat de precieze toets, wat u dan moet doen, en wat een webshop buiten de scope alsnog raakt.

Het korte antwoord

Nee, niet voor een gewone webshop. De Cyberbeveiligingswet (Cbw) is op 15 augustus 2026 in werking getreden en stelt eisen aan ruim 8.000 essentiële en belangrijke entiteiten^[1][4]. Maar voor e-commerce noemt bijlage 2 van de wet maar drie soorten digitale aanbieders: aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten^[2]. Eigen producten verkopen via uw eigen site brengt u daar niet onder.

Het omslagpunt is het moment waarop derden bij u gaan verkopen. De Cbw omschrijft een onlinemarktplaats als een dienst die gebruikmaakt van software — een website, een deel van een website of een door of namens een handelaar beheerde applicatie — en die consumenten in staat stelt op afstand overeenkomsten te sluiten met andere handelaren of consumenten^[2]. Het woord dat de knoop doorhakt is "andere". Zolang u de enige verkoper bent, is uw dienst geen marktplaats.

NIS2 Nederland: valt uw webshop eronder? Twee filters

Twee voorwaarden, en ze gelden samen. Beide moeten waar zijn.

Filter 1 — wat voor dienst levert u?

• U verkoopt uitsluitend eigen producten of diensten, al is het voor 40 miljoen euro per jaar: buiten de scope van bijlage 2.
• Derden sluiten via uw omgeving overeenkomsten — marktplaats, B2B-handelsplatform, elk model waarin de derde juridisch de verkoper blijft: binnen de scope, dus toetsen.
• U bouwt, hoost of beheert de webshops van anderen: dan is uw categorie niet "onlinemarktplaats", maar beheer van ICT-diensten, cloud of datacentrum^[2]. Die lijn werken we uit in onze gids over NIS2 voor softwarebedrijven en IT-dienstverleners in Nederland.

Filter 2 — de omvang

Het NCSC verwoordt de Nederlandse omvangseis zo: 50 medewerkers (in fte) of meer; of minder dan 50 medewerkers, maar zowel een jaaromzet als een balanstotaal boven 10 miljoen euro^[5]. Let op het rekenwerk: partner- en verbonden ondernemingen — moederbedrijf, dochters — tellen mee bij medewerkers, omzet en balanstotaal^[5]. Een marktplaats die door beide filters komt, is een belangrijke entiteit en geen essentiële: de digitale aanbieders van bijlage 2 staan niet bij de essentiële entiteiten^[2].

Wat de wet van een marktplaats vraagt

Drie plichten — registreren, maatregelen nemen, melden — en vier instanties die vaak door elkaar worden gehaald.

1. Registreren, en dat twee keer

Er is eerst het nationale entiteitenregister (artikelen 43 tot en met 46 Cbw), dat u vult via MijnNCSC. Daarnaast geldt een plicht die specifiek is voor digitale aanbieders: artikel 47 Cbw verplicht aanbieders van onlinemarktplaatsen om informatie te verstrekken aan het centrale contactpunt ten behoeve van het register van Enisa^[2]. Twee keer aanleveren dus, niet één keer.

Het praktische detail waar iedereen op vastloopt: inloggen op MijnNCSC vraagt eHerkenning op betrouwbaarheidsniveau EH2+ plus een machtiging, gekoppeld aan het KvK-nummer van de organisatie die zich registreert — en die aanvraag kan enkele dagen duren. Het formulier vraagt om publieke IP-adressen of IP-reeksen, domeinnamen en AS-nummers (ASN)^[9].

2. Maatregelen nemen (zorgplicht, artikel 21 Cbw)

Het NCSC vertaalt artikel 21 naar tien maatregelen: risicoanalyse, incidentrespons, bedrijfscontinuïteit met back-ups en herstelplannen, beveiliging van de toeleveringsketen, cyberhygiëne en opleiding, beveiliging van systemen met patchmanagement en een meldpunt voor kwetsbaarheden, personeel-, toegangs- en assetbeheer, authenticatie, cryptografiebeleid, en het periodiek beoordelen van de effectiviteit van uw maatregelen^[8].

Twee punten zijn stelliger dan het Europese gemiddelde. Het NCSC adviseert uitdrukkelijk passkeys (de FIDO2-standaard) in plaats van wachtwoorden, met multifactorauthenticatie op de plekken waar nog wachtwoorden nodig zijn^[8]. En artikel 24 Cbw eist dat de maatregelen worden goedgekeurd door het bestuur, waarbij ieder bestuurslid de kennis en vaardigheden heeft om risico's te identificeren en risicobeheersmaatregelen te beoordelen^[2].

3. Significante incidenten melden

Eén melding op MijnNCSC bereikt in één keer uw sectorale CSIRT én de toezichthouder^[7]. De termijnen tellen vanaf het moment dat u kennis krijgt van het incident.

Kleinere incidenten en bijna-incidenten mag u vrijwillig melden. Zo'n melding gaat alleen naar het CSIRT en niet naar de toezichthouder^[7].

Wie doet wat, en wat kost een overtreding

Dat is de verdeling die het NCSC publiceert voor de sector digitale aanbieders, en de Cbw wijst de minister van Economische Zaken aan als bevoegde autoriteit voor die sector^[6][2]. Sectorspecifieke criteria en meldgrenzen werkt het verantwoordelijke ministerie uit^[13].

De boetes staan in de wet zelf. Voor een belangrijke entiteit: ten hoogste 7 miljoen euro of 1,4% van de totale wereldwijde jaaromzet van de onderneming in het voorgaande boekjaar, waarbij het hoogste bedrag geldt, bij overtreding van de artikelen 21, 21a en 25 tot en met 30; 1 miljoen euro bij een andere overtreding^[2]. En een bepaling die vaak wordt overgeslagen: artikel 93 Cbw maakt het mogelijk een bestuurslid persoonlijk een boete van ten hoogste 25.000 euro op te leggen wegens overtreding van artikel 24, tweede tot en met zesde lid^[2]. Bestuurlijke kennis is hier dus geen papieren eis.

Waarom een webshop er toch mee aan de slag moet

De markt hangt aan te weinig schakels om beveiliging als compliance-onderwerp af te doen. In het eerste halfjaar van 2026 deden Nederlandse consumenten ruim 170 miljoen online aankopen, 3% meer dan een jaar eerder, voor 17,1 miljard euro aan vrijwel gelijkblijvende bestedingen, met een gemiddelde van 100 euro per aankoop, 3% lager^[12]. Twee cijfers wegen zwaarder dan de rest voor uw aanvalsoppervlak: 45% van de aankopen gaat via een smartphone, en iDEAL|Wero is met 73% van het aantal online aankopen het meest gebruikte betaalmiddel^[12]. Een gemanipuleerde afrekenpagina of een overgenomen beheerdersaccount raakt dus precies het kanaal waar uw omzet door loopt.

Nog een cijfer, voor wie over de grens verkoopt: 14% van de online aankopen van Nederlanders gebeurt bij een buitenlandse webshop^[12]. Verkoopt u vanuit Frankrijk of België aan Nederland, dan komen de beveiligingsverwachtingen van uw Nederlandse klanten lang voor de juridische scopevraag — hetzelfde reflex dat we beschrijven in onze gids over prospecteren en B2B-afspraken laten maken in Nederland.

De eerste vijf acties

1. Leg uw status vandaag schriftelijk vast. Eén pagina is genoeg: wat u werkelijk verkoopt, of derden via uw site overeenkomsten sluiten, beide omvangscriteria met de cijfers van dit boekjaar, de datum van de toets en de bron (bijlage 2 Cbw, Staatsblad 2026 nr. 187). Dat is het document dat u bij de volgende klantvragenlijst uit de kast haalt, zonder de analyse opnieuw te doen.
2. Valt u eronder: begin met eHerkenning EH2+, vóór al het andere — dat is de langste doorlooptijd. Verzamel ondertussen uw publieke IP-reeksen, domeinnamen en AS-nummers en doorloop het MijnNCSC-formulier dan in één keer^[9]. Vergeet de tweede aanlevering niet, voor het register van Enisa^[2].
3. Schrijf de procedure van 24 uur / 72 uur / 1 maand uit, met een naam, een achtervang en een telefoonnummer, en loop hem één keer droog door: wie bepaalt dat een incident "significant" is, wie meldt op MijnNCSC, wie informeert klanten en verkopers.
4. Zet uw beheeraccounts over op passkeys — backoffice, hosting, DNS, verzendmailbox, account bij uw betaaldienstverlener — en publiceer een adres waar kwetsbaarheden gemeld kunnen worden. Het NCSC vraagt beide expliciet^[8].
5. Leg uw leveranciers het vuur aan de schenen. Hostingpartij, e-commercebureau, PSP, vervoerder: wie van hen valt zelf onder de Cbw, hoe snel melden zij een incident aan u, en wat staat daarover in het contract? Dat is precies maatregel 4 van de zorgplicht^[8].

Bij CyberNovaLabs.io

Wij beginnen altijd bij de scopevraag, omdat een schriftelijk antwoord een halve dag kost en maanden onnodige compliance voorkomt. Voor een eerste indruk gebruikt u onze gratis NIS2-check en daarna de landpagina NIS2 in Nederland, met instanties, deadlines en sectoren op één plek. Komt de druk van een klant en niet van een toezichthouder, dan heeft u eerder onze beveiligingsvragenlijst voor leveranciers nodig. En zit het knelpunt in de werklast, kijk dan naar ons aanbod AI en automatisering voor uw bedrijf.

Wij werken in Nederland, België, Frankrijk en Luxemburg, in het Nederlands, Frans en Engels — ook voor afspraken in Amsterdam en Rotterdam. Vertel ons uw model — eigen verkoop, marktplaats of beide — en u krijgt een schriftelijke, onderbouwde positie die u aan een klant kunt voorleggen. Vertel ons over uw situatie.

Bronnen

1. NCSC — Cyberbeveiligingswet (NIS2)
2. Cyberbeveiligingswet, texte en vigueur depuis le 15-08-2026 (wetten.overheid.nl)
3. Staatsblad 2026, 187 — Cyberbeveiligingswet (loi du 8 juillet 2026)
4. Rijksoverheid — Cyberbeveiligingswet et Wet weerbaarheid kritieke entiteiten en vigueur au 15 août 2026
5. NCSC — Valt mijn organisatie onder de Cyberbeveiligingswet (NIS2)?
6. NCSC — Toezicht op de Cyberbeveiligingswet: hoe zit dat?
7. NCSC — Meld incidenten onder de Cyberbeveiligingswet (meldplicht)
8. NCSC — Zorgplicht: de tien maatregelen van artikel 21 Cbw
9. NCSC — Registreer jouw organisatie (MijnNCSC, eHerkenning EH2+)
10. RDI — NIS2-zelfevaluatie (regelhulpen voor bedrijven)
11. ACM — Handreiking Digital Services Act voor webwinkels en marktplaatsen
12. Thuiswinkel.org / NielsenIQ — Thuiswinkel Markt Monitor, premier semestre 2026
13. NCTV — Sectorspecifieke informatie Cyberbeveiligingswet

Lees ook