Websiteveiligheid voor ondernemers: wat je echt moet regelen

Een veilige bedrijfswebsite hangt niet af van dure software. Het gaat om een handvol vaste afspraken: een versleutelde verbinding (HTTPS), software die bijgewerkt blijft, een back-up die je echt kunt terugzetten, een beschermde domeinnaam en zuinig omgaan met de gegevens van je klanten. Daarbij moet duidelijk zijn wie wat doet: jij, je webbouwer of je hostingpartij. In dit artikel lees je per onderdeel wat het betekent, hoe je het controleert en welke regels er in Nederland gelden. We houden het nuchter, zonder vaktaal waar dat niet nodig is.

Sneleenwebsitenodig

Kies een website die je eerst ziet

Durfmakers bouwt websites op maat en laat ze eerst op een testadres zien, zodat je kunt beoordelen of je de site wilt houden.

Bekijk hoe het werkt

Kort samengevat

HTTPS is de basis. Zonder slotje in de adresbalk zetten browsers bij je site de waarschuwing 'niet veilig'.
Verouderde plugins zijn de zwakste plek. Spreek vooraf af wie de updates doet en hoe je dat te horen krijgt.
Een back-up werkt pas met de 3-2-1-regel: drie versies, twee soorten opslag, één kopie op een andere plek.
Bescherm ook je domeinnaam en e-mail met SPF, DKIM en DMARC, zodat niemand uit jouw naam phishingmails verstuurt.
Lekken er klantgegevens uit, dan meld je dat binnen 72 uur bij de Autoriteit Persoonsgegevens.

Inhoudsopgave

Waarom ook jouw website een doelwit is
De zes maatregelen die elke bedrijfswebsite nodig heeft
Wie regelt wat: jij, je webbouwer of je hosting
Wat de wet van je vraagt
Zo controleer je in vijf stappen of je website veilig is
Vertrouwen bij je bezoekers: veilig zijn én veilig lijken
Vragen voor je webbouwer, voordat je iets tekent
Ons perspectief: veiligheid begint bij wat je zelf kunt controleren
Een website die je eerst ziet en dan pas betaalt
Veelgestelde vragen
Bronnen

Waarom ook jouw website een doelwit is

'Bij mij valt toch niets te halen.' Dat denken veel zzp'ers en mkb'ers. Het Nationaal Cyber Security Centrum (NCSC) ziet het anders: er is volgens het centrum een groei in cyberaanvallen op het mkb, en veel kleinere bedrijven schatten hun eigen risico te laag in.

Aanvallers zijn vaak niet op jou persoonlijk uit. Ze zoeken websites die ze kunnen misbruiken. Het NCSC noemt in de pagina voorkom misbruik van je website onder meer phishing, waarbij gegevens van je bezoekers worden buitgemaakt, en malware, waarbij er op jouw site links komen te staan die kwaadaardige software installeren. Jouw site wordt dan een doorgeefluik. Het gevolg voor jou:

Bezoekers krijgen een waarschuwing of komen op een valse pagina terecht.
Je naam raakt beschadigd, ook al heb jij zelf niets fout gedaan.
Je bent uren of dagen bezig om de site weer schoon te krijgen.
Gaan er persoonsgegevens verloren, dan heb je ook een meldplicht.

Hoe meer je site doet, hoe groter het belang. Een onepager met alleen een telefoonnummer heeft minder te verliezen dan een webshop met klantaccounts en betalingen. Veilig moeten ze allebei zijn.

De zes maatregelen die elke bedrijfswebsite nodig heeft

1. Een versleutelde verbinding (HTTPS)

HTTPS versleutelt het verkeer tussen je bezoeker en de server. Je herkent het aan de 's' in https:// en aan het slotje. Volgens het NCSC krijgt een onbeveiligde http-pagina een expliciete waarschuwing in de browser, sinds onder meer Chrome versie 76. Een bezoeker die 'niet veilig' ziet staan, vult geen contactformulier meer in.

Dat dit meer is dan een technisch detail, blijkt uit een zaak die het NCSC beschrijft: de Autoriteit Persoonsgegevens tikte een orthodontiepraktijk op de vingers omdat die persoonsgegevens van nieuwe klanten onversleuteld liet versturen. Twijfel je hoe het met je certificaat zit? Lees dan ons artikel over het SSL-certificaat voor ondernemers.

2. Updates, vooral van plugins

De meeste websites draaien op software met uitbreidingen, de zogeheten plugins. Verouderde plugins zijn vaak de makkelijkste ingang voor hackers. Een website is dus geen product dat je één keer koopt en daarna vergeet: de software eronder moet bijgewerkt blijven. Het NCSC raadt aan om met je webbouwer af te spreken wie de beveiligingsupdates doet. Stel daarbij de vraag: wanneer zijn de laatste updates gedaan, en hoe hoor ik dat?

Vuistregel: hoe minder plugins en losse onderdelen, hoe minder er te onderhouden valt. Elke uitbreiding die je niet gebruikt, haal je weg.

3. Een back-up die je echt kunt terugzetten

Een back-up op dezelfde server als je website is geen back-up. Gaat de server onderuit, dan ben je beide kwijt. Het NCSC hanteert de 3-2-1-regel voor back-ups:

Bewaar 3 versies van je gegevens.
Op 2 verschillende soorten opslag, bijvoorbeeld een externe schijf en de cloud.
Met minstens 1 kopie op een andere fysieke plek.

Test ook af en toe of terugzetten echt werkt. Een back-up die je nooit hebt teruggezet, is een belofte en geen zekerheid.

4. Een beschermde domeinnaam en e-mail

Je domeinnaam is je adres op internet, en vaak ook je e-mailadres. Het NCSC geeft beveiligingstips voor domeinnamen. Een belangrijke: stel de e-mailstandaarden SPF, DKIM en DMARC in.

Gewone taal: deze instellingen vertellen andere mailservers welke mail echt van jou komt. Een nepmail 'van jou' wordt dan eerder geweigerd.
Vaktaal: SPF legt vast welke servers namens je domein mogen versturen, DKIM zet een digitale handtekening op elk bericht, DMARC bepaalt wat een ontvanger doet met mail die niet klopt.

Dit geldt ook als je vanaf je domein niet mailt: juist een domein zonder deze instellingen is aantrekkelijk voor misbruik. Een nieuwe domeinnaam nodig? Lees waar je op let bij een domeinnaam.

5. Sterke inlog voor iedereen die erin kan

Wie in het beheer van je site kan, kan alles. Geef elke persoon een eigen account, gebruik lange wachtwoorden die je nergens anders gebruikt en zet tweestapsverificatie aan waar dat kan. Gaat een medewerker of freelancer weg, haal zijn toegang dan dezelfde dag weg. Dat geldt net zo goed voor je hosting, je domeinregistratie en je mailbox.

6. Zuinig met klantgegevens

Elk contactformulier verzamelt persoonsgegevens. Vraag alleen wat je nodig hebt: voor een offerteaanvraag is een geboortedatum overbodig. Wat je niet opslaat, kan ook niet uitlekken. Bewaar formulierberichten niet langer dan nodig en weet waar ze terechtkomen: in je mailbox, in de database van de site of bij een externe dienst.

Wie regelt wat: jij, je webbouwer of je hosting

Veel problemen ontstaan doordat iedereen denkt dat een ander het doet. Deze tabel helpt je om het vooraf zwart op wit te zetten.

Onderdeel	Wie doet het meestal?	Wat jij controleert
HTTPS-certificaat	Hostingpartij of webbouwer	Slotje op elke pagina, ook op subpagina's
Software- en pluginupdates	Webbouwer of beheerder, als dat is afgesproken	Datum van de laatste update, schriftelijk
Back-ups	Hostingpartij, soms aangevuld door jezelf	Waar ze staan en of terugzetten getest is
Domein en DNS (SPF, DKIM, DMARC)	Jij of je domeinregistrar	Dat de domeinnaam op jouw naam staat
Inlogaccounts	Jij	Wie toegang heeft en of 2FA aanstaat
Privacyverklaring en formulieren	Jij, met hulp van je webbouwer	Welke gegevens je vraagt en bewaart

Staat er in de tabel 'als dat is afgesproken'? Dan geldt: zonder afspraak doet niemand het.

Wat de wet van je vraagt

De AVG geldt voor elke ondernemer

Verwerk je persoonsgegevens, al is het maar een naam en e-mailadres uit een contactformulier, dan valt dat onder de AVG. Volgens de Autoriteit Persoonsgegevens is privacy voor ondernemers geen eenmalige klus maar een doorlopend proces. De AP biedt een stappenplan en, samen met RVO, een interactieve AVG-regelhulp om de basis op orde te brengen.

Een datalek meld je binnen 72 uur

Gaan er persoonsgegevens verloren of in verkeerde handen, dan moet je dat volgens de AVG binnen 72 uur melden bij de Autoriteit Persoonsgegevens, via het meldloket datalekken. Soms moet je ook de mensen informeren van wie de gegevens zijn. Die 72 uur gaan in zodra je van het lek weet, niet pas als je alles hebt uitgezocht. Weet dus vooraf wie je belt als er iets misgaat. Twijfel je of een incident meldplichtig is, leg het dan direct voor aan een privacyjurist of de AP zelf, en wacht niet tot de termijn bijna voorbij is.

Een datalek meld je binnen 72 uur — overview diagram

De Cyberbeveiligingswet: voor de meeste zzp'ers niet direct

Op 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) in werking getreden, de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet stelt eisen aan ruim 8.000 organisaties die essentiële of belangrijke diensten leveren, onder meer een registratieplicht. Ben je zzp'er of klein mkb-bedrijf buiten die sectoren, dan val je er meestal niet zelf onder. Werk je wel voor zo'n organisatie, dan kan die van jou als leverancier eisen gaan stellen. Controleer bij twijfel via het NCSC of je eronder valt.

Zo controleer je in vijf stappen of je website veilig is

Kijk naar de adresbalk. Open je site en een paar subpagina's. Staat er overal een slotje en begint het adres met https://? Typ ook eens http:// voor je adres en kijk of je automatisch wordt doorgestuurd.
Haal je site door ScamCheck. Met ScamCheck van Veiliginternetten.nl zie je hoe je site overkomt. De tool combineert technische controles, zoals de leeftijd van het domein, met gegevens van onder meer de Kamer van Koophandel en Thuiswinkel.org tot een 'Trustscore'. Een nieuwe site scoort soms lager; geen reviews of keurmerk betekent volgens ScamCheck niet direct dat een informatieve site onveilig is.
Vraag je webbouwer of beheerder om de updatedatum. Laat schriftelijk bevestigen wanneer de software en plugins voor het laatst zijn bijgewerkt.
Zoek je back-up op. Weet je waar die staat en wanneer hij gemaakt is? Zo niet, dan heb je huiswerk.
Loop je formulieren na. Welke velden vraag je uit, waar komen de berichten terecht en staat er een privacyverklaring bij?

Vertrouwen bij je bezoekers: veilig zijn én veilig lijken

Technisch veilig zijn is één kant. Je bezoeker moet het ook zien. Consumenten krijgen van de ACM het advies om onbekende webshops eerst te controleren: staat het KvK-nummer echt in het handelsregister, bestaan adres en telefoonnummer, en mag de winkel het keurmerk wel voeren? Fraudeurs misbruiken vaak logo's van bekende keurmerken.

Draai het om en je hebt een checklist voor je eigen site:

Zet je KvK-nummer en vestigingsadres zichtbaar op de site. Lees wat er verplicht op je website staat.
Geef een telefoonnummer en e-mailadres op je eigen domein, geen anoniem gratis adres.
Voer alleen keurmerken die je echt hebt, met een link naar het keurmerk zelf.
Bied je diensten of producten aan, regel dan algemene voorwaarden die rechtsgeldig zijn.
Plaats een privacyverklaring die past bij wat je werkelijk verzamelt.

Vragen voor je webbouwer, voordat je iets tekent

Het NCSC merkt op dat veel ondernemers hun site laten bouwen en adviseert om veiligheid als randvoorwaarde te stellen. Concreet stel je deze vragen:

Op welke software draait de site, en hoeveel plugins gebruik je?
Wie doet de updates na de oplevering, en hoe hoor ik dat ze gedaan zijn?
Staat HTTPS vanaf dag één aan, ook op het testadres?
Waar staan de back-ups, en hoe vaak worden ze gemaakt?
Van wie zijn de broncode, het ontwerp en de domeinnaam na betaling?
Kan ik de site meenemen naar een andere hostingpartij als ik dat wil?

Die laatste twee vragen gaan ook over veiligheid. Als je de broncode niet bezit en niet weg kunt, ben je afhankelijk van één partij. Stopt die, dan staat je site stil. Gebruik bij de oplevering onze checklist voor de oplevering van je website, zodat je niets vergeet.

Ons perspectief: veiligheid begint bij wat je zelf kunt controleren

We zien vaak dat ondernemers bij veiligheid aan hackers denken. Dat is terecht, maar het eerste risico ligt dichterbij: dat je niet weet wat je koopt. Je betaalt vooraf, je krijgt iets wat je niet kunt controleren en de code blijft van een ander. Dan weet je ook niet hoe het met de veiligheid zit.

Ons perspectief: veiligheid begint bij wat je zelf kunt controleren — overview diagram

Daarom werken we andersom. We bouwen je website eerst helemaal af en zetten hem op een testadres. Daar kun je alles zelf nalopen: het slotje, de formulieren, de teksten, de contactgegevens, de vijf stappen uit dit artikel. Pas als je de site wilt houden, betaal je. Wil je hem niet, dan betaal je niets. Hoe dat testadres werkt, lees je in eerst zien, dan pas beslissen.

Na betaling zijn de broncode en het ontwerp van jou. De hosting mag bij ons, maar het hoeft niet: je kunt ook elders hosten. Dat betekent ook dat je zelf kiest wie het onderhoud doet. Dat is geen bijzaak. Wie de sleutels heeft, bepaalt hoe veilig het huis is.

— Patrick

Een website die je eerst ziet en dan pas betaalt

Wil je een nieuwe site waarvan je vooraf precies weet wat hij kost en wat je krijgt? Bij ons betaal je een vaste prijs, eenmalig en zonder abonnement:

Start: € 350 eenmalig, voor een onepager.
Compleet: € 500 eenmalig, voor een site met meerdere pagina's.

Je krijgt ontwerp en teksten op maat, en de site is technisch vindbaar vanaf de eerste dag, in Google en in AI-assistenten zoals ChatGPT. Je bekijkt hem eerst op een testadres en beslist daarna. Bekijk Start en Compleet en laat ons je website zien. Daarna helpen drie stappen om je site risicoloos live te zetten.

Veelgestelde vragen

Hoe kan ik zien dat een website veilig is?

Begin bij de adresbalk: het adres hoort met https:// te beginnen en er staat een slotje. Controleer daarnaast of KvK-nummer, adres en telefoonnummer kloppen. Met ScamCheck op Veiliginternetten.nl krijg je een Trustscore op basis van technische controles en gegevens van onder meer de KvK.

Is een slotje genoeg om te zeggen dat mijn site veilig is?

Nee. Het slotje betekent dat de verbinding versleuteld is, niet dat de software achter de site bijgewerkt is. Ook een site met HTTPS kan verouderde plugins hebben of geen goede back-up. Zie het slotje als de voordeur op slot: nodig, maar niet het hele verhaal.

Wie is verantwoordelijk als mijn website gehackt wordt?

Jij blijft als ondernemer verantwoordelijk voor de persoonsgegevens van je klanten, ook als een ander de site bouwt of host. Daarom leg je vooraf vast wie updates, back-ups en beveiliging doet. Lekken er gegevens uit, dan meld je dat binnen 72 uur bij de Autoriteit Persoonsgegevens.

Valt mijn eenmanszaak onder de Cyberbeveiligingswet?

Meestal niet. De wet geldt sinds 15 augustus 2026 voor ruim 8.000 organisaties die essentiële of belangrijke diensten leveren. Lever je aan zo'n organisatie, dan kan die wel eisen aan jou stellen. Het NCSC legt uit hoe je nagaat of je eronder valt.