Thuiswinkel.org: “Digitale- & Cyberveiligheid is een concurrentiekracht en continuïteit”

Thuiswinkel.org, de belangenvereniging voor webwinkels in Nederland, zet dit jaar in op veiligheid en vertrouwen. Veilig online zijn, speelt een cruciale rol binnen de e-commerce sector. De huidige digitale wereld kenmerkt zich door toenemende cyberdreigingen en een verschuiving van traditionele naar digitale criminaliteit. Daarom vindt de vereniging het van belang om goed samen te werken om het internet een veilige en betere plek te maken.

Roland van Kortenhof is Manager Trustmarks, Security en IT bij Thuiswinkel.org. Hij houdt zich binnen Thuiswinkel.org onder andere bezig met dossiers over online fraude en security en is betrokken bij het ontwikkelen van de keurmerken en het verbeteren van de veiligheid in de e-commercesector. Cyberredacteur Jan Meijroos voelt hem aan de tand.

Roland; waarom hebben jullie dit jaar bestempeld als het jaar van fraude en veiligheid of cyberveiligheid?

Roland: “We hebben het thema dit jaar inderdaad benoemd als fraude en veiligheid. Als we het hebben over veiligheid en vertrouwen, dan hoort daar ook onze certificering bij: het Thuiswinkel Waarborg. Om dat keurmerk te behalen, moeten leden bijvoorbeeld een securityscan doorlopen. We scannen dan de webapplicatie van de webwinkel om te checken of er geen kwetsbaarheden in zitten. Als die er wel zijn, moeten die opgelost worden, anders slaag je niet voor de certificering.”

“We hebben die extra veiligheidseis ergens rond 2012 of 2013 toegevoegd. Daar komen nog wat andere checks bij kijken, maar waar het om gaat: veiligheid, is bij Thuiswinkel.org al jaren op de radar.”

“Daarnaast hebben we een commissie fraude en veiligheid waarin we met leden bespreken wat er speelt, waar ze last van hebben en wat we daaraan kunnen doen. Op het gebied van fraude werken we ook mee aan de Integrale Aanpak Online Fraude, een publiek-privaat samenwerkingsprogramma onder het ministerie van Justitie en Veiligheid. Daarin bespreken we alle zaken rondom online fraude, met als doel om bedrijven in Nederland weerbaarder te maken tegen de almaar groeiende online fraude.”

Hoe komt het dat jullie juist nu opnieuw extra inzetten op cyberveiligheid?

Roland: “Digitale- & Cyberveiligheid en is allang geen IT-dingetje meer. Het is een randvoorwaarde om te kunnen ondernemen en schept vertrouwen, concurrentiekracht en continuïteit. Daarom zit het al jaren in onze certificeringen, waarbij we voornamelijk naar de webshop zelf kijken. Dat was nodig, want in die tijd bleken toch veel van de webshops technisch lek als een mandje. Inmiddels is dat gedaald naar zo’n 4 à 5%. Daaronder kom je nauwelijks, omdat de technische ontwikkelingen altijd in beweging blijven. We kunnen zeggen dat onze leden een stuk veiliger zijn geworden.”

“Toen de e-commercesector nog relatief nieuw was, kwam dit rapport soms wel als een verrassing. Ze kregen dan het rapport met allemaal technische termen, en dachten: “Wat moet ik hiermee?” Dan legden wij uit: als je auto stuk is, breng je die ook naar de garage. Inmiddels is dat helemaal ingeburgerd, evenals de e-commercesector die volwassen is geworden.”

“We blijven ons hard inzetten voor een hoog niveau van cyberweerbaarheid voor klein en groot in de hele keten. Daarom zet Thuiswinkel.org nu een volgende stap.”

Wat houdt die volgende stap precies in?

Roland: “Die volgende stap zit in het programma van Samen Digitaal Veilig – waar we een partnership mee hebben – en het NIS2 Quality Mark. Dat is gebaseerd op ISO 27001, maar dan in een meer behapbare vorm gericht op mkb. Waar de eerdere stappen vooral over technische veiligheid gingen, gaat dit ook over maatregelen, governance en processen. Dat zijn dingen die we nog niet zo systematisch hadden aangepakt. Nu pakken we dat op. In het nieuwe programma maken we een mix: we blijven technische aspecten meenemen, maar ook de organisatorische kant krijgt meer aandacht.”

Veel leden vallen niet direct onder NIS2 maar zijn wel actief in de keten. Hoe overtuig je ze dan om tóch in actie te komen?

Roland: “Dat is een terechte vraag. Het thema staat hoog op de agenda bij ons en online ondernemers. In ons ledenonderzoek geven zij zelf aan dat veiligheid en cyberweerbaarheid belangrijk zijn. Dat stond zelfs op nummer 1 en 2 in de lijst, bovenaan dus. Ook de razendsnelle groei van digitale criminaliteit maakt dat we als sector meer dan ooit moeten aantonen dat we garant staan voor veiligheid. De cijfers liegen er niet om: bijna de helft van de Nederlandse bedrijven kreeg in 2023 te maken met een cyberincident. Het is dus geen technische bijzaak meer, maar een strategisch thema dat raakt aan continuïteit, klantvertrouwen en concurrentievermogen.”

Wat zijn nog uitdagingen bij het verbeteren van cyberveiligheid?

Roland: “Het is een breed gebied: techniek, processen, governance. Je moet keuzes maken. Heb ik extra systemen nodig? Moet ik investeren in een SIEM-, XDR- of MDR-systeem? En uiteindelijk is de realiteit: het is niet de vraag óf je gehackt wordt, maar wannéér. Dan is het fijn als je het überhaupt merkt. Volgens de AVG moet je ‘passende technische en organisatorische maatregelen nemen’, passend bij je omvang en de stand van de techniek. Je hoeft dus niet alles te doen, maar wel het nodige.”

Wat levert het op om de basis-cyberhygiëne op orde te hebben?

Roland: “Heel veel. Uit onderzoeken blijkt: als je je basishygiëne op orde hebt, dan zit je al op zo’n 99% weerbaarheid. Denk aan two-factor authentication, goede wachtwoorden, duidelijke processen. Dat zijn relatief kleine stappen vergeleken met hele dure technische installaties. En daar willen wij als Thuiswinkel.org nu op inzetten: die basishygiëne verbeteren, awareness creëren en die eerste stappen faciliteren. We weten dat het niet vanzelf zal gaan, maar we gaan ervan leren en proberen wat het best werkt voor onze achterban.”

Jullie leden hebben al aangegeven veiligheid belangrijk te vinden en zijn digitaal al best ver. Staat Thuiswinkel daarmee dan al met 1–0 voor ten opzichte van andere sectoren?

Roland: “Ja, dat denk ik zeker. Onze leden zijn in de basis al digitaal en hebben in ons onderzoek ook aangegeven dat ze cyberveiligheid belangrijk vinden. Daarmee staan we inderdaad al met 1–0 voor vergeleken met sectoren als metaal of logistiek, waar veel bedrijven nog moeten wennen aan het idee dat dit ook voor hen relevant is.”

Hoeveel leden hebben jullie momenteel?

Roland: “We hebben een brede achterban aan leden – van webshops die aan consumenten verkopen en webshops die aan andere bedrijven verkopen. Deze bedrijven komen uit alle denkbare branches, zoals reizen, kleding, consumentenelektronica, verzekeringen, sport, speelgoed, wonen, bruin- en witgoed, dating, ict en software. Onze leden realiseren ruim 75% van alle online consumentenbestedingen in Nederland.”

Tot slot, hoe omschrijf je de meerwaarde van jullie eigen certificering?

Roland: “In onze Thuiswinkel Waarborg certificering zit al jaren een verplichte securityscan opgenomen. Zonder die scan krijg je het keurmerk niet. Dat verplichtend karakter geeft ons een unieke positie. Je kunt er bij ons dus niet omheen—je moet aan de normen voldoen.

Door alle cybercriminaliteit is ons keurmerk belangrijker dan ooit. Het Thuiswinkel Waarborg bestaat al 25 jaar en maar liefst 92 procent van de Nederlandse consumenten kent ons.”