Cybersecurity voor je website, app, server en e-mail

De Cyberbeveiligingswet is de Nederlandse uitvoering van de Europese NIS2-richtlijn en geldt sinds 15 augustus 2026. De wet richt zich op essentiële en belangrijke entiteiten in de sectoren die de wet noemt, zoals energie, vervoer, zorg, digitale infrastructuur, afvalbeheer en delen van de maakindustrie. In de regel gaat het om middelgrote en grote organisaties: vanaf 50 medewerkers of meer dan € 10 miljoen jaaromzet. Voor een aantal digitale diensten geldt de wet ongeacht de omvang. De meeste kleine mkb-bedrijven vallen er dus niet rechtstreeks onder. Ze merken de wet wel via hun klanten: een organisatie die onder de wet valt, moet ook de beveiliging van haar leveranciers beoordelen en vraagt daar vaker naar. VirtuoLab geeft geen juridisch advies over de vraag of jouw organisatie onder de wet valt; daarvoor zijn de zelftest van de overheid en een jurist de juiste route. VirtuoLab helpt wel met de technische maatregelen die de wet en je klanten verwachten.

Je voorkomt e-mailspoofing met drie DNS-records: SPF, DKIM en DMARC. SPF somt op welke servers namens jouw domein mogen mailen. DKIM zet een digitale handtekening op elk bericht, zodat de ontvanger kan controleren dat het onderweg niet is aangepast. DMARC vertelt ontvangende mailservers wat ze moeten doen met mail die niet door die controles komt: niets, in quarantaine of weigeren, en stuurt rapporten terug. Google eist sinds februari 2024 van afzenders die meer dan 5.000 berichten per dag naar Gmail sturen dat SPF, DKIM en DMARC ingesteld zijn, en ook voor kleinere afzenders helpt het tegen de spammap. VirtuoLab stelt de records stap voor stap in: eerst DMARC in monitormodus om te zien welke diensten namens je domein mailen, zoals je boekhoudpakket of nieuwsbriefdienst. Pas als alles klopt, gaat het beleid naar quarantaine en daarna naar weigeren. Zo blijft legitieme mail aankomen en wordt phishing uit jouw naam lastiger.

VirtuoLab voert security-checks uit: een controle van configuratie, versies, toegang, back-ups en de bekende kwetsbaarheden in de OWASP Top 10, met geautomatiseerde scans en handmatige controle. Dat is voor de meeste mkb-websites en -apps de meest zinvolle eerste stap. Een formele penetratietest is iets anders: een aanval door gecertificeerde testers volgens een vaste methode, met een rapport dat een auditor of grote klant accepteert. Vraagt een klant, verzekeraar of certificering om zo'n pentest, dan is een gespecialiseerd securitybedrijf de juiste partij, en dat zegt VirtuoLab ook eerlijk. VirtuoLab lost daarna wel de bevindingen op in de code en de serverconfiguratie, en kan de applicatie zo voorbereiden dat de test efficiënt verloopt: een testomgeving, testaccounts per rol en documentatie van de architectuur. Voor software die VirtuoLab zelf bouwt, zitten de belangrijkste controles al in het bouwproces, zoals controle van afhankelijkheden en toegangsregels per gebruiker.

Cybersecurity bij VirtuoLab krijgt altijd een vaste prijs vooraf, op basis van wat er beveiligd moet worden. VirtuoLab noemt hier geen standaardbedrag, omdat één WordPress-site en een omgeving met een web app, twee servers en een mailserver te veel verschillen. De route is wel steeds hetzelfde. Eerst een gratis kennismaking, waarin je vertelt welke systemen er zijn en waar je je zorgen over maakt. Daarna een security-check met een vaste prijs, die eindigt in een rapport met prioriteiten. Op basis van dat rapport krijg je een vaste prijs voor het oplossen van de bevindingen, en kies je zelf wat er gebeurt. Doorlopend beheer, zoals updates, back-ups en monitoring, kan daarna per maand. Zo betaal je niet voor maatregelen die bij jouw risico niet passen. Een bedrijf dat persoonsgegevens van klanten verwerkt, heeft bijvoorbeeld andere prioriteiten dan een bedrijf met alleen een informatieve website.