MKB website beveiliging checklist 2026: praktische roadmap

1 op 5 kleine MKB-bedrijven heeft nog geen enkele beveiligingsmaatregel genomen.^[1] Tegelijkertijd draait 52,8% van alle WordPressKeurigOnline zegtWordPressWordPress is een open-source contentmanagementsysteem (CMS) geschreven in PHP, waarmee je eenvoudig websites en blogs kunt bouwen en beheren.-sites minstens één plugin met een bekende kwetsbaarheid,^[2] en heeft 89% van gemonitorde MKB'ers minimaal één gebruiker met gecompromitteerde inloggegevens.^[3]

Gemiddelde totaalschade bij een cyberaanval op een MKB-bedrijf: €165.000.^[4] Deze roadmap vertelt je precies wat je vandaag (30 minuten), deze week en elke maand regelt om dat risico drastisch te verlagen. Geen technische checklist van honderd punten, maar een geprioriteerde aanpak op basis van actuele Nederlandse dreigingsdata.

Waarom 2026 het jaar is om te handelen

De kloof tussen groot en klein wordt groter. 40% van microbedrijven (2-10 medewerkers) neemt slechts drie of minder beveiligingsmaatregelen; bij grote bedrijven (250+) neemt 86% er tien of meer.^[5] Het totale aantal gemelde cyberincidenten daalt licht, maar die daling komt vrijwel volledig op het conto van grote organisaties met professionele IT-afdelingen.^[6] Bekijk ons artikel over wat er mis kan gaan als je website gehackt is als je wil zien hoe dat er in de praktijk uitziet.

45% van Europese kleine en middelgrote bedrijven had de afgelopen twaalf maanden te maken met een cyberincident.^[14] Vier trends verklaren waarom dat cijfer in 2026 niet vanzelf daalt:

Daar komt de juridische context bij: de Cyberbeveiligingswet (de Nederlandse NIS2-implementatie) is op 15 april 2026 aangenomen door de Tweede Kamer en treedt naar verwachting op 1 juli 2026 in werking, zonder overgangstermijn.^[8] Session hijacking steeg daarboven op in 180 dagen tijd met 23%; een aanvalsvorm die zelfs goed ingestelde MFA omzeilt.^[3]

De centrale boodschap: basishygiëne stopt meer dan 90% van aanvallen. De investering is minimaal; de impact maximaal.

De beveiligingslagen van een MKB-website

Website-beveiliging is geen schakelaar die je omzet. Het is een gelaagd systeem waarbij elke laag de volgende versterkt. Zonder dit kader is een checklist een willekeurige lijst; met dit kader weet je precies waartegen elke maatregel beschermt.

De roadmap hieronder werkt deze lagen van de meest urgente actie naar de meest structurele aan. Begin bij vandaag.

Vandaag regelen: 30 minuten, maximale impact

Vier acties die elke website-eigenaar vandaag uitvoert, ongeacht technische kennis. Samen kosten ze minder dan een half uur en sluiten ze de meest misbruikte aanvalsroutes af.

Stap 1: HTTPS/SSL activeren en afdwingen

Controleer of je website bereikbaar is via https://. Zie je een slotje in de browser? Dan ben je klaar. Zo niet, activeer een SSLKeurigOnline zegtSSLSSL (Secure Sockets Layer) is een beveiligingsprotocol voor versleutelde internetverbindingen.-certificaat via je hostingprovider. Voor de meeste bedrijfswebsites is een gratis Let's EncryptKeurigOnline zegtLet's EncryptLet's Encrypt is een gratis certificaatautoriteit die automatisch SSL/TLS-certificaten uitgeeft.-certificaat volledig toereikend: de encryptiestandaard is identiek aan betaalde certificaten. Zorg daarna dat alle http://-bezoekers automatisch omgeleid worden naar https:// via een 301-redirectKeurigOnline zegtRedirectEen redirect stuurt bezoekers automatisch door naar een andere webpagina.. Lees voor verdieping ons artikel over het SSL-certificaat activeren voor je website.

Stap 2: MFA inschakelen op je beheerpaneel en hostingaccount

41% van Nederlandse medewerkers hergebruikt wachtwoorden voor zakelijke en privéaccounts.^[4] Dat maakt een sterk wachtwoord alleen onvoldoende bescherming. Zet multifactorauthenticatie (MFA of 2FAKeurigOnline zegt2FA2FA (tweefactorauthenticatie) is een beveiligingsmethode die naast je wachtwoord een tweede verificatie vereist.) aan op je hostingpaneel, je CMSKeurigOnline zegtCMSEen CMS is een platform om webcontent eenvoudig te creëren, beheren en publiceren zonder te coderen.-beheeraccount en alle andere accounts met toegang tot je website. Bij kleine bedrijven met 10-50 medewerkers heeft inmiddels 79% MFA ingesteld; bij zzp'ers is dat pas 44%.^[16] De instelling kost vijf minuten per account.

Stap 3: alle CMS-updates draaien

Open je CMS-dashboard en installeer alle beschikbare updates voor de core, plugins en thema's. De mediaan tussen de publieke onthulling van een kwetsbaarheid en actieve massa-exploitatie is vijf uur.^[10] Elke dag uitstel is een dag extra risico.

Stap 4: de NCSC CyberVeilig Check invullen

Ga naar tools.ncsc.nl, vul de CyberVeilig Check in (vijf minuten) en ontvang een persoonlijk actieplan. De check is gratis, vereist geen technische kennis en geeft direct inzicht in de blinde vlekken van je organisatie. Het Digital Trust Center fuseerde per 1 januari 2026 met het NCSC; de tool loopt nu via het NCSC.

Deze week regelen: de tweede verdedigingslinie

Na de eerste 30 minuten pak je de komende week op met vijf maatregelen die meer voorbereiding vragen, maar een enorm verschil maken als het toch misgaat.

1. Offline en off-site back-ups instellen en testen

72% van Nederlandse ransomware-slachtoffers had een back-up aanwezig, maar aanvallers verwijderen back-ups actief voordat ze je systemen versleutelen.^[11] Alleen een back-up is dus niet genoeg: die back-up moet offline of off-site staan, buiten bereik van de aanvaller. Onderzoek van Tom Meurs (Universiteit Twente) over meer dan 2.500 ransomware-incidenten in Nederland laat zien: bedrijven met een goed ingericht back-upsysteem betalen 27 keer minder losgeld.^[12] Stel dagelijkse back-ups in via je hostingpaneel en test ze: herstel een testbestand om te bevestigen dat de back-up daadwerkelijk bruikbaar is.

2. Admin-URL en standaard gebruikersnamen wijzigen

WordPress-beheerdersinlogpagina's op /wp-admin worden continu gescand door geautomatiseerde bots. Wijzig het loginpad naar een eigen URL via een plugin zoals WPS Hide Login. Controleer ook dat je beheerdersaccount niet "admin", "administrator" of je eigen voornaam als gebruikersnaam heeft. Die zijn de eerste die aanvallers proberen.

3. Ongebruikte plugins en thema's verwijderen

96% van alle WordPress-kwetsbaarheden bevindt zich in plugins, niet in de core.^[9] Elke inactieve plugin die je deactiveert maar niet verwijdert, blijft een aanvalsvlak: de bestanden staan nog op de server. Verwijder alles wat je niet actief gebruikt, inclusief standaard meegeleverde thema's.

4. Beveiligingsheaders instellen

93,2% van alle WordPress-sites mist essentiële beveiligingsheaders zoals HSTSKeurigOnline zegtHSTSHSTS forceert browsers om alleen via HTTPS te verbinden met je website., CSP en X-Frame-Options.^[2] Voeg ze toe via je webserverconfigatie of via een WordPress-plugin zoals Headers Security Advanced. Deze headers voorkomen clickjacking, cross-site scripting en het ongewenst inladen van je pagina in een iframe. Lees voor de technische achtergrond ook ons artikel over hoe DNS je veiligheid beïnvloedt: DNSSECKeurigOnline zegtDNSSECDNSSEC (DNS Security Extensions) beveiligt DNS-informatie door deze cryptografisch te ondertekenen. en e-mailbeveiliging (DMARCKeurigOnline zegtDMARCDMARC is een e-mailbeveiligingsprotocol dat domeinen beschermt tegen phishing en spoofing via SPF en DKIM./DKIMKeurigOnline zegtDKIMDKIM beveiligt e-mails met een digitale handtekening om spam tegen te gaan./SPF) horen bij dezelfde onderhoudsronde.

5. Internet.nl gratis scan uitvoeren

Ga naar internet.nl en voer je domeinnaamKeurigOnline zegtDomeinnaamEen domeinnaam is een uniek webadres gekoppeld aan je website en e-mail, zoals voorbeeld.nl, bedrijf.com of startup.ai. in. De gratis scan test HTTPS-configuratie, beveiligingsheaders, DNSSEC, DMARCKeurigOnline zegtDMARCDMARC is een e-mailbeveiligingsprotocol dat domeinen beschermt tegen phishing en spoofing via SPF en DKIM./DKIMKeurigOnline zegtDKIMDKIM beveiligt e-mails met een digitale handtekening om spam tegen te gaan./SPF en IPv6KeurigOnline zegtIPv6IPv6 is de nieuwste versie van het internetprotocol dat IPv4 opvolgt met een enorme adresruimte van 128-bit.. Van de 860.000 geteste domeinen haalt slechts 4,1% een perfecte score.^[15] Er is dus bijna altijd iets te verbeteren. Werk elk rood vinkje in de uitslag één voor één weg.

Maandelijks en per kwartaal: security als routine

Maandelijks: drie vaste taken

Per kwartaal: drie diepere taken

27% van het MKB heeft geen incidentresponsplan.^[4] Een aanval is niet het moment om te bedenken wat je doet. Gebruik onderstaand skelet als basis voor jouw plan:

Hosting als fundament: wat je provider voor jou moet doen

Alle maatregelen in deze roadmap bouwen op één fundament: de server waarop je site draait. Een zwakke hosting-onderlaag maakt de rest minder effectief. Dit zijn de vijf eisen die je aan je provider mag stellen.

• PHPKeurigOnline zegtPHPPHP (Hypertext Preprocessor) is een populaire open-source scripttaal die speciaal is ontworpen voor webontwikkeling en server-side programmering.-versieondersteuning: verouderde PHP-versies bevatten bekende, publiek gedocumenteerde kwetsbaarheden. Je provider moet actief PHP 8.2 of hoger ondersteunen en je proactief informeren over end-of-life-datums.
• Bestandsisolatie (CageFS of equivalent): op shared hostingKeurigOnline zegtShared hostingShared hosting is een hostingvorm waarbij meerdere websites dezelfde serverresources delen. mag een gehackte buuraccount niet jouw bestanden kunnen lezen of aanpassen. CageFS isoleert elke gebruiker in een eigen virtuele omgeving. Zonder isolatie is gedeelde hosting een risico voor iedereen op dezelfde server.
• Serverside firewallKeurigOnline zegtFirewallEen firewall is een beveiligingssysteem dat netwerkverkeer filtert en ongeautoriseerde toegang tot netwerken en servers blokkeert. en malware-scanning: een Web Application FirewallKeurigOnline zegtFirewallEen firewall is een beveiligingssysteem dat netwerkverkeer filtert en ongeautoriseerde toegang tot netwerken en servers blokkeert. (WAF) op serverniveau filtert aanvalsverkeer voordat het je site bereikt. Geautomatiseerde malware-scans detecteren problemen voordat bezoekers ze tegenkomen.
• Gratis SSL standaard inbegrepen: Let's Encrypt-certificaten horen in het pakket te zitten, met automatische verlenging. Handmatig verlengen is een onnodige risicofactor.
• Automatische beveiligingsupdates op infrastructuurniveau: kernelpatches, webserver-updates en systeembibliotheekverhogingen horen niet jouw handmatige taak te zijn.

Bij managed hosting neemt de provider een groter deel van de beveiligingslaag over: ze monitoren actief, passen patches toe en grijpen in bij incidenten. Voor MKB-eigenaren zonder IT-staf is dat het meest efficiënte model. Bij KeurigOnline zijn bovenstaande punten standaard inbegrepen: isolatie via CageFS, automatische malware-scans via Patchman, gratis SSL en moderne PHPKeurigOnline zegtPHPPHP (Hypertext Preprocessor) is een populaire open-source scripttaal die speciaal is ontworpen voor webontwikkeling en server-side programmering. op alle pakketten.

WordPress specifiek: de plugin-tijdbom onschadelijk maken

WordPressKeurigOnline zegtWordPressWordPress is een open-source contentmanagementsysteem (CMS) geschreven in PHP, waarmee je eenvoudig websites en blogs kunt bouwen en beheren. draait op meer dan 43% van alle websites wereldwijd, wat het een geliefd doelwit maakt. In 2025 werden 11.334 nieuwe WordPress-kwetsbaarheden ontdekt, een stijging van 42% ten opzichte van het jaar daarvoor.^[9] 33% van die kwetsbaarheden had op het moment van publieke onthulling nog geen patch beschikbaar.^[10] De mediaan tussen onthulling en massa-exploitatie: vijf uur.

Vijf concrete acties om de risico's structureel te beheersen:

Cyberbeveiligingswet 2026: moet jij iets doen?

De Cyberbeveiligingswet, de Nederlandse implementatie van de Europese NIS2-richtlijn, is op 15 april 2026 aangenomen door de Tweede Kamer.^[8] De verwachte inwerkingtredingsdatum is 1 juli 2026, zonder overgangstermijn: wie op die datum verplicht is, moet direct voldoen.

Voor het MKB zijn er drie situaties:

Val jij buiten de directe verplichtingscategorie? Dan is de roadmap in dit artikel nog steeds de juiste basis: voor ketenaansluiting bij NIS2-plichtige opdrachtgevers, voor verzekeringsaanvragen en voor je eigen bedrijfscontinuïteit. De wet versnelt een ontwikkeling die toch al gaande is.

Veelgestelde vragen

Wil je dat KeurigOnline het hosting-fundament en de basisbeveiliging voor je regelt? Bekijk ons managed-hostingpakket met ingebouwde CageFS-isolatie, automatische malware-scans en gratis SSLKeurigOnline zegtSSLSSL (Secure Sockets Layer) is een beveiligingsprotocol voor versleutelde internetverbindingen..