CCV keurmerk en de pentest: wat betekent het voor je webshop?

De meeste webshop-keurmerken kijken naar je algemene voorwaarden, je retourbeleid en je privacyverklaring. Nuttig, maar het zegt niets over de vraag die een klant eigenlijk stelt als hij zijn kaartgegevens intikt: is deze winkel technisch veilig? Het CCV keurmerk (Certificering & Validatie) is een van de weinige Nederlandse webshop-keurmerken dat die vraag ook echt toetst — onder andere met een pentest. In dit artikel leggen we uit wat dat betekent, waarom beveiliging bij een webshop telt, en wanneer zo'n zware eis wel of niet bij jou past.

Wat is het CCV keurmerk?

CCV staat voor Certificering & Validatie: een Nederlands keurmerk voor webshops dat verder gaat dan alleen een juridische check. Naast de gebruikelijke toetsing van je voorwaarden, klachtenregeling en informatieplicht stelt CCV ook eisen aan de beveiliging van je webshop. Een van die eisen is dat je winkel een securitytest ondergaat — in de praktijk een pentest.

Dat maakt het een zwaarder en doorgaans duurder keurmerk dan een standaard vertrouwenskeurmerk. Niet elk webshop-keurmerk vraagt hierom; de meeste doen dat nadrukkelijk niet. Het is dus geen kwestie van "beter of slechter", maar van een ander type toets voor een ander type risico.

Wat is een pentest precies?

Een pentest (penetratietest) is een gecontroleerde, geautoriseerde test waarbij een securityspecialist je webshop systematisch onderzoekt op kwetsbaarheden. De specialist bekijkt je winkel zoals een aanvaller dat zou doen, maar dan met jouw toestemming en met als doel de zwakke plekken te vinden en te melden — niet om ze te misbruiken.

Zo'n test hangt vaak op aan de OWASP Top 10, een breed erkende lijst van de meest voorkomende webkwetsbaarheden. Denk aan:

• Injectie (zoals SQL-injectie), waarbij ingevoerde data verkeerd wordt verwerkt
• Cross-site scripting (XSS), waarbij ongewenste scripts in een pagina belanden
• Gebrekkige toegangscontrole, waarbij iemand bij gegevens kan die niet voor hem bedoeld zijn
• Verouderde of kwetsbare componenten, zoals een plugin of framework dat niet is bijgewerkt
• Onjuiste configuratie van servers, headers of rechten

Het resultaat is een rapport met bevindingen, een risico-inschatting per bevinding, en concrete aanbevelingen om ze op te lossen. Een pentest is dus geen keurmerk-stempel op zichzelf, maar een momentopname van hoe veilig je winkel op dat moment is.

Wat een pentest wél en níet dekt

Een pentest is waardevol, maar het is geen garantie dat je winkel voor altijd onschendbaar is. Het helpt om te weten waar de grenzen liggen.

Wél	Níet
Een momentopname van bekende kwetsbaarheden	Een blijvende garantie — na een update kan er nieuw risico ontstaan
Inzicht in OWASP-achtige zwakke plekken	Vervanging van dagelijkse zorg (updates, back-ups, monitoring)
Concrete aanbevelingen om op te lossen	Het oplossen zelf — dat blijft jouw verantwoordelijkheid
Onderbouwing richting een keurmerk als CCV	Een juridische toets van je voorwaarden of retourbeleid

Kort gezegd: een pentest laat zien waar het lek zit op het moment van testen. Veiligheid blijft daarna gewoon onderhoud.

Waarom beveiliging bij een webshop telt

Een webshop verwerkt precies het soort gegevens dat je niet wilt lekken: naam- en adresgegevens, e-mailadressen, bestelgeschiedenis en — via je betaaldienst — betaalinformatie. Gaat daar iets mis, dan raakt dat niet alleen het vertrouwen van je klant, maar ook je verplichtingen onder de wet.

Onder de AVG geldt een meldplicht datalekken: bij een datalek met risico voor betrokkenen moet je dit doorgaans binnen 72 uur melden bij de Autoriteit Persoonsgegevens, en soms ook bij de klanten zelf. Een lek is dus niet alleen een technisch probleem, maar meteen een juridisch en reputatieprobleem. Meer over die verplichtingen lees je in onze uitleg over hoe je een betrouwbare webshop herkent.

Beveiliging is daarmee geen luxe die je "later" oppakt, maar onderdeel van de basis. Een pentest is één manier om die basis te controleren — een grondige, maar ook een intensievere manier.

Is een pentest-keurmerk iets voor jou?

Eerlijk: voor veel kleine en startende webshops is een volwaardig pentest-keurmerk zwaarder dan nodig. De kosten en inspanning wegen pas echt op als je risicoprofiel dat rechtvaardigt. Een paar signalen dat CCV of een vergelijkbaar security-keurmerk passend kan zijn:

• Je verwerkt gevoelige of veel persoonsgegevens
• Je bouwt (deels) maatwerk in plaats van een standaard, goed onderhouden platform
• Je omzet en klantvolume zijn substantieel, waardoor een incident grote impact heeft
• Je klanten of zakelijke partners vragen aantoonbaar om beveiligingsgaranties

Herken je jezelf hier niet in, dan is een lichter keurmerk vaak de logischer stap. Wil je die keuze breder afwegen, lees dan ons overzicht over het webshop keurmerk en welke criteria een keurmerk zou moeten toetsen.

En TrustBedrijf?

Volledige openheid: TrustBedrijf is zelf een keurmerk, dus we zijn geen neutrale partij. Wat wij toetsen is de juridische en vertrouwensbasis van je webshop — je voorwaarden, je informatieplicht, je klachtafhandeling en de echtheid van je reviews. Dat is voor de meeste webshops precies de laag die klanten dagelijks nodig hebben om je te vertrouwen.

Wat wij níet doen, is een pentest uitvoeren. Heb je door je risicoprofiel behoefte aan zware, technische security-eisen, dan is een pentest-keurmerk als CCV daarvoor passender — afhankelijk van hoeveel risico je draagt. Die twee sluiten elkaar niet uit: de juridische en de technische toets dekken verschillende dingen. Het eerlijke antwoord is dus dat het van jouw winkel afhangt welke je nodig hebt, en soms is dat allebei.