Kort gezegd: De VdS 10000 is een richtlijn van VdS Schadenverhütung (Duitse instantie voor schadepreventie, nauw verbonden met de verzekeringssector) voor informatiebeveiliging in kleine en middelgrote bedrijven. Ze is volgens VdS gebaseerd op ISO 27001 en de BSI IT-Grundschutz, maar duidelijk slanker en toegesneden op het mkb. Voor websites en webservers zijn vooral inventaris, behandeling van kwetsbaarheden, toegang op afstand met multifactorauthenticatie, gegevensback-up en de omgang met beveiligingsincidenten belangrijk.
Waarom de VdS 10000 interessant is voor het mkb
Veel bedrijven weten dat ze informatiebeveiliging gestructureerder moeten aanpakken, maar deinzen terug voor de inspanning van een ISO 27001. Precies daarvoor is de VdS 10000 bedoeld. VdS beschrijft haar als een branchebrede maatregelencatalogus die kleine en middelgrote bedrijven en gemeenten organisatorisch noch financieel moet overvragen.
Twee opgaven van VdS helpen bij de plaatsbepaling. De inspanning zou ongeveer 20 procent bedragen van die van ISO 27001. En het BSI (Duitse federale dienst voor informatiebeveiliging) beoordeelt de eisen van de VdS 10000 als een deelverzameling van de basisbeveiliging van de IT-Grundschutz. De richtlijn is dus geen vervanging van de grote standaarden, maar een realistische instap die volgens VdS opwaarts compatibel is.
Voor verzekeraars heeft de VdS 10000 bijzonder gewicht, want VdS is nauw verbonden met de verzekeringssector. VdS benadrukt dat een certificering bij verzekeraars vertrouwen kan wekken en kan helpen het restrisico over te dragen. Wat dat concreet voor uw polis betekent, regelt u met verzekeraar of makelaar; aanwijzingen over schade staan onder Cyberverzekering: wat bij schade telt.
Wat er nieuw is in de VdS 10000 versie 2025
VdS heeft de richtlijn in 2025 herzien. Volgens VdS zijn daarbij onder meer deze punten toegevoegd of gewijzigd:
- Duidelijker taal, zodat ook beginners de eisen begrijpen.
- Bindende verantwoordelijkheden: functionarissen voor informatiebeveiliging en het bijbehorende team moeten officieel worden aangesteld.
- Multifactorauthenticatie voor toegang op afstand wordt verplicht.
- Gegevensback-up volgens het meergeneratieprincipe, op verschillende plaatsen en op verschillende media.
- Herzien risicobeheer met voorschriften over beoordelingscriteria en de grenzen vanaf welke een risico wordt geaccepteerd.
- Een gezamenlijk hoofdstuk „Beveiligingsincidenten“ dat eerdere hoofdstukken over storingen, uitval en incidenten samenvoegt.
- Fysieke toegang zoals sleutels en transponders wordt in de personeelsprocessen meegeregeld.
De nieuwe uitgave houdt bovendien rekening met de richtlijn VdS 10100, die de NIS2-eisen beschrijft. VdS ziet de VdS 10000 als basis waarop deze later kunnen worden aangevuld.
VdS 10000 en de webserver: wat er concreet te doen is
De richtlijn spreekt niet over PHP of afzonderlijke webservers. Haar eisen zijn echter direct te vertalen naar de webinfrastructuur. De volgende tabel laat zien hoe dat eruit kan zien. Ze is een vertaalhulp, geen officiële uitleg.
| Eisengebied | Betekenis voor website en webserver | Voorbeeld uit de PHP2Shell-situatie |
|---|---|---|
| Overzicht van IT-systemen en risico's | Websites, shops, portalen en hun servers zijn vastgelegd en beoordeeld | Direct weten welke systemen PHP gebruiken en in welke versie |
| Kwetsbaarheden en updates | Beveiligingsupdates worden tijdig geïnstalleerd en gedocumenteerd | Patch naar 8.5.12, 8.4.27, 8.3.36 of 8.2.35, herstart van alle workers |
| Toegang op afstand met multifactorauthenticatie | SSH, hostingpaneel en CMS-beheer zijn extra beveiligd | Gestolen wachtwoorden alleen openen geen beheerderstoegang |
| Gegevensback-up | Meerdere generaties, gescheiden plaatsen en media | Terugvallen op een back-up van vóór 17 oktober 2026, indien nodig |
| Beveiligingsincidenten | Meldroute, beoordeling, documentatie | Vermoeden van een webshell wordt gemeld en onderzocht, niet stilletjes verwijderd |
| Dienstverleners | Hoster en bureau zijn contractueel betrokken | Schriftelijke patchbevestiging van de hoster |
Voor de gegevensback-up loont een blik op Back-ups volgens de 3-2-1-regel, voor de toegang op afstand op Tweefactorauthenticatie voor beheerderstoegangen. Beide sluit goed aan bij de nieuwe verplichtingen van de versie 2025.
Hoe gaat het mkb realistisch te werk?
De VdS 10000 is ook zonder certificeringsdoel als leidraad te gebruiken. Een pragmatische weg begint met de inventaris, omdat zonder overzicht geen enkele andere eis zuiver te vervullen is. Daarna volgen de punten met het grootste effect per inspanning: multifactorauthenticatie, werkende back-ups met herstelproef en een duidelijke meldroute bij vermoeden.
Pas als deze basis staat, loont de formele kant met richtlijnen, aangestelde verantwoordelijken en risicobeoordeling. Wie later een certificering nastreeft, vindt de procedure in de documenten van VdS; de toetsing zelf neemt de certificeringsinstantie op zich, niet een dienstverlener zoals wij.
Een veelvoorkomende struikelblok in het mkb is de vraag wie de rol van functionaris voor informatiebeveiliging op zich neemt. De versie 2025 vraagt een officiële aanstelling. In kleine bedrijven komt de taak vaak bij de IT-leiding of de directie zelf terecht. Dat kan, zolang tijd en bevoegdheden realistisch zijn bemeten. Belangrijk is dat deze persoon ook de websites in het oog heeft die marketing of een bureau beheert. Juist die vallen bij de eerste inventarisatie graag door de mazen, omdat ze niet in het eigen rekencentrum draaien. Een eenvoudige regel helpt: elk domein dat het bedrijf bezit, heeft een verantwoordelijke persoon en een vermelding in de inventaris.
Voor de webserver betekent dit: verharding en patchdiscipline zijn geen kroon op de richtlijn, maar precies wat ze in het dagelijks leven vraagt. Wat daarbij hoort, beschrijft de serververharding voor PHP-webservers. De vergelijking met de grote standaarden trekt het artikel ISO 27001 en TISAX: wat webservers raakt.
Hoe helpt PHP SOS concreet?
- Wij stellen samen met u de inventaris van uw websites, servers en PHP-versies op en markeren de kritieke systemen.
- Wij voeren de technische eisen aan de webserver door: updates met bewijs, multifactorauthenticatie voor toegang op afstand, verharding en back-upcontrole.
- Wij documenteren dat zo dat uw functionarissen voor informatiebeveiliging het kunnen overnemen in de VdS-documenten.
- Wij beloven geen certificering. Of aan de eisen is voldaan, beoordeelt de toetsingsinstantie.
Conclusie
De VdS 10000 is een serieus te nemen, maar haalbaar kader voor het mkb. De versie 2025 scherpt precies de punten aan die ook na PHP2Shell tellen: verantwoordelijken, multifactorauthenticatie, goede back-ups en een geregelde omgang met incidenten. Wie bij de webserver begint, boekt snel zichtbare vooruitgang en heeft een solide basis voor meer.
Veelgestelde vragen
Voor wie is de VdS 10000 bedoeld?
Volgens VdS voor kleine en middelgrote bedrijven en voor gemeenten en gemeentelijke bedrijven. Ze is branchebreed en moet organisatorisch noch financieel overvragen. Volgens VdS kunnen ook grotere organisaties haar toepassen.
Wat is het verschil tussen VdS 10000 en ISO 27001?
De VdS 10000 is volgens VdS gebaseerd op ISO 27001 en de BSI IT-Grundschutz, maar is toegesneden op het mkb en duidelijk slanker. VdS becijfert de inspanning op ongeveer 20 procent van die van ISO 27001 en beschrijft de richtlijn als opwaarts compatibel, dus als mogelijke instap in de ISO 27000-reeks.
Helpt de VdS 10000 bij NIS2?
VdS beschrijft de nieuwe uitgave 2025 als basis waarop de NIS2-eisen later kunnen worden aangevuld. Daarvoor bestaat de eigen richtlijn VdS 10100. Of uw bedrijf onder NIS2 valt en wat dan geldt, moet u afzonderlijk uitzoeken.
Bestaat er een versie voor productie-installaties?
Ja. Voor industriële automatiseringssystemen publiceert VdS de leidraad VdS 10020, die de VdS 10000 voor dit gebied uitlegt.