Wat is een website-compliance-audit? Een praktische gids voor het mkb

Als je een mkb-bedrijf met website runt, zijn de regels in vijf jaar enorm gegroeid. Toegankelijkheidswetten gelden nu voor private bedrijven in de EU, het VK, de VS, Canada en Australië. Privacytoezichthouders zijn van waarschuwingsbrieven naar omzetafhankelijke boetes overgestapt. Cookie-toestemming is allang niet meer alleen een EU-onderwerp.

Een website-compliance-audit is de gestructureerde controle die aangeeft of je site echt voldoet aan de wetten die op haar van toepassing zijn. Dit artikel beschrijft wat de audit dekt, hoe je hem zonder weken consultancy uitvoert en wat een mkb-bedrijf eerst moet aanpakken.

Wat een audit echt controleert

Er bestaat geen wereldwijde "website-compliance"-wet. De audit is een checklist uit de regels die gelden waar je bezoekers wonen. Voor mkb in de EU, het VK of de VS dekken de vier lijsten hieronder 90% van het echte risico.

1. Toegankelijkheid

De werkbare norm is WCAG 2.1 niveau AA, maar het loont te weten welke wet naar welke versie verwijst. De EAA (van kracht sinds 28 juni 2025) bereikt WCAG 2.1 AA via de geharmoniseerde norm EN 301 549. De AODA schrijft WCAG 2.0 AA voor, niet 2.1 (O. Reg. 191/11 art. 14, met uitzondering van succescriteria 1.2.4 en 1.2.5). De UK Equality Act 2010 noemt helemaal geen technische norm: in het VK bindt WCAG 2.1 AA alleen de publieke sector, via de Accessibility Regulations 2018. En ook ADA Title III neemt geen norm over, de regel van het Amerikaanse ministerie van Justitie van april 2024 legt WCAG 2.1 AA uitsluitend vast voor publieke instanties onder Title II. Bouwen op 2.1 AA dekt alle vier, daarom blijft dat het verstandige doel.

Een geautomatiseerde scan dekt het machinaal toetsbare deel van WCAG, doorgaans geschat op ongeveer een derde van de succescriteria: contrast, ontbrekende alt-tekst, formulier-labels, links en knoppen zonder toegankelijke naam, ontbrekende paginataal, ARIA-misbruik. Hij vangt geen toetsenbordvallen, geen focusvolgorde, geen focuszichtbaarheid, geen reflow, en beoordeelt niet of een alt-tekst ergens op slaat. Veracly merkt 29 WCAG-criteria juist daarom aan als handmatig en scoreneutraal. Een scan vertelt of je de voor de hand liggende problemen hebt; geen enkele scan verklaart je conform.

Lees: de WCAG 2.1 AA-toegankelijkheidsaudit uitgelegd.

2. Privacy en toestemming

Voor EU/UK-bezoekers is toestemming voor niet-essentiële cookies en trackers verplicht voordat het script afgaat. Een echte audit registreert het netwerkverkeer bij de eerste paginalading, vóór elke klik. Banners met "door verder te gaan stem je in" of die trackers op pageload afvuren zijn de meest voorkomende fout, en het makkelijkst voor de AP om te detecteren.

Lees: wat is een AVG-cookie-audit?

3. Tracking en analytics

Onderzocht worden tracking-pixels (Meta, TikTok, LinkedIn, Google Ads), session recorders (Hotjar, FullStory, Microsoft Clarity), advertentietags en alles wat bezoekersgedrag naar derden stuurt. Elk heeft AVG-, ePrivacy- en steeds vaker Amerikaanse staatswet-implicaties. De oplossing is bijna nooit weghalen, wel laden na toestemming en eerlijk vermelden.

Lees: tracking-pixel-audit: AVG en ePrivacy.

4. Verplichte juridische pagina's

• Privacyverklaring die overeenkomt met wat de site daadwerkelijk doet
• Cookieverklaring met actuele cookie-inventarisatie
• Toegankelijkheidsverklaring (verplicht onder EAA sinds juni 2025)
• Bedrijfsgegevens (verplicht op grond van Boek 3 BW voor handelsregister-ondernemingen)
• Algemene voorwaarden als je iets verkoopt

Wees helder over welke helft van die lijst een scanner kan afhandelen. Veracly controleert of een privacyverklaring, een toegankelijkheidsverklaring en bedrijfsgegevens bestaan en op je eigen domein te bereiken zijn, en meldt trackers die we zien laden waarvan de naam nergens in je privacytekst voorkomt. Hij leest de verklaring niet op verwerkingsverantwoordelijke, grondslag of bewaartermijn; hij vergelijkt je cookietabel niet met de cookies die we daadwerkelijk gezet zagen; en algemene voorwaarden controleert hij helemaal niet. Dat is mensenwerk. Dat zeggen we liever dan een groen vinkje te laten suggereren dat een jurist heeft meegelezen.

Handmatige audit vs. doorlopend scannen

Een bureau-audit kost € 5.000 to 20.000 en duurt 2 to 6 weken voor één mkb-site. Prima als momentopname, maar de meeste compliance-regressies ontstaan na de audit, in normale productreleases. Doorlopend scannen vangt deze regressies op de dag dat ze live gaan, in plaats van maanden later met de brief van de toezichthouder.

Wat een mkb-bedrijf eerst moet oplossen

1. Stop met trackers afvuren vóór toestemming. Hoogste risico, makkelijkste fix. Verplaats elke Meta-/TikTok-/LinkedIn-pixel en alle niet-essentiële analytics achter een toestemmingscontrole.
2. Vervang de "door verder te gaan stem je in"-banner door één met gelijkwaardige Accepteren- en Weigeren-knoppen. De AP en CNIL hebben hier al voor beboet.
3. Los de top WCAG-issues op. Contrast, alt-tekst, labels, focus, toetsenbordvallen.
4. Publiceer een toegankelijkheidsverklaring. Verplicht onder EAA sinds juni 2025 voor producten in scope.
5. Werk de privacyverklaring bij aan wat de site echt doet. Bijna alle mkb-verklaringen zijn templates die niet meer kloppen.

Veelgemaakte fouten

Vertrouwen op een toegankelijkheidsoverlay. De FTC beboette accessiBe in januari 2025 voor 1 M USD vanwege misleidende marketing. Overlays maken geen wettelijke compliance; ze maskeren problemen op runtime, de onderliggende code blijft kwetsbaar voor klachten.

Compliance als US-only of EU-only behandelen. De meeste mkb-sites ontvangen tegenwoordig bezoekers uit meerdere jurisdicties.

Eénmalig auditen. Klassiek patroon: grondige audit, schoon rapport, zes maanden routine-releases, en dan de brief. Maak de audit onderdeel van je release-proces.

Hoe Veracly dit aanpakt

Veracly is specifiek voor de mkb-versie van dit probleem gebouwd. Eén scan rapporteert tegelijk tegen EAA, AVG en ePrivacy, ADA, UK Equality Act en AODA. Amerikaanse staatsprivacywetten zitten niet in de engine, en we noemen dat gat liever dan dat we de lijst opblazen.

De gratis scan dekt één pagina, één keer per e-mailadres per zeven dagen. Hij draait dezelfde analyses, dezelfde rule packs en dezelfde scoreberekening als een betaalde scan, dus de bevindingen zijn echt, maar hij komt bewust met AI-uitleg voor alleen zijn drie belangrijkste bevindingen, zonder bewijsscreenshots en zonder copy-paste-fixes, en het is een momentopname in plaats van doorlopende monitoring. Dat hoort bij een betaald plan. Voer de gratis scan uit en zie hoe je site eruitziet voor een toezichthouder, voordat zij kijkt.