Een installatiebedrijf met 38 medewerkers, voor 100 procent in handen van een holding, werkt voor drinkwaterbedrijven en netbeheerders. De directeur heeft de NIS2-zelfevaluatie ingevuld, kwam onder de 50 fte uit en concludeerde dat de Cyberbeveiligingswet aan zijn deur voorbijgaat. Wat hij niet meetelde: de holding boven het bedrijf houdt ook 60 procent van een zusteronderneming met 25 man, en de eigenaar van de holding heeft daarnaast in zijn eentje een tweede bedrijf dat op dezelfde markt actief is. Voor de omvangstoets van de Cyberbeveiligingswet kan dat allemaal meetellen. Dit artikel legt uit hoe die toets werkt, wanneer een holding, een dochter of een ander bedrijf van dezelfde eigenaar uw eigen cijfers verandert, en wat u deze maand op papier zet. Het bouwt voort op wat JAVB op 20 augustus schreef over de zorgplicht die u via de contracten van uw klanten bereikt.
Wat de Cyberbeveiligingswet sinds 15 augustus 2026 met "middelgrote onderneming" bedoelt: de bijlage bij Aanbeveling 2003/361/EG
De Cyberbeveiligingswet (Staatsblad 2026, 187, in werking sinds 15 augustus 2026 op grond van artikel 35 van het Cyberbeveiligingsbesluit) noemt in artikel 8 de essentiële entiteiten en in artikel 12 de belangrijke entiteiten. Voor de meeste bedrijven uit bijlage 1 en bijlage 2 van de wet loopt de vraag of zij eronder vallen langs één maatstaf: zijn zij een middelgrote onderneming in de zin van artikel 2 van de bijlage bij Aanbeveling 2003/361/EG, of overschrijden zij de drempels voor middelgrote ondernemingen. Die aanbeveling van de Europese Commissie uit 2003 is de standaard mkb-definitie die ook in staatssteun- en subsidieregels wordt gebruikt. De Cyberbeveiligingswet verwijst er rechtstreeks naar en definieert zelf geen eigen drempel.
Artikel 2 van die bijlage zegt wat een kleine onderneming is: minder dan 50 werkzame personen én een jaaromzet of een balanstotaal van ten hoogste 10 miljoen euro. Wie daar bovenuit komt, is middelgroot of groot en valt binnen de sectoren van bijlage 1 en 2 onder de wet. Het NCSC vertaalt dat op zijn reikwijdtepagina in twee situaties: 50 of meer medewerkers in fte, óf minder dan 50 medewerkers maar zowel een jaaromzet als een balanstotaal boven de 10 miljoen euro. Wie onder beide situaties blijft, is voor deze wet klein en valt er buiten, tenzij zijn soort dienst zonder omvangseis is aangewezen, zoals DNS-dienstverleners, aanbieders van openbare elektronische communicatienetwerken en vertrouwensdiensten.
Wanneer uw holding, uw dochter en een ander bedrijf van dezelfde eigenaar meetellen: artikel 3 en artikel 6 van de bijlage
Hier gaat het in de praktijk mis, en de tekst van de aanbeveling is er duidelijk over. Artikel 3 van de bijlage onderscheidt drie soorten ondernemingen. Een zelfstandige onderneming heeft geen partner- en geen verbonden ondernemingen. Een partneronderneming is een onderneming waarin een andere onderneming 25 procent of meer van het kapitaal of de stemrechten houdt, of andersom. Een verbonden onderneming is een onderneming waarmee een meerderheidsband bestaat: de meerderheid van de stemrechten, het recht om het bestuur te benoemen of te ontslaan, een overheersende invloed op grond van een overeenkomst of statuten, of de feitelijke zeggenschap over de meerderheid van de stemrechten via een aandeelhoudersovereenkomst. De band mag ook via een natuurlijke persoon lopen, met een dubbele voorwaarde: twee bedrijven waarover dezelfde ondernemer, of een gezamenlijk handelende groep personen, zo'n zeggenschapsband heeft, gelden alleen als verbonden wanneer zij op dezelfde markt of op een verwante markt actief zijn. Dezelfde sector is daarvoor niet genoeg; het gaat om de markt van artikel 3, derde lid.
Artikel 6 van de bijlage zegt vervolgens hoe u rekent. Een zelfstandige onderneming telt alleen haar eigen jaarrekening. Een onderneming met partners telt de cijfers van elke partneronderneming direct boven of onder haar erbij, naar rato van het aandeel in kapitaal of stemrechten, waarbij het hoogste percentage geldt. Een onderneming met verbonden ondernemingen telt hun cijfers voor 100 procent mee, tenzij die al in de geconsolideerde jaarrekening zitten. Het NCSC zegt het in één zin: tel ook partner- en verbonden ondernemingen mee bij de berekening van medewerkers, jaaromzet en balanstotaal. Het installatiebedrijf uit de openingsalinea rekent dus anders dan de directeur deed. De holding heeft de meerderheid in beide bedrijven, 100 procent in het installatiebedrijf en 60 procent in de zuster; die zuster is daarmee een verbonden onderneming en telt voor 100 procent mee: 38 plus 25 is 63 fte, en daarmee is de grens van 50 al gepasseerd. Het tweede bedrijf van de eigenaar komt daar voor 100 procent bij zodra het op dezelfde of een verwante markt actief is. Binnen de sectoren van bijlage 1 en 2 valt het bedrijf dan wél onder de wet.
Wat de Cyberbeveiligingswet uit de aanbeveling schrapt en wat zij laat staan: overheidsaandeelhouders en de regel van twee boekjaren
De wet neemt de aanbeveling niet helemaal over. Artikel 8, tweede lid, en artikel 12, tweede lid, Cyberbeveiligingswet verklaren artikel 3, vierde lid, van de bijlage niet van toepassing. Dat vierde lid bepaalt dat een onderneming waarvan 25 procent of meer in handen is van een overheidsinstantie, nooit als mkb geldt. Voor de Cyberbeveiligingswet valt die regel weg: een bedrijf met een gemeentelijke of provinciale aandeelhouder wordt niet door die aandeelhouder alleen al middelgroot, en rekent gewoon met de cijfers van artikel 6.
Wat blijft staan, is de referentieperiode van artikel 4 van de bijlage. De cijfers komen uit het laatste afgesloten boekjaar en worden jaarlijks opnieuw berekend. Een onderneming die op de balansdatum boven of onder een drempel uitkomt, verkrijgt of verliest haar hoedanigheid pas als dat in twee opeenvolgende boekjaren het geval is. Een bedrijf dat in 2025 voor het eerst boven de 50 fte kwam, wordt dus niet automatisch op 15 augustus 2026 een belangrijke entiteit; een bedrijf dat in 2025 voor het eerst krimpt, blijft er nog een jaar onder vallen. Een pas opgerichte onderneming zonder afgesloten jaarrekening rekent met een te goeder trouw gemaakte schatting. Die regels staan in de aanbeveling en de Cyberbeveiligingswet sluit ze niet uit; hoe de toezichthouder ze in een concreet geval toepast, is nog niet in gepubliceerd beleid vastgelegd.
Hoe u de toets deze maand zelf doet en vastlegt: vijf stappen
Ten eerste: teken de structuur. Zet alle vennootschappen boven, naast en onder de werkmaatschappij op één A4, met per lijn het percentage kapitaal en stemrechten, en noteer ook de andere bedrijven van dezelfde aandeelhouder in dezelfde of een verwante markt. Ten tweede: kwalificeer elke lijn als zelfstandig, partner (25 procent tot 50 procent) of verbonden (meerderheid of zeggenschap). Ten derde: reken volgens artikel 6, met fte, jaaromzet en balanstotaal uit het laatste afgesloten boekjaar, partners naar rato en verbonden ondernemingen voor 100 procent. Ten vierde: doe de NIS2-zelfevaluatie van de RDI met de opgetelde cijfers, en gebruik bij vestigingen in meer landen de Handreiking complexe bedrijfsmodellen van het NCSC van 17 december 2025. Ten vijfde: leg de uitkomst met datum, de gebruikte jaarrekening en de structuurtekening vast, ook als de uitkomst "valt er niet onder" is. In de toelichting bij het Cyberbeveiligingsbesluit staat dat iedere organisatie hier zelf verantwoordelijk voor is; het papier laat later zien hoe en op welke cijfers u hebt gerekend als een klant of toezichthouder tot een andere uitkomst komt.
Wat er verandert als de toets "ja" zegt: registratie, zorgplicht en uw eigen leveranciers
Valt u erop, dan gelden drie plichten tegelijk: registratie in het nationale register van artikel 43 en 44 Cyberbeveiligingswet via het NCSC, de zorgplicht van artikel 21 Cyberbeveiligingswet zoals uitgewerkt in de artikelen 6 tot en met 18 van het Cyberbeveiligingsbesluit (voor elf soorten digitale aanbieders, zoals cloud-, DNS- en vertrouwensdiensten, verwijst artikel 4 van het besluit in plaats daarvan naar Uitvoeringsverordening (EU) 2024/2690), en de meldplicht voor significante incidenten van artikel 25 en volgende. Voor uw contractenpraktijk betekent het vooral dat u van de ene kant van de tafel naar de andere verhuist: u wordt zelf de partij die onder artikel 10 van het besluit de beveiligingsrisico's in haar toeleveringsketen beheerst en de relaties met haar rechtstreekse leveranciers en dienstverleners op de relevante beveiligingsaspecten beoordeelt, in plaats van de leverancier die de vragenlijst van een klant ontvangt. Elk contract waarmee u software of systemen geleverd krijgt, verdient dan een acceptatietoets die zegt wanneer er is geleverd en waaraan u meet; hoe u die schrijft, beschreef JAVB voor de koop van software in het artikel over artikel 7:17 BW en de acceptatietest voor een geleverd AI-systeem, en dezelfde opzet is bruikbaar als hulpmiddel bij dienst- en onderhoudscontracten. Loopt er al een oud onderhoudscontract, lees dan ook wat een beveiligingslek in een vijf jaar oud leverancierscontract betekent.
Zegt de omvangstoets "nee", dan valt u op grond van de hoofdregel niet onder de wet, tenzij een van de categorieën zonder omvangseis of een afzonderlijke aanwijzing op u van toepassing is. In dat geval blijft het beeld van 20 augustus staan: de wet bereikt u via de contracten van klanten die er wél onder vallen. Ook dan is de vastgelegde toets nuttig, omdat u een klant die u om een Cyberbeveiligingswet-garantie vraagt, met de berekening in de hand kunt uitleggen waarom u die garantie niet als entiteit kunt geven.
Ligt er nu een contract op tafel, een beveiligingsaddendum van een klant of de voorwaarden van een leverancier, en wilt u weten hoe u ervoor staat? Plak het in onze contractscan. U ziet dan per artikel wat er staat, wat ontbreekt en welke tekst u als tegenvoorstel kunt gebruiken, gewoon in uw browser en op elk moment van de dag.
Bronnen
- Cyberbeveiligingswet, Wet van 8 juli 2026, Staatsblad 2026, 187: artikel 8 (essentiële entiteit van rechtswege, met tweede lid over artikel 3, vierde lid, van de bijlage bij Aanbeveling 2003/361/EG), artikel 12 (belangrijke entiteit van rechtswege), artikelen 21, 25, 43 en 44
- Cyberbeveiligingsbesluit, Besluit van 8 juli 2026, Staatsblad 2026, 189: artikelen 6 tot en met 18 (zorgplicht), artikel 10 (toeleveringsketen), artikel 35 (inwerkingtreding 15 augustus 2026), met nota van toelichting
- Aanbeveling 2003/361/EG van de Commissie van 6 mei 2003 betreffende de definitie van kleine, middelgrote en micro-ondernemingen, bijlage: artikel 2 (drempels), artikel 3 (zelfstandige, partner- en verbonden ondernemingen), artikel 4 (referentieperiode en de regel van twee boekjaren), artikel 6 (samentelling van gegevens)
- Richtlijn (EU) 2022/2555 (NIS2), artikel 2 (toepassingsgebied)
- NCSC, "Valt mijn organisatie onder de Cyberbeveiligingswet (NIS2)?", met de omvangscriteria en de aanwijzing om partner- en verbonden ondernemingen mee te tellen
- NCSC, Handreiking complexe bedrijfsmodellen, 17 december 2025
- Rijksinspectie Digitale Infrastructuur, NIS2-zelfevaluatie
- JAVB, "Sinds 15 augustus bereikt de zorgplicht u via de contracten van uw klanten", 20 augustus 2026
- JAVB, "Wanneer is een AI-systeem geleverd? Artikel 7:17 BW, het arrest De Beeldbrigade en de acceptatietest die u zelf schrijft", 4 september 2026
Wetteksten en de aanbeveling geraadpleegd via officielebekendmakingen.nl en eur-lex.europa.eu, de NCSC-pagina's en de zelfevaluatie op 4 september 2026.
