Valt mijn mkb-bedrijf onder de Cyberbeveiligingswet?
De drempel is niet het hele verhaal. Er zijn drie manieren om in scope te raken, en twee ervan hebben niets met je omvang te maken.
Je valt onder de Cyberbeveiligingswet als je organisatie in een van de aangewezen sectoren actief is én 50 of meer medewerkers heeft, of een jaaromzet of balanstotaal van meer dan €10 miljoen. Daarnaast valt een aantal typen organisaties er altijd onder, ongeacht omvang. En ook zonder dat je zelf in scope bent, kun je via de keten met de eisen te maken krijgen.
Laatst bijgewerkt: 16 augustus 2026. Dit is een praktisch richtsnoer, geen juridisch advies, en geen vervanging van je eigen beoordeling.
Bepaal je positie in acht stappen
Loop deze acht vragen langs. Eén keer "ja" bij stap 3 tot en met 6 is genoeg om in scope te zijn, ook als stap 1 en 2 "nee" opleveren.
| # | Vraag | Als "ja" |
|---|---|---|
| 1 | Valt je hoofdactiviteit onder een sector uit bijlage 1 of 2 van de Cbw? | Ga verder; anders alleen stap 3 t/m 8 relevant |
| 2 | Heb je 50 of meer medewerkers, óf meer dan €10 mln omzet of balanstotaal? | Waarschijnlijk in scope: bijlage 1 → richting essentieel, bijlage 2 → belangrijk |
| 3 | Ben je aanbieder van een openbaar elektronisch communicatienetwerk of -dienst, verlener van vertrouwensdiensten, DNS-dienstverlener, of beheerder van een topleveldomeinregister? | In scope, ongeacht omvang |
| 4 | Ben je een overheidsorganisatie? | In scope, ongeacht omvang |
| 5 | Ben je onder de Wwke aangewezen als kritieke entiteit? | Essentiële entiteit van rechtswege (art. 8 Cbw) |
| 6 | Ben je de enige aanbieder van een dienst die essentieel is voor kritieke activiteiten, of zou uitval aanzienlijke gevolgen hebben voor openbare veiligheid of volksgezondheid? | Kan worden aangewezen ongeacht omvang (art. 9 Cbw) |
| 7 | Verleen je domeinnaamregistratiediensten? | Aparte, lichtere categorie: wel in het register (art. 43) |
| 8 | Ben je leverancier van een essentiële of belangrijke entiteit? | Geen eigen plicht, maar je wordt via contracten geraakt (zie onderaan) |
Twijfel je over stap 1? De sectorlijsten staan in de NCSC-informatiebrochure en samengevat in ons Cbw-overzicht.
Wat zijn de drempels precies?
50 of meer medewerkers, of een jaaromzet of balanstotaal boven €10 miljoen.
De drempel komt uit de Europese mkb-definitie waar NIS2 op teruggrijpt (Aanbeveling 2003/361/EG): bij de plafondtoets geldt omzet óf balanstotaal, niet allebei.
Let op bij het naslaan: de publiekspagina van het NCSC formuleert de financiële toets strenger, als "zowel je jaaromzet als je balanstotaal" (NCSC). De mkb-definitie waar de wet op teruggrijpt hanteert "of". Zit je organisatie dicht bij de grens, laat de toets dan toetsen.
De drempel is een filter, geen uitspraak: je valt er pas onder als je óók in een aangewezen sector zit. Andersom geldt dat niet. De uitzonderingen hieronder zetten de drempel volledig buitenspel.
Welke organisaties vallen er altijd onder, ongeacht omvang?
Zes typen organisaties, plus alle overheidsorganisaties, vallen onder de wet ook als ze klein zijn.
Volgens de NCSC-brochure zijn dat: aanbieders van openbare elektronische communicatienetwerken; aanbieders van openbare elektronische communicatiediensten; (gekwalificeerde) verleners van vertrouwensdiensten; aanbieders van registers voor topleveldomeinnamen; DNS-dienstverleners; verleners van domeinnaamregistratiediensten; en overheidsorganisaties.
Op de publiekspagina van het NCSC staat die lijst met de woorden "onder andere", dus als niet-uitputtend. Wij gebruiken hier de lijst uit de brochure en presenteren die als de gepubliceerde lijst, niet als de volledige juridische opsomming.
Daarnaast bestaan er twee aanwijzingsroutes die los staan van je omvang. Artikel 9 Cbw maakt aanwijzing mogelijk als je "de enige aanbieder van een dienst die essentieel is voor kritieke activiteiten" bent, als verstoring "aanzienlijke gevolgen" zou hebben voor openbare veiligheid, openbare beveiliging of volksgezondheid, of bij "aanzienlijk systeemrisico". En artikel 8 maakt een kritieke entiteit onder de Wwke van rechtswege een essentiële entiteit onder de Cbw.
Een derde categorie wordt vrijwel overal vergeten: verleners van domeinnaamregistratiediensten zijn geen essentiële en geen belangrijke entiteit. Ze staan wel in het entiteitenregister en kennen een eigen handhavingsparagraaf (§ 15.4, art. 88–91). Wie een registrar is en zichzelf in het essentieel/belangrijk-schema probeert te wringen, komt er niet uit, omdat hij er niet in hoort.
Geldt de wet voor MSP's en MSSP's?
Ja, en zwaarder dan veel MSP's verwachten: beheer van ICT-diensten staat in bijlage 1 en wordt door de RDI als essentieel geclassificeerd.
De RDI noemt onder de essentiële entiteiten met proactief toezicht expliciet "aanbieders van beheerde diensten en aanbieders van beheerde beveiligingsdiensten" (RDI). Dat betekent: informatieverzoeken en bezoeken zonder dat er iets is misgegaan.
De omvangdrempel geldt hier nog steeds: een MSP van vijf man valt er niet automatisch onder. Maar zodra een MSP de drempel haalt, valt hij zelf onder de wet, terwijl veel van zijn klanten dat niet doen. Voor een sector die gewend is de compliancevragen van klanten te beantwoorden, is dat een omkering.
Hoe werkt het bij een groepsstructuur?
De verplichting hangt aan de entiteit, niet aan het concern. Maar de drempels worden per entiteit beoordeeld, en één entiteit in scope trekt de rest zelden mee.
Praktisch betekent dat drie dingen. Een Nederlandse dochter van een buitenlandse moeder registreert zichzelf in Nederland, met eigen eHerkenning. Een holding zonder eigen operationele activiteit in een aangewezen sector valt in de regel niet in scope terwijl haar werkmaatschappij dat wel doet. En een gedeelde IT-organisatie die diensten levert aan zusterondernemingen kan zelf als aanbieder van beheerde diensten kwalificeren, met alle gevolgen van dien.
Dit is precies het punt waarop wij aanraden de beoordeling vast te leggen in plaats van te onthouden. Als de toezichthouder over twee jaar vraagt waarom entiteit X zich niet heeft geregistreerd, is "dat leek ons destijds niet nodig" een zwakker antwoord dan een gedateerde notitie met de redenering erin.
Ik ben leverancier van een essentiële entiteit. Wat betekent dat voor mij?
Je hebt geen eigen verplichting onder de Cbw, maar je klant heeft er wel één die op jou landt.
Ketenbeveiliging is onderdeel van de zorgplicht van je klant (art. 21 lid 2 sub d): beveiliging van de toeleveringsketen, inclusief de beveiligingsgerelateerde aspecten van de relatie met directe leveranciers. Je klant kan die verplichting niet nakomen zonder iets van je te vragen.
In de praktijk bereikt de wet je dus via contractclausules, vragenlijsten en soms auditrechten, niet via de toezichthouder. Dat maakt het niet vrijblijvend: het maakt het een commercieel risico in plaats van een boeterisico.
Ik val er niet onder. Waarom krijg ik dan toch vragenlijsten?
Omdat je klanten hun eigen zorgplicht alleen kunnen aantonen door bewijs bij jou op te halen.
Dit is de meest onderschatte gevolgtrekking van de hele wet. Ruim 8.000 organisaties zijn direct in scope; het aantal organisaties dat die vragenlijsten moet invullen is een veelvoud daarvan. Voor een mkb-leverancier is de relevante vraag daarom zelden "val ik onder de Cbw?" maar "kan ik binnen twee weken aantonen hoe ik omga met kwetsbaarheden, toegangsbeheer en incidenten, zonder dat er iemand een week voor gaat zitten?"
Wie dat bewijs één keer goed organiseert, beantwoordt elke volgende vragenlijst met kopieerwerk in plaats van met een project. Wie dat niet doet, betaalt de prijs per klant, elk jaar opnieuw.
Waar Soveryne past
Het antwoord op "val ik eronder?" is meestal binnen een uur te geven. Het antwoord op "kun je dat aantonen?" kost bij de meeste organisaties weken, elke keer weer. Soveryne Command houdt beheersmaatregelen, assets en bewijs aan elkaar gekoppeld en gemapt op NIS2, ISO 27001 en DORA, zodat een klantvragenlijst een export wordt in plaats van een project. Voor leveranciers die niet zelf in scope zitten maar wel bevraagd worden, is dat het hele probleem.
Veelgestelde vragen
Tellen uitzendkrachten en zzp'ers mee voor de 50 medewerkers? De wet sluit aan bij de gangbare EU-systematiek voor bedrijfsgrootte, waarin naar het aantal werkzame personen wordt gekeken. Zit je dicht bij de grens, laat de telling dan onderbouwen en leg de uitkomst vast. Het verschil tussen 48 en 52 bepaalt hier het hele regime.
Wat als ik net onder de drempel zit? Dan ben je waarschijnlijk niet in scope, maar controleer stap 3 tot en met 6: de uitzonderingen en aanwijzingsroutes kijken niet naar je omvang. En houd er rekening mee dat je door groei alsnog in scope kunt raken, waarna registratie verplicht is.
Moet ik me registreren als ik twijfel? Registratie zonder verplichting is niet nuttig, maar een gedocumenteerde beoordeling wel. Leg vast wat je hebt beoordeeld, op welke datum en op basis van welke cijfers, en herzie dat als je omvang of activiteiten wijzigen.
Mijn moederbedrijf zit in Duitsland. Waar registreer ik? De Nederlandse entiteit registreert in Nederland, via Mijn.NCSC.nl met eigen eHerkenning. Een Duitse registratie bij het BSI vervangt dat niet: de procedures zijn nationaal, ook al komt de zorgplicht uit dezelfde richtlijn.
Wat gebeurt er als ik me niet registreer? Registratie is een wettelijke verplichting en valt onder hetzelfde handhavingsregime als de overige plichten. Belangrijker in de praktijk: niet-geregistreerd zijn terwijl je in scope bent, is het makkelijkst vast te stellen verzuim dat er bestaat.
Bronnen
- NCSC: Valt mijn organisatie onder de Cyberbeveiligingswet?
- NCSC: Informatiebrochure Cyberbeveiligingswet (PDF)
- RDI: Sectoren onder toezicht
- RDI: Wet weerbaarheid kritieke entiteiten
- Cyberbeveiligingswet, Stb. 2026, 187 · geconsolideerde tekst
