Cyberbeveiligingswet en franchise: wanneer wordt de franchisegever ICT dienstverlener?

Sinds 15 augustus 2026 is de Cyberbeveiligingswet van kracht. De wet implementeert de Europese NIS2-richtlijn en legt aan ondernemingen in een groot aantal sectoren verplichtingen op rond cyberbeveiliging, risicobeheersing en het melden van incidenten. Voor veel franchiseorganisaties lijkt de conclusie op het eerste gezicht eenvoudig: de formule opereert niet in een aangewezen sector, dus de wet is niet van toepassing.

Dat kan te kort door de bocht zijn. Binnen franchiseformules wordt ICT immers regelmatig centraal georganiseerd. De franchisegever beheert bijvoorbeeld gebruikersaccounts, kassasystemen, softwareomgevingen of netwerken van franchisenemers. Daarmee komt een andere sector uit de Cyberbeveiligingswet in beeld: ‘beheer van ICT-diensten (business-to-business)’.

Wanneer is sprake van beheer van ICT-diensten?

Artikel 1 van de Cyberbeveiligingswet omschrijft een ‘aanbieder van beheerde diensten’ als een entiteit die diensten verleent die verband houden met onder meer de installatie, het beheer, de exploitatie of het onderhoud van ICT-producten, netwerken, infrastructuur of toepassingen, door ondersteuning of actieve administratie bij de klant of op afstand.

Voor franchiseorganisaties is die definitie interessant. De franchisenemer exploiteert de franchiseformule immers voor eigen rekening en risico. Een franchisenemer is daarmee geen filiaal van de franchisegever. Beheert de franchisegever de ICT-systemen van zijn franchisenemers, dan kan dus sprake zijn van ICT-dienstverlening aan andere ondernemingen.

Dat betekent niet dat iedere franchisegever met een helpdesk plotseling ICT-dienstverlener is. Het voorschrijven van een kassasysteem of het beantwoorden van een gebruikersvraag is iets anders dan het beheren van accounts, het configureren van systemen, het uitvoeren van updates of het op afstand ingrijpen in de ICT-omgeving. Het gaat uiteindelijk om wat de franchisegever feitelijk doet.

De praktijk kan daardoor belangrijker zijn dan de franchiseovereenkomst doet vermoeden. Staat daarin slechts dat de franchisegever ‘ICT-ondersteuning’ verzorgt, terwijl het hoofdkantoor feitelijk administratorrechten beheert, storingen oplost en systemen onderhoudt, dan verdient die feitelijke rol een zelfstandige juridische beoordeling.

Ook de omvang telt

Ook als de activiteiten kwalificeren als beheerde ICT-diensten, is de Cyberbeveiligingswet niet zonder meer van toepassing. De omvang van de onderneming speelt eveneens een rol.

Als uitgangspunt geldt dat aan het omvangscriterium is voldaan wanneer bij een onderneming ten minste vijftig personen werkzaam zijn. Ook een onderneming met minder dan vijftig werkzame personen kan daaronder vallen wanneer zowel de jaaromzet als het balanstotaal meer dan € 10 miljoen bedraagt. Bij het bepalen van de omvang kunnen bovendien de gegevens van partnerondernemingen en verbonden ondernemingen moeten worden meegeteld.

Dat laatste betekent niet dat binnen een franchiseformule automatisch alle ondernemingen over één kam worden geschoren. Per entiteit moet afzonderlijk worden beoordeeld of de Cyberbeveiligingswet van toepassing is. Een franchisenemer kan daardoor op grond van zijn eigen activiteiten en omvang onder de wet vallen, terwijl dat voor de franchisegever niet het geval is, en omgekeerd.

Directe verplichtingen en gevolgen via de keten

Wie rechtstreeks onder de Cyberbeveiligingswet valt, krijgt onder meer te maken met een registratieplicht, een zorgplicht en een meldplicht voor significante incidenten.

Daarnaast is de beveiliging van de toeleveringsketen onderdeel van de wettelijke zorgplicht. Een onderneming die onder de Cyberbeveiligingswet valt, moet daarom ook kijken naar risico’s die ontstaan door haar rechtstreekse leveranciers en dienstverleners.

Een franchisenemer die zelf onder de Cyberbeveiligingswet valt en voor zijn ICT afhankelijk is van de franchisegever, kan bijvoorbeeld afspraken nodig hebben over toegangsrechten, beveiligingsupdates en incidentmeldingen. Andersom kan een franchisegever dezelfde eisen moeten stellen aan externe ICT- of softwareleveranciers.

Daarbij moet één onderscheid scherp blijven. Een partij wordt niet uitsluitend doordat zij leverancier is van een onderneming die onder de Cyberbeveiligingswet valt, zelf volledig aan die wet onderworpen. De gevolgen kunnen wel via de contractuele relatie in de keten terechtkomen. De veelgehoorde gedachte dat ‘iedereen in de keten aan NIS2 moet voldoen’ is juridisch dan ook te algemeen.

En wie betaalt?

De Cyberbeveiligingswet bepaalt ten slotte niet hoe de kosten van nieuwe beveiligingsmaatregelen binnen de franchiseverhouding moeten worden verdeeld. Daarvoor blijven de franchiseovereenkomst en de Wet franchise van belang.

Wanneer een franchisegever aanvullende investeringen verlangt of de franchiseformule vanwege nieuwe beveiligingseisen wijzigt, moet afzonderlijk worden beoordeeld of hij daartoe bevoegd is, hoe de kosten mogen worden verdeeld en of een informatie- of instemmingsplicht geldt. De artikelen 7:916 en 7:921 BW kunnen daarbij een rol spelen. Een wettelijke noodzaak tot betere cybersecurity geeft dus niet automatisch het recht om iedere maatregel eenzijdig in te voeren of de kosten zonder meer bij de franchisenemer neer te leggen.

Tot slot

Voor franchisegevers en franchisenemers begint de beoordeling daarom niet bij de vraag of zij zichzelf als ICT-bedrijf zien. Van belang is wat er feitelijk gebeurt. Welke ICT wordt centraal beheerd, voor wie gebeurt dat, vanuit welke onderneming en hoe groot is die onderneming?

Binnen een franchiseorganisatie kan juist die feitelijke inrichting van belang zijn voor de vraag of de Cyberbeveiligingswet van toepassing is. Een goede inventarisatie van de ICT-structuur, verantwoordelijkheden en contractuele afspraken is daarom geen overbodige exercitie.