"We mogen geen zzp'ers meer." We horen het bijna wekelijks, meestal van een securitymanager die net een NIS2-traject moet trekken met een team dat al vol zit. Inkoop heeft een memo gestuurd, de jurist heeft "schijnzelfstandigheid" gezegd, en de deur voor freelancers zit dicht. Terwijl de wet dat helemaal niet vraagt.
Wat er echt veranderd is
Sinds 1 januari 2025 handhaaft de Belastingdienst weer op schijnzelfstandigheid, na bijna tien jaar moratorium. Dat is het nieuws, en het is waar. Maar de kleine lettertjes zijn milder dan de kop. In 2026 legt de dienst geen verzuimboetes op; naheffingen van loonheffing blijven mogelijk, maar alleen over werk ná 1 januari 2025, en een controle begint in beginsel met een bedrijfsbezoek en niet met een boekenonderzoek (ZiPconomy, 7 januari 2026). Alleen bij opzet of grove schuld dreigen vergrijpboetes.
De wet die alles zou "verduidelijken", de VBAR, is ondertussen grotendeels van tafel. Het nieuwe kabinet schrapte het verduidelijkingsdeel en de minister bevestigde dat op 6 maart 2026 (Van Doorne). Het beoordelingskader blijft dus wat het al was: de gezichtspunten uit het Deliveroo-arrest. En de Hoge Raad voegde in de Uber-zaak van 21 februari 2025 iets toe dat voor securityprofessionals gunstig uitpakt: er is geen rangorde tussen die gezichtspunten, en of iemand zich als ondernemer gedraagt telt volwaardig mee (Hoge Raad).
Wat wél nieuw is: het rechtsvermoeden op basis van uurtarief. Wie minder dan € 36 per uur verdient, wordt straks vermoed werknemer te zijn; de Eerste Kamer nam die wet aan op 16 juni 2026, de ingangsdatum volgt bij koninklijk besluit (Eerste Kamer, 36.783). Voor een security engineer op € 95 of een interim CISO op € 140 speelt dat niet. Die grens is bedoeld voor de maaltijdbezorger, niet voor de pentester.
Waar het wél om gaat
Niet om het contract, maar om de opdracht. Een securityfreelancer die een DORA-implementatie oplevert, zelf bepaalt hoe hij dat aanpakt, zijn eigen laptop en certificeringen meebrengt en volgend kwartaal bij een andere klant zit, is een ondernemer. Dezelfde persoon die drie jaar lang de SOC-dienstlijst draait, aanschuift bij elk teamoverleg en verlof afstemt met de teamlead, is dat niet, hoe mooi de modelovereenkomst ook is.
Daarom kijken wij bij elke intake naar vier dingen:
- Heeft het werk een kop en een staart? Een project, een audit, een migratie, een certificering. Geen "gewoon meedraaien".
- Bepaalt de professional zelf hoe? Jij zegt wát er moet gebeuren en wanneer het af moet. Niet hoe laat iemand begint.
- Zit de persoon niet ingebed als collega? Geen functioneringsgesprek, geen plek in het formatieplaatje, geen verlofaanvraag.
- Gedraagt de freelancer zich als ondernemer? Meerdere opdrachtgevers, eigen middelen, eigen risico, eigen tarief.
Klopt dat plaatje, dan is een zzp-constructie prima te verdedigen. Klopt het niet, dan is de eerlijke conclusie dat je een functie hebt en geen opdracht. Dan zeggen we dat, en dan is een vaste rol via werving meestal de betere weg; wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern. Ook goed. Beter dan een schijnzelfstandige met een mooi contract.
Dat is toevallig precies wat wij doen bij interim in security: eerst uitzoeken wat er echt nodig is, dan pas iemand voorstellen. We hebben geen belang bij zzp, vast of detachering. We hebben belang bij een opdracht die na drie maanden nog steeds klopt.