A középvállalkozás méretet el nem érő felhőszolgáltató nem tartozik automatikusan a törvény hatálya alá, mert a Kiberbiztonsági tv alanyi hatályához szükséges szerinti méretkorlátot nem éri el, és nincs felsorolva az 1. § (1) e) pont szerinti kivételek között.
A hatóság egyedi határozattal bevonhatja a hatály alá, ha a szervezet működése nemzetbizton-sági, társadalmi vagy gazdasági szempontból kritikus (azonosítási eljárás).