Security en compliance MSP: waarom vinkjes je niet meer redden
Security en compliance bij een MSP is geen ISO-vinkje meer, geen policy-PDF, en al helemaal geen awareness-training die je één keer per jaar afdraait. Toch draait 80% van de markt nog op precies dat. En dat is precies waarom de eindklant je nu belt voor een second opinion in plaats van jou. De volwassen inkoper heeft door dat “wij doen aan security” een leeg containerbegrip is geworden, en dat achter de vier populairste dashboards vaak niemand meer meekijkt na 17:30 uur.
Bijna 1 op de 5 Nederlandse bedrijven kreeg in 2025 met een cyberincident te maken. Tegelijk moet je als MSP voldoen aan NIS2, ISO 27001 en klanten die meer vragen voor minder budget. En dan zit je op maandagochtend te vergaderen over de vraag of je die klant met 40 zetels nog wél of niet meer onboardt, want voor drie tientjes per gebruiker kun je geen certificeringen, geen goede engineers en geen 24/7 monitoring dragen.
Wat je ondertussen ziet gebeuren: eindklanten die zelf een specialist binnenhalen voor een second opinion op jouw tenant. Verzekeringsmaatschappijen die MSSP’s rechtstreeks aanhaken buiten jou om. En techneuten op je eigen vloer die generalistisch werken van Endpoint Manager tot Sentinel tot Defender, en die dus in geen enkel onderdeel echt expert zijn. Eén vergeten vinkje in Exchange betekent geen emoji. Eén vergeten vinkje in Defender betekent dat de eindklant morgen in de Telegraaf staat en jij aan de andere kant van de aansprakelijkheidsvraag.
Wat werkelijk werkt: tenant hardening als vloer, niet als plafond
De MSP’s die dit jaar wél groeien in security, doen twee dingen tegelijk die op het eerste gehoor tegenstrijdig lijken. Ze bouwen een golden standard voor tenant hardening waarvan ze exact weten wat elke setting doet, én ze besteden het 24/7-stuk bewust uit aan partners die daar hyperfocus op hebben. Niet plat uitbesteden, wel samen doen. Want je moet blijven begrijpen wat er in je klantomgevingen gebeurt, anders ben je de bakker die niet meer weet waarom de broodjes niet uit de oven komen.
Wat níet werkt: een synchronisatietooltje kopen waarin je generalistische kennis op grotere schaal uitrolt. Dan pushen dezelfde MSP’s dezelfde onvolledige configuraties naar honderd tenants tegelijk, zonder te weten waarom die templates zo zijn opgebouwd. Dat is niet schaalvoordeel, dat is schaal-risico. De democratisering van enterprise-security naar het MKB werkt alleen als de MSP zelf conceptueel begrijpt wat hardening, least privilege en configuration drift management inhouden. Anders koop je een Ferrari voor iemand die net z’n rijbewijs haalt.
De vier lagen die de meeste MSP’s door elkaar halen
Als je vandaag drie MSP-eigenaren aan tafel zet en vraagt wat hun security-propositie is, krijg je drie totaal verschillende antwoorden op dezelfde vier lagen. Dat is het echte probleem. De klant hoort “security” en denkt aan één ding. Jij verkoopt vier dingen tegelijk zonder onderscheid te maken. Laag één: tenant hardening en baseline-configuratie. Dat is jouw werk, punt. Laag twee: managed detection en response, 24/7 monitoring. Dat is specialistenwerk. Laag drie: incident response en forensisch onderzoek als het misgaat. Dat is Fox-IT-niveau. Laag vier: compliance-registratie richting NIS2-zorgplicht. Dat is proces, niet techniek.
“Niks is gevaarlijker dan een IT’er die denkt dat hij het weet”
Waarom die scheiding commercieel belangrijk is
Onder de 200 zetels loopt de business case voor volwaardige interne security-dienstverlening niet rond. Vanaf 200 wel, en zelfs dan zeggen serieuze MSP’s van 150 man expliciet: wij bouwen geen eigen SOC, want die engineers willen liever bij een pure security-club werken. Wie zijn eigen SOC opbouwt zonder die schaal is aan het knutselen. En zoals de mensen die dit al twintig jaar doen zeggen: knutselen in security is fout, want er is niks gevaarlijkers dan een IT’er die denkt dat hij het weet, maar het net niet weet.
Concreet kader dat we in de praktijk zien werken: bied laag één als non-negotiable onderdeel van je basisabonnement, geen premium. Security is geen upsell van 15 euro bovenop een werkplek van 30. Laag twee koop je in bij een partner en verkoop je door onder je eigen contract, zodat jij regie houdt op de klant. Laag drie regel je met een piepklein retainer-contract bij een gespecialiseerde IR-partij, zodat de klant pas per uur betaalt als het misgaat. Dat is de gesplitste inkoop waarmee je een competitief aanbod neerlegt zonder je marges of je verantwoordelijkheid te verkopen. Laag vier tenslotte, NIS2-zorgplicht, is de laag waar de meeste MSP’s nu nog weglopen. Terwijl juist dát de laag is waarmee je de eerste Nederlandse directeur voor de rechter ziet komen. Die dag komt. Waarschijnlijk binnen 18 maanden.
De operationele realiteit: wat kost dit intern écht?
Praten we even in mensen en uren, niet in modellen. Een fatsoenlijke tenant hardening op een nieuwe klant van 50 zetels kost een senior engineer tussen de 16 en 24 uur om initieel neer te zetten, mits je een gedocumenteerde golden standard hebt. Heb je die niet, dan zit je op 40 tot 60 uur en lever je nog steeds inconsistent werk. Vervolgens kost het bijhouden van configuration drift, nieuwe Microsoft-defaults en policy-updates gemiddeld 2 tot 4 uur per klant per maand. Dat is jouw echte kostprijs voor laag één. Als je dat niet in je tarief hebt zitten, subsidieer je security uit je servicedesk-marge. En die servicedesk-marge stond al onder druk.
Voor laag twee, MDR, geldt een ander rekenmodel. Een goede partner rekent tussen de 8 en 18 euro per endpoint per maand, afhankelijk van log-volume en response-SLA. Reken je dat één-op-één door aan de klant, dan verlies je marge én ben je duurder dan de concurrent die het bij dezelfde partner inkoopt en 30% marge pakt. Bundel het in een security-abonnement met heldere scope, en je verdient aan het contract in plaats van aan het incident. Want dat is de tweede denkfout die veel MSP-eigenaren maken: geld verdienen aan brandjes blussen is geen businessmodel, dat is een aflopende reeks. Zodra de klant doorheeft dat jij verdient aan zijn ellende, ben je die klant kwijt.
Laag vier verdient een aparte alinea, want dit is waar de meeste MSP’s nu bewust wegkijken. NIS2 is geen ISO-traject dat je in een kwartaal afvinkt, het is een doorlopende zorgplicht op bestuurdersniveau. Dat betekent: kwartaalrapportages, incident-registratie binnen 24 uur, aantoonbare risicoanalyse per keten. Als jij de MSP bent en de klant valt onder NIS2, dan zit jouw dienstverlening in scope van zijn audit. Punt. Je kunt dat prima faciliteren met een lichte compliance-tooling en een vast kwartaalgesprek van een uur, mits je de discipline hebt om dat gesprek dan ook echt te voeren. De MSP’s die dit nu al standaardiseren, tekenen contracten van drie jaar met opzegtermijnen van zes maanden. De rest blijft in de jaarlijkse prijsonderhandeling zitten.
“Security is geen premium, je kunt niet bezuinigen op security”
De klant krijgt de MSP die hij verdient. Dat klinkt hard, en dat is het ook. Maar het werkt twee kanten op: de MSP krijgt óók de klanten die bij zijn volwassenheidsniveau passen. Wie nog op break-fix en uurtje-factuurtje draait, gaat de komende drie jaar ongemakkelijk krap in zijn jasje zitten. Wie durft te zeggen “dit doen we zelf, dit doen we met partners, en hieronder onboarden we niet”, bouwt de propositie waar de eindklant over drie jaar bij aanklopt in plaats van bij die second opinion-specialist. Begin deze week met één ding: leg je vier lagen op één A4 en toets ze bij je drie grootste klanten.
Share on