Security en compliance voor MSPs: waarom je aanpak nu vastloopt

Security en compliance voor MSPs is het onderwerp waar niemand meer omheen kan, en tegelijk het onderwerp waar de meeste MSP-eigenaren stiekem hopen dat de klant er niet te diep op ingaat. Want zodra je de vraag serieus stelt, kom je uit op keuzes die pijn doen: welke expertise heb je écht in huis, wat besteed je uit, en wanneer is een klant nou eigenlijk veilig?

Bij MSPs onder de 30 man zie je bijna altijd hetzelfde patroon. De engineers zijn stuk voor stuk goede generalisten. Ze weten iets van Endpoint Manager, iets van Defender, iets van Azure, iets van Sentinel. Ze rollen configuraties uit, ze doen hun tickets, ze houden het draaiend. En dan wordt security erbij gedaan. Meestal via een tool die netjes synchroniseert, netjes rapporteert, en netjes een groen vinkje geeft.

Het probleem is niet dat die tool niet werkt. Het probleem is dat er niemand achter zit die exact weet wat elke setting doet en wat de impact is. Tenant hardening, configuration drift, forensische respons na een incident, dat zijn geen dingen die je erbij doet naast Exchange-migraties en nieuwe laptops uitrollen. En de meeste eindklanten hebben geen idee. Die horen: “onze MSP heeft dat en dat product aangeschaft”, en gaan er vanuit dat het goed zit. Terwijl in de praktijk dezelfde generalistische kennis nu alleen op grotere schaal wordt uitgerold. Sneller fout, is eigenlijk wat er gebeurt.

Wat werkelijk werkt in security en compliance voor MSPs

Wat in de praktijk werkt is een eerlijke splitsing tussen wat je zelf doet en wat je bewust bij een specialist neerlegt. Niet omdat je te klein bent, maar omdat het aantrekken van échte experts op SOC- en MDR-niveau voor een MSP met 20 man vrijwel onmogelijk is. Die mensen willen werken tussen gelijkgestemden, en die pool is klein. Wie dat ontkent en zelf een sok probeert te bouwen, betaalt drie keer: aan mensen die je niet kunt vasthouden, aan tooling die je niet volledig benut, en aan klanten die alsnog geraakt worden.

Het tweede wat werkt is een principe dat je intern hard maakt: security is geen premium. Geen werkplek van 30 euro die voor 45 euro “veilig” wordt. Geen MFA als upsell. Geen conditional access in het gouden pakket. Als je dat pad opgaat, verkoop je onveiligheid als default, en dat is een positie die je niet wilt verdedigen als het misgaat. De MSPs die dit doorvoeren en er transparant over zijn, verliezen op korte termijn een paar prijsgevoelige klanten en winnen de gesprekken met bestuurders die begrijpen wat er op het spel staat.

De vier faalpunten die ik bij MSPs steeds terugzie

Als je de gemiddelde security-inrichting bij een MKB-klant openbreekt, zie je vier terugkerende gaten. Ze staan zelden in de propositie, maar ze bepalen wel of een klant een incident overleeft. En het gekke is: het zijn geen exotische problemen. Het zijn de basics die iedereen kent, maar die in de dagelijkse operatie stelselmatig doorschuiven naar volgende week, volgende sprint, volgend kwartaal.

1. Generalistische kennis achter specialistische tooling

Een MDR-platform of een XDR-tool is geen vervanging voor iemand die weet wat een alert betekent. Wie de tool koopt zonder de kennis, pusht configuraties sneller de omgeving in dan hij ze kan begrijpen. Als het misgaat, en dat gaat het op enige schaal altijd een keer, sta je bij de klant met een dashboard vol groene vinkjes en geen verhaal. Wat je nodig hebt is iemand die om drie uur ‘s nachts naar een log kijkt en meteen ziet of het ruis is of iets wat je moet escaleren. Die kennis bouw je niet op met een certificering en een quickstart-training.

2. Geen forensische capaciteit voor het moment na de hack

De meeste MSPs kunnen prima detecteren en blokkeren. Maar zodra er echt iets doorbreekt begint het pas. Hoe ga je om met een ransomware-groep? Hoe reconstrueer je hoever ze zijn gekomen? Welke data is exfiltreerd? Dat is een interventie-team dat forensisch is opgeleid, en dat heeft bijna geen enkele MSP zelf in huis. Erken dat, en regel een vaste partner vóórdat je hem nodig hebt. Niet erna, in paniek, op een zaterdagavond, terwijl je klant de pers aan de lijn heeft en jij nog moet uitleggen wie welke tape-back-up beheert.

3. Beleid dat op papier bestaat en verder nergens

Een informatiebeveiligingsbeleid, mediabeleid, incidentenregister, het staat bij veel klanten netjes in een map. Maar beleid is papier en tijger als er niks mee gebeurt. Wat wel werkt is een PDCA-ritme waarin je elk kwartaal terugkijkt op wat er is opgeschreven, wat er is geëxecuteerd, en waar het is afgeweken. Awareness-trainingen die je één keer per jaar draait doen weinig. Mensen komen terug van vakantie, klikken door hun mailbox heen, willen er snel doorheen. Daar zit je risico, niet in je firewall. Wat je bij klanten die het serieus nemen ziet: korte, herhalende prikkels. Een phishing-simulatie per maand. Een teamgesprek van tien minuten na een incident bij een branchegenoot. Een dashboard waarin de directie ziet hoeveel medewerkers de laatste module hebben afgerond. Kleine dingen, maar wel dingen die gedrag veranderen. Beleid dat leeft, in plaats van beleid dat bestaat.

4. AI als bedreiging én als tool niet ingericht

AI verandert het spel aan beide kanten. Aanvallers vinden en toetsen kwetsbaarheden op schaal. Als jouw tenant hardening niet op orde is, gaat het niet om de vraag óf, maar wanneer. Tegelijk kun je met AI binnen een paar minuten de volledige threat exposure van een tenant uitlezen, gemapt op CIS of BIO. Wie AI niet inzet aan de verdedigende kant, verliest simpelweg op snelheid van wie het wel doet. En intern gebruiken je klantmedewerkers AI ook al, of je het weet of niet. Daar geen beleid op hebben is de gok die je niet wil nemen.

Wat dit betekent voor je propositie

De MSPs die hier de komende jaren op winnen, zijn niet degenen die alles zelf claimen te doen. Het zijn de MSPs die durven zeggen waar hun grens ligt, die de specialistische kennis inkopen waar het moet, en die security als basislaag verkopen in plaats van als upgrade. Voor sommige is dat een pijnlijke verschuiving in propositie en prijsstelling. Voor de eindklant is het het enige verhaal dat op bestuurniveau nog serieus wordt genomen. En eerlijk: het maakt je gesprekken ook makkelijker. Je hoeft niet meer te verdedigen waarom MFA extra kost, of waarom een backup-test geen offerte-item is. Je positioneert jezelf als de partij die de basis op orde heeft, en bouwt daarbovenop de gesprekken over risico, continuïteit en groei die klanten écht willen voeren.

De verschuiving die het lastigst is: intern

Het moeilijkste aan deze beweging is niet de techniek en niet de partnerkeuze. Het is intern. Engineers die jaren gewend zijn om alles zelf op te lossen, moeten accepteren dat er dingen zijn die ze niet doen. Accountmanagers die gewend zijn om security als marge-product te verkopen, moeten leren om het als hygiene te positioneren en de marge ergens anders te halen. En jij, als eigenaar of directeur, moet in staat zijn om tegen een klant te zeggen: dit doen wij niet zelf, en daar zijn we transparant over. Dat vergt lef. Maar het is dezelfde beweging die accountants twintig jaar geleden hebben gemaakt met specialistische fiscale kennis, en die advocatenkantoren nu maken met niche-praktijken. Wie generalist blijft in een specialistenmarkt, verliest.

Het gesprek dat je concurrent niet durft te voeren, is precies het gesprek dat jou onderscheidt. Niet met bangmakerij, maar met een eerlijke beoordeling van wat je zelf kunt, wat je uitbesteedt, en waar je klant nu echt kwetsbaar is. Wie dat gesprek aandurft bij de CISO, IT-manager en bestuurder wint de klanten die begrijpen dat continuïteit geen premium is. De rest blijft vechten op werkplekprijs, tot het een keer echt misgaat.