Wie is verantwoordelijk als het misgaat bij je MSP-klant?

De verantwoordelijkheid van een MSP bij een cyberincident is niet meer iets wat je met een standaard-SLA en een disclaimer wegregelt. Een collega-MSP vertelde vorige week over een klant die weigerde de business continuity-module af te nemen. Twee weken later stond het bedrijf drie dagen stil. De eerste vraag die de directeur toen stelde was niet “hoe lossen we dit op”, maar “wie gaat dit betalen”.

Dat is het gesprek waar je op zit te wachten als je die waiver niet hebt laten tekenen. En zelfs dan houdt zo’n stuk papier steeds minder stand. Rechters vegen contracten van tafel als ze vinden dat je als IT-dienstverlener je zorgplicht niet bent nagekomen. Dat is geen theorie meer. Enisa, de Europese cyberwaakhond, heeft nationale overheden vorig najaar expliciet geadviseerd om MSP’s aan te gaan pakken. En de Nederlandse toezichthouders staan op scherp voor 1 juli, als de Cyberbeveiligingswet ingaat.

Ondertussen is de kans op een cyberincident inmiddels één op drie. Een klein incident met een dag downtime kost tussen de 2,5 en 5 procent omzet. Een week plat kost 25 procent. Meer dan drie weken plat betekent voor 60 procent van de bedrijven faillissement. Dat zijn geen scare-cijfers uit een salesdeck, dat is basisstatistiek uit onderzoek onder Europese bedrijven die geraakt zijn. En als jij de MSP bent die die klant al vijf jaar bedient, gaat de jurist van die klant niet eerst naar de aanvaller op zoek. Die kijkt naar jou.

Waar de verantwoordelijkheid van de MSP echt begint

Wat in de praktijk werkt is niet nog een extra bijlage in het contract. Het is een gesprek dat je op directieniveau voert, niet met de IT-manager. De NIS2 verplicht dat plan letterlijk fysiek ondertekend te laten worden door de directeur, zelfs bij een mkb-bedrijf met tien man. Dat is geen jurisprudentie, dat is de wet. En het is precies daar waar 80 procent van de MSP’s afhaakt, omdat ze bang zijn de klant te verliezen als ze eerlijk zeggen: honderd procent security bestaat niet, en jij bent uiteindelijk de bestuurder.

Die eerlijkheid is de bescherming. Als je in het eerste gesprek al vastlegt dat het een gedeelde verantwoordelijkheid is, jij levert de tooling en de detectie, de klant traint zijn mensen en beslist over de risico-acceptatie, dan bouw je aan een dossier dat wél standhoudt. Klanten die dat weigeren te tekenen, moet je niet willen bedienen. Dat klinkt hard. Maar de MSP’s die dat rigide durven te zijn, verliezen op korte termijn misschien twee prospects per jaar en winnen op lange termijn de klanten die er wél toe doen.

Waarom backup en business continuity twee verschillende gesprekken zijn

Een productiebedrijf in Limburg vertelde een MSP-collega trots dat ze “backups hadden”. Waar? In een extern datacenter. Vraag: als jullie hele lokale infrastructuur platgaat door ransomware, hoe snel draaien jullie weer? Daar had niemand een antwoord op. Dat is exact het punt waar de meeste MSP-verantwoordelijkheid ontspoort: de klant denkt dat backup gelijk staat aan continuïteit, en de MSP corrigeert dat niet expliciet genoeg.

Backup beschermt tegen dataverlies. Business continuity beschermt tegen downtime. Dat verschil bepaalt of jij een leverancier bent of een strategische partner. En het bepaalt of jij aansprakelijk bent voor die drie dagen stilstand of niet. Van de MSP’s die geautomatiseerde restore-tests doen op de virtuele machines elke 24 uur, doet minder dan een handjevol ook een fysieke restore-oefening twee keer per jaar. Dat is de exercise waar je bij je klant een boardroom-sessie voor moet plannen, met foetjes op tafel en de vraag: als hier nu alles platgaat, wat kost dat dan.

De ketenaansprakelijkheid die niemand voelt aankomen

Waar het echt gaat schuiven is de leverketen. Van de 8.000 tot 10.000 Nederlandse bedrijven die rechtstreeks onder NIS2 vallen, moet elk aantoonbaar controleren of hun leveranciers geen risico vormen. Een groot Nederlands bedrijf inventariseerde onlangs 4.000 leveranciers, waarvan 800 als kritiek werden aangemerkt. Van 50.000 Nederlandse transportbedrijven zijn er 5.000 bij de brancheorganisatie aangesloten. Die 500 hebben het op orde, de andere 4.500 nog helemaal niet. En zij leveren allemaal aan bedrijven die straks moeten kunnen aantonen dat hun keten schoon is. Als jij die schakel bent en je klant valt af bij zijn grootste afnemer omdat jij geen certificering kon leveren, dan is de aansprakelijkheidsvraag geen juridisch spelletje meer maar een contractbreuk in het echt.

De NIS2 Supply Chain Certificering is bewust ontworpen als lichter alternatief voor ISO 27001, met een halve tot hele dag audit in plaats van een traject van anderhalf tot vier jaar. Zeventien beheersmaatregelen, waaronder een incidentplan, medewerkerstraining en aantoonbare business continuity. Dat is niet exotisch, dat is common sense. Maar het is wel het instrument waarmee jij aan een directie kunt uitleggen waarom die investering nu moet plaatsvinden en niet volgend jaar.

De MSP’s die de komende twaalf maanden groeien, zijn niet degenen met de mooiste tech-stack. Het zijn degenen die het ongemakkelijke gesprek durven voeren over waar hun verantwoordelijkheid ophoudt en die van de klant begint, zwart op wit, met de handtekening van een bestuurder eronder. Wie dat gesprek uit de weg gaat, wordt straks door zijn eigen klant kapotgestampt via de jurist van diens grootste afnemer. Dat is de realiteit die per 1 juli begint.