Security: laat als MSP geen kansen liggen

Gepubliceerd op 16/10/2026

Security was lange tijd iets wat een MSP erbij deed. Een extra dienst bovenop werkplekbeheer of gewoon als onderdeel van het totaalpakket. Maar die tijd is voorbij.

Een werkende IT-omgeving is voor klanten vanzelfsprekend. Wat ze nu van hun MSP verwachten, is dat die meedenkt over het voorkomen en beperken van cyberrisico’s. Dat heeft ook te maken met NIS2: organisaties die daaronder vallen, moeten de risico’s in hun leveranciersketen beheersen. Soms valt een MSP ook onder deze wet. Daarom zijn duidelijke afspraken nodig over verantwoordelijkheden en beveiligingsmaatregelen, die daarnaast aansluiten op de voorwaarden van de cyberverzekering van de klant. Toch zien we bij Worldstream dat veel MSP’s een groot deel van hun security-advies en -werk leveren zonder dit inzichtelijk te maken of er geld voor rekenen. Daar laten ze kansen liggen.

Voorheen leverde een MSP werkplekbeheer en infrastructuur. Op een gegeven moment kwam daar security bij, als losse dienst of als extra optie. Nu is security het vertrekpunt.

Security by design betekent dat er al over security is nagedacht voordat de infrastructuur wordt opgeleverd. Het is geen laag die je er achteraf overheen legt, maar het is vanaf het eerste ontwerp onderdeel van de dienstverlening. Vooraf nadenken is tenslotte beter dan achteraf repareren.

Voordat ik bij Worldstream begon, werkte ik bij een MSP. Security deden we niet alleen op de werkplek. We zaten aan tafel bij de directie en de CISO van onze klanten en dachten mee over netwerksegmentatie, toegangsbeheer en incidentrespons. Niemand noemde het een dienst. Het hoorde erbij.

Ik herinner mij nog een gesprek met een CISO die voor zijn directie in kaart moest brengen waar ze stonden ten opzichte van NIS2. Samen liepen we door de maatregelen, van logging en monitoring tot leveranciersbeheer. Een groot deel hadden we al ingericht. Maar dat wist hij niet, het stond nergens expliciet genoemd. Hij had gelijk: op de factuur stonden licenties en beheeruren, maar het advies, de ontwerpsessies en de gesprekken met hem ontbraken. Toen zag ik het pas: als je niet laat zien wat je doet, bestaat het voor de klant niet. Dat is een gemiste kans, zeker omdat klanten steeds meer eisen op het gebied van security.

Wat ik nu steeds vaker zie, is dat MSP’s dat omdraaien. Ze maken in het contract zichtbaar wat ze erbij doen, bijvoorbeeld ’30 uur security-consultancy inbegrepen’ en kunnen dat bij verlenging apart aanbieden. Zo wordt het geen plotselinge prijsverhoging, maar iets waarvan de klant al weet wat het waard is. Hetzelfde schreef ik al in mijn blog over AI-adoptie: benoem je adviesuren en verkoop ze.

Vroeger was de eis vanuit klanten simpel: het moet gewoon werken. Nu verwachten ze proactiviteit en gaan ze ervan uit dat jij de expert bent. Hoe de verwachtingen van klanten zijn veranderd, van ‘het moet gewoon werken’ naar proactiviteit en een adviserende rol, lees je in mijn eerdere blog over de vijf MSP-uitdagingen. Voor security komt daar iets bij. Klanten vragen niet meer alleen of alles beschikbaar is, maar ook of je kunt voorkomen dat ze gehackt worden. Dat vraagt om goed beheer van de dagelijkse werkzaamheden, vooruitkijken en samen roadmaps maken.

Die ontwikkeling maakt de dienstverlening waardevoller, maar dus ook duurder. Dat is niet altijd makkelijk uit te leggen aan klanten die gewend zijn dat alles erbij hoort. Toch hebben ze een goede MSP juist nu harder nodig dan ooit. Des te meer reden om zichtbaar te maken wat je al doet.

Een onderdeel dat vaak wordt onderschat, is de cyberverzekering. Verzekeraars stellen eisen aan MFA en back-ups. Maar wie zorgt dat deze maatregelen zijn ingericht en getest? Dat moet duidelijk zijn in de afspraken tussen MSP en klant.

Daar gaat het regelmatig mis. Laatst sprak ik een MSP die een klant hielp na een ransomware-aanval. Achteraf bleek onduidelijk wie verantwoordelijk was voor MFA op beheeraccounts en het testen van back-ups. De SLA benoemde wel ‘back-upbeheer’ en ‘werkplekbeveiliging’, maar niet wie deze maatregelen moet uitvoeren en controleren. Hierover kunnen dan discussies ontstaan. Mijn advies: leg verantwoordelijkheden expliciet vast en toets samen met de klant of de afspraken aansluiten op de eisen van de cyberverzekeraar.

Met de nieuwe regelgeving wordt niet meer alleen naar de MSP gekeken, maar naar de hele keten waarin deze opereert. In de kern bestaat die keten uit drie partijen: de MSP, de infrastructuurpartner en de klant.

Dat merken we zelf ook. Als infrastructuurpartner krijgen we te maken met steeds hogere eisen op het gebied van security, compliance en aantoonbare beheermaatregelen. Certificeringen, heldere processen en een zorgvuldige screening van medewerkers worden daarin steeds belangrijker. De lat ligt voor iedereen in de keten hoger.

Wat mag je als MSP dan verwachten van je infrastructuurpartner? Niet alleen een certificaat, maar een partner die meedenkt. Iemand die al in het ontwerp meekijkt: waar staat de data, hoe scheid je omgevingen, hoe richt je back-up en herstel in? En een partij die eerlijk zegt wat wel en niet past bij de eisen van jouw klant. Bij Worldstream denken de security officer en je accountmanager mee over die keuzes. Zo bouw je security in vanaf het begin, in plaats van achteraf te repareren.

Security is geen ‘add-on’ meer, maar het fundament van goede MSP-dienstverlening. De kans die veel MSP’s laten liggen is daarmee eigenlijk simpel: denk vooraf na over security, maak zichtbaar wat je al doet en kies een infrastructuurpartner die met je meedenkt.

Dit artikel is het vierde deel in een reeks waarin Worldstream actuele thema’s uit de MSP-markt bespreekt in aanloop naar MSP Global.

Spreek ons op MSP Global op 21 en 22 oktober 2026 in Barcelona.