Afspraken met een IT-dienstverlener over cybersecurity zijn voor veel bedrijven een essentieel, maar onderschat onderdeel van cyberveilig ondernemen. Veel mkb-organisaties besteden een deel van hun IT uit: beheer van werkplekken, cloudomgevingen, netwerk, website, back-ups of securitytools. Dat is vaak logisch en efficiënt. Maar uitbesteden betekent niet dat verantwoordelijkheid verdwijnt. Zonder duidelijke afspraken ontstaat er al snel onduidelijkheid over wie wat beheert, monitort, updatet of herstelt wanneer er iets misgaat.
Veel incidenten worden verergerd doordat iedereen dacht dat de ander iets geregeld had. De leverancier dacht dat de klant verantwoordelijk was voor gebruikersgedrag of data in SaaS-apps. De klant dacht dat de IT-partij alles bewaakte. Juist in die grijze zones ontstaan risico’s. Daarom zijn concrete en schriftelijke afspraken cruciaal. Niet als wantrouwen, maar als voorwaarde voor professioneel samenwerken.
Voor mkb is dat bijzonder belangrijk, omdat de externe IT-partij vaak een grote rol speelt in dagelijkse continuïteit. Als die samenwerking onduidelijk is, raakt dat direct updates, meldingen, toegangsbeheer, herstel en communicatie. Een goede relatie met een IT-dienstverlener begint daarom met scherpte over rollen, verantwoordelijkheden en verwachtingen.
Waarom duidelijke afspraken noodzakelijk zijn
Cybersecurity bestaat uit veel onderdelen: updates, monitoring, back-ups, toegang, logging, incidentrespons, netwerkbeheer, cloudinstellingen en ondersteuning aan gebruikers. Niet elk van die taken ligt automatisch bij dezelfde partij. Wanneer bedrijven aannemen dat “de IT’er het wel regelt”, ontstaan risico’s.
Duidelijke afspraken helpen om:
- verantwoordelijkheden af te bakenen,
- verwachtingen realistisch te maken,
- gaten in beheer zichtbaar te maken,
- sneller te handelen bij incidenten,
- herstel en communicatie te versnellen,
- discussies achteraf te voorkomen.
Goede afspraken zijn dus niet alleen juridisch nuttig, maar ook operationeel.
Begin met de vraag: wie doet precies wat?
De eerste stap is eenvoudig maar cruciaal: breng in kaart welke taken de IT-dienstverlener daadwerkelijk uitvoert. Denk aan:
- werkplekbeheer,
- cloudbeheer,
- netwerk- en wifi-inrichting,
- back-ups,
- monitoring,
- beveiligingsupdates,
- support voor medewerkers,
- incidentopvolging,
- websitehosting of technisch beheer,
- gebruikers- en rechtenbeheer.
Zet vervolgens per onderwerp ernaast:
- wat de leverancier doet,
- wat intern bij jouw organisatie ligt,
- wat gedeeld is,
- wie beslist bij twijfel of afwijkingen.
Dat overzicht vormt de basis voor vrijwel alle verdere afspraken.
Updates en patching expliciet benoemen
Een van de meest voorkomende grijze gebieden is onderhoud. Zijn software-updates voor bedrijven automatisch geregeld? Geldt dat ook voor netwerkapparatuur, laptops, mobiele apparaten, browsers en servers? Of alleen voor een deel van de omgeving? En hoe zit het met patchmanagement voor mkb als meerdere systemen en prioriteiten samenkomen?
Goede afspraken beantwoorden vragen als:
- welke systemen onder beheer vallen,
- hoe snel kritieke patches worden uitgevoerd,
- of updates eerst worden getest,
- hoe uitzonderingen worden gedocumenteerd,
- wie verantwoordelijk is voor verouderde systemen.
Zonder die duidelijkheid kunnen kwetsbaarheden langer openstaan dan iedereen denkt.
Toegang en rechten goed regelen
Een IT-dienstverlener heeft vaak brede toegang. Dat maakt ondersteuning mogelijk, maar brengt ook risico’s mee. Daarom moeten afspraken helder zijn over:
- welke accounts of rechten de leverancier heeft,
- of aparte beheeraccounts worden gebruikt,
- of MFA voor medewerkers ook voor leveranciersaccounts verplicht is,
- hoe toegang wordt ingetrokken,
- hoe beheeracties worden gelogd,
- wie wijzigingen goedkeurt.
Dit raakt direct aan account takeover voorkomen voor bedrijven. Externe beheertoegang moet minstens zo serieus worden behandeld als interne privileges.
Back-ups: vraag door tot het echt duidelijk is
Veel organisaties denken dat back-ups “wel geregeld zijn” via hun IT-partner, maar weten niet precies wat daaronder valt. Worden alleen servers meegenomen, of ook clouddata? Is herstel getest? Hoeveel versies zijn er? Hoe snel kan data terug? Daarom moeten afspraken over back-up maken voor bedrijven en een bredere back-upstrategie voor mkb concreet zijn.
Belangrijke vragen zijn:
- welke data en systemen vallen onder de back-up,
- hoe vaak wordt back-up gemaakt,
- waar worden kopieën opgeslagen,
- wie bewaakt of back-ups slagen,
- hoe en hoe vaak wordt herstel getest,
- wie besluit over herstel bij een incident.
Vaagheid rond back-ups is een klassiek risico dat pas zichtbaar wordt wanneer het te laat is.
Monitoring en signalering afspreken
Een andere belangrijke vraag is: wie ziet afwijkingen als eerste? Sommige IT-dienstverleners bieden monitoring, anderen alleen reactieve support. Dat verschil moet expliciet zijn. Anders verwacht de klant actieve waakzaamheid, terwijl de leverancier alleen reageert op tickets.
Leg daarom vast:
- of er monitoring is,
- welke signalen worden gevolgd,
- wanneer de leverancier proactief contact opneemt,
- wat buiten monitoring valt,
- hoe escalatie werkt bij verdachte activiteit.
Dit onderwerp hangt samen met cyberincident melden als bedrijf en je bredere incident response plan voor mkb.
Incidentrespons en beschikbaarheid
Bij een incident telt snelheid. Daarom moet je vooraf weten hoe de samenwerking met een IT-dienstverlener eruitziet wanneer het misgaat. Bespreek:
- wie eerste aanspreekpunt is,
- welke responstijden gelden,
- of er ondersteuning buiten kantooruren bestaat,
- wie prioriteit bepaalt,
- wie systemen mag isoleren of blokkeren,
- hoe communicatie met directie of medewerkers loopt.
Dit voorkomt dat je tijdens een incident eerst nog moet uitzoeken wie bevoegd is of bereikbaar is. Voor onderwerpen zoals ransomware-aanval: wat nu als bedrijf? is dat cruciaal.
Vraag ook naar leveranciersbeveiliging zelf
Een IT-dienstverlener kan technisch goed zijn, maar zelf ook risico introduceren. Daarom is het verstandig om te kijken naar de beveiligingsstandaard van de leverancier zelf. Bijvoorbeeld:
- gebruiken zij MFA op hun beheertoegang,
- hoe beveiligen zij klantdata,
- hoe regelen zij accountbeheer intern,
- hoe gaan zij om met updates,
- hoe melden zij incidenten aan klanten,
- werken zij met subleveranciers.
Dit raakt ook aan bredere cybersecurity-eisen voor leveranciers. Zeker voor bedrijven met gevoelige data of kritieke processen is dat geen overbodige vraag.
Zorg dat communicatie niet alleen technisch is
Veel afspraken met IT-dienstverleners zijn technisch geformuleerd, terwijl management en medewerkers vooral willen weten wat een storing, kwetsbaarheid of incident praktisch betekent. Daarom is het belangrijk om ook af te spreken:
- hoe begrijpelijk incidenten worden uitgelegd,
- hoe voortgang wordt teruggekoppeld,
- hoe vaak overleg plaatsvindt,
- hoe wijzigingen worden aangekondigd,
- hoe risico’s en uitzonderingen worden besproken.
Cybersecurity-samenwerking werkt beter wanneer taal en verwachtingen aan beide kanten duidelijk zijn.
Documenteer en actualiseer afspraken
Een mondelinge afspraak of informeel vertrouwen is niet genoeg. Schrijf afspraken op, hou ze actueel en herzie ze bij veranderingen in systemen, teams of dienstverlening. Zeker wanneer je organisatie groeit, cloudtools toevoegt of meer externe toegang toelaat, veranderen ook de risico’s.
Een eenvoudige aanpak is om afspraken periodiek te herzien op basis van:
- nieuwe systemen of software,
- gewijzigde rollen,
- incidenten of bijna-incidenten,
- veranderde supportmodellen,
- nieuwe compliance- of klantvereisten.
Zo blijven afspraken levend in plaats van historische bijlagen waar niemand meer naar kijkt.
Veelgestelde vragen over afspraken met een IT-dienstverlener over cybersecurity
Waarom zijn duidelijke afspraken met een IT-dienstverlener belangrijk?
Omdat uitbesteden niet betekent dat verantwoordelijkheid verdwijnt. Zonder heldere afspraken ontstaan grijze gebieden en onnodige risico’s.
Welke onderwerpen moet je minimaal afspreken?
Onder meer updates, toegangsbeheer, back-ups, monitoring, incidentrespons, support en communicatie.
Moet een leverancier ook MFA gebruiken?
Ja, zeker voor beheerders- en klanttoegang. Externe accounts mogen niet zwakker beveiligd zijn dan interne kritieke accounts.
Wie is verantwoordelijk bij een incident?
Dat moet vooraf duidelijk zijn. De leverancier kan ondersteunen, maar de klantorganisatie moet intern ook eigenaarschap en beslissingsbevoegdheid hebben.
Zijn back-ups automatisch de verantwoordelijkheid van de IT-partner?
Niet per definitie. Je moet precies vastleggen welke data en systemen worden meegenomen en wie herstel test en aanstuurt.
Hoe vaak moet je afspraken herzien?
Bij voorkeur periodiek, en zeker na systeemwijzigingen, incidenten of veranderde dienstverlening.
Is dit alleen belangrijk voor grote bedrijven?
Nee. Juist mkb-bedrijven zijn vaak sterk afhankelijk van hun IT-dienstverlener en hebben dus baat bij heel duidelijke afspraken.
Conclusie
Afspraken met een IT-dienstverlener over cybersecurity maken het verschil tussen vertrouwen op aannames en samenwerken met duidelijke regie. Door precies af te spreken wie wat beheert, monitort, meldt en herstelt, verklein je de kans op gaten in beveiliging en vertraging tijdens incidenten.
Voor mkb-bedrijven is dat geen administratieve bijzaak, maar een praktische randvoorwaarde voor stabiele en veilige IT. Hoe helderder de afspraken, hoe beter de samenwerking en hoe sterker je organisatie staat wanneer snelheid en duidelijkheid echt nodig zijn.
