Zero trust is al jaren het toverwoord in enterprise-security, en langzaam sijpelt het concept door naar het MKB. Terecht, want het model past naadloos op de realiteit van hybride werken en clouddiensten. De uitdaging voor MSP’s zit in de vertaling: hoe maak je van een architectuurfilosofie een behapbaar traject voor een klant met dertig werkplekken, een beperkt budget en geen eigen securityteam?
Nog even de basics. Zero trust draait om één uitgangspunt: vertrouw niets en niemand op voorhand, en verifieer elke toegangsvraag opnieuw. Het klassieke kasteel-en-slotgracht-model ging ervan uit dat alles binnen het bedrijfsnetwerk veilig was. Dat model is achterhaald in een wereld waarin medewerkers vanuit huis werken, data in tientallen clouddiensten staat en aanvallers binnenkomen met gestolen inloggegevens. Het Amerikaanse standaardeninstituut NIST legde de principes vast in publicatie SP 800-207, en toezichthouder CISA werkte ze uit in een volwassenheidsmodel met vijf pijlers: identiteit, apparaten, netwerk, applicaties en data. Belangrijk blijft de essentie dat zero trust een architectuurprincipe en een groeipad is, en geen product dat je uit een doos installeert.
Een kloof tussen ambitie en uitvoering
De adoptiecijfers vertellen een dubbel verhaal. In het VPN Risk Report van Zscaler zegt 96 procent van de organisaties zero trust als voorkeursaanpak te zien en wil 81 procent binnen twaalf maanden implementeren. Gartner telt 63 procent van de organisaties die zero trust gedeeltelijk of volledig hebben ingevoerd. Dat klinkt alvast positief. Maar kijk je vervolgens naar de uitvoering, dan zakt het beeld in: volgens Cybersecurity Insiders heeft slechts 17 procent zero trust volledig geïmplementeerd, en Gartner voorspelde dat in 2026 amper 10 procent van de grote ondernemingen een volwassen, meetbaar programma operationeel heeft.
Figuur 1: vrijwel iedereen omarmt zero trust op papier, de volledige uitvoering blijft ver achter (bronnen: Zscaler, Gartner, Cybersecurity Insiders).
Dat de investering loont, staat ondertussen wel vast. IBM becijferde in zijn Cost of a Data Breach Report dat organisaties met een zero trust-architectuur gemiddeld 1,76 miljoen dollar minder kwijt zijn per datalek dan organisaties zonder. En de dreiging waartegen het model is ontworpen groeit alleen maar: gestolen inloggegevens vormden volgens Verizon het startpunt van 22 procent van de datalekken, terwijl Zscaler meldt dat 56 procent van de organisaties het afgelopen jaar een inbraak via een VPN-kwetsbaarheid meemaakte.
Waarom blijft het MKB achter?
Onderzoeksbureau Techaisle bracht de bekendheid van zero trust per bedrijfsomvang in kaart en de uitkomst is ontnuchterend: in het kleinbedrijf kent 8 procent het begrip, in het middensegment 46 procent en pas in het hogere middensegment loopt dat op naar 69 procent. De MKB-ondernemer ligt wakker van uitval, ransomware en een verzekeraar die eisen stelt. Een architectuurfilosofie uit de enterprisewereld staat niet op zijn agenda.
Figuur 2: bekendheid met zero trust naar bedrijfsomvang (bron: Techaisle).
Daar kun je al meteen een belangrijke conclusie uit trekken. Verkoop geen zero trust, verkoop de uitkomst. Een gesprek over “nooit vertrouwen, altijd verifiëren” is voor het gemiddelde MKB veel te abstract, en wint het zelden van een gesprek over minder kans op ransomware, een lagere verzekeringspremie en aantoonbaar voldoen aan de eisen van grote klanten. Het raamwerk is voor de MSP zelf een intern kompas dat richting geeft aan de roadmap. De klant hoeft alleen de stappen te zien, met per stap het risico dat wordt afgedekt en de kosten die erbij horen.
Een groeipad in vier behapbare fasen
Elke serieuze zero trust-aanpak begint bij de pijler identiteit. In het State of Zero Trust-onderzoek van Okta noemt 91 procent van de organisaties identiteit centraal in de strategie, en met reden: Microsoft becijferde dat phishingbestendige MFA ruim 99 procent van de wachtwoordaanvallen stopt, zelfs als de aanvaller al over geldige inloggegevens beschikt. Voor een MKB-klant op Microsoft 365 betekent dat concreet MFA verplicht voor iedereen, bij voorkeur met passkeys of een authenticator-app, legacy-authenticatie uitschakelen en conditional access-beleid inrichten dat inlogpogingen beoordeelt op locatie, apparaat en risico.
Het mooie voor de MSP is dat de benodigde bouwstenen vaak al in de bestaande licenties zitten. Microsoft 365 Business Premium bevat Entra ID P1, Intune en Defender for Business, en daarmee ligt er al een fundament voor drie van de vijf pijlers. De eerste fase van een zero trust-traject vraagt daardoor vooral inrichtingsuren en nauwelijks nieuwe licentiekosten. Dat maakt de drempel voor de klant laag en het gesprek een stuk makkelijker.
Na de identiteitslaag volgt fase twee: apparaten. Alleen beheerde en gezonde apparaten krijgen toegang tot bedrijfsdata. Met Intune of een vergelijkbaar MDM-platform stel je compliance-regels in (versleuteling aan, patches actueel, endpointbeveiliging actief) en koppel je die aan conditional access. Een apparaat dat niet voldoet, komt er simpelweg niet in. Fase drie richt zich op het netwerk: vervang de klassieke VPN door zero trust network access (ZTNA), waarbij gebruikers per applicatie toegang krijgen en het onderliggende netwerk onzichtbaar blijft. Dat dicht meteen het VPN-lek waar aanvallers zo dol op zijn. Fase vier pakt applicaties en data aan: single sign-on voor alle SaaS-applicaties, rechten op basis van least privilege en dataclassificatie voor de meest gevoelige informatie.
De volgorde is bewust gekozen. Elke fase levert zelfstandig aantoonbare risicoreductie op en bouwt voort op de vorige. Plan per fase een kwartaal tot een half jaar, afhankelijk van de omvang van de klant, en bespreek de voortgang in de reguliere kwartaalgesprekken. Zo wordt zero trust een meerjarige roadmap met voorspelbare stappen. De klant ziet elk kwartaal vooruitgang op een concreet risico, de MSP bouwt aan een stabiele stroom project- en beheeromzet.
Wat levert het de MSP op?
Zero trust raakt vrijwel elke dienst in het portfolio, van werkplekbeheer en identiteit tot netwerk en security-monitoring, en geeft al die diensten een samenhangend verhaal. De aanstaande Cyberbeveiligingswet versterkt dat verhaal: toegangsbeheer en multifactorauthenticatie behoren tot de verplichte zorgplichtmaatregelen, en de eerste twee fasen van het groeipad dekken die eisen grotendeels af. Cyberverzekeraars stellen vergelijkbare voorwaarden. Wie het traject goed documenteert, geeft de klant meteen het bewijsmateriaal in handen voor audits, verzekeringen en vragen uit de keten.
De grootste valkuil is alles tegelijk willen. Een MKB-klant die in één klap ZTNA, microsegmentatie en dataclassificatie over zich heen krijgt, haakt af op de kosten en de verandering. De kracht van de gefaseerde aanpak zit in het tempo: klein beginnen bij identiteit, elk kwartaal een stap, en elke stap verkocht op het risico dat hij wegneemt. Zo groeit de klant langzaam naar een architectuur waar menig grootbedrijf nog een puntje aan kan zuigen, en bouwt de MSP aan een klantrelatie die jaren meegaat.
Bronnen
NIST, SP 800-207 Zero Trust Architecture; CISA, Zero Trust Maturity Model; Zscaler ThreatLabz, VPN Risk Report 2025; Gartner, State of Zero Trust Adoption Survey en prognose volwassen zero trust-programma’s; Cybersecurity Insiders, Zero Trust Security Report 2026; IBM, Cost of a Data Breach Report 2025; Verizon, Data Breach Investigations Report 2025; Okta, State of Zero Trust Security; Microsoft, Digital Defense Report 2025; Techaisle, SMB and Midmarket Security Adoption Trends; NCSC, zorgplicht Cyberbeveiligingswet.
