Vrijwel iedere leverancier heeft dezelfde boodschap voor MSP’s: stop met rekenen per device en verkoop de waarde die je toevoegt. Toch zijn er maar weinig dienstverleners die hun prijsmodel daadwerkelijk hebben omgegooid. Waarom blijft de overstap naar value-based pricing zo lastig, terwijl iedereen het erover eens lijkt dat dit de toekomst is?

Wie de internationale MSP-media volgt, kan de indruk krijgen dat per-device pricing zo ongeveer dood is. De werkelijkheid is genuanceerder. Het model bestaat nog volop, vooral bij klanten met een stabiel en overzichtelijk apparatenpark. Wel laat vrijwel elk marktonderzoek zien dat het aandeel MSP’s dat primair per device factureert gestaag daalt, terwijl per-user en gemengde modellen groeien.

Het tellen knelt

De cijfers uit de Kaseya Global MSP Benchmark Survey laten dat ook zien. Ruim een kwart van de MSP’s (26 procent) hanteert een combinatie van per-user en per-device pricing, 22 procent rekent primair per gebruiker en nog maar 13 procent primair per device. Een jaar eerder lag dat laatste percentage nog op 17 procent. Per-user pricing groeit sinds 2021 elk jaar en geldt inmiddels als het dominante enkelvoudige model.

De oorzaak is bekend bij iedere MSP die de eigen klantenkring bekijkt. Een gemiddelde kantoormedewerker werkt tegenwoordig met een laptop, een smartphone en vaak nog een tablet. Cloudworkloads, SaaS-abonnementen en identiteiten laten zich bovendien slecht vangen in een per-device inventarisatie. Daar komt bij dat veel securitytooling per identiteit wordt gelicenseerd: Microsoft 365, EDR en MFA rekenen per gebruiker. Een prijsmodel per user sluit daar naadloos op aan, terwijl een devicemodel bij elke BYOD-discussie opnieuw uitgelegd moet worden.

Wat is value-based pricing dan wel?

Value-based pricing koppelt de prijs aan de waarde die de dienstverlening voor de klant oplevert, in plaats van aan het aantal eenheden dat de MSP beheert. In de zuiverste vorm betaalt de klant één vast bedrag voor het complete pakket, waarbij de MSP feitelijk de uitbestede IT-afdeling wordt. De individuele kostprijs van losse diensten blijft daarbij buiten beeld en de marge kan per klant fors uiteenlopen.

Brancheorganisatie Technology Services Industry Association plaatst het model bovenaan een volwassenheidsladder. Onderaan staan kostprijs-plus en marktconforme pricing, die volgens de TSIA samenhangen met lagere groeicijfers. Daarboven komt consumptiegebaseerde pricing per device, user of workload. Value-based en outcome-based pricing vormen de top: de prijs volgt daar de geleverde waarde of zelfs het behaalde resultaat, zoals uptime-percentages, een aantoonbaar verbeterde securityhouding of een geslaagde compliance-audit. Kostenbesparing is volgens de TSIA op dit moment de meest gebruikte uitkomst om de prijs aan op te hangen.

Werkt het al in de praktijk?

Gedeeltelijk. Zuivere outcome-based contracten blijven voorlopig nog een nichefenomeen, voorbehouden aan volwassen MSP’s met klanten die IT in bedrijfstermen meten: omzetverlies bij downtime, vermeden schadekosten bij een incident, slagingspercentages bij audits. In de Amerikaanse midmarket worden zulke vCIO- en security-engagements gesloten met contractwaardes van 50.000 tot ruim 500.000 dollar per jaar, doorgaans opgebouwd uit een vaste retainer plus bonussen of boetes gekoppeld aan SLA’s. Voor de gemiddelde MSP met MKB-klanten is dat een andere wereld.

In de praktijk zien we veel mengvormen. Veel MSP’s hanteren een per-user basis met gelaagde bundels (brons, zilver, goud) en bouwen daar waarde-elementen bovenop, zoals vCIO-uren, compliance-begeleiding of een security operations-pakket. De bundelstructuur doet dan het commerciële werk. Het gesprek met de klant gaat over welk niveau past, in plaats van over de vraag hoeveel elk device kost.

Ook de tarieven laten zien waar de markt staat. Amerikaanse benchmarks voor 2026 noemen 70 tot 150 dollar per gebruiker per maand voor volledig beheer bij kleinere organisaties, oplopend tot 200 dollar en meer in gereguleerde sectoren waar security en compliance volledig zijn ingebakken. In de gelaagde bundels loopt de bandbreedte van zo’n 80 tot 120 dollar voor het instapniveau tot 220 tot 350 dollar voor de topbundel met 24/7-dekking, vCIO-tijd en geavanceerde security operations. Nederlandse tarieven liggen doorgaans lager, maar de opbouw is vergelijkbaar. Het verschil tussen de bundels zit in waarde-elementen, en juist die rechtvaardigen de hogere prijs.

De valkuilen zijn er ook. Per-user pricing zonder duidelijke scope-afspraken kost MSP’s volgens quoting-specialist Scopable 15 tot 30 procent marge door sluipende uitbreiding van de dienstverlening: die ene extra thuiswerkplek, dat privé-device dat er stilletjes bijkomt. En het volledig vaste all-in tarief kent een eigen risico. Eén klant die het begrip “ongelimiteerde support” ruim interpreteert, vreet de marge van tien kleinere klanten op. Ervaren MSP’s schrijven de scope daarom als uitsluitingen: wat er expliciet buiten valt, zoals migraties, projecten en werk buiten kantooruren.

Wat betekent dit voor Nederlandse MSP’s?

Twee ontwikkelingen maken het waardegesprek in Nederland actueler dan ooit. De eerste is compliance. Met de Cyberbeveiligingswet die dit jaar van kracht wordt, krijgt een groeiende groep MKB-bedrijven aantoonbare verplichtingen rond risicobeheer en incidentmelding. Een MSP die dat traject begeleidt, levert waarde die zich uitstekend los van devicetellingen laat prijzen: een geslaagde registratie, een doorstane audit, een aantoonbaar dichtgetimmerde toeleveringsketen.

De tweede is automatisering. Uit het Kaseya State of the MSP Report 2026 blijkt dat 53 procent van de MSP’s ticketing, patching en monitoring inmiddels automatiseert om de marge te beschermen. AI-triage en scripting drukken de kosten per ticket, waardoor omzet en arbeidsuren steeds verder van elkaar loskomen. Dat maakt het minder logisch om een prijs per beheerde eenheid te hanteren en versterkt het argument om op waarde te prijzen. De klant betaalt voor het resultaat, en efficiëntie van de kant van de MSP is voor diens rekening.

Voor wie de stap overweegt, is het advies uit vrijwel elk benchmarkonderzoek gelijkluidend. Begin hybride, reken de eigen kostprijs per gebruiker door (arbeid, tooling en overhead gedeeld door het aantal beheerde seats), bouw daar een gezonde marge op en herijk het model elke zes tot twaalf maanden. De kosten van de toolstack stijgen sneller dan veel MSP’s doorberekenen, en een prijsmodel dat vandaag klopt, kan volgend jaar plotseling verlieslatend zijn.

Value-based pricing wijst dus vooral de richting die we opgaan. De MSP die zijn waarde kan benoemen, meten en rapporteren, wint het gesprek met de klant. Op welke regel van de factuur dat vervolgens landt, is van later zorg.

Bronnen

Kaseya Global MSP Benchmark Survey; Kaseya State of the MSP Report 2026; TSIA, MSP Pricing Models (2026); Flamingo, MSP Pricing Models 2026 Playbook; Scopable, Per User vs Per Device MSP Pricing (2026); DeskDay, A Guide on MSP Pricing 2026.

De vraag naar managed services groeit, het aanbod van technisch talent groeit niet mee. Wereldwijd verdubbelde het aandeel MSP’s dat moeite heeft met het werven van technici in één jaar bijna. Wie wil blijven groeien, heeft twee knoppen om aan te draaien: automatisering en opleiding. Hoe ver zijn MSP’s daarmee, en wat werkt er in de praktijk?

Op het eerste gezicht lijkt het probleem in Nederland mee te vallen. Het aantal openstaande ICT-vacatures daalt sinds 2023 en kwam in het vierde kwartaal van 2025 uit op bijna 18.800, terwijl het aantal ICT’ers met een WW-uitkering opliep naar zo’n 6.200 in februari 2026. Volgens UWV zorgen reorganisaties, faillissementen en een stijgende arbeidsproductiviteit ervoor dat de spanning op de ICT-arbeidsmarkt als geheel afneemt. Wie iets dieper in de cijfers duikt, ziet een ander verhaal. De arbeidsmarkt voor securityspecialisten, netwerkspecialisten en databasebeheerders blijft volgens datzelfde UWV zeer krap. En dat zijn nu net de profielen waar MSP’s om zitten te springen.

Hoe groot is het gat?

De internationale cijfers laten weinig ruimte voor twijfel. In het 2026 State of the MSP Report van Kaseya, een enquête onder ruim duizend MSP’s wereldwijd, steeg het aandeel providers dat moeite heeft met het werven van geschoolde technici van 9 naar 16 procent, bijna een verdubbeling in één jaar. Opvallend detail: 83 procent van dezelfde respondenten zegt dat hun beheertools de operationele efficiëntie flink verbeteren. De tooling is dus steeds minder het knelpunt. De beschikbare menskracht wel.

Het MSP Trends Report 2026 van ScalePad, gebaseerd op ruim 1.100 MSP-professionals in Noord-Amerika, maakt zichtbaar wat dat in de dagelijkse praktijk betekent. Ruim een kwart van de MSP’s (26 procent) heeft te weinig personeel om nieuwe klanten aan te nemen, 22 procent vindt geen geschikte mensen om nieuwe diensten uit te rollen en bij 21 procent ligt de bezettingsgraad van het team boven de 75 procent, een niveau waarop burn-out en verloop op de loer liggen. Het personeelstekort is daarmee een directe rem op omzetgroei geworden.

Buiten het MSP-domein is het beeld vergelijkbaar. In de Global Talent Shortage Survey 2026 van ManpowerGroup, onder 39.000 werkgevers in 41 landen, meldt 72 procent moeite met het invullen van vacatures. AI-vaardigheden staan daarbij voor het eerst bovenaan de lijst van schaarste, boven traditionele engineering- en IT-skills. In het securitydomein telt ISC2 wereldwijd 4,8 miljoen onvervulde functies, een stijging van 19 procent op jaarbasis. Onderzoeksbureau IDC becijferde dat de IT-skillscrisis eind 2026 wereldwijd 5,5 biljoen dollar aan schade heeft veroorzaakt door vertraagde projecten en verlies aan concurrentiekracht.

Automatisering als eerste verdedigingslinie

De reflex van veel MSP’s is logisch: als je geen mensen kunt vinden, laat je machines het routinewerk doen. Volgens het Kaseya-onderzoek zet 53 procent van de MSP’s AI al in voor het automatiseren van ticketing, patching en monitoring. De resultaten zijn meetbaar: 35 procent rapporteert snellere eerste reactietijden, 32 procent ziet de efficiëntie van technici stijgen en 31 procent noteert een hogere medewerkerstevredenheid. Die laatste uitkomst is minstens zo belangrijk als de eerste twee, want saai en repeterend werk is een van de grootste aanjagers van verloop.

Er valt bovendien nog veel te winnen. Meer dan de helft van de MSP’s die automatiseren heeft pas ongeveer een kwart van de eigen workload geautomatiseerd. Kaseya rekende tijdens zijn partnerconferentie voor dat hooggekwalificeerde technici 20 tot 30 procent van hun tijd besteden aan het organiseren van problemen: tickets prioriteren, classificeren, toewijzen en najagen. Noodzakelijk werk, met weinig toegevoegde waarde. Juist dat triagewerk leent zich uitstekend voor AI-agents, en vrijwel alle grote PSA- en RMM-leveranciers bouwen daar momenteel functionaliteit voor.

Interessant is wat MSP’s zelf van die automatisering verwachten. Uit de Kaseya-cijfers spreekt vooral een augmentatiestrategie: 59 procent verwacht dat AI vervelend routinewerk elimineert en 44 procent rekent op vrijgespeelde tijd voor strategisch werk. Slechts 21 procent verwacht met minder mensen toe te kunnen. Automatisering dient bij de meeste providers dus om de bestaande capaciteit te beschermen en op te rekken, in een markt waarin dat hard nodig is: het aandeel klanten dat jaarlijks meer dan 25.000 dollar uitgeeft daalde volgens hetzelfde onderzoek van 75 naar 41 procent. Kleinere contracten met dezelfde serviceverwachtingen dwingen tot een efficiëntere delivery.

Kun je het gat wegtrainen?

Automatisering koopt tijd, structureel herstel vraagt om instroom en behoud van mensen. In Nederland groeit het aantal initiatieven dat zij-instromers naar de IT begeleidt. In mei 2024 lanceerden bedrijven, onderwijsinstellingen en overheden het Zij-instroompact ICT, met als doel jaarlijks meer carrièreswitchers duurzaam naar een ICT-baan te helpen. Trajecten als Make IT Work, Codam, IT Talent en TechGrounds leiden mensen zonder technische achtergrond in maanden op tot inzetbare professionals, vaak met baangarantie of een werkgeversmatch.

De praktijkervaring leert wel dat verwachtingsmanagement nodig is. In het project Reskilling in Brainport stroomden 66 zij-instromers de IT-sector in, verdeeld over 18 werkgevers. De projectleiders liepen er tegenaan dat de match op hbo- en wo-niveau lastig te maken was: voor rollen als developer of architect is een korte omscholing onvoldoende. Het project werd daarom toegespitst op mbo-niveau, met een zesweekse opleiding tot servicedeskmedewerker. Het merendeel van die deelnemers vond direct een baan. Voor MSP’s is dat een bruikbare les: zij-instroom werkt het best aan de onderkant van de servicedesk, waarna interne doorgroei naar tweede- en derdelijns rollen volgt.

Datzelfde opleiden blijkt bovendien een krachtig retentie-instrument. UWV constateert in Regio in Beeld 2025-2026 dat werkgevers die investeren in opleiding en scholing hogere betrokkenheid en minder verloop zien, en dat steeds meer werkgevers diploma-eisen loslaten om op vaardigheden te selecteren. Dat verloop is geen theoretisch risico: volgens de Tech Workplace and Culture-studie van ISACA wisselde 30 procent van de techprofessionals de afgelopen twee jaar van baan, terwijl 74 procent van de organisaties moeite heeft met het aantrekken en behouden van talent. Slechts 27 procent bespreekt dat probleem regelmatig met de eigen medewerkers. Daar ligt voor MSP’s laaghangend fruit: een zichtbaar opleidingspad richting security-, cloud- of AI-specialisaties houdt mensen binnenboord die anders naar een enterprise-werkgever vertrekken.

Wat betekent dit voor de Nederlandse MSP?

De arbeidsmarktkrapte voor ICT’ers neemt in Nederland weliswaar af, voor de specialistische profielen waar MSP’s op draaien blijft de markt zeer krap. Wachten tot de markt ruimer wordt is daarmee geen strategie. De providers die het gat succesvol dichten, combineren drie bewegingen. Ze automatiseren het triagewerk en de repeterende beheertaken, zodat schaarse technici hun tijd besteden aan werk dat expertise vraagt. Ze bouwen een eigen kweekvijver via zij-instromers, BBL-trajecten en traineeships op servicedeskniveau, met een helder doorgroeipad naar specialistische rollen. En ze zetten opleiding bewust in als retentiemiddel, omdat elke behouden medewerker goedkoper is dan een nieuwe hire die maanden inwerktijd kost.

Het tekort aan technisch talent is structureel van aard en lost zichzelf de komende jaren niet op. De vraag naar security-, cloud- en AI-vaardigheden groeit sneller dan het onderwijs kan leveren. MSP’s die automatisering en opleiding als één samenhangende capaciteitsstrategie behandelen, bouwen daarmee een voorsprong op die concurrenten met een klassieke wervingsaanpak de komende jaren moeilijk inhalen.

Bronnen

Kaseya, 2026 State of the MSP Report (april 2026); ScalePad, MSP Trends Report 2026 (maart 2026); ManpowerGroup, Global Talent Shortage Survey 2026; ISC2, Cybersecurity Workforce Study; IDC, prognose IT-skillscrisis; UWV, arbeidsmarktinformatie ICT-beroepen en Regio in Beeld 2025-2026; ISACA, Tech Workplace and Culture; Reskilling in Brainport / Zij-instroompact ICT.

AI-agents zijn hét buzzword van 2026. Ze plannen, beslissen en voeren uit zonder dat er een mens aan te pas komt, zo klinkt de belofte op elk vendorcongres. De cijfers vertellen een genuanceerder verhaal dan de demo’s. De echte waarde zit in afgebakende, meetbare taken diep in de IT-operatie, ver weg van de spectaculaire voorbeelden.

De verwachtingen zijn torenhoog. Gartner voorspelde in augustus 2025 dat eind 2026 veertig procent van alle enterprise-applicaties taakspecifieke AI-agents bevat, tegen minder dan vijf procent een jaar eerder. Datzelfde Gartner zette twee maanden eerder een heel andere kop boven een persbericht: ruim veertig procent van alle agentic AI-projecten wordt voor eind 2027 geannuleerd, door oplopende kosten, onduidelijke businesswaarde of gebrekkige risicobeheersing. Beide voorspellingen komen uit hetzelfde huis en spreken elkaar niet tegen. Agents worden overal ingebouwd én veel projecten mislukken. Voor IT-dienstverleners is de vraag daarmee scherper geworden: welke waarde blijft er over als de hype is ingedaald?

Wat maakt een agent een agent?

Eerst de definitiekwestie, want daar gaat het al vaak mis. Een AI-assistent beantwoordt vragen en wacht op de volgende opdracht. Een AI-agent krijgt een doel, maakt zelf een plan, gebruikt tools en systemen om dat plan uit te voeren en past zijn aanpak aan op basis van tussenresultaten. Dat verschil is fundamenteel: een assistent adviseert, een agent handelt.

Leveranciers springen daar gretig op in. Gartner signaleert een golf van wat het “agentwashing” noemt: bestaande chatbots, RPA-tools en AI-assistenten die een nieuw etiket krijgen zonder dat er echte agentic functionaliteit bijkomt. Van de duizenden partijen die zichzelf agentic AI-leverancier noemen, bieden er volgens de analisten maar zo’n honderddertig het ook echt. Gartner-analist Anushree Verma omschrijft de meeste projecten als experimenten in een vroeg stadium, vooral gedreven door hype. Voor MSP’s die tooling selecteren is dat een bruikbare lakmoesproef: kan het product alleen reageren op vragen, dan is het een chatbot met betere marketing.

Veel pilots, weinig productie

De adoptiecijfers laten een opvallende trechter zien. Uit het Emerging Technology Trends-onderzoek van Deloitte blijkt dat 30 procent van de organisaties agentic AI verkent en 38 procent pilots draait. Slechts 14 procent heeft oplossingen klaar voor uitrol en maar 11 procent gebruikt agents daadwerkelijk in productie. McKinsey komt in zijn recente State of AI-onderzoek tot een vergelijkbaar beeld: 62 procent van de organisaties experimenteert met agents, terwijl per bedrijfsfunctie hooguit 10 procent ze op schaal inzet.

Die kloof tussen experimenteren en produceren is de kern van het verhaal. Bijna iedereen probeert het, bijna niemand rondt het af. Deloitte noteert bovendien dat 42 procent van de organisaties nog aan een agentic strategie werkt en 35 procent helemaal geen formele strategie heeft. Er wordt dus volop gebouwd zonder bouwtekening.

Van verkenning naar productie: de trechter versmalt snel. Bron: Deloitte Emerging Technology Trends 2025.

Het saaie werk levert het meeste op

Waar draaien agents dan wél met succes? Het antwoord is minder sexy dan de keynotes doen vermoeden. McKinsey berekende in april 2026 dat agentic AI op termijn 60 tot 80 procent van het routinematige infrastructuurwerk kan automatiseren, goed voor een kostenreductie van 20 tot 40 procent in de eerste implementaties. Denk aan het doorspitten van logbestanden, het correleren van alerts, het triageren van tickets, het voorbereiden van patches en het bijwerken van documentatie: werk met duidelijke inputs, vaste regels en meetbare uitkomsten.

Dat patroon zie je terug in de omzetcijfers. Investeringsmaatschappij Insight Partners schat dat coding-agents inmiddels zo’n 3 miljard dollar omzet genereren en customer support-agents ongeveer 500 miljoen dollar. Daarnaast noemt de firma operationele use cases waarbij agents signaal van ruis scheiden in grote hoeveelheden logs en monitoringdata als een categorie die zich aantoonbaar bewijst. Voor de infrastructuurpraktijk van een MSP is dat goed nieuws: de plekken waar agents nu al waarde leveren, zijn de plekken waar het meeste repetitieve werk zit.

Waarom vier op de tien projecten sneuvelen

Terug naar die veertig procent geannuleerde projecten. De oorzaken die Gartner noemt zijn zelden technisch van aard. Organisaties onderschatten wat er nodig is om een agent van pilot naar productie te brengen: integratie met legacy-systemen, datakwaliteit, kostenbeheersing en governance. Verma wijst er bovendien op dat veel use cases die als agentic worden gepositioneerd helemaal geen agent nodig hebben. Een taak met een vast stappenplan kun je goedkoper en betrouwbaarder afhandelen met klassieke automatisering. Haar advies is even simpel als bruikbaar: zet agents in waar beslissingen nodig zijn, automatisering voor routinematige workflows en assistenten voor eenvoudige opvraagtaken.

Een tweede valkuil is de kostenkant. Agents draaien op taalmodellen die per token afrekenen, en een agent die tien stappen zet verbruikt al snel een veelvoud van een simpele chatvraag. Zonder actieve kostenbewaking loopt de maandelijkse rekening hard op, zeker bij multi-agent-opstellingen waarin meerdere agents met elkaar samenwerken.

De vertrouwenskloof

Het meest veelzeggende cijfer komt uit onderzoek van Workato en Harvard Business Review: 86 procent van de organisaties wil de investeringen in agentic AI verhogen, terwijl maar 6 procent een agent vertrouwt met het autonoom afhandelen van complete kernprocessen. PwC ziet hetzelfde patroon: 20 procent van de leiders vertrouwt agents met financiële transacties. De portemonnee is er wel, het vertrouwen nog lang niet.

Die kloof weerspiegelt vooral een gezonde inschatting van waar de technologie staat. Een fout van een chatbot is direct zichtbaar op het scherm. Een fout van een agent kan door meerdere systemen heen doorwerken voordat iemand het merkt. De human in the loop blijft daarom voorlopig de norm bij alles wat processen, geld of klantdata raakt. In de praktijk betekent dat: de agent doet het voorwerk, de engineer keurt goed.

Investeringsbereidheid en vertrouwen lopen ver uiteen. Bronnen: Workato/HBR, PwC.

Wat kan de MSP hiermee?

Voor MSP’s liggen er twee kansen. De eerste is intern: de eigen servicedesk, monitoring en beheerprocessen zijn bij uitstek het terrein waar agents zich bewijzen. Begin bij een begrensde workflow met duidelijke inputs en meetbare output, zoals alert-triage of het samenvatten van tickets, en houd een engineer in de goedkeuringslus. Meet vanaf dag één wat de agent kost en wat hij oplevert, in uren en in euro’s.

De tweede kans is commercieel. Klanten in het MKB worstelen met dezelfde vragen als de grote enterprises uit de onderzoeken, met minder mensen en minder budget. Een MSP die kan uitleggen welke leverancier echte agents bouwt en welke aan agentwashing doet, en die governance rond agents als dienst kan aanbieden, heeft een verhaal dat de komende jaren alleen maar relevanter wordt. Gartner verwacht dat in 2028 minstens 15 procent van de dagelijkse werkbeslissingen autonoom door agents wordt genomen. De partijen die nu leren waar de grenzen liggen, bepalen straks waar hun klanten die beslissingen aan toevertrouwen.

Bronnen

Gartner, “Gartner Predicts 40% of Enterprise Apps Will Feature Task-Specific AI Agents by 2026” (augustus 2025); Gartner, “Gartner Predicts Over 40% of Agentic AI Projects Will Be Canceled by End of 2027” (juni 2025); Deloitte, Emerging Technology Trends 2025 en Tech Trends 2026; McKinsey, “Reimagining tech infrastructure for agentic AI” (april 2026) en State of AI 2025; Workato/Harvard Business Review, onderzoek naar vertrouwen in AI-agents; PwC, AI Agent Survey; CXOTalk-interview met Praveen Akkiraju, Insight Partners (juni 2026).

Holland Datacenters organiseerde een rondetafeldiscussie met MSP’s over digitale soevereiniteit en de afhankelijkheid van grote Amerikaanse techpartijen. De locatie was het datacenter van Holland Datacenters zelf: de cyberbunker in Kloetinge.

Deze bunker is ooit gebouwd om Nederlandse staatsgeheimen te beschermen tegen een aanval van buitenaf is nu de fysieke schil om een datacenter. Onder die drieënhalve meter dikke muren bogen eigenaren, security- en portfolioverantwoordelijken van MSP’s zich over een vraag die dagelijks actueler wordt: hoe kwetsbaar is de sector eigenlijk, en wat kun je daar zelf aan doen?

De vraag is niet nieuw, maar is actueler dan ooit: hoe afhankelijk is de sector van een handvol grote Amerikaanse techpartijen, en wat betekent een veranderende geopolitieke situatie voor die afhankelijkheid? De toon is uitdrukkelijk niet die van een aanklacht. Niemand is hier om af te rekenen met de partijen waarmee jarenlang tot tevredenheid is samengewerkt. Wie de afgelopen jaren clouddiensten van de grote namen heeft verkocht, deed dat vaak met tevreden klanten als resultaat. De vraag ligt genuanceerder: is dat comfort houdbaar nu de wetgeving in de Verenigde Staten techbedrijven ruime mogelijkheden geeft om invloed uit te oefenen op klantdata, ook buiten de eigen landsgrenzen?

De rondetafel vond plaats in het voormalige commandocentrum. Let ook op het enorme scherm aan de muur.

Geen radicale uitstap

De een is er stellig over: wie voor overheden of gereguleerde sectoren werkt, ontkomt niet aan de vraag waar data staat en wie erbij kan. De ander relativeert: het is voor een groot deel een gevoelskwestie, en de praktische impact valt vaak mee zolang de architectuur klopt. Niemand pleit voor een radicale uitstap uit de grote clouddiensten, maar bijna iedereen erkent dat klanten er in toenemende mate naar vragen: alternatieven, uitwijkscenario’s, een Europese of Nederlandse optie naast de vertrouwde infrastructuur. Een paar keer klinkt de vraag waar de grens precies ligt tussen een principekwestie en een verkoopargument. Een sluitend antwoord komt er niet, maar de vraag zelf houdt de zaal wakker.

In het tweede deel van de middag verschuift het gesprek naar de praktische kant: welke kansen ontstaan er voor een MSP die met alternatieve back-upscenario’s aan de slag gaat, en hoe verkoop je dat aan een klant die eigenlijk net zo goed tevreden was met de bestaande oplossing? Ook hier is de sfeer open. Sommigen delen ervaringen van klanten die pas na een incident bij een ander hun eigen continuïteit serieus zijn gaan bekijken, anderen zien vooral een kans om zich als partij te onderscheiden op een thema waar de markt nog volop naar zoekt.

Na afloop van de discussie volgt een rondleiding door de bunker: dikke deuren, indrukwekkende techniek, en de nodige verbaasde blikken bij wat er allemaal onder de grond schuilgaat. Het is duidelijk een hoogtepunt van de middag. Iedereen is verbaasd over de high-tech in het datacenter, en er worden volop foto’s gemaakt.

Serverruimte Alfa – alle ruimtes zijn vernoemd via het NAVO-alfabet.

Na jaren uitstel is de Cyberbeveiligingswet, de Nederlandse invulling van de Europese NIS2-richtlijn, rond. De Eerste Kamer stemde op 7 juli over het wetsvoorstel en de inwerkingtreding is 15 augustus 2026. Een overgangstermijn komt er niet: op dag één gelden alle verplichtingen. Voor MSP’s telt de wet dubbel. Ze vallen er als beheerders van ICT-diensten zelf onder én hun klanten verwachten dat hun IT-partner de vertaling naar de praktijk maakt.

De aanloop was lang. De NIS2-richtlijn stamt uit eind 2022 en had uiterlijk op 17 oktober 2024 in nationale wetgeving moeten zijn omgezet. Nederland haalde die deadline ruimschoots niet: van alle 27 lidstaten had destijds alleen België de richtlijn op tijd volledig geïmplementeerd. Daarna volgde een reeks streefdata, van het derde kwartaal van 2025 via 1 januari en 1 juli 2026 tot de datum die nu op tafel ligt. Wie bij klanten de afgelopen jaren het gevoel bespeurde dat het allemaal wel losloopt, kan dat gevoel definitief bijstellen.

Waar staat de wetgeving nu?

Op 15 april 2026 nam de Tweede Kamer de Cyberbeveiligingswet (Cbw) aan, samen met de Wet weerbaarheid kritieke entiteiten. De Eerste Kamer nam de wetsvoorstellen aan op 7 juli. In principe is de wet per 15 augustus 2026 van kracht, maar de definitieve datum wordt vastgelegd bij koninklijk besluit. De onderliggende regelgeving, het Cyberbeveiligingsbesluit en de ministeriële regelingen per sector, treedt tegelijk met de wet in werking.

De impact is fors. De wet raakt naar schatting 8.000 tot 10.000 Nederlandse organisaties in achttien sectoren, van zorg en energie tot maakindustrie en digitale dienstverlening. De drempel ligt in de regel bij 50 medewerkers of een jaaromzet en balanstotaal boven 10 miljoen euro. Bestuurders worden persoonlijk verantwoordelijk voor het cybersecuritybeleid en de boetes liegen er evenmin om: tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en tot 7 miljoen euro of 1,4 procent voor belangrijke entiteiten.

Figuur 1. Het wetgevingstraject van EU-richtlijn naar Nederlandse wet.

De MSP valt er zelf onder

Voor de lezers van MSP Business is één passage in de wet extra relevant. Het beheer van ICT-diensten (business-to-business) vormt een eigen sector binnen de Cbw, opgesplitst in beheerde ICT-diensten en beheerde beveiligingsdiensten. Grotere IT-dienstverleners die zich profileren als managed service provider vallen daar rechtstreeks onder, met de Rijksinspectie Digitale Infrastructuur (RDI) als toezichthouder. Wie twijfelt of de eigen organisatie in scope is, kan dat toetsen met de NIS2-Zelfevaluatie van de RDI. Let daarbij op: bij het bepalen van de bedrijfsgrootte tellen gelieerde ondernemingen en partnerbedrijven mee, dus ook een formeel kleine MSP binnen een grotere groep kan onder de wet vallen.

De MSP draagt daarmee twee petten. Als entiteit moet hij zelf voldoen aan de zorgplicht, meldplicht en registratieplicht. Als leverancier van NIS2-plichtige klanten wordt hij bovendien onderdeel van hun leveranciersbeoordeling en krijgt hij contractuele beveiligingseisen op zijn bord. Beide rollen vragen om dezelfde huiswerklijst, en dat maakt de voorbereiding overzichtelijker dan ze op het eerste gezicht lijkt.

Drie plichten vormen de kern

De Cbw kent drie hoofdverplichtingen. De registratieplicht verplicht organisaties zich in te schrijven in het entiteitenregister via mijn.ncsc.nl, met onder meer contactgegevens, KvK-nummer, sectorinformatie en een beschrijving van de dienstverlening. Wijzigingen moeten binnen korte termijn worden doorgegeven.

De zorgplicht is de meest omvangrijke. Artikel 21 van de NIS2-richtlijn somt tien maatregelen op die elke entiteit aantoonbaar moet regelen: risicoanalyse en beveiligingsbeleid, incidentbehandeling, bedrijfscontinuïteit met back-upbeheer en crisisbeheer, beveiliging van de toeleveringsketen, beveiliging bij ontwikkeling en onderhoud van systemen, procedures om de effectiviteit van maatregelen te toetsen, cyberhygiëne en training, cryptografiebeleid, personeelsbeveiliging met toegangsbeleid, en multifactorauthenticatie met beveiligde communicatie. Een vaste checklist bestaat er niet: de maatregelen moeten passen bij het risicoprofiel van de organisatie. Bestaande normen zoals ISO 27001 sluiten er in de praktijk nauw op aan, net als de NEN 7510 in de zorg en de BIO2 bij de overheid.

De meldplicht is getrapt. Een significant incident moet binnen 24 uur na ontdekking als vroegtijdige waarschuwing worden gemeld bij het sectorale CSIRT en de toezichthouder. Binnen 72 uur volgt de formele melding met ernst en gevolgen, en binnen een maand het eindrapport met de volledige analyse.

Figuur 2. De getrapte meldplicht: 24 uur, 72 uur en één maand.

Ketenverantwoordelijkheid raakt ook kleinere klanten

Voor de dagelijkse MSP-praktijk zit de grootste verandering in de keten. Klanten die zelf onder de Cbw vallen, moeten de risico’s van hun toeleveringsketen aantoonbaar beheersen en daarover afspraken maken met leveranciers. De RDI vatte het in april kernachtig samen: “Breng uw leveranciers in kaart, maak afspraken en zie toe op de naleving.” In de praktijk komt die opdracht grotendeels bij de MSP terecht, want die beheert de systemen waar het om draait.

Ook klanten die zelf buiten de wet vallen, krijgen er via deze route mee te maken. Een NIS2-plichtige afnemer kan contractueel eisen dat ook zijn kleinere toeleveranciers passende maatregelen nemen. De werking van de wet reikt daarmee veel verder dan de 8.000 tot 10.000 organisaties die er formeel onder vallen, en dat verklaart waarom vrijwel elke MSP-klant er de komende maanden vragen over gaat stellen.

Wat vertaal je concreet naar je klanten?

De vraag die elke MSP zich nu moet stellen: welke afspraken leg ik de komende weken vast? Vijf onderwerpen horen in elk geval op tafel. Het begint met een scopebepaling per klant. Doorloop samen de NIS2-Zelfevaluatie, stel vast of de klant essentieel of belangrijk is en bereid de registratiegegevens alvast voor in een centraal document, zodat de inschrijving na inwerkingtreding een kwestie van uren is in plaats van weken.

Daarna volgen de contracten en SLA’s. De meldtermijnen van de klant werken één op één door in de dienstverlening: wie binnen 24 uur bij het CSIRT moet melden, heeft een MSP nodig die incidenten vrijwel direct signaleert, kwalificeert en doorgeeft. Leg vast wie meldt, binnen welke termijn de MSP de klant informeert en hoe de escalatie verloopt buiten kantoortijden. Derde punt is de technische basis aantoonbaar maken. MFA, logging en detectie, een getest back-up- en herstelproces en een strak patchbeleid draaien bij veel MSP’s al, alleen ontbreekt vaak de documentatie waarmee de klant dit richting toezichthouder kan onderbouwen. Rapportages en periodieke evaluaties horen daarom standaard in het dienstenpakket.

Het vierde onderwerp speelt op bestuursniveau. De wet legt de verantwoordelijkheid expliciet bij bestuur en directie: zij moeten maatregelen goedkeuren, toezicht houden op de uitvoering en aantoonbaar getraind zijn. Een MSP die bestuurstrainingen en kwartaalrapportages voor de directietafel aanbiedt, vult een gat dat de klant zelden zelf kan dichten. Tot slot verdient het incidentproces een gezamenlijke oefening. Een meldingsprocedure op papier is pas iets waard als beide partijen weten wie belt, wie analyseert en wie de melding indient wanneer het misgaat.

De cijfers laten zien hoeveel werk er ligt

Uit onderzoek van Grant Thornton bleek in het derde kwartaal van 2025 dat 35 procent van de MKB-respondenten bekend was met NIS2 en aan compliance werkte, een stijging ten opzichte van 24 procent een kwartaal eerder. De Barometer Digital Decade 2026 van ICTRecht, gebaseerd op onderzoek onder 516 organisaties in acht sectoren, laat zien dat bijna de helft van de Nederlandse organisaties onvoldoende is voorbereid op de bredere Europese digitale wetgeving waar NIS2 deel van uitmaakt. En uit onderzoek van Veeam onder 300 Nederlandse beslissers blijkt dat één op de vijf organisaties wacht met compliance tot wetgeving het afdwingt.

Ook de eigen sector heeft huiswerk. De RDI publiceerde in juni de resultaten van de NIS2-Quickscan voor de sector beheer van ICT-diensten. Respondenten geven zichzelf de laagste score op drie punten: het opstellen van een meldingsprocedure voor significante incidenten, het trainen van alle bestuursleden en het verminderen van de risico’s in de toeleveringsketen, uitgerekend de onderwerpen waarop klanten straks naar hun MSP kijken.

Figuur 3. De voorbereiding groeit, al blijft bijna de helft van de organisaties achter.

Van verplichting naar propositie

Voor MSP’s die hun zaken op orde hebben, is de Cbw meer dan een compliance-dossier. Wie nu een helder NIS2-aanbod formuleert, met een gap-analyse, een passend maatregelenpakket en periodieke rapportage richting het bestuur van de klant, positioneert zich als de partij die het verschil kent tussen een audit overleven en aantoonbaar in control zijn. De wet die jarenlang op zich liet wachten, wordt daarmee alsnog een commerciële kans. Vanaf de dag van inwerkingtreding telt alleen nog wat er is vastgelegd, ingericht en geoefend.

Bronnen

NCTV, Wetgevingsproces en planning Cyberbeveiligingswet (nctv.nl, juli 2026) • Eerste Kamer, dossier 36.764 Cyberbeveiligingswet • Rijksoverheid, nieuwsbericht 15 april 2026 • NCSC, Over de Cbw (ncsc.nl) • RDI, Cyberbeveiligingswet en resultaten NIS2-Quickscan sector beheer van ICT-diensten (juni 2026) • NLdigital, De NIS2 komt eraan • Securitymanagement.nl, artikelen over de invoering van de Cbw (juni/juli 2026) • AG Connect / Grant Thornton, NIS2 in 2026 (december 2025) • ICTRecht, Barometer Digital Decade 2026 • Veeam / ICT Magazine (juli 2026) • TÜV Nord, NIS2-richtlijn.

Grote kans dat er het afgelopen jaar al eens een koper, adviseur of consolidator bij je heeft aangeklopt. Dat is geen toeval. Tussen 2023 en eind 2025 wisselden 219 Nederlandse MSP’s van eigenaar en bij 88 procent van die deals zat een investeerder aan tafel. De vraag wordt daarmee steeds prangender: zelfstandig doorgroeien, aansluiten bij een platform of je eigen niche verdedigen.

Fusie- en overnameadviseur Hogenhouck m&a zette de cijfers op een rij in het MSP M&A Rapport 2025. Tussen 2023 en eind 2025 telde het kantoor 219 transacties in het Nederlandse MSP-segment. En het tempo loopt op: in 2022 lag het gemiddelde op vijf overnames per maand, inmiddels zijn dat er ruim zes. Van de bredere economische onzekerheid trekt de sector zich weinig aan. De vraag naar digitalisering, cybersecurity en cloud blijft groeien en dat vertaalt zich in voorspelbare, terugkerende omzet, en daar smullen investeerders van.

Die investeerders drukken dan ook een flinke stempel op de markt. Bij 88 procent van de transacties was een financiële partij betrokken, meestal private equity. Daar komt bij dat de markt sterk versnipperd is, met honderden kleinere en regionale spelers. Voor buy-and-buildstrategieën is Nederland daarmee een ideaal speelveld: een platform koopt met kapitaal van een investeerder in hoog tempo kleinere bedrijven op en integreert ze.

Consolidators met tientallen overnames

De namen ken je waarschijnlijk wel. Techone, dat onlangs KKR als nieuwe investeerder aan boord haalde, staat op 47 overnames sinds de oprichting. Your.Cloud volgt met 38, Futureproof Group met 30 en Smizer met 23. Ook Interstellar en Hallo zijn actieve kopers. Deze groepen combineren schaalvoordelen en centrale aansturing met lokale labels. En omdat de landelijke dekking zo goed als rond is, richten ze hun vizier steeds vaker op kleinere MSP’s in de regio.

Grafiek 1: Meest actieve consolidators in de Nederlandse MSP-markt

Waarom zijn investeerders zo dol op MSP’s?

Het antwoord ligt in het bedrijfsmodel, en dat ken je natuurlijk als geen ander. Vaste maandcontracten, een hoog aandeel terugkerende omzet, diepe verankering in de bedrijfsvoering van je klanten en een weinig klantverloop. Voor een investeerder is dat een droomcombinatie: voorspelbare kasstromen met ruimte voor margeverbetering door schaal.

Dat zie je terug in de waarderingen. Hogenhouck ziet in de Nederlandse markt doorgaans prijzen vanaf zeven keer EBITDA. De spreiding is wel groot. Toppresteerders met sterke groeicijfers krijgen een premie van 20 tot 30 procent boven het marktgemiddelde, terwijl achterblijvers tot 30 procent onder dat gemiddelde uitkomen. Wat je bedrijf oplevert, hangt dus vooral af van de kwaliteit van je cijfers, je klantenbestand en je specialisatie.

Grafiek 2: Aandeel deals met investeerder en gemiddeld dealtempo per maand

Druk van Microsoft en Brussel

Twee externe ontwikkelingen jagen de consolidatie verder aan en die voel je vooral als kleinere speler. Microsoft verhoogde per 1 oktober 2025 de minimale omzetdrempel voor de partnerstatus van 300.000 naar 1 miljoen dollar. Dreig je die status te verliezen, dan wordt aansluiten bij een groter geheel ineens een stuk aantrekkelijker om toegang tot het ecosysteem te houden.

Daarnaast is er de NIS2-richtlijn, die strengere beveiligingsnormen en zwaardere compliance-eisen met zich meebrengt. Als klein bedrijf moet je dezelfde certificeringen, processen en rapportages optuigen als je grote concurrenten, met een fractie van de mensen en het budget. In de praktijk leidt dat vaker tot samenwerking, aansluiting bij een platform of verkoop.

Europa en de VS consolideren in hetzelfde tempo

Het beeld beperkt zich overigens allerminst tot Nederland. Analist Omdia telde in 2025 wereldwijd 169 publiek aangekondigde transacties in de MSP-sector, met private equity betrokken bij 69 procent van de bekendgemaakte deals. In het EMEA-partnerecosysteem tekenden slechts 32 private equity-firma’s samen voor 54 procent van alle overnames, met H.I.G. Capital als koploper. Opvallend: ruim 35 procent van die transacties betrof bedrijven uit de Omdia Partner 1000, de gevestigde top van het Europese kanaal. Ook de grote namen belanden dus in handen van investeringsmaatschappijen.

Wil je weten waar dit naartoe kan gaan, kijk dan naar de Verenigde Staten. Consolidator Evergreen Services Group deed in 2025 alleen al 47 overnames en dochterbedrijf Lyra Technology Group passeerde afgelopen zomer de grens van 1 miljard dollar aan terugkerende jaaromzet, na de honderdste MSP-overname. De markt valt daarmee wereldwijd uiteen in twee kampen: een lange staart van kleine, lokale aanbieders en een groep hooggekapitaliseerde platforms die de koers van de sector bepalen.

Verder valt in de Omdia-cijfers de opkomst van rekapitalisaties op, waarbij de ene investeerder uitstapt en een volgende het stokje overneemt. MSP-platforms zijn daarmee volwassen activa geworden die meerdere eigendomscycli aankunnen. Consolidatie blijft ondertussen vooral een regionale aangelegenheid: 95 procent van de transacties vond plaats in dezelfde regio als de koper, met Noord-Amerika goed voor ongeveer driekwart van alle activiteit.

Welke routes heb je?

Grofweg zijn er drie. De eerste: zelfstandig doorgroeien. Dat vraagt forse investeringen in security, compliance, certificeringen en personeel, en sinds de hogere Microsoft-drempel ook in commerciële slagkracht. De tweede: aansluiten bij een platform. Dat levert schaal, kapitaal en ontzorging op backoffice en inkoop op, maar kost autonomie en soms ook een stuk van je eigen bedrijfscultuur. De derde: specialiseren. Nichepartijen met diepe kennis van een sector of technologie blijven voor consolidators interessant en kunnen bij een eventuele verkoop een premie bedingen.

Voor 2026 verwacht Hogenhouck dat investeerders hun aandacht richten op de midden- en onderkant van de markt, omdat veel grotere MSP’s inmiddels onderdeel zijn van een platform. Founding partner Rik Stikkelbroeck voorziet dat “de jacht op kwalitatieve MSP’s” komend jaar verder intensiveert, mede door de naderende investeringshorizon van veel fondsen. Ook Omdia signaleert dat vooral MSP’s met ingebedde securitycapaciteiten en compliance-specialisatie gewild zijn. In 2025 waren zeventien transacties gericht op MSSP’s en dat aantal groeit.

Onderhandelen vanuit kracht

Er zit gelukkig ook een positieve kant aan dit verhaal. De vraag is groot, de waarderingen zijn solide en er melden zich doorgaans meerdere gegadigden. Heb je je cijfers op orde, kun je een duidelijke specialisatie laten zien en houd je het klantverloop aantoonbaar laag, dan onderhandel je vanuit kracht. Wacht je tot de druk van compliance en partnereisen te groot wordt, dan doe je dat straks vanuit een zwakkere positie en tegen een lagere multiple.

De consolidatie in de MSP-markt heeft daarmee alle kenmerken van een structurele ontwikkeling. Het is dus zaak om zelf je koers te bepalen, voordat een consolidator op de deur klopt en dat voor je doet.

Bronnen: Hogenhouck m&a, MSP M&A Rapport 2025; Omdia, MSP M&A Global Activity for 2025.

Microsoft heeft twee verlengingen aangekondigd die beheerders en gebruikers extra tijd geven. Zowel de gratis beveiligingsupdates voor Windows 10 als de hotpatching-functie voor Windows Server 2022 op Azure blijven langer beschikbaar dan eerder aangekondigd.

Particuliere gebruikers van Windows 10 krijgen via het gratis ESU-programma (Extended Security Updates) nu tot 12 oktober 2027 beveiligingsupdates, een jaar langer dan eerder beloofd. Het besturingssysteem bereikte op 14 oktober 2025 het einde van de reguliere ondersteuning. Na druk van Europese consumentenorganisaties kwam er een gratis ESU-verlenging tot oktober 2026 voor gebruikers in de Europese Economische Ruimte. Die termijn schuift nu opnieuw op. Gebruikers die al zijn aangemeld voor ESU krijgen de verlenging automatisch, zonder extra actie. Voor zakelijke klanten verandert er niets: zij vallen onder een apart betaald ESU-traject met een prijs tot 427 dollar per apparaat voor maximaal drie jaar extra updates.

Ook Windows Server 2022 krijgt een adempauze. Microsoft blijft tot in 2027 updates leveren via hotpatching, ook na het einde van de reguliere ondersteuning op 13 oktober 2026. De verlenging geldt exclusief voor Windows Server 2022 Datacenter: Azure Edition, on-premises gebruikers vallen buiten de regeling. Hotpatching past beveiligingsupdates rechtstreeks toe in het werkgeheugen van actieve processen, waardoor de maandelijkse herstarts van servers niet langer nodig zijn. Alleen voor de cumulatieve kwartaalupdates blijft een reboot vereist. Microsoft hoopt hiermee beheerders te ontlasten, al blijft het concern klanten tegelijkertijd stimuleren om over te stappen naar Windows Server 2025.

Het geheugen in een MacBook Air is in een halfjaar misschien 50 euro duurder geworden. De MacBook Air zelf stijgt 200 dollar in prijs. Apple presenteert dat als een onvermijdelijk gevolg van de AI-geheugenschaarste, en daar zit een kern van waarheid in. Maar de verhouding klopt niet: de componentprijsstijging rechtvaardigt bij lange na niet de verkoopprijsstijging. Apple pakt extra marge. En Apple is niet de enige.

Apple verhoogt de MacBook Air met 200 dollar, van 1.099 naar 1.299 dollar. De iPad Air gaat van 599 naar 749 dollar, plus 150 dollar. De iPad Pro stijgt 200 dollar naar 1.199 dollar. Microsoft verhoogt Xbox-consoles op 1 augustus met 100 tot 150 dollar. De redenering bij beide bedrijven is dezelfde: geheugenprijzen zijn door AI-datacenterinvesteringen enorm gestegen en die kosten moeten ergens neerslaan. Dat klopt, maar de rekening die consumenten gepresenteerd krijgen is substantieel hoger dan de feitelijke componentkostenstijging rechtvaardigt. Dell’s COO legde het in harde cijfers vast: DRAM kostte een halfjaar geleden 43 dollarcent per gigabit, inmiddels staat de prijs op 2,39 dollar. Een laptop heeft doorgaans 16 gigabyte werkgeheugen. Reken je dat door naar de meerkosten per apparaat, dan kom je op enkele tientallen euro’s. De verkoopprijs stijgt met 150 tot 300 dollar.

Het verschil gaat niet volledig op aan marges. Apparaten bevatten ook NAND Flash voor opslag, en die stijgt met 55 tot 60 procent. Fabrikanten rekenen voorraden af tegen huidige inkoopkosten, niet wat ze ooit betaalden. En voor Apple en anderen geldt dat langlopende leveringscontracten nu aflopen en tegen nieuwe, hogere tarieven worden verlengd. Toch is de verhouding scheef. De geheugen- en opslagcomponenten samen vertegenwoordigen nu zo’n 35 procent van de totale fabricagekosten van een laptop, historisch was dat 16 tot 20 procent. Dat rechtvaardigt een hogere verkoopprijs, maar niet vijf keer de componentmeerkosten doorfactureren aan de eindgebruiker. De geheugenschaarste biedt de industrie een alibi om prijzen te verhogen die verder gaan dan de kostenstijging.

Einde van prijsstijgingen nog niet in zicht

Gartner berekent dat de gecombineerde geheugen- en opslagkosten voor 2026 uitkomen op plus 130 procent ten opzichte van een jaar geleden. Dat vertaalt zich in pc’s die gemiddeld 17 procent duurder worden en smartphones 13 procent. Microsoft schrijft dat opslag- en geheugenprijzen meer dan verdubbeld zijn en voor de zomer van 2027 mogelijk opnieuw verdubbelen. Voor wie nu hardware aanschaft of adviseert: de huidige prijsverhogingen zijn waarschijnlijk niet het eindpunt.

Waarom de fabrikanten dit laten gebeuren

Samsung, SK Hynix en Micron produceren samen meer dan 95 procent van alle DRAM ter wereld. Ze zetten hun capaciteit de afgelopen twee jaar systematisch om richting High-Bandwidth Memory (HBM): de gespecialiseerde chips die AI-accelerators van Nvidia, Google en Microsoft nodig hebben. HBM levert tien keer hogere marges op dan gewone DRAM. Elk halfgeleiderplaatje dat naar een AI-server gaat, gaat niet naar een laptop of smartphone.

Alphabet, Amazon, Meta en Microsoft kondigen voor 2026 samen zo’n 650 miljard dollar aan datacenterinvesteringen aan, 67 procent meer dan in 2025. Die datacenters slokken nu 70 procent van alle geproduceerde geheugenonderdelen op. Wat overblijft voor de consumentenmarkt is structureel te weinig.

Micron trok de uiterste conclusie en sloot zijn Crucial-merk volledig: geen RAM en SSD’s meer voor pc-gebruikers en gamers, alle capaciteit gaat naar AI-datacenters. Lenovo’s topman zei het op de ISC 2026-conferentie kortaf: “It will never be like it was last year.”

Wie de klap als eerste voelt

De impact treft de markt niet gelijk. Apple en Samsung hebben langlopende inkoopcontracten die geheugen 12 tot 24 maanden van tevoren vastleggen. Die buffer begint nu op te raken. Lenovo, Dell en HP kondigen prijsstijgingen van 15 tot 20 procent aan voor de volledige productlijnen, inclusief het schrappen van instapmodellen. IDC bevestigt dat Lenovo, Dell, HP, Acer en ASUS klanten al hebben gewaarschuwd voor prijsverhogingen en kortere offertegeldigheid.

IDC verwacht dat de wereldwijde pc-verkopen in 2026 met zo’n 10 tot 11 procent krimpen. Gartner verwacht dat laptops onder de 500 dollar als categorie verdwijnen tegen 2028: de fabricagekosten overschrijden de verkoopprijsgrens voor budgetmodellen. Duurdere geheugenonderdelen, wegvallende instapmodellen.

De smartphonemarkt staat voor een bijzonder dilemma. Twee jaar lang worden ‘AI-smartphones’ verkocht op de belofte van meer geheugen voor meer intelligentie aan boord. Nu is datzelfde geheugen het duurste onderdeel. Chinese Android-fabrikanten als TCL, Transsion, Realme en Xiaomi, die opereren op dunne marges in het middensegment, stellen productlanceringen uit, krimpen hun modellenportfolio en verlagen in sommige gevallen de geheugenspecificaties om de verkoopprijs aanvaardbaar te houden.

RAMageddon is geen tijdelijke dip

Eerdere geheugentekorten waren cyclisch: fabrieken stonden stil door COVID, logistiek liep vast, vraag en aanbod raakten tijdelijk uit balans. Zodra supply chains normaliseerden, daalden de prijzen. De huidige crisis werkt anders. De vraag naar HBM voor AI-datacenters groeit structureel en de fabrikanten die dat geheugen produceren, hebben economische prikkels om die vraag te blijven bedienen boven de consumentenmarkt.

TrendForce en IDC verwachten geen normalisering voor 2027-2028, en dan pas als de nieuwe fabrieken van Micron (Singapore en Idaho), SK Hynix (Cheongju) en Samsung (Pyeongtaek) op capaciteit zitten. Micron’s eigen marketingdirecteur stelde dat de Idaho-fabriek pas in 2028 noemenswaardige output levert. Normalisering is daarmee vrijwel zeker een kwestie van jaren.

Wat MSP’s nu kunnen doen

Voor MSP’s die hardware adviseren, inkopen of beheren heeft dit directe gevolgen op twee fronten: prijs en beschikbaarheid. Kostenramingen van zes maanden geleden kloppen niet meer. TechRadar meldt dat IT-afdelingen offertes binnenkrijgen die 30 tot 60 procent hoger uitvallen dan verwacht, met geldigheidsvensters die soms zijn teruggebracht van weken naar enkele uren. Maar het prijsprobleem is nog beheersbaar vergeleken met het beschikbaarheidsprobleem. Veel fabrikanten stappen over op build-to-order productie. Specifieke configuraties hebben levertijden van weken tot maanden. Fabrikanten halen budgetmodellen actief uit hun assortiment omdat ze er niets meer aan verdienen, en het segment onder de 500 dollar wordt richting 2028 structureel onhoudbaar.

Hardware die nu beschikbaar is, is deels nog ingekocht onder de oude contractprijzen. Hardware die later dit jaar of begin 2027 op de markt komt, is volledig gebouwd met de huidige componentkosten. Voor klanten die sowieso toe zijn aan vervanging, is vroeg bestellen rationeel, maar dan wel met realistische verwachtingen over levertijd.

De bredere kans voor MSP’s zit in het gesprek dat RAMageddon opent. Organisaties die worstelen met hogere deviceprijzen zijn ontvankelijker voor alternatieven: thin client-architecturen, virtualisatie, verlengde levensduur van bestaande apparaten gecombineerd met cloudwerklasten.

Het Witte Huis heeft OpenAI gevraagd zijn nieuwe model GPT-5.6 voorlopig alleen beschikbaar te stellen aan een kleine groep door de overheid goedgekeurde partners. De stap volgt op vergelijkbare restricties die eerder aan Anthropic werden opgelegd en markeert de eerste keer dat Washington preventief ingrijpt bij de release van een Amerikaans AI-model.

Het verzoek kwam van twee federale instanties: het Office of the National Cyber Director en het Office of Science and Technology Policy. De aanleiding is de capaciteit van het model. Volgens betrokkenen beschouwen zowel OpenAI als de Trump-regering GPT-5.6 als vergelijkbaar met Anthropic’s Mythos, het frontiermodel dat eerder dit jaar al alleen beschikbaar werd gesteld via een beperkt partnerprogramma.

CEO Sam Altman liet medewerkers in een interne memo weten dat de overheid toegang momenteel “klant voor klant” goedkeurt tijdens een preview-periode. Hij benadrukte dat dit geen houdbaar langetermijnmodel is. OpenAI heeft, aldus Altman, de overheid duidelijk gemaakt dat het bedrijf naar een duurzamere aanpak wil voor toekomstige releases. Een bredere uitrol van GPT-5.6 wordt verwacht enkele weken na de beperkte preview, mits het goedkeuringsproces soepel verloopt.

Opvallend is dat OpenAI al vóór de kwestie rond Anthropic proactief met de regering in gesprek was over de lancering. Minister van Handel Howard Lutnick besprak het model met Altman en wilde zeker stellen dat alle relevante overheidsdiensten het hadden getest voordat het breder beschikbaar zou komen.

De ingreep legt een fundamenteel probleem in de Amerikaanse AI-regulering bloot. President Trump tekende eerder dit jaar een executive order die AI-bedrijven verzoekt hun frontiermodellen vrijwillig dertig dagen voor release aan de overheid aan te bieden voor cybersecuritybeoordeling, maar een formeel wettelijk kader ontbreekt nog steeds. Het verzoek aan OpenAI kwam van het Witte Huis, terwijl de exportrestricties voor Anthropic via het ministerie van Handel liepen. Experts waarschuwen dat deze versnipperde, ad-hocaanpak de groeimogelijkheden van de AI-sector kan beperken.

Anthropic’s krachtigste AI kraakt NSA-systemen in uren, Google bakt schermcontrole in Gemini 3.5 Flash en een nep-bugreport blijkt genoeg om je AI-codeassistent volledig over te nemen. Dit is de AI Update van week 26.

• Het geheim achter de Fable 5-shutdown: Mythos brak in uren in op bijna alle NSA-systemen
• Gemini 3.5 Flash ziet, denkt en klikt: computer use nu ingebakken
• OpenAI en Broadcom onthullen Jalapeño, de eerste eigen AI-inferentiechip
• Claude Tag wordt teamlid in Slack: één identiteit voor de hele organisatie
• Cloudflare geeft AI-agents een wegwerpaccount om zonder inlogmuur te deployen
• Agentjacking: één nep-bugreport en je AI-codeagent werkt voor de aanvaller

Het geheim achter de Fable 5-shutdown: Mythos brak in uren in op bijna alle NSA-systemen

Op 12 juni sloot het Amerikaanse ministerie van Handel Anthropic’s twee krachtigste modellen, Fable 5 en Mythos 5, wereldwijd af voor buitenlandse gebruikers — inclusief Anthropic’s eigen niet-Amerikaanse medewerkers. Omdat selectieve handhaving op nationaliteit niet uitvoerbaar bleek, trok Anthropic de modellen voor iedereen terug. Sindsdien is de aanleiding steeds duidelijker geworden.

• Senator Mark Warner verklaarde dat NSA-directeur generaal Joshua Rudd hem persoonlijk meedeelde dat Mythos tijdens een geautoriseerde red-team-oefening bijna alle geclassificeerde systemen van de NSA wist te binnendringen — in uren, niet weken. De uitspraak werd gemeld door The Economist, maar is niet officieel bevestigd door een Amerikaanse overheidsinstantie; de auteur gaf later toe zijn framing te ongenuanceerd te hebben gebracht.
• De directe aanleiding voor het exportverbod was volgens Anthropic een melding van een smalle jailbreak in Fable 5, waarmee de beveiligde cybersecurity-functies van het onderliggende Mythos-model bereikbaar zouden zijn. Anthropic betwist dat dit grond geeft voor een modelbrede terugroeping.
• Het is de eerste keer dat de VS exportcontroles toepast op een AI-model zelf in plaats van op de hardware. Bondgenoten binnen Five Eyes — Australië, het VK, Canada en Nieuw-Zeeland — werden zonder vooraankondiging buitengesloten, net als het Britse AI Security Institute.
• Anthropic werkt aan herstel van toegang en bereidt een samenwerkingskader met het Witte Huis voor. Minder krachtige modellen zoals Opus 4.8 zijn niet getroffen.

Bron: TechSpot / The Guardian

top ^

Gemini 3.5 Flash ziet, denkt en klikt: computer use nu ingebakken

Google heeft computer use als native tool toegevoegd aan Gemini 3.5 Flash, het snelle agentic model dat in mei werd gelanceerd. Daarmee kunnen ontwikkelaars agents bouwen die schermen lezen, muisklikken uitvoeren en formulieren invullen in browser-, mobiele en desktopomgevingen — zonder een apart model aan te roepen.

• Computer use was eerder alleen beschikbaar als losstaand Gemini 2.5-model. Nu zit de functie naast zoeken, Maps-koppeling en code-uitvoering als standaard tool in Flash, via de Gemini API en het Gemini Enterprise Agent Platform.
• Op de OSWorld-benchmark scoort Gemini 3.5 Flash 78,4 — vergelijkbaar met Claude Sonnet 4.6, en ruim boven Gemini 3 Flash (65,1). Anthropic’s Opus 4.8 leidt met 83,4.
• Google heeft gerichte adversarial training toegevoegd voor computer use-scenario’s en biedt twee optionele beveiligingslagen: gebruikersbevestiging bij onomkeerbare acties, en automatisch stoppen bij vermoeden van prompt injection.
• Flash is een van de goedkopere modellen in Google’s line-up, wat grootschalige agent-automatisering financieel toegankelijker maakt dan via zwaardere modellen.

Bron: Google Blog

top ^

OpenAI en Broadcom onthullen Jalapeño, de eerste eigen AI-inferentiechip

OpenAI heeft samen met Broadcom zijn eerste zelfontworpen chip gepresenteerd: Jalapeño, een ASIC specifiek gebouwd voor LLM-inferentie. Het ontwerp ging in negen maanden van blanco vel naar tape-out, mede versneld door OpenAI’s eigen modellen. De chip markeert een strategische stap richting verticale integratie, zoals Google en Amazon die al jaren doorvoeren met respectievelijk TPU’s en Trainium.

• Jalapeño is uitsluitend gericht op inferentie — het draaien van modellen voor eindgebruikers — en niet op training. De architectuur minimaliseert dataverplaatsing en balanceert rekenkracht, geheugen en netwerkgebruik om dichter bij de theoretische piekprestaties te komen.
• Vroege tests tonen een aanzienlijk betere performance per watt dan de huidige state-of-the-art, aldus OpenAI. Harde benchmarkcijfers worden in de komende maanden gepubliceerd. Engineering samples draaien al ML-workloads, waaronder GPT-5.3-Codex-Spark.
• De chip wordt eind 2026 in beperkte omvang ingezet, met uitbreiding in de jaren daarna via gigawatt-schaal datacenters bij Microsoft en andere partners. Broadcom en Celestica verzorgen de implementatie, boardintegratie en productieschaling.
• Voor OpenAI is Jalapeño ook financieel relevant: goedkopere inferentie is cruciaal voor de weg naar winstgevendheid, zeker met een verwachte beursgang in zicht.

Bron: CNBC

top ^

Claude Tag wordt teamlid in Slack: één identiteit voor de hele organisatie

Anthropic lanceerde Claude Tag, een nieuwe integratie waarmee Claude als gedeeld teamlid in Slack-kanalen functioneert. Elke medewerker in een kanaal kan @Claude aanroepen, voortbouwen op wat een collega eerder heeft gevraagd en taken halverwege overdragen — zonder opnieuw context te hoeven uitleggen.

• Het verschil met de bestaande Claude-Slack-connector zit in persistente geheugenopbouw per kanaal. Claude Tag leert de projecten, toon en workflows van een team kennen naarmate het langer actief is. De oude connector wordt op 3 augustus uitgefaseerd.
• In ambient-modus kan Claude Tag proactief reageren: updates sturen, vergeten taken oppakken of relevante informatie uit andere kanalen signaleren — mits de beheerder daarvoor toestemming heeft verleend.
• Claude Tag is beschikbaar als research preview voor Claude Enterprise- en Team-klanten. Enterprise-klanten die voor 1 september migreren ontvangen 25.000 dollar aan credits; voor Team-klanten is dat 2.500 dollar.
• Anthropic positioneert Claude Tag als een evolutie van Claude Code: minder solo-tool, meer gedeelde werkpartner binnen de bestaande werkplek.

Bron: Bloomberg

top ^

Cloudflare geeft AI-agents een wegwerpaccount om zonder inlogmuur te deployen

Cloudflare heeft Temporary Accounts uitgerold voor Cloudflare Workers. Hiermee kunnen AI-agents zonder menselijke tussenkomst code deployen: één commando levert een live Worker op die zestig minuten actief blijft, met een claim-link waarmee de gebruiker het account daarna permanent kan overnemen.

• Het probleem dat dit oplost: achtergrondagents die zelfstandig code bouwen en deployen, liepen tot nu toe vast bij het inlogscherm van Cloudflare — een OAuth-flow ontworpen voor mensen, niet voor geautomatiseerde sessies.
• De Wrangler CLI herkent nu automatisch wanneer een agent niet is ingelogd en meldt de --temporary-flag proactief. De agent kan binnen dezelfde sessie meerdere keren herdeployen en itereren zonder nieuwe authenticatie.
• Wordt het account niet geclaimd binnen zestig minuten, dan vervalt het automatisch inclusief alle bijbehorende resources zoals databases en bindings.
• Cloudflare werkt aan een breder ecosysteem voor frictionless agent-deployments, onder meer via een samenwerking met Stripe voor accountprovisioning zonder tokens of creditcardgegevens.

Bron: Cloudflare Blog

top ^

Agentjacking: één nep-bugreport en je AI-codeagent werkt voor de aanvaller

Onderzoekers van Tenet Security hebben een nieuwe aanvalsmethode gedocumenteerd die ze Agentjacking noemen. Met niets meer dan een publieke Sentry-sleutel — standaard zichtbaar in websitecode — kunnen aanvallers een nep-foutmelding in het systeem plaatsen. Wanneer een ontwikkelaar zijn AI-codeagent vraagt de fout op te lossen, voert de agent de instructies van de aanvaller uit met de rechten van de ontwikkelaar zelf.

• De aanval werkte in gecontroleerde tests tegen Claude Code, Cursor en OpenAI Codex, met een succespercentage van 85 procent. Tenet identificeerde 2.388 organisaties met een kwetsbare, publiek toegankelijke Sentry DSN, van Fortune 100-bedrijven tot solobedrijven.
• De buit bij een succesvolle aanval: omgevingsvariabelen, AWS-sleutels, GitHub-tokens, git-credentials en privérepository-URL’s — stuk voor stuk geëxfiltreerd zonder dat een firewall, EDR of IAM-systeem alarm slaat. Tenet noemt dit de Authorized Intent Chain: alles wat de agent doet is technisch geautoriseerd.
• Sentry heeft één specifieke payload geblokkeerd maar geeft aan het onderliggende probleem niet volledig op te kunnen lossen, omdat de kern zit in het feit dat AI-agents geen onderscheid kunnen maken tussen data en instructies die in die data zijn verstopt.
• De snelste mitigatie is het uitschakelen van de Sentry MCP-integratie in codeagents. Tenet heeft een gratis tool uitgebracht, Agent-JackStop, waarmee Cursor en Claude Code tegen deze aanvalsklasse worden gehard.

Bron: Tenet Security

top ^

De AI Update is samengesteld door Marcel Debets. Tips? Mail de redactie op mspb@dutchit.com.