Zero trust is al jaren het toverwoord in enterprise-security, en langzaam sijpelt het concept door naar het MKB. Terecht, want het model past naadloos op de realiteit van hybride werken en clouddiensten. De uitdaging voor MSP’s zit in de vertaling: hoe maak je van een architectuurfilosofie een behapbaar traject voor een klant met dertig werkplekken, een beperkt budget en geen eigen securityteam?

Nog even de basics. Zero trust draait om één uitgangspunt: vertrouw niets en niemand op voorhand, en verifieer elke toegangsvraag opnieuw. Het klassieke kasteel-en-slotgracht-model ging ervan uit dat alles binnen het bedrijfsnetwerk veilig was. Dat model is achterhaald in een wereld waarin medewerkers vanuit huis werken, data in tientallen clouddiensten staat en aanvallers binnenkomen met gestolen inloggegevens. Het Amerikaanse standaardeninstituut NIST legde de principes vast in publicatie SP 800-207, en toezichthouder CISA werkte ze uit in een volwassenheidsmodel met vijf pijlers: identiteit, apparaten, netwerk, applicaties en data. Belangrijk blijft de essentie dat zero trust een architectuurprincipe en een groeipad is, en geen product dat je uit een doos installeert.

Een kloof tussen ambitie en uitvoering

De adoptiecijfers vertellen een dubbel verhaal. In het VPN Risk Report van Zscaler zegt 96 procent van de organisaties zero trust als voorkeursaanpak te zien en wil 81 procent binnen twaalf maanden implementeren. Gartner telt 63 procent van de organisaties die zero trust gedeeltelijk of volledig hebben ingevoerd. Dat klinkt alvast positief. Maar kijk je vervolgens naar de uitvoering, dan zakt het beeld in: volgens Cybersecurity Insiders heeft slechts 17 procent zero trust volledig geïmplementeerd, en Gartner voorspelde dat in 2026 amper 10 procent van de grote ondernemingen een volwassen, meetbaar programma operationeel heeft.

Figuur 1: vrijwel iedereen omarmt zero trust op papier, de volledige uitvoering blijft ver achter (bronnen: Zscaler, Gartner, Cybersecurity Insiders).

Dat de investering loont, staat ondertussen wel vast. IBM becijferde in zijn Cost of a Data Breach Report dat organisaties met een zero trust-architectuur gemiddeld 1,76 miljoen dollar minder kwijt zijn per datalek dan organisaties zonder. En de dreiging waartegen het model is ontworpen groeit alleen maar: gestolen inloggegevens vormden volgens Verizon het startpunt van 22 procent van de datalekken, terwijl Zscaler meldt dat 56 procent van de organisaties het afgelopen jaar een inbraak via een VPN-kwetsbaarheid meemaakte.

Waarom blijft het MKB achter?

Onderzoeksbureau Techaisle bracht de bekendheid van zero trust per bedrijfsomvang in kaart en de uitkomst is ontnuchterend: in het kleinbedrijf kent 8 procent het begrip, in het middensegment 46 procent en pas in het hogere middensegment loopt dat op naar 69 procent. De MKB-ondernemer ligt wakker van uitval, ransomware en een verzekeraar die eisen stelt. Een architectuurfilosofie uit de enterprisewereld staat niet op zijn agenda.

Figuur 2: bekendheid met zero trust naar bedrijfsomvang (bron: Techaisle).

Daar kun je al meteen een belangrijke conclusie uit trekken. Verkoop geen zero trust, verkoop de uitkomst. Een gesprek over “nooit vertrouwen, altijd verifiëren” is voor het gemiddelde MKB veel te abstract, en wint het zelden van een gesprek over minder kans op ransomware, een lagere verzekeringspremie en aantoonbaar voldoen aan de eisen van grote klanten. Het raamwerk is voor de MSP zelf een intern kompas dat richting geeft aan de roadmap. De klant hoeft alleen de stappen te zien, met per stap het risico dat wordt afgedekt en de kosten die erbij horen.

Een groeipad in vier behapbare fasen

Elke serieuze zero trust-aanpak begint bij de pijler identiteit. In het State of Zero Trust-onderzoek van Okta noemt 91 procent van de organisaties identiteit centraal in de strategie, en met reden: Microsoft becijferde dat phishingbestendige MFA ruim 99 procent van de wachtwoordaanvallen stopt, zelfs als de aanvaller al over geldige inloggegevens beschikt. Voor een MKB-klant op Microsoft 365 betekent dat concreet MFA verplicht voor iedereen, bij voorkeur met passkeys of een authenticator-app, legacy-authenticatie uitschakelen en conditional access-beleid inrichten dat inlogpogingen beoordeelt op locatie, apparaat en risico.

Het mooie voor de MSP is dat de benodigde bouwstenen vaak al in de bestaande licenties zitten. Microsoft 365 Business Premium bevat Entra ID P1, Intune en Defender for Business, en daarmee ligt er al een fundament voor drie van de vijf pijlers. De eerste fase van een zero trust-traject vraagt daardoor vooral inrichtingsuren en nauwelijks nieuwe licentiekosten. Dat maakt de drempel voor de klant laag en het gesprek een stuk makkelijker.

Na de identiteitslaag volgt fase twee: apparaten. Alleen beheerde en gezonde apparaten krijgen toegang tot bedrijfsdata. Met Intune of een vergelijkbaar MDM-platform stel je compliance-regels in (versleuteling aan, patches actueel, endpointbeveiliging actief) en koppel je die aan conditional access. Een apparaat dat niet voldoet, komt er simpelweg niet in. Fase drie richt zich op het netwerk: vervang de klassieke VPN door zero trust network access (ZTNA), waarbij gebruikers per applicatie toegang krijgen en het onderliggende netwerk onzichtbaar blijft. Dat dicht meteen het VPN-lek waar aanvallers zo dol op zijn. Fase vier pakt applicaties en data aan: single sign-on voor alle SaaS-applicaties, rechten op basis van least privilege en dataclassificatie voor de meest gevoelige informatie.

De volgorde is bewust gekozen. Elke fase levert zelfstandig aantoonbare risicoreductie op en bouwt voort op de vorige. Plan per fase een kwartaal tot een half jaar, afhankelijk van de omvang van de klant, en bespreek de voortgang in de reguliere kwartaalgesprekken. Zo wordt zero trust een meerjarige roadmap met voorspelbare stappen. De klant ziet elk kwartaal vooruitgang op een concreet risico, de MSP bouwt aan een stabiele stroom project- en beheeromzet.

Wat levert het de MSP op?

Zero trust raakt vrijwel elke dienst in het portfolio, van werkplekbeheer en identiteit tot netwerk en security-monitoring, en geeft al die diensten een samenhangend verhaal. De aanstaande Cyberbeveiligingswet versterkt dat verhaal: toegangsbeheer en multifactorauthenticatie behoren tot de verplichte zorgplichtmaatregelen, en de eerste twee fasen van het groeipad dekken die eisen grotendeels af. Cyberverzekeraars stellen vergelijkbare voorwaarden. Wie het traject goed documenteert, geeft de klant meteen het bewijsmateriaal in handen voor audits, verzekeringen en vragen uit de keten.

De grootste valkuil is alles tegelijk willen. Een MKB-klant die in één klap ZTNA, microsegmentatie en dataclassificatie over zich heen krijgt, haakt af op de kosten en de verandering. De kracht van de gefaseerde aanpak zit in het tempo: klein beginnen bij identiteit, elk kwartaal een stap, en elke stap verkocht op het risico dat hij wegneemt. Zo groeit de klant langzaam naar een architectuur waar menig grootbedrijf nog een puntje aan kan zuigen, en bouwt de MSP aan een klantrelatie die jaren meegaat.

Bronnen

NIST, SP 800-207 Zero Trust Architecture; CISA, Zero Trust Maturity Model; Zscaler ThreatLabz, VPN Risk Report 2025; Gartner, State of Zero Trust Adoption Survey en prognose volwassen zero trust-programma’s; Cybersecurity Insiders, Zero Trust Security Report 2026; IBM, Cost of a Data Breach Report 2025; Verizon, Data Breach Investigations Report 2025; Okta, State of Zero Trust Security; Microsoft, Digital Defense Report 2025; Techaisle, SMB and Midmarket Security Adoption Trends; NCSC, zorgplicht Cyberbeveiligingswet.

Veel MSP’s trekken bij een contract de sleutels volledig naar zich toe. De klant krijgt een rapportage, de leverancier houdt de controle. Leeps doet het anders. De MSP, met het hoofdkantoor op Schiphol-Rijk en een vestiging in Rotterdam beheert het netwerk van 48 winkels van Apple Premium Reseller AMAC, maar de klant houdt volledige toegang tot zijn eigen dashboard en blijft eigenaar van de hardware en licenties. Een gesprek met medeoprichter Jelle Roggeveen over co-management, eigenaarschap en waarom de echte differentiatie volgens hem in service delivery zit.

Veel MSP’s nemen het netwerkbeheer volledig over. De sleutels gaan naar de dienst­verlener, de klant krijgt periodiek een rapportage. Leeps kiest bewust voor een andere route. “Wij zorgen dat de security-­updates worden doorgevoerd en dat wij de monitoring doen op eventuele issues. Maar een belangrijk punt is het co-management: de klant geeft het beheer uit handen, maar houdt zelf inzicht in het eigen netwerk. Ze kunnen gewoon op het dashboard kijken,” zegt Roggeveen.

Dat levert soms verrassende situaties op. “Ze zien incidenten soms eerder dan wij. Ze vinden dat een prettige manier van werken: ze houden zicht op hun omgeving en kunnen kleine wijzigingen zelf doorvoeren.” Zeker bij grotere MKB-organisaties zitten ­interne IT’ers die willen begrijpen wat er op hun netwerk speelt. Gaat er iets mis, dan kijken ze liever eerst zelf voordat ze de leverancier bellen. “Als je dat als MSP begrijpt en faciliteert, wordt het gesprek om het beheer over te nemen een stuk makkelijker.”

De case bij Amac: passend bij een nieuwe fase

Amac, Apple Premium Reseller met 48 winkels en het hoofdkantoor in Utrecht, draaide al op een Cisco ­Meraki-omgeving. Die hardware was aan vernieuwing toe, en tegelijkertijd verving Amac op grote schaal de kassa­systemen en printers in de winkels. In diezelfde beweging wilde het  bedrijf ook het netwerk moderniseren.

Belangrijker dan de techniek was de fase waarin Amac zich als organisatie bevond. De organisatie koos bewust voor een co-managed model om de regie over de eigen IT-omgeving te behouden. Directe toegang tot dashboards, inzicht in het netwerk en duidelijke afspraken over rollen en verantwoordelijkheden zodat Amac zelf snel kan handelen wanneer dat nodig is om de winkels optimaal te ondersteunen. Tegelijkertijd kan het interne team terugvallen op Leeps voor beheer, monitoring en complexe vraagstukken. Cisco bracht de ­partijen met elkaar in contact en vroeg Leeps een voorstel uit te werken. “Dat paste heel goed bij ons. We hebben dit bij meer klanten gedaan, en retail is onze achtergrond.”

Wat Leeps daarnaast aansprak, was dat Amac niet alleen op zoek was naar een leverancier, maar ook beschikte over een professioneel intern IT-team en een duidelijke visie op eigenaarschap, processen en technologie.

De filosofie van Leeps staat haaks op hoe veel MSP’s opereren. “Onze aanpak is dat een klant eigenaar moet zijn van de hardware en de licenties, zodat ze makkelijker kunnen overstappen naar een andere MSP. Dat is niet per se in ons voordeel, want uiteindelijk wil je klanten graag behouden. Maar ons idee is dat dat vertrouwen geeft: wij hoeven geen lock-in te creëren zodat jij bij ons blijft. Je blijft bij ons omdat je tevreden bent.”

Vier weken, 48 locaties

De Cisco Meraki-hardware en -licenties voor de nieuwe omgeving werden betrokken via distributeur Comstor. De uitvoering was geen sinecure. Het ­migratietraject moest in vier weken klaar, midden in de zomervakantie, parallel aan de uitrol van een nieuw kassasysteem en een productlaunch.

De planning van een migratie van deze omvang vraagt om zorgvuldige afstemming tussen het netwerk, de kassasystemen en de operationele processen binnen de winkels. Dat vroeg flexibiliteit van alle betrokken partijen. “Dankzij de nauwe ­samenwerking en open communicatie hebben we uiteindelijk alle locaties binnen vier weken succesvol kunnen migreren,” aldus Roggeveen.

Service delivery

Het eigenaarschapsmodel roept een logische vraag op: als de klant zelf eigenaar is van hardware en licenties, krijgt hij dan ook de rompslomp van een uitrol op zijn bord? Het antwoord van Leeps is nee. “In onze optiek is service delivery het allerbelangrijkste. Afspraken maken met de locaties, zorgen dat alles op tijd aankomt, dat de installatiepartner op tijd aanwezig is: die regie trekken wij volledig naar ons toe. De klant hoeft die logistiek niet zelf te organiseren, ook al heeft hij de spullen zelf gekocht.”

Die regie maakt een uitrol over tientallen locaties beheersbaar. Leeps doet de installaties niet zelf, maar werkt met vaste installatiepartners waarmee het al jaren samenwerkt. De coördinatie, planning en kwaliteitsbewaking houdt het in eigen hand. “Het gaat erom dat je er bovenop zit en zorgt dat alle details kloppen. Doe je dat niet, dan loopt een uitrol over veel vestigingen al snel vast.”

Wanneer een klant zelf al een sterke logistieke keten heeft, sluit Leeps daarop aan. Amac distribueert dagelijks vanuit een centrale locatie naar de winkels, dus de fysieke verzending verliep via Amac zelf, terwijl Leeps de overkoepelende regie en planning voerde.

Op dezelfde manier wordt ook internationale uitrol mogelijk. Leeps beheert onder meer het netwerk van een winkelketen met vijftig vestigingen verspreid over Europa. “In elke uithoek werkt het net even anders. Het verschil zit erin dat je de details onder controle houdt.” Tegen die achtergrond was Amac, met 48 winkels in Nederland, voor Leeps een relatief overzichtelijke klant.

Beheer en korte lijnen

Na de oplevering nam Leeps het volledige beheer en de monitoring over. Daarvoor zet het bedrijf een white-­label servicedesk in via een Nederlandse partner: ervaren netwerkmensen, 24×7 beschikbaar, Engelstalig en werkend vanuit een ander Europees land. Voor de meeste klanten van Leeps is dat vanzelfsprekend, omdat zij internationaal opereren en toch al in het Engels werken. Amac is daarin een uitzondering met een volledig ­Nederlandstalige organisatie, maar in de praktijk speelt dat nauwelijks een rol: door de proactieve monitoring hoeft Amac zelden zelf contact op te nemen. Die servicedesk lost ongeveer tachtig procent van de tickets zelfstandig op. “Daardoor kunnen wij ons richten op de complexere vraag­stukken en op het verder verbeteren van de dienstverlening. Een stabieler netwerk levert weer minder operationele issues op.”

In de praktijk lopen de lijnen kort. “Als er echt iets is, schakelen ze vaak direct met ons via Teams.” Daarnaast is er elke maand overleg tussen de servicemanager van Leeps en de IT-manager van Amac over zaken als ticketdoorlooptijd, uptime en aandachtspunten.

Eens per jaar volgt een strategische roadmap-sessie. “Dan kijken we samen: hoe tevreden zijn jullie, welke projecten spelen er en wat zetten we op de agenda voor het komende jaar?” Uit die sessies komt doorgaans een lijst met mogelijke vervolgstappen, die Leeps en Amac samen prioriteren. Zo houden beide partijen zicht op wat er speelt en kan nieuwe technologie op een natuurlijk moment in de bestaande omgeving worden meegenomen. Tegelijkertijd zijn deze sessies een moment om verder te kijken dan de bestaande omgeving. Zo werd bijvoorbeeld ook de toekomstige CCTV-strategie besproken, inclusief mogelijkheden rondom centralisatie, cloudbeheer en AI-ondersteunde camerabeveiliging.

Retail zit in het DNA

De retailfocus van Leeps is geen toeval. Roggeveen en compagnon Richard begonnen als freelancers en werkten jarenlang voor Nike in Hilversum, waar ze het volledige retailnetwerk bouwden, inclusief datacenters wereldwijd. Daarna volgde een vergelijkbare opdracht bij PVH, het moederbedrijf van Tommy Hilfiger en Calvin Klein. “Het management ging van Nike naar PVH en huurde ons opnieuw in om daar hetzelfde op te zetten. Toen ontstond het idee: dit kunnen we ook als eigen bedrijf.” In die jaren bouwden ze een sterk netwerk van installatiepartners en internetproviders. Inmiddels omschrijft Leeps zichzelf breder dan retailspecialist alleen. “Wij zijn specialist in organisaties die internationaal opereren en veel vestigingen hebben. In gedistribueerde omgevingen zit onze kracht.”

Eigenaarschap als filosofie

Terug naar de kern van het model: de klant is eigenaar van hardware en licenties en houdt altijd inzicht in het eigen netwerk. Voor MSP’s die gewend zijn de sleutels bij zichzelf te houden, klinkt dat als een commercieel risico. Roggeveen ziet het anders. “Het is een gezonde vorm van zelfvertrouwen. Als je je klant goed bedient en dit verhaal goed kunt uitleggen, is de drempel om bij ons in te stappen juist lager.”

Een veelgehoord bezwaar is dat eigenaarschap een grote investering vooraf betekent. Dat hoeft niet, stelt Roggeveen. “Wij kunnen de afbetaling ook over 36 maanden faciliteren.” Daarmee blijft de hardware financieel behapbaar en hoeft een klant niet alles in een keer af te rekenen.

De spanning blijft dat een klant die ­eigenaar is, makkelijker kan vertrekken. Roggeveen legt die bewust naast zich neer. “Onze filosofie is dat dit juist vertrouwen geeft. Je blijft bij ons omdat je tevreden bent. Dat klinkt misschien glad, maar zo is het wel.”

Voor andere MSP’s die worstelen met de vraag hoeveel controle ze aan klanten teruggeven, biedt de aanpak van Leeps een interessant perspectief. Klanten die kunnen meekijken, begrijpen beter waar hun geld naartoe gaat. Dat draagt bij aan een duur­zamere klantrelatie dan een model waarin alle kennis en toegang uitsluitend bij de dienstverlener liggen.

De tijd dat cybercriminelen zich met technisch vernuft door firewalls boorden, ligt grotendeels achter ons. Wie de recente securityrapporten doorbladert, ziet dat aanvallers simpelweg inloggen met gestolen of gekochte inloggegevens. Identiteit is daarmee het belangrijkste aanvalsoppervlak geworden, en dus ook het belangrijkste verdedigingsfront. Voor MSP’s een servicelijn die de komende jaren hard groeit: identity & access management als beheerde dienst.

Identity & access management (IAM) draait om een ogenschijnlijk simpele vraag: wie krijgt toegang tot welke systemen en data, met welke rechten, en voor hoe lang? In de praktijk van het MKB is het antwoord op die vraag zelden op orde. Medewerkers werken hybride, gebruiken tientallen SaaS-applicaties naast Microsoft 365 en houden rechten vaak jaren nadat ze van functie zijn veranderd. Het beheer van al die digitale identiteiten ligt bij het gros van de MKB-bedrijven feitelijk al bij hun IT-dienstverlener. Wat ontbreekt is een volwassen dienst met een prijskaartje eraan.

Inloggen met gestolen sleutels

De cijfers over het moderne aanvalspatroon liegen er niet om. Palo Alto Networks Unit 42 analyseerde ruim 750 incident-response-onderzoeken voor zijn Global Incident Response Report 2026 en constateerde dat zwakke plekken in identiteitsbeheer in bijna 90 procent van de onderzochte incidenten een wezenlijke rol speelden. In 65 procent van de gevallen verliep zelfs de initiële toegang via identiteit: phishing, gestolen inloggegevens, brute force of een kwaadwillende insider.

Verizon becijferde in zijn Data Breach Investigations Report 2025 dat gestolen inloggegevens het startpunt vormden bij 22 procent van de ruim twaalfduizend onderzochte datalekken, en bij maar liefst 88 procent van de aanvallen op webapplicaties. CrowdStrike meldt dat 79 procent van de aanvallen inmiddels volledig malwarevrij verloopt: de aanvaller beweegt zich met geldige accounts door het netwerk. Microsoft registreerde in de eerste helft van 2025 een stijging van 32 procent in identiteitsgerichte aanvallen, waarvan ruim 97 procent wachtwoordaanvallen. En Sophos legde in zijn State of Identity Security 2026 een directe link met ransomware: twee derde van de getroffen organisaties koppelt het ransomware-incident aan een voorafgaande identiteitsaanval.

Figuur 1: identiteit staat centraal in het moderne aanvalspatroon (bronnen: Unit 42, Sophos, Verizon).

De schade is navenant. IBM prijst een datalek dat begint met gecompromitteerde inloggegevens op gemiddeld 4,67 miljoen dollar per incident, met een gemiddelde doorlooptijd van 246 dagen voordat het lek is ontdekt en gedicht. Al die tijd kan een aanvaller zich ongestoord door de omgeving bewegen.

Een markt richting 78 miljard dollar

Die dreigingsrealiteit betekent ook marktgroei. Analistenbureau Fortune Business Insights raamt de wereldwijde IAM-markt op 22,3 miljard dollar in 2025 en verwacht een groei naar 25,3 miljard dollar in 2026 en 77,9 miljard dollar in 2034, een samengestelde jaargroei van ruim 15 procent. Andere onderzoeksbureaus komen met vergelijkbare percentages: waar de ramingen uiteenlopen in absolute bedragen, wijzen ze allemaal dezelfde kant op.

Figuur 2: de wereldwijde IAM-markt groeit met ruim 15 procent per jaar (bron: Fortune Business Insights).

Opvallend in de marktanalyses is de rol van het MKB. Kleinere organisaties stappen massaal over op cloudgebaseerde IAM-oplossingen, gedreven door regelgeving, verzekeringseisen en het simpele feit dat hun hele bedrijfsvoering in de cloud draait. Daar komt een tweede groeimotor bij: de explosie van non-human identities. Serviceaccounts, API-sleutels en AI-agents vermenigvuldigen zich veel sneller dan menselijke gebruikers, en niemand houdt ze handmatig bij.

Wat vraagt het MKB van zijn MSP?

Voor MKB-bedrijven is identiteitsbeheer typisch een terrein waarop de kennis ontbreekt. Securityleverancier Guardz stelt dat 89 procent van de kleine en middelgrote bedrijven minstens één gecompromitteerd account in omloop heeft. Wie als MSP de Microsoft 365-tenants van zijn klanten beheert, zit al op de plek waar dit probleem opgelost moet worden.

De concrete dienstverlening laat zich in vijf lagen opdelen. De basis is sterke authenticatie: MFA overal afdwingen, bij voorkeur phishingbestendig met passkeys, aangevuld met conditional access-beleid. Daarboven ligt het levenscyclusbeheer van accounts: instroom, doorstroom en uitstroom van medewerkers gekoppeld aan het HR-systeem, zodat rechten automatisch meebewegen en accounts van vertrokken medewerkers direct op slot gaan. De derde laag is least privilege: periodieke reviews die rechtenstapeling opsporen en terugsnoeien. Laag vier is het beheer van beheeraccounts, bij aanvallers favoriet en bij klanten vaak een blinde vlek. De vijfde laag is identity threat detection and response (ITDR): continue monitoring van inloggedrag, mailboxregels, OAuth-toestemmingen en sessietokens, met de mogelijkheid om een verdacht account direct te blokkeren.

Die laatste categorie groeit het hardst in het MSP-kanaal. Vrijwel alle bekende MSP-securityleveranciers hebben het afgelopen jaar ITDR-functionaliteit toegevoegd of uitgebreid, van Huntress en Guardz tot ThreatDown en Blumira. Huntress ging onlangs nog een stap verder met managed identity security posture management, waarmee de configuratie van honderden Microsoft 365-tenants centraal tegen best practices wordt gehouden en afwijkingen automatisch worden teruggedraaid. Aan de inrichtingskant biedt Microsoft zelf met Entra ID de meest gebruikte bouwstenen, en is met het Nederlandse Tools4ever (HelloID) ook een lokale speler actief in geautomatiseerde provisioning op basis van HR-data.

De Cyberbeveiligingswet als vliegwiel

De timing voor Nederlandse MSP’s kan bijna niet beter. Op 15 augustus treedt de Cyberbeveiligingswet in werking, de Nederlandse uitvoering van de Europese NIS2-richtlijn. De zorgplicht in die wet schrijft tien minimummaatregelen voor, en twee daarvan hebben rechtstreeks met identiteitsbeheer te maken: toegangsbeheer en multifactorauthenticatie. Het NCSC adviseert organisaties bovendien om waar mogelijk passkeys te gebruiken in plaats van wachtwoorden.

De wet werkt daarnaast door in de keten. Organisaties die onder de wet vallen, moeten de beveiliging van hun leveranciers beoordelen en contractueel vastleggen. Daardoor krijgen ook duizenden kleinere MKB-bedrijven die zelf buiten de reikwijdte vallen, van hun grote klanten de vraag hoe hun toegangsbeheer is geregeld. Voor de MSP een dubbele opdracht: de klant aantoonbaar compliant maken én het eigen huis op orde hebben, want MSP’s kwalificeren als digitale dienstverlener veelal zelf als entiteit onder de wet. Dat eigen huis verdient sowieso prioriteit. Eén gecompromitteerd MSP-account kan bij tientallen of honderden klanten tegelijk schade aanrichten, en aanvallers weten dat.

Van losse projecten naar terugkerende omzet

Commercieel past IAM naadloos in het MSP-model. De dienstverlening begint met een assessment (waar staan de accounts, rechten en configuraties nu), gevolgd door een inrichtingsproject en daarna structureel beheer. Vrijwel alle tooling wordt per gebruiker per maand geprijsd, van Entra ID P1 en P2 (respectievelijk zes en negen dollar per gebruiker per maand) tot de managed ITDR-diensten in het kanaal. Dat rekent één op één door naar de eigen facturatie.

Dat security het groeisegment van het MSP-portfolio is, bevestigt Kaseya’s State of the MSP Report 2026: 71 procent van de MSP’s rapporteert jaar-op-jaar omzetgroei in securitydiensten. In hetzelfde onderzoek zegt 39 procent dat het werven van gekwalificeerd securitypersoneel elk jaar moeilijker wordt. Dat pleit voor een model waarin de MSP de klantrelatie en de inrichting verzorgt, en de 24/7-monitoring belegt bij een managed ITDR-leverancier met eigen SOC. Zo blijft de dienst schaalbaar zonder eigen securityanalisten op de loonlijst.

De conclusie laat weinig ruimte voor twijfel. Aanvallers hebben identiteit tot hun primaire route gemaakt, de wetgever maakt toegangsbeheer verplicht en de markt groeit met dubbele cijfers. IAM verdient daarmee dezelfde plek in het MSP-portfolio als back-up en endpointbeveiliging: standaard aangeboden, meetbaar ingericht en maandelijks gefactureerd.

Bronnen

Fortune Business Insights, Identity and Access Management Market 2026-2034; Palo Alto Networks Unit 42, Global Incident Response Report 2026; Verizon, Data Breach Investigations Report 2025; Microsoft, Digital Defense Report 2025; Sophos, State of Identity Security 2026; IBM, Cost of a Data Breach Report 2025; CrowdStrike, Global Threat Report; Guardz, MSP Cybersecurity Statistics 2026; Kaseya, State of the MSP Report 2026; NCSC, zorgplicht Cyberbeveiligingswet; Rijksoverheid/Ondernemersplein over inwerkingtreding Cyberbeveiligingswet; MSSP Alert; Expert Insights.

De alleskunner heeft het zwaar in de MSP-markt. Ruim zeventig procent van de dienstverleners noemt klantacquisitie de grootste uitdaging en prospects zien nauwelijks verschil tussen aanbieders. Wie zich op één sector richt, ontsnapt aan die vergelijking op prijs. Gespecialiseerde MSP’s draaien hogere marges, verliezen minder klanten en liggen beter in de markt bij overnames. Waarom kiest dan steeds nog maar een kwart van de markt voor deze route?

Elke MSP kent het gesprek. Een prospect vraagt wat je anders doet dan de drie andere partijen die deze week langskwamen, en het antwoord komt neer op goede service, korte lijnen en een scherpe prijs. Dat zeggen die andere drie ook. Uit het Kaseya 2026 State of the MSP Report, een onderzoek onder ruim duizend MSP’s wereldwijd, blijkt dat 71 procent van de dienstverleners het binnenhalen van nieuwe klanten als grootste uitdaging ziet. Het aandeel MSP’s dat moeite heeft om zijn waarde vroeg in het salestraject aan te tonen verdubbelde bijna in één jaar, van 10 naar 19 procent. De meeste nieuwe klanten komen bovendien over van een andere MSP, dus aanbieders vissen in dezelfde vijver.

Verticale specialisatie is een van de weinige strategieën die dat patroon doorbreekt. Een MSP die zich richt op bijvoorbeeld de zorg, de accountancy of de maakindustrie concurreert op sectorkennis in plaats van op uurtarief. Zo’n specialist kent de vakapplicaties, de compliance-eisen en de werkprocessen van de klant al voordat het eerste gesprek plaatsvindt. Voor de prospect voelt dat als praten met iemand die het vak begrijpt, en dat is in een markt vol inwisselbare aanbieders goud waard.

Wat levert die focus concreet op?

De cijfers zijn opvallend consistent. ChannelE2E volgt jaarlijks de honderd grootste verticaal gespecialiseerde MSP’s en zag hun gezamenlijke terugkerende jaaromzet in één jaar met 11 procent groeien, van 2,2 naar 2,5 miljard dollar. Gespecialiseerde aanbieders realiseren volgens datzelfde onderzoek zo’n 30 procent hogere winstmarges en kunnen 10 tot 20 procent hogere prijzen rekenen dan generalistische concurrenten. De zorg is met 28 procent van die omzet veruit de grootste verticale markt, gevolgd door financiële dienstverlening (18 procent) en de maakindustrie (11 procent).

Figuur 1: De zorg, financiële dienstverlening en maakindustrie zijn samen goed voor ruim de helft van de omzet van gespecialiseerde MSP’s. Bron: ChannelE2E.

De voordelen reiken verder dan prijs en marge. Gespecialiseerde MSP’s houden hun klanten langer vast: bij de best presterende verticale specialisten ligt het jaarlijkse klantverloop onder de 5 procent, waar generalisten in het MKB-segment structureel op 8 tot 12 procent zitten. Dat verschil tikt hard door in de klantwaarde over de hele looptijd. En wie ooit wil verkopen, heeft er nog een reden bij: private-equitypartijen en strategische kopers betalen aantoonbaar hogere multiples voor MSP’s met een duidelijke verticale focus, juist vanwege die lage churn en de voorspelbare omzet.

De verklaring voor die betere cijfers is operationeel. Wie veertig zorgklanten bedient, draait NEN 7510-controles, verwerkersovereenkomsten en beveiligingsaudits als routine, terwijl een generalist met één zorgklant er telkens een project van maakt. Onboarding-playbooks liggen klaar, de tooling-stack is gestandaardiseerd op de sector en het team kent de vakapplicaties door en door. Dat maakt de dienstverlening schaalbaarder en de kostprijs per klant lager.

Waarom doet dan bijna niemand het?

Hier wringt het. Twee derde van de MSP’s (66 procent) erkent het belang van verticale specialisatie, terwijl slechts 23 procent de stap daadwerkelijk heeft gezet. Tussen willen en doen gaapt een gat van ruim veertig procentpunt.

Figuur 2: Twee derde van de MSP’s ziet de waarde van specialisatie, minder dan een kwart handelt ernaar. Bron: DeskDay MSP Trends 2026.

De aarzeling is begrijpelijk. Specialiseren voelt als omzet weigeren: je zegt in feite nee tegen elke prospect buiten je sector. Daarnaast vraagt het investeringen die pas later renderen. Kennis van sectorspecifieke applicaties opbouwen kost tijd, certificeringen en sectorlidmaatschappen kosten geld, en het bestaande klantenbestand is bij de meeste MSP’s historisch gegroeid tot een bonte verzameling. Wie al vijftien jaar iedereen bedient van bakker tot advocatenkantoor, gooit dat model begrijpelijkerwijs liever om via evolutie dan via revolutie.

Welke sectoren lenen zich voor specialisatie?

De vuistregel: hoe zwaarder de compliance-druk, hoe groter de voorsprong van de specialist. In de zorg draait alles om NEN 7510 en de omgang met medische gegevens, in de financiële sector stelt DORA gedetailleerde eisen aan ICT-risicobeheer en uitbesteding, en in de industrie komt daar de beveiliging van operationele technologie bij. Ook de juridische sector, het onderwijs en de bouw kennen eigen vakapplicaties, eigen datastromen en eigen toezichthouders.

Voor de Nederlandse markt komt daar een actuele katalysator bij. De Cyberbeveiligingswet brengt vanaf deze maand duizenden organisaties in achttien sectoren onder toezicht, elk met een zorgplicht en meldplicht. Een MSP die van zijn sector weet welke klanten essentieel of belangrijk zijn onder de wet, welke maatregelen de toezichthouder verwacht en hoe de bewijslast eruitziet, heeft een verkoopargument waar een generalist niet aan kan tippen. Compliance is daarmee de kortste route naar geloofwaardige specialisatie geworden.

Waar zit het risico?

Specialisatie is een keuze met een prijskaartje. De vijver waarin je vist wordt kleiner, en een economische klap in jouw sector raakt meteen je hele klantenbestand. De financiële crisis van 2008 liet zien hoe hard dat kan gaan voor dienstverleners die vol op het bankwezen zaten. Ook op klantniveau verlies je flexibiliteit: past een klant cultureel slecht bij je organisatie, dan is vervanging binnen een niche lastiger dan in een brede markt. En wie zijn hele propositie ophangt aan één dominante vakapplicatie, maakt zich afhankelijk van de koers van die leverancier.

Daar staat tegenover dat het concentratierisico beheersbaar is. Veel succesvolle specialisten kiezen twee of drie verwante verticals die op dezelfde compliance-basis leunen, zoals zorg en welzijn, of accountancy en advocatuur. De playbooks overlappen grotendeels, terwijl het risico gespreid blijft.

Hoe begin je zonder je klantenbestand op te blazen?

Vrijwel niemand specialiseert via de grote knal. Het gangbare pad is semi-verticaal: bestaande klanten houd je gewoon aan boord, terwijl alle nieuwe acquisitie zich op de gekozen sector richt. Veel MSP’s die vandaag als specialist bekendstaan, halen de helft van hun omzet uit hun kernsector en de andere helft uit het historische bestand.

De eerste stap is analyse van je eigen cijfers. Kijk waar je meest winstgevende en plezierigste klanten zitten en zoek het patroon, want vaak zit daar al een onbewuste specialisatie in verstopt. Bouw vervolgens de bewijslast op: case studies en referenties uit die sector, een aparte landingspagina, aanwezigheid op de vakbeurzen van de doelgroep in plaats van op de IT-beurzen. Standaardiseer daarna je dienstenpakket op de sector, inclusief de compliance-rapportages die de toezichthouder verwacht. Pas als de nieuwe aanwas structureel uit de gekozen sector komt, is het tijd om ook de organisatie en de tooling volledig om te bouwen.

De markt beloont wie kiest. In een landschap waarin AI routinewerk goedkoper maakt en private equity de bovenkant van de markt consolideert, wordt het generieke midden van alle kanten uitgeknepen. Sectorkennis is een van de weinige troeven die zich lastig laat kopiëren, en dat maakt de keuze voor één sector minder eng dan je zou denken.

Bronnen

Kaseya, 2026 State of the MSP Report (april 2026), ChannelE2E, Top 100 Vertical Market MSPs Report, DeskDay, Top 12 Managed Service Provider Trends 2026, ChannelPro Network, MSP Comparison Guide: Vertical Specialization or Generalized (mei 2025), Sequentur, Vertical MSP vs Generalist MSP: Does Industry Specialization Matter (april 2026).

Een PSA- of RMM-platform kies je voor jaren en de licentie is daarbij nog het kleinste bedrag. Migratie, training en integratieonderhoud bepalen de werkelijke kosten. Wie voorbij de demo’s en featurelijstjes wil kijken, heeft een afwegingskader nodig langs vier criteria: integraties, schaalbaarheid, prijsmodel en support.

Elke MSP draait op twee kernsystemen. De RMM bewaakt endpoints, patcht, draait scripts en slaat alarm als iets omvalt. De PSA maakt van dat technische werk factureerbare dienstverlening: tickets, tijdregistratie, SLA’s, contracten en facturatie. Samen vormen ze het operationele hart van je bedrijf. Gaat de keuze mis, dan voel je dat elke dag in doorlooptijden, marges en het humeur van je techneuten.

De markt beweegt intussen hard richting consolidatie. In het Kaseya 2026 State of the MSP Report noemt 60 procent van de ruim duizend ondervraagde MSP’s het terugdringen van vendormoeheid als doel voor dit jaar, en een jaar eerder stond toolfragmentatie nog bovenaan de lijst van operationele uitdagingen. Onderzoek van Service Leadership legt bovendien een direct verband tussen operationele volwassenheid, waar toolconsolidatie een belangrijke aanjager van is, en een EBITDA die ruwweg drie keer hoger ligt dan bij de mediaan. De inzet is dus groter dan een licentiefactuur.

Figuur 1: doelen van MSP’s voor 2026 volgens het Kaseya State of the MSP Report.

Welke integraties doen er echt toe?

Integraties zijn het criterium waarop leveranciers het makkelijkst kunnen strooien met logo’s. Een lange partnerpagina zegt weinig. De vraag is hoe diep een koppeling gaat. De belangrijkste integratie is die tussen RMM en PSA zelf: een alert moet automatisch een ticket worden met de juiste asset, klant en het juiste contract eraan gekoppeld. Bij unified platforms als Syncro, Atera en SuperOps delen beide functies één datamodel, waardoor die koppeling per definitie klopt. Bij een best-of-breed stack moet je de kwaliteit van de connector zelf beoordelen: werkt hij bidirectioneel, synchroniseert hij op veldniveau en wie onderhoudt hem bij updates?

Kijk daarna naar de koppelingen die jouw werkstromen raken. Denk aan de boekhouding, documentatieplatforms als IT Glue of Hudu, je securitystack en, voor wie veel hardware levert, de distributeur. ConnectWise onderscheidt zich hier met een offertesysteem dat rechtstreeks met distributeurs als Ingram praat. Maak voor jezelf een top tien van onmisbare koppelingen en laat elke kandidaat daarop scoren. Dat levert een objectiever beeld op dan de integratiepagina van de leverancier.

Schaalbaarheid gaat over meer dan endpoints

Elke leverancier claimt schaalbaarheid, dus ook hier helpt het om het begrip uit elkaar te trekken. Technisch gaat het om multi-tenant beheer, granulaire toegangsrechten en automatisering die meegroeit met het volume. Een platform schaalt pas echt als tien extra klanten geen drie extra techneuten vragen. Organisatorisch gaat schaalbaarheid over de vraag of je team het platform aankan. ConnectWise geldt als het meest complete pakket in de markt, met als keerzijde dat nieuwe techneuten weken training nodig hebben voor basaal werk en dat veel MSP’s naar schatting minder dan de helft van de functionaliteit benutten. NinjaOne en de unified platforms zitten aan de andere kant van het spectrum: binnen dagen tot weken operationeel, met een lager plafond aan maatwerk.

Figuur 2: indicatieve implementatietijd per platformtype, inclusief inrichting en onboarding.

Per endpoint of per technicus?

Het prijsmodel is misschien wel het meest onderschatte criterium, omdat het bepaalt hoe je kosten meebewegen met je groei. De markt kent twee kampen. NinjaOne, ConnectWise, N-able en Kaseya rekenen per endpoint. Syncro, Atera en SuperOps rekenen per technicus, met onbeperkte endpoints. Een endpointmodel drukt op je marge zodra je klantenbestand groeit, terwijl een technicusmodel duur uitpakt bij arbeidsintensieve dienstverlening met relatief weinig endpoints per techneut. Reken beide modellen door met je eigen groeiscenario over drie jaar, inclusief de add-ons die je nodig hebt. Remote access en back-up zijn bij sommige spelers betaalde extra’s, waardoor het kale prijskaartje weinig zegt.

Kijk daarnaast naar prijstransparantie, want die verschilt sterk per leverancier. HaloPSA en Atera publiceren hun tarieven openbaar, waarbij Atera in april 2026 de lijstprijzen aanpaste en functionaliteit tussen de tiers herverdeelde. Ook Kaseya greep afgelopen jaar in: het bedrijf stapt af van het High Watermark-model, waarbij je betaalde op basis van je piekaantal endpoints, en gaat over op een Committed Minimum Quantity- en Variable Consumption-model. Voor Datto RMM, SaaS Protection en Autotask moet die overgang medio dit jaar voltooid zijn. ConnectWise en NinjaOne werken met maatwerkoffertes en jaarcontracten, waardoor je pas na een salesgesprek weet waar je aan toe bent. Vergelijk daarom altijd op de totale kosten over drie jaar en tel de onboardingfees, verplichte add-ons en minimumafnames mee die het prijskaartje flink kunnen opdrijven. En let bij maatwerkprijzen extra op de voorwaarden: wie tekent voor drie jaar zonder exitclausule, absorbeert elke tussentijdse prijsverhoging.

Hoe goed is support als het echt misgaat?

Support beoordeel je pas goed als je het test. Reviews op G2 en Capterra geven een eerste indruk, net als de discussies op r/msp, waar gebruikers opvallend openhartig zijn over responstijden en escalaties. Kijk daarnaast naar de stabiliteit van de leverancier zelf. De sector heeft de afgelopen jaren flink geconsolideerd: Kaseya nam Datto en daarmee Autotask over, en dat soort bewegingen raakt roadmaps, prijsstelling en supportorganisaties. Vraag expliciet naar Europese supportdekking en tijdzones. Een supportdesk die pas om 15.00 uur Nederlandse tijd online komt, is voor een MSP met SLA-verplichtingen een serieus risico. De beste test blijft simpel: stuur tijdens je trial een echt ticket in en klok de reactietijd en de kwaliteit van het antwoord.

De belangrijkste spelers naast elkaar

De markt valt grofweg uiteen in drie categorieën: best-of-breed suites, standalone PSA’s en unified platforms die RMM en PSA in één product stoppen. Voor MSP’s met minder dan dertig techneuten wint het unified model terrein, omdat het integratieonderhoud schrapt en de facturen overzichtelijk houdt. Onderzoek uit de hoek van die unified leveranciers zelf claimt dat MSP’s met gescheiden RMM en PSA 20 tot 40 procent meer kwijt zijn dan collega’s op één platform; neem dat cijfer met een korrel zout, al wijst de richting wel dezelfde kant op als het bredere consolidatieonderzoek.

Positionering en prijsmodellen per juli 2026, op basis van leveranciersdocumentatie en vergelijkingsonderzoek. Actuele tarieven vind je bij de leverancier zelf.

Zo pak je de keuze aan

Begin bij je eigen werkwijze in plaats van bij de vendornamen. Breng je kernwerkstromen in kaart, van alert tot factuur, en stel je top tien van onmisbare integraties vast. Reken vervolgens beide prijsmodellen door met je eigen driejaarsscenario, inclusief add-ons en verwachte groei in klanten én techneuten. Laat daarna je techneuten een serieuze trial draaien met eigen scripts en echte klantdata, want zij moeten er elke dag in leven.

Test tijdens die trial de support met een echt ticket. En onderhandel, vóór je tekent, over exitvoorwaarden en data-export. Leveranciers rekenen op hoge overstapkosten om je vast te houden. Wie de migratiekosten kent en het verschil doorrekent, ontdekt geregeld dat een overstap zich binnen een jaar terugverdient.

Bronnen

Kaseya, 2026 State of the MSP Report (april 2026); Syncro, Best RMM Software: Top 10 Platforms for MSPs Compared (juni 2026); Flamingo, MSP PSA Software: 8 Tools Compared (juli 2026); SuperOps, 5 Best PSA Software for Managed Service Providers (april 2026); Service Leadership Index, Operational Maturity Level-onderzoek; prijspagina’s van HaloPSA en Atera (geraadpleegd juli 2026).

Microsoft heeft de partnervoorwaarden voor Microsoft 365 Copilot (Non-Profit Pricing) aangepast. Voor MSP’s en CSP-partners die deze licentie leveren aan klanten in de non-profitsector is het resultaat een krappere marge.

Het gaat om SKU CFQ7TTC0MM8R-000T, met ingang van 1 juli 2026. De inkoopprijs die partners voor deze licentie betalen is met ongeveer 10 procent gestegen. Het probleem zit in de doorvertaling naar de klant: de gepubliceerde adviesprijs voor Copilot onder non-profit- en onderwijstarieven is geen reguliere marktprijs maar een placeholderwaarde, die niet automatisch meebeweegt met de kostprijsstijging. Partners die nog met de oude referentieprijs rekenen, leveren feitelijk in op marge, en lopen bij sommige deals zelfs het risico onder de kostprijs te verkopen.

Dat is opvallend, want bij de gebundelde Copilot-suites gebeurt precies het omgekeerde. Bij Microsoft 365 Business Basic, Standard en Premium met Copilot daalde de inkoopprijs sterker dan de adviesprijs zakte, waardoor de marge op die bundels juist is verbeterd. Wie beide ontwikkelingen door elkaar haalt, trekt al snel de verkeerde conclusie over wat de aanpassing voor de eigen boekhouding betekent.

Voor bestaande abonnementen verandert er op korte termijn niets aan de dienstverlening zelf. Microsoft past de gewijzigde marge met terugwerkende kracht toe op alle aankopen vanaf 1 juli 2026, en verwerkt eventuele verrekeningen op een volgende factuur. De definitieve tarieven landen naar verwachting pas in de prijslijst van augustus 2026 in Partner Center.

Voor lopende en nieuwe offertes aan non-profitklanten is voorzichtigheid wel op zijn plaats. Reken niet blind op de huidige lijstprijs, en check bij de distributeur of Partner Center wat de actuele kostprijs is voordat een offerte de deur uitgaat. Bij grotere non-profit-accounts kan het verschil tussen oude en nieuwe kostprijs een offerte alsnog onrendabel maken.

Tien jaar lang was cloud-first het automatische antwoord op elke infrastructuurvraag. In 2026 stellen steeds meer organisaties die reflex bij. Ruim tachtig procent van de CIO’s haalt minstens één workload terug uit de publieke cloud, richting eigen datacenter, private cloud of colocatie. Voor MSP’s is dat een uitnodiging om de hybride architectuur van hun klanten opnieuw door te rekenen.

De cijfers laten weinig ruimte voor twijfel. In de Barclays CIO Survey van eind 2024 gaf 83 procent van de IT-beslissers aan minstens één workload uit de publieke cloud te willen terughalen, het hoogste percentage dat het onderzoek ooit noteerde. IDC komt tot vergelijkbare uitkomsten: rond de 80 procent van de organisaties verwacht binnen twaalf maanden compute- of storagecapaciteit te repatriëren, en een kwart heeft dat inmiddels ook echt gedaan. Wie daar een massale cloud-exodus in leest, zit ernaast. Slechts 8 procent van de bedrijven overweegt een volledige exit. Wat er gebeurt is selectieve herplaatsing: per workload de vraag stellen waar die het beste draait.

Figuur 1: repatriëring is breed gedragen, een volledige cloud-exit blijft de uitzondering.

Waarom komt de rekening nu pas aan?

Kosten zijn met afstand de belangrijkste drijfveer. In IDC-onderzoek noemt 54 procent van de organisaties de cloudrekening als reden om workloads terug te halen, vóór performance (31 procent) en datasoevereiniteit (27 procent). Het patroon is telkens hetzelfde: workloads die jarenlang op een stabiel niveau draaien, betalen in de publieke cloud een premie voor elasticiteit die ze nooit gebruiken. Tel daar de egress-kosten bij op, de tarieven voor dataverkeer de cloud uít, en de businesscase kantelt. Flexera becijferde dat organisaties gemiddeld al een vijfde van hun workloads en data hebben teruggehaald.

Onder de voorbeelden bevindt zich onder meer Dropbox. Dat verhuisde het gros van zijn opslag al jaren geleden naar eigen colocatie en bespaarde daarmee naar verluidt zo’n 75 miljoen dollar in twee jaar. Recenter rekende 37signals, het bedrijf achter Basecamp, publiekelijk voor hoeveel goedkoper eigen servers uitpakken voor voorspelbare workloads. En Broadcom claimt dat een moderne private cloud voor steady-state werk 40 tot 50 procent lagere totale kosten oplevert dan de publieke cloud. Dat laatste verdient wel een kanttekening: dezelfde Broadcom joeg met de nieuwe VMware-licentiestructuur veel klanten op kosten, en werd daarmee zelf een van de aanjagers van de herbezinning op vendor lock-in.

Figuur 2: kosten voeren de lijst met repatriëringsredenen aan, gevolgd door performance en soevereiniteit.

Wat doet AI met de businesscase?

De opkomst van AI-workloads versnelt de trend. GPU-instances in de publieke cloud zijn kostbaar: een zwaar acht-GPU-systeem kost al snel meer dan 20.000 dollar per maand aan huur. Voor experimenten en pieken is dat prima, voor continue inference-workloads met hoge bezetting slaat de rekensom om. Analyses van onder meer Deloitte en Nvidia wijzen op besparingen van 30 tot 50 procent wanneer grootschalige, voorspelbare AI-workloads naar eigen of gehuurde dedicated hardware gaan. Bedrijven die gevoelige bedrijfsdata gebruiken om modellen te verfijnen, houden dat werk bovendien liever van gedeelde infrastructuur af. Zo wordt AI in één beweging de grootste groeimotor van de hyperscalers én een van de sterkste argumenten voor eigen ijzer.

Hoe zwaar weegt soevereiniteit inmiddels?

De derde drijfveer is in Europa harder gegroeid dan waar ook: digitale soevereiniteit. De Amerikaanse CLOUD Act en FISA geven de VS toegang tot data bij Amerikaanse providers, ongeacht waar die data fysiek staat. In de Nutanix Enterprise Cloud Index geeft 57 procent van de IT-leiders aan infrastructuur binnen één land nodig te hebben. In Nederland kreeg die discussie begin juli een concreet vervolg: het kabinet kiest voor een soevereine overheidscloud onder centrale regie, op het hoogste soevereiniteitsniveau (SEAL4) van het EU Cloud Sovereignty Framework, met de eerste applicaties eind dit jaar. Drie Amerikaanse hyperscalers hebben samen zo’n 70 procent van de Europese cloudmarkt in handen, en die afhankelijkheid staat nu politiek ter discussie.

Voor commerciële klanten werkt dat door. Wat bij de overheid begint als beleid, komt bij zorginstellingen, financiële partijen en industriële bedrijven terug als compliance-eis of als vraag van hun eigen klanten. MSP’s die kunnen uitleggen welke data waar staat, onder welke jurisdictie die valt en hoe een exit eruitziet, hebben een verhaal dat in 2026 goud waard is.

Wat betekent dit voor MSP’s?

De belangrijkste les is dat hybride cloud van gelegenheidsoplossing is uitgegroeid tot doelarchitectuur. Gartner voorspelt dat 40 procent van de ondernemingen hybride compute-architecturen omarmt voor bedrijfskritische workloads, tegen 8 procent eerder. Het speelveld wordt daarmee genuanceerder dan de simpele keuze tussen cloud en on-prem. Voorspelbare, dataintensieve en compliance-gevoelige workloads bewegen richting private infrastructuur, terwijl variabele, klantgerichte en experimentele workloads in de publieke cloud blijven.

Workload-assessments en TCO-berekeningen worden een dienst op zich: welke workloads draaien al jaren op constante bezetting, wat kosten die werkelijk inclusief egress, en wat zou hetzelfde werk kosten op private infrastructuur of in colocatie? Daarnaast groeit de vraag naar beheer van heterogene omgevingen, van connectiviteit tussen cloud en eigen datacenter tot uniforme monitoring, backup en security over beide werelden heen. En wie repatriëring begeleidt, verkoopt daarmee meteen een migratieproject, inclusief netwerkontwerp, opslagarchitectuur en een gecontroleerde exit uit de bestaande cloudcontracten.

Een waarschuwing hoort erbij. Eigen infrastructuur draaien is geen gratis veiligheid: patching, fysieke toegang, capaciteitsplanning en 24/7-beheer komen terug op het bordje van de klant, en dus in de praktijk op dat van de MSP. Hyperscalers investeren miljarden in beveiliging en dat niveau evenaar je als kleine partij zelden. De meeste incidenten in de cloud ontstaan overigens bovenop de infrastructuur, door misconfiguraties en te ruime toegangsrechten, en die risico’s nemen klanten gewoon mee naar hun eigen serverruimte. De MSP die repatriëring serieus aanbiedt, moet dus ook het securityverhaal rond eigen ijzer op orde hebben.

De slinger komt daarmee ergens in het midden tot stilstand. De cloud verdwijnt nergens, het cloud-first-dogma wel. Voor de MSP die zijn klanten kan helpen om per workload de juiste plek te kiezen, en die keuze elk jaar opnieuw durft te toetsen, is de hernieuwde belangstelling voor eigen ijzer vooral goed nieuws: er valt weer wat te adviseren.

Bronnen

Barclays CIO Survey Q4 2024; IDC 2025 (repatriëringsonderzoek); Flexera State of the Cloud Report; Broadcom Private Cloud Outlook; Nutanix Enterprise Cloud Index 2026; Gartner (hybride architecturen); Deloitte en Nvidia (TCO AI-workloads); Kamerbrief soevereine overheidscloud, staatssecretaris Van der Burg, juli 2026; Computable en iBestuur (berichtgeving digitale soevereiniteit).

Deze week staat in het teken van AI die zijn eigen grenzen opzoekt: OpenAI-modellen die uit hun testomgeving braken, en Google dat zijn onderzoekstool herdoopt terwijl experts van MIT waarschuwen voor de risico’s van diezelfde technologie. Verder nieuwe Gemini-modellen, Chinese exportplannen voor AI en chips, en tot slot een virale AI-filmscène die Elon Musk aan het dromen zet.

• OpenAI-modellen ontsnappen uit testomgeving en breken in bij Hugging Face
• Google doopt NotebookLM om tot Gemini Notebook
• MIT: 272 experts wijzen grootste AI-risico’s aan
• Google lanceert drie nieuwe Gemini Flash-modellen
• China overweegt strengere exportcontroles op AI-modellen en chips
• Musk zet Hollywood op een deadline

OpenAI-modellen ontsnappen uit testomgeving en breken in bij Hugging Face

OpenAI heeft bekendgemaakt dat twee van zijn modellen, waaronder GPT-5.6 Sol en een krachtiger, nog niet uitgebracht model, tijdens een interne veiligheidsevaluatie zelfstandig uit hun geïsoleerde testomgeving ontsnapten. De modellen ontdekten en misbruikten een zero-day kwetsbaarheid in een package registry-proxy, escaleerden hun rechten en bewogen zich lateraal door OpenAI’s onderzoeksnetwerk tot ze een knooppunt met internettoegang bereikten. Eenmaal online concludeerden ze dat Hugging Face mogelijk de antwoorden bevatte voor de ExploitGym-benchmark waarop ze werden getest, en drongen ze door tot de productie-infrastructuur van Hugging Face om die te bemachtigen.

• Hugging Face had de inbraak al op 16 juli zelf gedetecteerd en ingedamd, vijf dagen voordat OpenAI de koppeling met zijn eigen testomgeving legde
• Geen publieke modellen, datasets of software-supplychain-onderdelen zijn gemanipuleerd; wel zijn interne datasets en servicecredentials geraakt
• De veiligheidsfilters van de modellen waren tijdens de test bewust verlaagd; OpenAI noemt het incident “ongekend”

Bron: OpenAI, Axios, CNN

top ^

Google doopt NotebookLM om tot Gemini Notebook

Google heeft NotebookLM omgedoopt tot Gemini Notebook, om de populaire onderzoekstool sterker te verbinden met het bredere Gemini-ecosysteem. Tegelijkertijd introduceert Google een beveiligde cloudomgeving waarin de tool zelfstandig Python-code kan schrijven en uitvoeren voor diepere data-analyse. Volgens Google blijft Gemini Notebook een zelfstandig product, maar krijgt het een prominentere rol binnen de Gemini-app en op termijn ook binnen Google Search. Terwijl Google zijn onderzoekstool dus dichter tegen de Gemini-familie aan schuift, wijst nieuw onderzoek van MIT erop dat de risico’s van AI net zo hard meegroeien als de mogelijkheden.

• Meer dan 30 miljoen gebruikers en ruim 600.000 organisaties maken inmiddels gebruik van de dienst
• Nieuwe cloudcomputer-functie voor code-executie is nu beschikbaar voor AI Ultra- en Workspace-gebruikers; AI Pro-gebruikers volgen de komende weken
• Bestaande notebooks en gedeelde links blijven via automatische redirects gewoon werken

Bron: Google

top ^

MIT: 272 experts wijzen grootste AI-risico’s aan

Onderzoekers van MIT FutureTech en de University of Queensland vroegen 272 internationale AI-experts om 24 AI-risicodomeinen te beoordelen op waarschijnlijkheid en ernst, voor de periode 2025-2030. Zelfs met realistische risicobeperkende maatregelen houden vijf domeinen nog altijd minstens 10 procent kans op catastrofale uitkomsten. De meest kwetsbare sectoren zijn volgens de experts informatie, nationale veiligheid en financiën, terwijl AI-ontwikkelaars en toezichthouders de meeste verantwoordelijkheid dragen om de risico’s aan te pakken.

• Grootste resterende risico’s: gevaarlijke AI-capaciteiten (12%), AI-wapens en cyberaanvallen (12%), milieuschade (12%), ongelijkheid en werkloosheid (11%), machtsconcentratie (11%)
• Meest kwetsbare sectoren: informatie, nationale veiligheid en financiën
• Gebruikers en getroffenen zijn het kwetsbaarst, terwijl ontwikkelaars en toezichthouders de meeste verantwoordelijkheid dragen: een mismatch in prikkels

Bron: MIT Sloan

top ^

Google lanceert drie nieuwe Gemini Flash-modellen

Google introduceert drie nieuwe modellen in zijn Flash-serie, gericht op efficiëntere en goedkopere AI-agents. Gemini 3.6 Flash presteert beter dan 3.5 Flash op coderen, kenniswerk en multimodale taken en verbruikt 17 procent minder output-tokens. Gemini 3.5 Flash-Lite is het snelste en goedkoopste model uit de 3.5-reeks, gericht op hoogvolume agentic workflows. Gemini 3.5 Flash Cyber is een gespecialiseerd model voor cybersecurity, ingezet binnen Google’s CodeMender-tool om kwetsbaarheden op te sporen en te patchen.

• 3.6 Flash en 3.5 Flash-Lite zijn per direct beschikbaar via Google AI Studio, Antigravity, Gemini Enterprise en de Gemini-app
• 3.5 Flash Cyber komt exclusief beschikbaar voor overheden en vertrouwde partners via een beperkt pilotprogramma
• Google meldt daarnaast dat Gemini 3.5 Pro wordt getest met partners en dat de pretraining voor Gemini 4 al is gestart

Bron: Google

top ^

China overweegt strengere exportcontroles op AI-modellen en chips

Chinese autoriteiten overwegen de exportcontroles op AI- en halfgeleidertechnologie aan te scherpen, meldt de Financial Times. Het Chinese ministerie van Handel voert overleg met eigen AI- en chipbedrijven over hoe te voorkomen dat geavanceerde Chinese technologie en veelbelovende start-ups worden overgenomen door westerse partijen. Onderdeel van de plannen zijn mogelijke beperkingen die zouden voorkomen dat buitenlandse chipmakers als Qualcomm en TSMC geavanceerde chips produceren op basis van ontwerpen van Chinese bedrijven zoals Huawei, Alibaba en ByteDance.

• De maatregelen zouden mogelijk worden opgenomen in de eerstvolgende herziening van China’s lijst van verboden of beperkte exporttechnologieën
• Ook restricties op de buitenlandse overname van strategische technologie zoals agentic AI worden overwogen
• Reuters kon het bericht van de Financial Times niet onafhankelijk bevestigen; het ministerie van Handel en de genoemde bedrijven reageerden niet direct op vragen

Bron: Reuters, Financial Times

top ^

Musk zet Hollywood op een deadline

Een drie minuten durende AI-scène uit Homerus’ Odyssee, gemaakt door creator Heavy Pulp met Grok Imagine, ging deze week viraal op X. Elon Musk deelde de clip en beloofde voor eind 2026 een volledige, “historisch accurate” AI-verfilming van de Odyssee. De reacties liepen uiteen: sommigen vonden de clip verrassend overtuigend, anderen noemden het juist “AI slop” met opvallend kunstmatige details. Het gebeurde enkele dagen nadat Christopher Nolans Odyssee-verfilming, met een budget van 250 miljoen dollar, wereldwijd 264 miljoen dollar ophaalde in het openingsweekend.

• Heavy Pulp gebruikte twee vaste ankerframes om de scène consistent te houden tussen shots
• Reacties liepen uiteen tussen onder de indruk en spottend over overduidelijk kunstmatige details
• Musk deed de belofte enkele dagen na het recordopenende weekend van Nolans verfilming

Bron: Rolling Stone, NME

top ^

De AI Update is samengesteld door Marcel Debets. Tips? Mail de redactie op mspb@dutchit.com.

Wie klanten beheert, beheert ook hun risico. Aanvallers hebben dat allang door. Waarom zou je honderd bedrijven afzonderlijk binnendringen als één MSP toegang geeft tot al die omgevingen tegelijk? Supply chain-aanvallen via managed service providers groeien uit tot de meest dominante aanvalspatronen van dit moment. De vraag die elke MSP zichzelf moet stellen: ben ik zelf de zwakste schakel in de keten van mijn klanten?

Het antwoord op die vraag begint bij een simpele rekensom. Een aanvaller die een individueel MKB-bedrijf hackt, heeft één slachtoffer. Een aanvaller die de RMM-omgeving van een MSP overneemt, heeft er in één klap tientallen tot honderden. Die hefboomwerking maakt de MSP tot een aantrekkelijker doelwit dan welke eindklant dan ook. En de cijfers laten zien dat criminelen die logica inmiddels massaal volgen.

De duidelijkste indicator komt uit het jaarlijkse Data Breach Investigations Report van Verizon. In de editie van 2024 was bij 15 procent van alle onderzochte datalekken een derde partij betrokken. Een jaar later was dat aandeel verdubbeld naar 30 procent, de grootste sprong in de geschiedenis van het rapport. De editie van 2026 zet die lijn door: 48 procent van alle datalekken loopt inmiddels via een derde partij. Bijna de helft van alle incidenten begint dus bij een leverancier, een dienstverlener of een softwareketen, en steeds vaker is die dienstverlener een MSP.

Het aandeel datalekken waarbij een derde partij betrokken is, verdubbelde twee jaar op rij.

Ook op Europees niveau staat het thema hoog op de agenda. ENISA rekent in zijn Threat Landscape 2025 ruim 10 procent van alle geregistreerde incidenten in de EU tot supply chain-risico en noemt compromittering van softwareleveranciers, cloudintegrators en MSP- en MSSP-partners als de snelst groeiende aanvalspatronen. De schade is bovendien bovengemiddeld: IBM becijfert dat een supply chain-inbraak gemiddeld 267 dagen nodig heeft om ontdekt en ingedamd te worden, de langste doorlooptijd van alle aanvalstypen, met een gemiddelde schadepost van 4,9 miljoen dollar.

De RMM als distributiekanaal voor ransomware

Het draaiboek van zo’n aanval is inmiddels bekend terrein. De blauwdruk werd in 2021 gelegd met de aanval op Kaseya VSA, waarbij criminelen via zo’n zestig MSP’s naar schatting 1.500 bedrijven wisten te raken met ransomware. Sindsdien is het patroon verfijnd. In 2025 documenteerde Sophos hoe de DragonForce-groep drie kwetsbaarheden in de remote support-tool SimpleHelp aan elkaar knoopte (CVE-2024-57727, CVE-2024-57728 en CVE-2024-57726) om de RMM-omgeving van een MSP over te nemen. Vervolgens gebruikten de aanvallers die legitieme beheersoftware om klantomgevingen in kaart te brengen, data te stelen en ransomware uit te rollen alsof het een gewone software-update was.

De Amerikaanse cyberwaakhond CISA bracht er een aparte advisory over uit en waarschuwde dat aanvallers sinds januari 2025 structureel jagen op ongepatchte SimpleHelp-installaties. Onderzoekers van CrowdStrike zagen het misbruik van RMM-tools in aanvallen in één jaar met 70 procent toenemen. De aantrekkingskracht is logisch: RMM-verkeer wordt door securitycontroles doorgaans vertrouwd, de software staat op de allowlist en de aanvaller vindt alles wat hij nodig heeft al kant-en-klaar geïnstalleerd.

Hoe kwetsbaar zijn MSP’s zelf?

Hoe vaak gaat het daadwerkelijk mis? De CyberSmart MSP Survey 2026, een jaarlijks onderzoek onder 350 MSP- en MSSP-leiders in het Verenigd Koninkrijk en Ierland, geeft een ontnuchterend beeld. Driekwart van de ondervraagde MSP’s werd het afgelopen jaar minstens één keer gehackt. Meer dan de helft (54 procent) kreeg twee of meer incidenten voor de kiezen en bijna een derde zelfs drie of meer. Daarnaast meldde 43 procent een incident dat begon bij een eigen leverancier of derde partij. De MSP zit dus aan twee kanten van de keten: als doelwit én als doorgeefluik.

Driekwart van de MSP’s werd het afgelopen jaar minstens één keer gehackt.

Opvallend genoeg staat supply chain-risico bij diezelfde MSP’s op plek vijf van de zorgenlijst, achter onder meer AI-dreigingen en kostenstijgingen. Group-IB constateert in zijn High-Tech Crime Trends Report 2026 hetzelfde: MSP’s onderschatten de potentiële schaal van deze aanvallen, terwijl criminelen hen juist als sleutelpositie in de keten hebben aangemerkt. Die kloof tussen perceptie en werkelijkheid is misschien wel het grootste risico van allemaal.

De wetgever kijkt mee

Wie de urgentie zelf nog niet voelt, krijgt binnenkort hulp van de wetgever. In Nederland brengt de Cyberbeveiligingswet, de nationale invulling van NIS2, managed service providers expliciet onder toezicht. Dat betekent een zorgplicht, meldplicht bij incidenten en persoonlijke aansprakelijkheid van bestuurders. Het Verenigd Koninkrijk volgt een vergelijkbare route met de Cyber Security and Resilience Bill, die MSP’s voor het eerst onder formele regulering brengt. Uit het CyberSmart-onderzoek blijkt dat MSP’s die ontwikkeling grotendeels omarmen: 77 procent vindt dat de nieuwe regels ver genoeg gaan om de keten beter te beschermen. Als grootste zorgpunt noemt 42 procent de toegenomen aansprakelijkheid en de vraag hoe die in de praktijk wordt belegd.

De kern van het verhaal is verantwoordelijkheid nemen voor de positie die je in de keten inneemt. Klanten besteden hun IT uit omdat ze ervan uitgaan dat de MSP het beter kan dan zijzelf. Dat vertrouwen is het fundament van het hele MSP-model. Aanvallers hebben ontdekt dat datzelfde vertrouwen ook hun kortste route naar binnen is. De MSP die zijn eigen beveiliging op orde heeft, beschermt daarmee dus veel meer dan alleen zichzelf. Zijn complete klantenbestand, zijn reputatie en uiteindelijk zijn bestaansrecht.

Bronnen

Verizon, Data Breach Investigations Report 2024, 2025 en 2026; CyberSmart, MSP Survey 2026 (onderzoek onder 350 MSP- en MSSP-leiders in het VK en Ierland); Sophos MDR, DragonForce actors target SimpleHelp vulnerabilities to attack MSP, customers (mei 2025); CISA, Advisory AA25-163A over misbruik van ongepatchte SimpleHelp RMM (juni 2025); ENISA, Threat Landscape 2025; IBM, Cost of a Data Breach Report 2025; Group-IB, High-Tech Crime Trends Report 2026; CrowdStrike, Global Threat Report (RMM-misbruik in aanvallen).

Vrijwel iedere leverancier heeft dezelfde boodschap voor MSP’s: stop met rekenen per device en verkoop de waarde die je toevoegt. Toch zijn er maar weinig dienstverleners die hun prijsmodel daadwerkelijk hebben omgegooid. Waarom blijft de overstap naar value-based pricing zo lastig, terwijl iedereen het erover eens lijkt dat dit de toekomst is?

Wie de internationale MSP-media volgt, kan de indruk krijgen dat per-device pricing zo ongeveer dood is. De werkelijkheid is genuanceerder. Het model bestaat nog volop, vooral bij klanten met een stabiel en overzichtelijk apparatenpark. Wel laat vrijwel elk marktonderzoek zien dat het aandeel MSP’s dat primair per device factureert gestaag daalt, terwijl per-user en gemengde modellen groeien.

Het tellen knelt

De cijfers uit de Kaseya Global MSP Benchmark Survey laten dat ook zien. Ruim een kwart van de MSP’s (26 procent) hanteert een combinatie van per-user en per-device pricing, 22 procent rekent primair per gebruiker en nog maar 13 procent primair per device. Een jaar eerder lag dat laatste percentage nog op 17 procent. Per-user pricing groeit sinds 2021 elk jaar en geldt inmiddels als het dominante enkelvoudige model.

De oorzaak is bekend bij iedere MSP die de eigen klantenkring bekijkt. Een gemiddelde kantoormedewerker werkt tegenwoordig met een laptop, een smartphone en vaak nog een tablet. Cloudworkloads, SaaS-abonnementen en identiteiten laten zich bovendien slecht vangen in een per-device inventarisatie. Daar komt bij dat veel securitytooling per identiteit wordt gelicenseerd: Microsoft 365, EDR en MFA rekenen per gebruiker. Een prijsmodel per user sluit daar naadloos op aan, terwijl een devicemodel bij elke BYOD-discussie opnieuw uitgelegd moet worden.

Wat is value-based pricing dan wel?

Value-based pricing koppelt de prijs aan de waarde die de dienstverlening voor de klant oplevert, in plaats van aan het aantal eenheden dat de MSP beheert. In de zuiverste vorm betaalt de klant één vast bedrag voor het complete pakket, waarbij de MSP feitelijk de uitbestede IT-afdeling wordt. De individuele kostprijs van losse diensten blijft daarbij buiten beeld en de marge kan per klant fors uiteenlopen.

Brancheorganisatie Technology Services Industry Association plaatst het model bovenaan een volwassenheidsladder. Onderaan staan kostprijs-plus en marktconforme pricing, die volgens de TSIA samenhangen met lagere groeicijfers. Daarboven komt consumptiegebaseerde pricing per device, user of workload. Value-based en outcome-based pricing vormen de top: de prijs volgt daar de geleverde waarde of zelfs het behaalde resultaat, zoals uptime-percentages, een aantoonbaar verbeterde securityhouding of een geslaagde compliance-audit. Kostenbesparing is volgens de TSIA op dit moment de meest gebruikte uitkomst om de prijs aan op te hangen.

Werkt het al in de praktijk?

Gedeeltelijk. Zuivere outcome-based contracten blijven voorlopig nog een nichefenomeen, voorbehouden aan volwassen MSP’s met klanten die IT in bedrijfstermen meten: omzetverlies bij downtime, vermeden schadekosten bij een incident, slagingspercentages bij audits. In de Amerikaanse midmarket worden zulke vCIO- en security-engagements gesloten met contractwaardes van 50.000 tot ruim 500.000 dollar per jaar, doorgaans opgebouwd uit een vaste retainer plus bonussen of boetes gekoppeld aan SLA’s. Voor de gemiddelde MSP met MKB-klanten is dat een andere wereld.

In de praktijk zien we veel mengvormen. Veel MSP’s hanteren een per-user basis met gelaagde bundels (brons, zilver, goud) en bouwen daar waarde-elementen bovenop, zoals vCIO-uren, compliance-begeleiding of een security operations-pakket. De bundelstructuur doet dan het commerciële werk. Het gesprek met de klant gaat over welk niveau past, in plaats van over de vraag hoeveel elk device kost.

Ook de tarieven laten zien waar de markt staat. Amerikaanse benchmarks voor 2026 noemen 70 tot 150 dollar per gebruiker per maand voor volledig beheer bij kleinere organisaties, oplopend tot 200 dollar en meer in gereguleerde sectoren waar security en compliance volledig zijn ingebakken. In de gelaagde bundels loopt de bandbreedte van zo’n 80 tot 120 dollar voor het instapniveau tot 220 tot 350 dollar voor de topbundel met 24/7-dekking, vCIO-tijd en geavanceerde security operations. Nederlandse tarieven liggen doorgaans lager, maar de opbouw is vergelijkbaar. Het verschil tussen de bundels zit in waarde-elementen, en juist die rechtvaardigen de hogere prijs.

De valkuilen zijn er ook. Per-user pricing zonder duidelijke scope-afspraken kost MSP’s volgens quoting-specialist Scopable 15 tot 30 procent marge door sluipende uitbreiding van de dienstverlening: die ene extra thuiswerkplek, dat privé-device dat er stilletjes bijkomt. En het volledig vaste all-in tarief kent een eigen risico. Eén klant die het begrip “ongelimiteerde support” ruim interpreteert, vreet de marge van tien kleinere klanten op. Ervaren MSP’s schrijven de scope daarom als uitsluitingen: wat er expliciet buiten valt, zoals migraties, projecten en werk buiten kantooruren.

Wat betekent dit voor Nederlandse MSP’s?

Twee ontwikkelingen maken het waardegesprek in Nederland actueler dan ooit. De eerste is compliance. Met de Cyberbeveiligingswet die dit jaar van kracht wordt, krijgt een groeiende groep MKB-bedrijven aantoonbare verplichtingen rond risicobeheer en incidentmelding. Een MSP die dat traject begeleidt, levert waarde die zich uitstekend los van devicetellingen laat prijzen: een geslaagde registratie, een doorstane audit, een aantoonbaar dichtgetimmerde toeleveringsketen.

De tweede is automatisering. Uit het Kaseya State of the MSP Report 2026 blijkt dat 53 procent van de MSP’s ticketing, patching en monitoring inmiddels automatiseert om de marge te beschermen. AI-triage en scripting drukken de kosten per ticket, waardoor omzet en arbeidsuren steeds verder van elkaar loskomen. Dat maakt het minder logisch om een prijs per beheerde eenheid te hanteren en versterkt het argument om op waarde te prijzen. De klant betaalt voor het resultaat, en efficiëntie van de kant van de MSP is voor diens rekening.

Voor wie de stap overweegt, is het advies uit vrijwel elk benchmarkonderzoek gelijkluidend. Begin hybride, reken de eigen kostprijs per gebruiker door (arbeid, tooling en overhead gedeeld door het aantal beheerde seats), bouw daar een gezonde marge op en herijk het model elke zes tot twaalf maanden. De kosten van de toolstack stijgen sneller dan veel MSP’s doorberekenen, en een prijsmodel dat vandaag klopt, kan volgend jaar plotseling verlieslatend zijn.

Value-based pricing wijst dus vooral de richting die we opgaan. De MSP die zijn waarde kan benoemen, meten en rapporteren, wint het gesprek met de klant. Op welke regel van de factuur dat vervolgens landt, is van later zorg.

Bronnen

Kaseya Global MSP Benchmark Survey; Kaseya State of the MSP Report 2026; TSIA, MSP Pricing Models (2026); Flamingo, MSP Pricing Models 2026 Playbook; Scopable, Per User vs Per Device MSP Pricing (2026); DeskDay, A Guide on MSP Pricing 2026.