Security-adoptie begint in de boardroom, niet bij de helpdesk

De MSP-sector praat eindelijk over adoptie. Het gaat over Copilot-licenties, awareness-scores en Teams-structuren, allemaal gericht op eindgebruikers. Het lastigere gesprek, het gesprek dat er het meest toe doet, is nog niet serieus op gang gekomen: begrijpen de mensen die persoonlijk verantwoordelijk zijn voor cyberrisico daadwerkelijk de dashboards die hun MSP hen laat zien?

Die vraag kwam opnieuw naar boven in een aantal recente klantgesprekken, in diverse partnersessies, en nogmaals tijdens een recente aflevering van MSP Late Night, waar adoptie eindelijk het centrale onderwerp was. De stemmen aan tafel waren scherp over Copilot, over awareness-training en over de kloof tussen het verkopen van een licentie en het daadwerkelijk veranderen van gedrag. Maar de discussie bleef vrijwel volledig gericht op de eindgebruiker. In informatiebeveiliging en compliance, waar NIS2 bestuurders inmiddels persoonlijk verantwoordelijk heeft gemaakt, zit de grotere blinde vlek een verdieping hoger.

Adoptie is niet alleen een probleem van de eindgebruiker

Als MSP’s het over adoptie hebben, bedoelen ze meestal hetzelfde als de productiviteitsleveranciers. Gebruiken mensen de tool? Prompten ze Copilot? Ronden ze de awareness-module af? Klikken ze op de juiste knoppen in het juiste systeem?

Die vragen zijn belangrijk. Maar binnen security en compliance is er een tweede adoptievraag die bijna nooit wordt gesteld. Begrijpt de bestuurder die het contract heeft getekend wat de tool hem vertelt? Leest de directeur die persoonlijk verantwoordelijk is voor het resultaat het dashboard? Stuurt het managementteam dat eigenaar is van het bedrijfsrisico de organisatie aan op basis van de cijfers die het oplevert?

Zo niet, dan is het dashboard niet geadopteerd. Het is dan slechts betaald. Dat is iets heel anders.

Hoe weet een bestuurder of zijn MSP hem daadwerkelijk beschermt?

Dit is de vraag die eigenaren, bestuurders en commissarissen intikken in zoekbalken en stellen aan hun vertrouwde adviseurs. Het is ook de vraag waarop MSP’s het minst goed zijn toegerust om te antwoorden in taal die aansluit bij de boardroom.

De Global Cybersecurity Outlook 2026 van het World Economic Forum, gepubliceerd in januari 2026 samen met Accenture en gebaseerd op reacties van 804 senior leiders in 92 landen, vat de kloof samen in twee cijfers. Onder de organisaties die het WEF classificeert als zeer veerkrachtig, geeft 99 procent aan dat de board betrokken is bij cybersecurity. Op het eerste gezicht bemoedigend. Lees verder in datzelfde rapport, en slechts 52 procent van diezelfde organisaties zegt dat hun bestuursleden daadwerkelijk regelmatig cybersecurity-updates ontvangen. “Betrokkenheid zonder informatie is niet hetzelfde als toezicht.”

Diezelfde enquête is onomwonden over een tweede punt: waar de CEO wakker van ligt en waar de CISO wakker van ligt, komen niet meer overeen. CEO’s plaatsen cyberfraude en phishing bovenaan hun zorgenlijstje; CISO’s zetten ransomware nog altijd op de eerste plaats. Ze kijken naar hetzelfde dreigingslandschap en trekken verschillende conclusies, omdat ze verschillende dashboards lezen in verschillende talen.

Voor een bestuurder kan de vraag “ben ik beschermd” niet worden beantwoord door te wijzen naar een Secure Score, een compliancepercentage of een kleurgecodeerde heatmap. Die kan alleen worden beantwoord door iemand die bereid is de score te vertalen naar de gevolgen voor het bedrijf: omzet op het spel, contracten op het spel, persoonlijke aansprakelijkheid op het spel.

Een dashboard is geen strategie

Loop een gemiddelde mid-market organisatie binnen die een MSP inzet voor security en compliance, en je vindt dashboards. Microsoft Secure Score. Een kwetsbaarhedenteller van een scanner. Een ISO 27001-gereedheidspercentage. Een NIS2-zelfassessment. Een Defender- of EDR-console. Soms een eigen weergave van de MSP zelf.

Wat je meestal niet vindt, is één kort antwoord op de vraag: “Wat betekent dit allemaal voor ons bedrijf dit kwartaal?”

De 2025 Defenders Survey van Trend Micro, waarin meer dan drieduizend cybersecurityprofessionals werden bevraagd, maakte dit punt helder. Slechts ongeveer 30 procent van de respondenten gaf aan dat hun organisatie beschikt over “een gestructureerd, doorlopend model voor het communiceren over securityincidenten met stakeholders.” Het rapport concludeerde dat het managen van cyberrisico op directieniveau “vertaling vereist: het uitdrukken van risico’s in zakelijke in plaats van technische termen.”

De dashboards bestaan, de data bestaat, de tools werken. Het knelpunt is de vertaallaag. En die vertaallaag is, bijna per definitie, de rol van wie tussen de technologie en de boardroom in zit. Voor de meeste mid-market organisaties is dat de MSP.

Hans ten Hove, een vaste gast aan tafel bij MSP Late Night, verwoordde het onomwonden in een Nederlandstalige LinkedIn-post: “een niet-geadopteerde oplossing, schreef hij, is gewoon een dure factuur met een dashboard eraan vast.” Een zin die het waard is om in gedachten te houden telkens wanneer er weer een nieuw compliancedashboard wordt uitgerold.

Wat heeft NIS2 in stilte veranderd aan de verantwoordelijkheid van het bestuur?

Deze discussie zou theoretisch zijn geweest, ware het niet dat de juridische verschuiving inmiddels stevig heeft plaatsgevonden.

Volgens artikel 20 van de NIS2-richtlijn moet het bestuur van een essentiële of belangrijke entiteit de cybersecurity-risicobeheersmaatregelen van de organisatie goedkeuren, toezicht houden op de implementatie ervan, en verplichte training volgen om cyberrisico’s te kunnen beoordelen. Zoals DLA Piper uiteenzette in een analyse van de richtlijn van november 2025, kan deze verantwoordelijkheid niet worden doorgeschoven naar de IT-afdeling of worden uitbesteed aan een externe partij. Lidstaten hebben de bevoegdheid gekregen om individuele bestuurders persoonlijk aansprakelijk te stellen, en in ernstige gevallen om een CEO of wettelijk vertegenwoordiger uit zijn functie te schorsen.

Het herziene Duitse BSI-Gesetz, dat op 6 december 2025 in werking is getreden, gaat nog verder. Het maakt bestuursorganen persoonlijk verantwoordelijk voor het daadwerkelijk implementeren van de cyberrisicomaatregelen, niet alleen voor het goedkeuren ervan. De Duitse toezichthouder heeft bevestigd dat, nu de registratiedeadline van 6 maart 2026 is verstreken, actief wordt gehandhaafd.

Voor een MSP is de implicatie scherper dan hij op het eerste gezicht lijkt. Een bestuurder die persoonlijk verantwoordelijk is voor cyberrisico en die niet in gewone taal kan uitleggen wat zijn compliancedashboard betekent, staat bloot aan risico. Niet omdat de MSP technisch tekortschoot, maar omdat de adoptiekloof tussen de tool en de persoon die wettelijk verantwoordelijk is voor het resultaat nooit is gedicht.

NIS2 zegt niet dat MSP’s zakelijke vertalers moeten worden. Maar het maakt het voor elk serieus bestuurslid onmogelijk om passief ontvanger te blijven van een Secure Score die hij niet leest.

Van IT-leverancier naar zakelijke vertaler

Dit is waar de rol van de MSP moet evolueren, en waar veel MSP’s het, eerlijk gezegd, het meest ongemakkelijk vinden. Implementatie is bekend terrein. Patchcycli, baselines, monitoring, incident response, ticket-SLA’s. Het technische vakmanschap van het draaiende houden van een IT-omgeving is echt lastig, en de mensen die dat goed doen, verdienen meer erkenning dan ze krijgen.

Wat het technische vakmanschap niet automatisch oplevert, is een gesprek waarin een bestuurder in vijf minuten begrijpt waartegen hij beschermd is, waartegen hij niet beschermd is, wat het zou kosten om die kloof te dichten, en wat er met het bedrijf zou gebeuren als die kloof wordt misbruikt.

Dat gesprek vereist een andere vaardigheid. Het vraagt om iemand die tussen een Microsoft Defender-console en een winst-en-verliesrekening kan gaan staan, en kan uitleggen waarom het een het ander beïnvloedt. Het vraagt om iemand die zonder aarzelen kan zeggen: “Jullie compliancescore is 78 procent, dit zijn de drie ontbrekende maatregelen, en dit is het contract dat jullie kunnen verliezen als een klantaudit ze tegenkomt.” Het vraagt van de MSP dat hij stopt met het verkopen van tools en begint met het verkopen van helderheid.

Een aantal MSP’s in de Nederlandse, Belgische en Duitse markt bouwt deze capaciteit in stilte op binnen het eigen team. De meeste doen dat nog niet. Wie het wel doet, zal merken dat verlengingsgesprekken korter worden en de marges beter, omdat de waarde die geleverd wordt zichtbaar wordt voor degene die de cheque ondertekent. Wie het niet doet, zal herinnerd worden als de leverancier wiens dashboards niemand las.

Waar Guardian360 in dit verhaal past

Ik run een ISV die zo’n dashboard bouwt, dus het zou oneerlijk zijn om dit stuk te schrijven zonder te benoemen wat wij wel en niet doen.

Lighthouse levert de gebruikelijke technische output die elke serieuze securitytool levert: scanresultaten over netwerken, IP’s en webapplicaties, Microsoft 365-securityinzichten via de Graph API, kwetsbaarheidsbevindingen en compliance-aanbevelingen tegen meer dan veertig normen en wetten. Niets daarvan is uniek. Waar we de afgelopen jaren aan hebben gebouwd, en wat volgens ons het meest telt voor het gesprek in dit blog, is een business risk score die naast de technische risicoscores staat. Het doel is simpel: het bestuur een getal geven dat verbonden is met het bedrijf, niet alleen met de asset.

Een platform kan het vertaalgesprek ondersteunen. Het kan het gesprek niet zelf voeren. Dat is het werk van de partner, en daarin zijn we elke dag afhankelijk van de MSP’s, integrators en adviseurs die met ons samenwerken. De tooling dicht een deel van de adoptiekloof. De relatie dicht de rest.

Een andere vraag om te stellen bij je volgende MSP-review

Ben je bestuurder, eigenaar of commissaris? Dan hoef je de NIS2-artikelen niet zelf te lezen om naar de strekking ervan te handelen. Vraag bij je volgende review met je IT-partner niet wat er dit kwartaal is geïmplementeerd. Vraag of jij, je managementteam en idealiter ook je raad van commissarissen begrijpen wat die implementaties betekenen voor het bedrijf.

Als het antwoord langer duurt dan de samenvatting van de implementatie, heb je je antwoord al.

Security-adoptie begint in de boardroom, niet bij de helpdesk. De MSP-sector, de bredere IT-sector en de toezichthouders zijn allemaal, elk op hun eigen manier, dezelfde richting op begonnen te duwen. De blogs en podcasts over adoptie door eindgebruikers zijn een gezond begin. Het volgende gesprek, het lastigere gesprek, gaat over de mensen wiens naam bovenaan het organogram staat en wiens handtekening uiteindelijk op de brief van de toezichthouder terechtkomt.

Als dat gesprek bij jouw organisatie nog niet heeft plaatsgevonden, is het het nuttigste gesprek dat je nu kunt inplannen.