De inkoper is verhuisd naar de boardroom. De meeste MSP'ers praten nog steeds tegen de serverruimte.

Na een recent evenement voor managed service providers stelde een ervaren security director bij een Europese distributeur me een vraag die is blijven hangen. Niet hoe het platform werkt. Niet welke features ertoe doen. Hij vroeg hoe een MSP in de eerste negentig dagen een dienst rond compliance bouwt. Hoe je van een regulatoire hoofdpijn een propositie maakt die je daadwerkelijk kunt verkopen.

Die vraag onthult meer dan hij op het eerste gezicht lijkt te doen. Hij wijst op een verschuiving die de meeste MSP’ers wel aanvoelen, maar nog niet hebben vertaald naar hun verdienmodel. Degene die cybersecurity inkoopt, is veranderd. De vraag die hij stelt, is veranderd. En de MSP’ers die niet meebewegen met die verandering, verliezen klanten niet omdat hun engineering zwak was. Ze verliezen klanten omdat een concurrent een gesprek kon voeren dat zij niet konden voeren.

De inkoper is niet langer de IT-manager

Het grootste deel van het afgelopen decennium was de IT-manager degene die security inkocht bij een MSP. Het gesprek was technisch. Het budget zat bij IT. De vraag was een variant van “zijn we gepatcht, zijn we gedekt, worden we gemonitord”.

Die persoon is niet langer de enige inkoper, en steeds vaker niet meer degene die beslist. Cybersecurity is het gebouw in geklommen, de boardroom in, en de wetgever heeft het daar neergezet. Onder de NIS2-richtlijn ligt de verantwoordelijkheid voor cyberrisicomanagement expliciet bij het bestuur, en bestuurders kunnen persoonlijk aansprakelijk worden gesteld als ze dit niet goed aansturen. NIS2 gaat nog verder: de richtlijn verplicht lidstaten ervoor te zorgen dat bestuursleden training in cyberrisico’s volgen, een verplichting die nu bestuurders in de hele Europese Unie raakt. ENISA, het EU-agentschap voor cybersecurity, publiceerde in juni 2025 richtsnoeren over deze rollen en verantwoordelijkheden, en de nationale implementaties vertalen het principe in verschillend tempo naar harde wetgeving. Duitsland ging als eerste en deed dat stevig: de NIS2-Umsetzungsgesetz, de Duitse implementatiewet, trad op 6 december 2025 in werking zonder overgangsperiode, wat betekent dat organisaties die wachtten op handhavingsrichtlijnen op dag één al niet compliant waren. Nederland volgt op de voet. Het parlement nam op 15 april 2026 de Cyberbeveiligingswet aan, de Nederlandse NIS2-implementatiewet, en de wet treedt naar verwachting op 1 juli 2026 in werking. Het bijbehorende besluit dat de gedetailleerde verplichtingen uitwerkt, het Cyberbeveiligingsbesluit, maakt de trainingsplicht voor bestuurders expliciet.

Lees dat laatste punt nog een keer. Overal in Europa, en inmiddels land voor land in nationale wetgeving vastgelegd, zijn bestuursleden verplicht getraind te worden in cyberrisico’s. Als de wetgever een trainingsplicht voor bestuurders in harde wetgeving vastlegt, heeft het onderwerp de serverruimte ondubbelzinnig verlaten.

De vraag die het bestuur van jouw klant nu stelt, is dus niet “zijn we gepatcht”. Het is “kunnen we bewijzen dat we weerbaar en compliant zijn”. En dat ene woord, bewijzen, verandert alles voor jou als hun MSP.

Waarom verandert “bewijzen” alles?

Er zit een wereld van verschil tussen veilig zijn en kunnen aantonen dat je veilig bent. “We nemen security serieus” zeggen was ooit genoeg om een cyberverzekering te verlengen of de inkoopafdeling van een klant tevreden te stellen. Dat is niet meer genoeg.

Cyberverzekeringen zijn het duidelijkste voorbeeld. Underwriting is in stilte veranderd in een technische audit. Volgens het cyber market report 2026 van Aon voert “ruwweg drie op de vier verzekeraars inmiddels een externe attack-surface scan uit tijdens de underwriting”, in plaats van te vertrouwen op self-attestation. De financiële belangen zijn aanzienlijk: gedocumenteerde maatregelen kunnen een premie bij verlenging twintig tot veertig procent laten schuiven, en S&P Global Ratings voorspelt dat cyberpremies in 2026 met vijftien tot twintig procent stijgen, na twee jaar van verzachting. Een organisatie die geen bewijs kan overleggen, betaalt niet alleen meer. Ze kan er ook achter komen dat er voor geen enkele prijs nog dekking te krijgen is.

Hetzelfde patroon zie je bij leveranciersvragenlijsten. Mid-market- en mkb-bedrijven krijgen deze inmiddels bij bosjes, en elke vragenlijst vraagt niet of maatregelen bestaan, maar om het bewijs dat ze bestaan. Zoals de distributeurs- en MSP-community zelf heeft gedocumenteerd, heeft de eenvoudige attestatie van één pagina plaatsgemaakt voor gedetailleerde vragenlijsten en, in sommige gevallen, externe assessments voordat een polis wordt afgesloten. Continu bewijs wint het van een jaarlijkse momentopname, omdat de inkoper aan de andere kant heeft geleerd dat een momentopname weinig zegt.

Dit is de kern van de verschuiving. De markt is verschoven van beweren naar bewijzen. En bewijzen is continu, gestructureerd en tijdrovend werk. En precies daar ligt zowel de kans als het probleem voor MSP’ers.

Waarom de meeste MSP’ers niet meebewegen met de inkoper

Dit is het ongemakkelijke deel. De meeste MSP’ers kunnen het boardroom-gesprek vandaag de dag niet voeren. Niet omdat ze slecht zijn in hun werk. Maar door twee zaken die niets te maken hebben met de kwaliteit van hun engineering.

Het eerste zijn de tools. Een typische klantomgeving heeft endpointbeveiliging, Microsoft 365-beveiliging, identity tooling, een wachtwoordmanager en backup. Elk van die tools is uitstekend in zijn eigen taak. Maar elk spreekt zijn eigen taal, produceert zijn eigen rapport en leeft in zijn eigen dashboard. Als de CFO binnenloopt en vraagt “kunnen we bewijzen dat we compliant zijn met NIS2”, is er geen enkele plek die dat antwoord geeft. Iemand moet de ene console na de andere openen en het antwoord met de hand samenstellen, door technische bevindingen handmatig te koppelen aan compliance-maatregelen in een spreadsheet. Meerdere consoles, verspreide rapporten, geen eensluidend antwoord.

De tweede reden is het team, en dat is de serieuzere van de twee. Zelfs als de tooling het complete beeld kon samenstellen, heeft de MSP de uren er niet voor. Goede engineers zijn schaars en duur, en degenen die je hebt, zijn declarabel op het werk dat vandaag betaalt: patchcycli, incident response, onboarding. Het bewijswerk dat de boardroom nu vraagt, past nergens. Het is te strategisch voor de servicedesk en te gedetailleerd voor het management, en niemand heeft een vrije week per klant om het handmatig te doen. Dus zelfs de MSP’ers die de kans duidelijk zien, kunnen er vaak niet op uitvoeren, omdat het werk niet meeschaalt met het team dat ze hebben.

Twee gaten dus. De tools kunnen niet vertalen, en het team kan het tempo niet bijbenen. Samen verklaren ze waarom zoveel capabele MSP’ers vastzitten in het leveren van uitstekend technisch werk aan een inkoper die in stilte de kamer al heeft verlaten.

Compliance is geen kostenpost. Het is je grootste margekans in tien jaar.

Het grootste deel van de markt behandelt NIS2, DORA en de rest als een last. Een kostenpost. Een afvinkverplichting die ergens, door iemand, moet worden opgevangen. Die framing is begrijpelijk, en het is ook precies waarom de kans blijft liggen.

Draai het frame om. Elke regel die bij jouw klant landt, is voor die klant een reden om een partner nodig te hebben die het vertaalt naar iets waar het bestuur op kan handelen. Dat is voor jou geen kostenpost. Het is een dienstenlijn. En hij stapelt zich op tot meerdere margestromen tegelijk.

Er is terugkerende omzet uit het platform dat continu bewijs mogelijk maakt, verkocht met marge ingebouwd en groeiend naarmate de omgeving van de klant groeit. Er is een nieuwe laag adviesdiensten, gefactureerd tegen adviestarieven in plaats van engineeringtarieven: kwartaalrapportage aan het bestuur, NIS2-readinessreviews, ondersteuning bij leveranciersvragenlijsten, auditvoorbereiding. Er is retentie, want zodra jij de partner bent die het dashboard levert waar het bestuur op vertrouwt, zit je structureel verankerd en ben je heel lastig te vervangen. En er is nieuwe business, want de MSP die bij een prospect binnenstapt en opent met het compliance-gesprek, komt binnen op een niveau waar prijs niet de eerste vraag is.

Veel leveranciers op dat evenement hadden het over features. Het gesprek dat er voor een MSP-eigenaar echt toe doet, gaat over marge, differentiatie, klantrelaties en waarde op lange termijn. Compliance, opnieuw geframed, is waar al die vier samenkomen.

Hoe bouw je dit op in de eerste negentig dagen?

Dit was de vraag van de distributeur, en die verdient een concreet antwoord in plaats van een slogan.

Begin niet met een groots transformatieprogramma. Begin met een handvol bestaande klanten waarvan je de omgeving al kent en waarmee de relatie goed is. Lever iets wat ze nog nooit hebben gehad: één overzicht, leesbaar voor het bestuur, van waar ze staan ten opzichte van de kaders die op hen van toepassing zijn, met de belangrijkste risico’s geprioriteerd en een plan om ze aan te pakken. Dat artefact, het ding dat het bestuur daadwerkelijk kan lezen, is wat een technische relatie omzet in een adviesrelatie.

Laat vervolgens de kalender het verkoopwerk doen. De meeste van je klanten hebben een naderende verlenging van hun cyberverzekering, en de brokercommunity is er duidelijk over dat de voorbereiding zo’n negentig dagen voor verlenging moet beginnen. Veel van hen hebben een leveranciersvragenlijst in hun inbox liggen waarvan niemand weet hoe die efficiënt te beantwoorden. Elk van die momenten is een natuurlijke, tijdgebonden reden voor de klant om nu ja te zeggen in plaats van later. Je verzint geen vraag. Je komt tegemoet aan een deadline die de klant al heeft, met een dienst waarvan hij niet wist dat je die kon leveren.

Bouw de terugkerende dienst rond dat ritme: continue monitoring als fundament, een periodieke rapportage aan het bestuur erbovenop, en adviesuren wanneer iets geïnterpreteerd of verholpen moet worden. Negentig dagen is genoeg om het model te bewijzen bij een paar accounts. Het is niet genoeg om het over je hele klantenbestand uit te rollen, en dat moet je ook niet proberen.

Niet elke MSP hoeft een adviesbureau te worden

Eerlijk gezegd is dit niet het enige levensvatbare pad. Sommige MSP’ers zijn uitstekende technische operators, voelen zich daar prima bij, en er blijft echte vraag naar pure technische dienstverlening. Als dat een bewuste strategische keuze is, met open ogen gemaakt, is dat een volkomen verdedigbare keuze.

Het risico zit niet in de keuze om technisch te blijven. Het risico zit in helemaal niet kiezen, en over achttien maanden ontdekken dat de adviesrelatie met je beste klanten in stilte door iemand anders is overgenomen. Een concurrerende MSP die twee jaar eerder is begonnen. Een regionale securityspecialist die nu je mid-market-accounts wegkaapt omdat hij de boardroom-vraag kan beantwoorden. Of een adviesbureau dat afzakt naar het mkb-segment, dat het technische werk niet zal aanraken maar met plezier het gesprek met de CFO naar zich toe trekt, en vervolgens bepaalt welke MSP de implementatie krijgt, en onder welke voorwaarden.

De keuze

Jouw klanten gaan het gesprek over weerbaarheid en compliance voeren. Dat deel ligt niet meer bij jou; de toezichthouders, de verzekeraars en hun eigen grootste klanten hebben dat al beslist. De enige open vraag is of ze dat gesprek met jou voeren, of met iemand anders.

Voor de transparantie: mijn eigen bedrijf, Guardian360, is een onafhankelijke softwareleverancier in dit domein. Wij bouwen het Lighthouse-platform en verkopen uitsluitend via partners, nooit rechtstreeks, dus ik heb er zelf duidelijk belang bij dat MSP’ers deze verschuiving winnen. Maar het argument staat ook overeind zonder ons. De MSP’ers die de komende jaren verdwijnen, verdwijnen niet omdat hun engineering tekortschoot. Ze verdwijnen omdat een concurrent een gesprek kon voeren dat zij niet konden voeren.

Dus het loont om jezelf de vraag ronduit te stellen. Zit je in de featurebusiness, of zit je in het vak van je klanten gelukkig maken? Het ene is binnen drie jaar makkelijk te kopiëren. Het andere niet.