Alıcı yönetim kuruluna taşındı. Çoğu MSP hala sunucu odasıyla konuşuyor.

Yönetilen hizmet sağlayıcılara yönelik yakın zamanda düzenlenen bir etkinlikten sonra, bir Avrupa distribütöründeki deneyimli bir güvenlik direktörü bana aklımdan çıkmayan bir soru sordu. Platformun nasıl çalıştığını değil. Hangi özelliklerin önemli olduğunu değil. Bir MSP’nin ilk doksan günde uyumluluk etrafında bir hizmeti nasıl kuracağını sordu. Düzenleyici bir baş ağrısını gerçekten satabileceğiniz bir teklife nasıl dönüştürdüğünüzü.

Bu soru göründüğünden daha çok şey açığa çıkarıyor. Çoğu MSP’nin hissedebildiği ama henüz iş modeline çeviremediği bir kaymaya işaret ediyor. Siber güvenliği satın alan kişi değişti. Sordukları soru değişti. Ve bu değişimle birlikte hareket etmeyen MSP’ler, müşterilerini mühendislikleri zayıf olduğu için kaybetmeyecek. Bir rakip, yapamadıkları bir konuşmayı yaptığı için kaybedecekler.

Alıcı artık BT yöneticisi değil

Son on yılın büyük bölümünde, bir MSP’den güvenlik satın alan kişi BT yöneticisiydi. Konuşma teknikti. Bütçe BT’nin içindeydi. Soru, “yamalı mıyız, korunuyor muyuz, izleniyor muyuz” gibi bir şeydi.

O kişi artık tek alıcı değil ve giderek belirleyici olan da değil. Siber güvenlik binada yukarı, yönetim kuruluna taşındı ve onu oraya yasa koydu. NIS2 direktifi uyarınca, siber risk yönetimi sorumluluğu açıkça yönetim organına aittir ve yöneticiler bunu yönetmedikleri için kişisel olarak sorumlu tutulabilir. NIS2 daha da ileri gider: üye devletlere, yönetim kurulu üyelerinin siber risk eğitimi almasını sağlama yükümlülüğü getirir; bu görev artık tüm Avrupa Birliği genelinde yöneticilere uzanır. Siber güvenlik için AB ajansı ENISA, bu roller ve sorumluluklar üzerine Haziran 2025’te rehberlik yayımladı ve ulusal aktarımlar ilkeyi farklı hızlarda sert hukuka dönüştürüyor. Almanya ilk hareket eden ve sert hareket eden oldu: Alman uygulama yasası NIS2-Umsetzungsgesetz, geçiş dönemi olmaksızın 6 Aralık 2025’te yürürlüğe girdi; bu, yaptırım rehberliğini bekleyen kuruluşların daha ilk günden uyumsuz olduğu anlamına geliyor. Hollanda hemen arkasından geliyor. Parlamentosu, Hollanda NIS2 uygulama yasası Cyberbeveiligingswet’i 15 Nisan 2026’da kabul etti ve yasanın 1 Temmuz 2026’da yürürlüğe girmesi bekleniyor. Ayrıntılı yükümlülükleri belirleyen ekli kararname Cyberbeveiligingsbesluit, yönetici eğitim görevini açık hale getiriyor.

O son noktayı bir daha okuyun. Avrupa genelinde ve şimdi ülke ülke ulusal hukuka yazılmış biçimde, yönetim kurulu üyelerinin siber risk konusunda eğitim almaları gerekiyor. Yasa koyucu yöneticiler için bir eğitim görevini sert hukuka yazdığında, konu tartışmasız biçimde sunucu odasından çıkmıştır.

Dolayısıyla müşterinizin yönetim kurulunun şimdi sorduğu soru “yamalı mıyız” değildir. “Dayanıklı ve uyumlu olduğumuzu kanıtlayabilir miyiz” sorusudur. Ve o tek kelime, kanıtlamak, onların MSP’si olarak sizin için her şeyi değiştirir.

“Kanıtlamak” neden her şeyi değiştirir?

Güvenli olmak ile bunu gösterebilmek arasında dünyalar kadar fark vardır. “Güvenliği ciddiye alıyoruz” demek, eskiden bir siber sigorta poliçesini yenilemek veya bir müşterinin satın alma departmanını tatmin etmek için yeterliydi. Artık yeterli değil.

Siber sigorta en açık örnektir. Sigortalama sessizce teknik bir denetime dönüştü. Aon’un 2026 siber piyasa raporuna göre, “yaklaşık dört sigortacıdan üçü artık sigortalama sırasında dış saldırı yüzeyi taraması yapıyor,” öz beyana güvenmek yerine. Finansal riskler önemli: belgelenmiş önlemler, yenileme sırasında primi yüzde yirmi ile kırk arasında değiştirebilir ve S&P Global Ratings, iki yıllık yumuşamanın ardından siber primlerinin 2026’da yüzde on beş ile yirmi arasında tırmanacağını öngörüyor. Kanıt sunamayan bir kuruluş yalnızca daha fazla ödemez. Teminatı hiçbir fiyata bulamayabilir.

Aynı örüntü tedarikçi anketlerinde de görülür. Orta ölçekli ve KOBİ şirketleri artık bunları düzinelerce alıyor; her biri önlemlerin var olup olmadığını değil, var olduklarının kanıtını istiyor. Distribütör ve MSP topluluğunun kendisinin belgelediği gibi, tek sayfalık beyan yerini ayrıntılı anketlere ve bazı durumlarda bir poliçe bağlanmadan önce dış değerlendirmelere bıraktı. Sürekli kanıt, yıllık bir anlık görüntüyü yener; çünkü karşı taraftaki alıcı, belirli bir andaki beyanın kendisine çok az şey anlattığını öğrendi.

İşte kaymanın kalbi budur. Piyasa iddia etmekten kanıtlamaya geçti. Ve kanıtlamak sürekli, yapılandırılmış ve zaman alan bir iştir. MSP’ler için fırsatın ve sorunun tam olarak yattığı yer burasıdır.

Çoğu MSP neden alıcıyla birlikte hareket etmiyor

İşte rahatsız edici kısım. Çoğu MSP bugün yönetim kurulu konuşmasını yapamaz. İşlerinde kötü oldukları için değil. Mühendisliklerinin kalitesiyle hiçbir ilgisi olmayan iki şey nedeniyle.

Birincisi araçlardır. Tipik bir müşteri ortamında uç nokta koruması, Microsoft 365 güvenliği, kimlik araçları, bir parola yöneticisi ve yedekleme vardır. Bu araçların her biri kendi işinde mükemmeldir. Ama her biri kendi dilini konuşur, kendi raporunu üretir ve kendi panelinde yaşar. CFO içeri girip “NIS2 ile uyumlu olduğumuzu kanıtlayabilir miyiz” diye sorduğunda, soruyu yanıtlayan tek bir yer yoktur. Birinin bir konsolu diğerinin ardından açması ve teknik bulguları bir elektronik tabloda uyumluluk önlemleriyle eşleştirerek yanıtı elle bir araya getirmesi gerekir. Birden çok konsol, dağınık raporlar, tek bir yanıt yok.

İkinci neden ekiptir ve ikisinden daha ciddi olanıdır. Araçlar resmi bir araya getirebilse bile, MSP’nin saati yoktur. İyi mühendisler kıt ve pahalıdır ve sahip olduklarınız bugün para getiren işte faturalandırılabilir: yama döngüleri, olay müdahalesi, işe alım. Yönetim kurulunun şimdi talep ettiği kanıt işi hiçbir yere sığmaz. Hizmet masası için fazla stratejik, yönetim için fazla ayrıntılıdır ve kimsenin bunu elle yapmak için müşteri başına bir boş haftası yoktur. Dolayısıyla fırsatı açıkça gören MSP’ler bile bunu çoğu zaman hayata geçiremez, çünkü iş sahip oldukları ekiple ölçeklenmez.

Yani iki boşluk. Araçlar çeviremez ve ekip yetişemez. Birlikte, bu kadar çok yetenekli MSP’nin, sessizce odayı terk etmiş bir alıcıya mükemmel teknik iş sunmaya takılıp kalmasının nedenini açıklarlar.

Uyumluluk bir maliyet değildir. On yılın en büyük marj fırsatınızdır.

Piyasanın çoğu NIS2, DORA ve gerisini bir yük olarak görür. Bir maliyet. Birilerinin, bir yerlerde üstlenmesi gereken bir kutu işaretleme yükümlülüğü. Bu çerçeveleme anlaşılabilir ve fırsatın masada bırakılmasının da nedeni budur.

Çerçeveyi tersine çevirin. Müşterinizin üzerine düşen her düzenleme, onu yönetim kurulunun harekete geçebileceği bir şeye çevirebilecek bir iş ortağına ihtiyaç duymaları için bir nedendir. Bu sizin için bir maliyet değildir. Bir hizmet hattıdır. Ve aynı anda birkaç marj akışı halinde birikir.

Sürekli kanıtı mümkün kılan platformdan yinelenen gelir vardır; marj yerleşik olarak satılır ve müşterinin ortamı büyüdükçe büyür. Mühendislik oranları yerine danışmanlık oranlarıyla faturalandırılan yeni bir danışmanlık hizmetleri katmanı vardır: üç aylık yönetim kurulu raporlaması, NIS2 hazırlık incelemeleri, tedarikçi anketlerine destek, denetim hazırlığı. Elde tutma vardır; çünkü yönetim kurulunun güvendiği paneli üreten iş ortağı olduğunuzda, yapısal olarak gömülü ve yerinizi doldurmak çok zordur. Ve yeni iş vardır; çünkü bir potansiyel müşterinin yanına gidip uyumluluk konuşmasıyla başlayabilen MSP, fiyatın ilk soru olmadığı bir düzeyde girer.

O etkinlikteki birçok satıcı özelliklerden bahsetti. Bir MSP sahibi için asıl önemli olan konuşma marj, farklılaşma, müşteri ilişkileri ve uzun vadeli iş değeri hakkındadır. Yeniden çerçevelenen uyumluluk, bu dördünün de yaşadığı yerdir.

Bunu ilk doksan günde nasıl kurarsınız?

Distribütörün sorusu buydu ve bir slogandan çok somut bir yanıt hak ediyor.

Büyük bir dönüşüm programıyla başlamayın. Ortamı zaten bildiğiniz ve ilişkinin iyi olduğu bir avuç mevcut müşteriyle başlayın. Daha önce hiç sahip olmadıkları bir şey üretin: kendilerine uygulanan çerçeveler karşısında nerede durduklarına dair tek, yönetim kurulunun okuyabileceği bir görünüm; en önemli riskler önceliklendirilmiş ve bunları ele alacak bir planla birlikte. O ürün, yönetim kurulunun gerçekten okuyabileceği şey, teknik bir ilişkiyi danışmanlık ilişkisine çeviren şeydir.

Sonra bırakın takvim satışı yapsın. Müşterilerinizin çoğunun yaklaşan bir siber sigorta yenilemesi vardır ve broker topluluğu, hazırlığın yenilemeden yaklaşık doksan gün önce başlaması gerektiğini açıkça söyler. Birçoğunun, kimsenin verimli biçimde nasıl yanıtlanacağını bilmediği bir tedarikçi anketi bir gelen kutusunda durur. Bunların her biri, müşterinin daha sonra değil şimdi evet demesi için doğal, zamana bağlı bir nedendir. Talep icat etmiyorsunuz. Müşterinin zaten sahip olduğu bir son tarihi, sunabileceğinizi bilmedikleri bir hizmetle karşılıyorsunuz.

Yinelenen hizmeti bu ritim etrafında kurun: altta sürekli izleme, üstte yönetim kuruluna periyodik bir rapor, bir şeyin yorumlanması veya giderilmesi gerektiğinde danışmanlık saatleri. Doksan gün, modeli birkaç hesapla kanıtlamak için yeterlidir. Tüm tabanınıza yaymak için yeterli değildir ve bunu denememelisiniz.

Her MSP’nin bir danışmanlık firmasına dönüşmesi gerekmez

Adil olmak gerekirse, bu tek geçerli yol değildir. Bazı MSP’ler olağanüstü teknik operatörlerdir, bu rolde mutludurlar ve saf teknik hizmete gerçek talep olmaya devam edecektir. Bu, gözler açık biçimde alınmış bilinçli bir stratejik seçimse, tümüyle savunulabilir bir seçimdir.

Risk, teknik kalmayı seçmekte değildir. Risk, hiç seçim yapmamakta ve on sekiz ay sonra en iyi müşterilerinizle danışmanlık ilişkisinin sessizce bir başkası tarafından alındığını keşfetmektedir. İki yıl önce başlamış bir rakip MSP. Yönetim kurulu sorusunu yanıtlayabildiği için artık orta ölçekli hesaplarınızı tek tek kapan bölgesel bir güvenlik uzmanı. Ya da aşağı pazara inen, teknik işe dokunmayacak ama CFO ile konuşmaya seve seve sahip çıkacak, sonra hangi MSP’nin uygulamayı yapacağına ve hangi koşullarda yapacağına karar verecek bir danışmanlık firması.

Seçim

Müşterileriniz dayanıklılık ve uyumluluk konuşmasını yapacaklar. O kısım artık size kalmış değil; düzenleyiciler, sigortacılar ve kendi en büyük müşterileri bunu çözdü. Tek açık soru, bu konuşmayı sizinle mi yoksa başka biriyle mi yapacaklarıdır.

Şeffaflık adına: kendi şirketim Guardian360, bu alanda bağımsız bir yazılım satıcısıdır. Lighthouse platformunu geliştiriyoruz ve yalnızca iş ortakları aracılığıyla satıyoruz, hiçbir zaman doğrudan değil; dolayısıyla MSP’lerin bu kaymayı kazanmasında net bir çıkarım var. Ama argüman biz olmadan da geçerlidir. Önümüzdeki birkaç yılda ortadan kaybolacak MSP’ler, mühendislikleri yetersiz kaldığı için kaybolmayacak. Bir rakip, yapamadıkları bir konuşmayı yaptığı için kaybolacaklar.

Bu yüzden bu soruyu kendinize açıkça sormaya değer. Özellik işinde misiniz, yoksa müşterilerinizi mutlu etme işinde misiniz? Bunlardan birini üç yıl içinde kopyalamak kolaydır. Diğerini değil.