De rol van de MSP is in vier jaar tijd fundamenteel verschoven. Wie als MSP strategische partner in cybersecurity wil zijn, doet vandaag iets heel anders dan de beheerder van toen. Waar de servicedesk vijf jaar geleden nog servers patchte en incidenten oploste, zit dezelfde MSP nu aan tafel met de CFO om te praten over data governance en licentiebudgetten. Dat is geen marketingverhaal. Dat is wat er in de praktijk gebeurt bij MSP’s die hun klanten door NIS2, AI-versnelling en cyberaanvallen heen loodsen.
Vijf jaar geleden was de gemiddelde MSP een hybride beheerder. On-premise servers, wat cloud erbij, een servicedesk die tickets afhandelde. Vandaag ziet het speelveld er anders uit.
Vrijwel alle on-premise is weg. De focus ligt niet meer op de werkplek als apparaat, maar op de user en de data die die user overal doorheen sleept. Identity, cloud, en dataclassificatie zijn de nieuwe hoofdthema’s. Serverbeheer is een randactiviteit geworden.
Dat klinkt logisch, maar de operationele consequenties zijn groot. Een engineer die vier jaar geleden aan een Exchange-migratie werkte, zit nu in gesprekken over conditional access, Purview-classificaties en Copilot-adoptie. Dat vraagt een ander gesprek met de klant.
En dat is precies waar het schuurt. Klanten kopen historisch gezien beheer. Ze krijgen nu een partij aan tafel die meepraat over risicoprofielen, data-eigenaarschap en compliance-verplichtingen. Die verschuiving van leverancier naar strategische partner gaat niet vanzelf.
De MSP’s die deze stap wel maken, doen twee dingen tegelijk. Ze automatiseren de basislaag zo agressief mogelijk, zodat de mensen die daar zaten kunnen meebewegen naar het nieuwe werk. En ze investeren in gesprekken die niet meer over techniek gaan, maar over impact op de business van de klant.
Wie dat niet doet, blijft hangen in het oude model. Die verkoopt straks nog steeds werkplekbeheer terwijl de concurrent aan tafel zit bij de CFO om te praten over hoe budget en security samen bewegen. Dat is een verlies dat je niet in één kwartaal terugwint.
Automatisering van de basislaag maakt engineers vrij voor het echte werk
De grootste operationele hefboom van de afgelopen jaren zit niet in nieuwe diensten. Die zit in het wegautomatiseren van de basislaag. User management, standaardconfiguraties, offboarding, license assignments. Alles wat vijf jaar geleden nog handwerk was op de servicedesk.
Zodra dat automatisch loopt, komt er ruimte vrij. Niet om meer klanten in dezelfde bezetting te bedienen, maar om engineers ander werk te laten doen. SOC-diensten, data governance met Purview, integraties naar business-applicaties. Werk dat vier jaar geleden simpelweg niet bestond in het MSP-portfolio.
De servicedeskmedewerker van vandaag doet in de kern nog steeds hetzelfde werk als vijf jaar geleden. Dat is geen kritiek. Dat is een observatie. De verandering zit een laag daarboven, bij de engineers die nu bezig zijn met de moderne werkplek koppelen aan applicaties die de klant zelf uitkoos.
Daar zit steeds meer van het echte werk. Niet in het inrichten van een tenant, maar in het bewaken dat die tenant over tientallen klanten heen consistent blijft. En dat je afwijkingen ziet voordat een klant er last van krijgt.
Zonder een platform dat die baseline bewaakt, wordt dat handwerk. En handwerk schaalt niet. Een MSP met 80 klanten die elke tenant handmatig controleert op configuratiedrift, verliest de wedstrijd van een MSP die datzelfde geautomatiseerd doet en de vrijgekomen tijd steekt in security-consulting.
Dat is de operationele kern van de verschuiving. Niet meer diensten stapelen op meer mensen. Meer waarde leveren met dezelfde mensen, doordat de basis onder controle is en zichtbaar blijft.
Cybersecurity-bewustzijn groeit door regelgeving, niet door techniek
Dat cybersecurity meer top of mind wordt bij klanten, komt zelden door een goed verhaal van de MSP. Het komt door drie externe drukfactoren die tegelijk oplopen.
De eerste is regelgeving. NIS2 is uitgesteld tot 15 augustus, maar de klanten die doorraadplichtig zijn of ISO gecertificeerd zijn, voelen de druk allang. Bestuurskamers stellen vragen die vier jaar geleden niet werden gesteld. Niet omdat het management opeens security snapt, maar omdat de aansprakelijkheid persoonlijker wordt.
De tweede is de daadwerkelijke aanval. Een phishing die raak was, een data-lek, een moment waarop het niet meer theoretisch is. Dat is helaas nog steeds vaak het moment waarop budget vrijkomt.
De derde is AI. Externe LLM’s van Anthropic, OpenAI en anderen worden razendsnel aangesloten op interne data. Dat versnelt het werk, maar maakt de dataflow ondoorzichtig. Klanten die dat doorhebben, komen terug met vragen over inzicht en controle.
Vooruitstrevend is het bij de meeste klanten nog niet. Een deel is er strak mee bezig, de rest volgt langzaam. De MSP die dit onderwerp actief aankaart in QBR’s, mailings en video’s, versnelt dat proces marginaal. Wat écht helpt is een van die drie externe factoren, en de vraag is welke er eerst langskomt.
Secure by design is het fundament, security consulting is de laag erbovenop
Een werkplek die niet secure by design is ingericht, kun je later niet meer patchen tot iets veiligs. Dat is het uitgangspunt waarmee de meeste volwassen MSP’s werken. Conditional access, single sign-on, MFA, standaard hardening: het staat aan vanaf dag één en het gaat niet uit.
Bij ongeveer de helft van de klantenbase is dat het minimum. Daar bovenop komt security consulting als additionele dienst. Elk kwartaal een rapport, een gesprek over de stand van zaken en over wat er in de markt verandert. Niet als verkoopmoment, maar als iteratie-moment.
De ene klant staat verder dan de andere. Een deel is nog zwaar hybride en moet eerst naar de standaard toe. Een ander deel loopt voor en experimenteert al met agents en Copilot. Dat is geen probleem, zolang je als MSP weet in welke fase elke klant zit en waar de volgende stap ligt.
De realistische ambitie is dat binnen anderhalf jaar de hele klantenbase op vergelijkbaar baseline-niveau zit. Niet identiek, maar wel op een punt waar de fundamenten kloppen en de gesprekken over data en identity zinvol te voeren zijn.
Dat vraagt discipline in de rapportage. Een security consult zonder cijfers is een gesprek. Een security consult met een kwartaalrapport dat naast de vorige ligt, is een traject. Klanten voelen dat verschil, ook als ze niet technisch zijn.
Drie drijfveren bepalen wanneer klanten daadwerkelijk investeren
Er zijn grofweg drie triggers die een klant over de streep trekken. Ze werken los van elkaar, en soms alle drie tegelijk.
De eerste is de aanval zelf. Een phishing die geland is, een gebruiker die op een link klikte, een moment van paniek. Dat is het meest brute triggerpunt, en het lelijkste om als reden te noemen. Maar het werkt. Na de tweede keer dat het bij dezelfde klant misging, was er ineens ruimte voor het gesprek dat maanden eerder al gevoerd had moeten worden.
De tweede is compliance. NIS2, ISO, doorraadplicht, cyberverzekeringen die zwaardere eisen stellen of duurder worden. Zeker in bestuurskamers van grotere MKB-bedrijven wordt dit steeds vaker het agendapunt dat security-investeringen mogelijk maakt.
De derde is AI. De versnelling van de afgelopen drie tot vier maanden is een ander soort trigger. Klanten willen versnellen met Copilot en externe LLM’s, maar realiseren zich dat hun data-classificatie daar niet klaar voor is. Dat is een pull-vraag geworden waar het eerder een push was.
Je ontkomt er de komende jaren niet meer aan om deze stap te maken. De cyberverzekeraars vragen erom, de compliance vraagt erom, en als je niks doet gaat het gewoon nog een keer gebeuren.
Elk van deze drie triggers vraagt een ander gesprek. Bij een aanval is het triage en herstel. Bij compliance is het aantoonbaarheid en rapportage. Bij AI is het inzicht en controle over dataflows. Een MSP die die drie gesprekken beheerst, heeft een propositie die verder gaat dan techniek.
Technische taal moet vertaald naar business-impact per rol
Eerlijk over de eigen zwakte: de meeste MSP’s praten nog te technisch. Het is een technisch georiënteerde bedrijfstak, intern begrijpt iedereen elkaar in afkortingen, en dat lekt door naar het klantgesprek. Dat werkt niet meer.
Wat wel werkt is inzoomen op user profiles binnen de klantorganisatie. Wat gebeurt er als het misgaat bij HR? Wat gebeurt er bij finance? Wat betekent het voor een productiemedewerker die geen laptop heeft maar wel toegang tot orderinformatie? Dat maakt security opeens concreet.
Een technisch georiënteerd bedrijf snapt de impact van een data-lek anders dan een logistiek dienstverlener. Bij de een is IP het risico, bij de ander is uitval van planning het risico. Dezelfde technische oorzaak, twee volstrekt verschillende gesprekken.
De valkuil is dat je in dat vertaalwerk techniek helemaal probeert weg te laten. Dat lukt niet. De klant moet iets snappen van wat er onder de motorkap gebeurt, anders neemt hij geen beslissing. Het is een balanceer-oefening tussen genoeg techniek om begrip te bouwen en genoeg business-taal om beslissingen mogelijk te maken.
Use cases wegen zwaarder dan features
Een lijst features helpt niemand. Een use case waarin een medewerker van finance per ongeluk een gevoelig bestand deelt met een externe partij, en het effect daarvan op de klant en zijn cyberverzekering, helpt wel. Dat is het niveau waarop de gesprekken landen.
Pilots met MDR en data governance maken de dienst pas echt
Nieuwe diensten worden niet uit de tekentafel geboren. Ze worden gepilot, gemeten, aangescherpt en pas dan uitgerold. Voor MDR en data governance met Purview betekent dat een handjevol pilot-klanten waar de methodiek getoetst wordt.
Wat je in die pilotfase leert, is wat je op papier had bedacht dat er zou gebeuren, en wat er werkelijk gebeurt. Vaak zit daar een gat. False positives die je niet had voorspeld. Dienstbeschrijvingen die op één punt onduidelijk zijn. Overdracht tussen MSP en SOC die net wat anders loopt dan de flowchart suggereerde.
Drie pilot-klanten is een werkbaar aantal. Genoeg variatie om patronen te zien, weinig genoeg om er echt aandacht aan te geven. Kleiner en je hebt onvoldoende signaal. Groter en de iteratieloop wordt te traag.
Voor MDR is die iteratie kritiek. Je wilt niet dat je iets mist als het echt misgaat. Je wilt ook niet dat je overspoeld wordt met valse meldingen waardoor het signaal in de ruis verdwijnt. Dat tune-werk gebeurt in de pilotfase, samen met de partner die de dienst levert.
Bij data governance zit de iteratie op een ander vlak. Purview kan bijna alles, maar de vraag is wat je aanzet en wanneer. Classificaties die te scherp staan frustreren gebruikers. Te ruime classificaties leveren geen bescherming. Dat evenwicht vind je alleen door het te doen.
Wat dit vraagt van een MSP is geduld en discipline in ontwikkeling. Diensten niet lanceren omdat ze in de markt gevraagd worden, maar omdat ze intern getoetst zijn op klanten die het aandurven om mee te leren.
Nieuwe technologieën leggen de verbinding met de business die beheer nooit maakte
Laptopbeheer is geen business-gesprek. Het is een kostenpost die iemand moet regelen. Dat is altijd zo geweest, en dat verandert niet.
Copilot, cyberweerbaarheid en data governance leggen wel een verbinding met de business. Bij een MKB-bedrijf van twintig medewerkers spreek je met de eigenaar, die zowel de business als de IT-beslissing neemt. Daar landt een AI-adoptiegesprek direct.
Bij grotere organisaties verandert het speelveld. Dan zit er ineens een CFO aan tafel. Niet omdat IT onder finance valt, maar omdat licentie-upgrades, data-eigenaarschap en risicobudgetten thema’s zijn die door het IT-domein heen naar het financiële domein trekken.
Dat is de kern van waarom nieuwe technologieën het MSP-gesprek transformeren. Ze raken meerdere delen van de organisatie tegelijk. De commerciële rollen willen snelheid en adoptie. De financiële rollen willen controle en voorspelbaarheid. IT zit in het midden om die twee te verzoenen.
Een MSP die dat gesprek kan faciliteren, is geen leverancier meer. Die is onderdeel van de besluitvorming. Dat is een andere positie, met andere tarieven en andere verwachtingen.
Interne security als rolmodel maakt het verhaal geloofwaardig
Als de tuin van de tuinman er niet uitziet, verkoopt hij geen tuinwerk meer. Dat geldt dubbel voor een MSP. Klanten geven letterlijk de sleutels weg. Vertrouwen is geen bijproduct, het is de dienst zelf.
Dat begint bij interne inrichting die minstens zo streng is als wat je aan klanten adviseert. Alle security-features aan, ook de features die klanten graag uitzetten omdat kopiëren en plakken lastiger wordt. Dat ongemak is de first line of defense.
ISO-processen die niet cosmetisch zijn maar echt werken. Toegang tot klantomgevingen die via een interne aanvraag loopt, niet via een gedeeld admin-account. Phishing-simulaties met een leaderboard, zodat het spel zich vermengt met de discipline.
Wij laten alles aanstaan. Het klinkt bazaal, maar het is toch een first line defense, voor iemand die getriggerd wordt van doe ik nu iets wat wel of niet handig is.
Maandelijkse teammeetings waarin echte klant-incidenten worden besproken. Niet als roddel, maar als leermoment. Twee-wekelijkse sessies waarin de eigen omgeving tegen het licht wordt gehouden. Het is niet spectaculair, het is repeterend werk.
En het is precies dat repeterende werk dat een MSP onderscheidt. De vendor-keuze doet er minder toe dan het gedrag eromheen. Een strak Microsoft 365 fundament dat gemonitord wordt met Baseline Management, MDR erop als volgende laag, uitgelijnd op NIST. Dat is de basis. Maar zonder de interne cultuur die die basis serieus neemt, blijft het een technische stack zonder tanden.
Rapportage en meetbaarheid maken het verschil tussen leverancier en partner
Er is een fundamenteel verschil tussen een MSP die vertelt dat het goed gaat, en een MSP die het aantoont. Dat verschil zit in de rapportage, en het is de meest onderschatte hefboom in de verschuiving naar strategisch partnerschap.
Klanten die een cyberverzekering hebben, worden bevraagd op controls. Klanten die onder NIS2 vallen, worden bevraagd op maatregelen. Klanten die ISO-gecertificeerd zijn, moeten aantoonbaar in control zijn. In alle drie de gevallen komt de vraag uiteindelijk bij de MSP terecht: kun je bewijzen dat wat je zegt te doen, ook echt gebeurt?
Een dashboard dat groen kleurt is geen bewijs. Een rapport dat elk kwartaal de baseline-score toont, de afwijkingen benoemt, en aangeeft wat er opgelost is sinds vorige keer, is dat wel. Dat is het verschil tussen een leverancier die diensten levert en een partner die verantwoording aflegt.
De MSP die dit goed doet, gebruikt de kwartaalrapportage niet als verantwoording achteraf, maar als sturingsinstrument vooraf. Welke klanten lopen achter op de baseline? Welke tenants hebben configuratiedrift die we moeten adresseren voordat het een audit-issue wordt? Welke klanten zijn klaar voor de volgende laag, zoals MDR of data governance?
Dat vraagt om een platform dat die data automatisch verzamelt en presenteert. Handmatig een kwartaalrapport samenstellen per klant kost een dag werk per klant. Bij tachtig klanten is dat onbetaalbaar. Bij een geautomatiseerde baseline-monitoring is het een druk op de knop en een gesprek van een uur.
Waar het echt interessant wordt, is als die rapportage gekoppeld wordt aan een raamwerk dat de klant herkent. NIST, CIS Controls, ISO 27001-annex A. Op het moment dat een MSP kan laten zien welke controls uit welk framework aangetoond zijn en welke nog niet, verschuift het gesprek van techniek naar governance. En governance is de taal van bestuurders, niet van IT-managers.
Dat is uiteindelijk waar de verschuiving naar strategisch partnerschap zichtbaar wordt in de commerciële relatie. Niet in een nieuwe titel op het naamkaartje, maar in het feit dat een MSP-vertegenwoordiger uitgenodigd wordt bij het bestuur om de security-status toe te lichten. Dat is een positie waar geen leverancier ooit komt, en waar een partner permanent zit.
Wat dit betekent voor MSP’s die de stap nu willen maken
De verschuiving van beheer naar strategisch partnerschap gebeurt niet door een nieuwe salespitch of een nieuwe vendor. Ze gebeurt door de basis onder controle te krijgen, engineers vrij te maken voor het werk dat wél impact heeft, en het gesprek met de klant te verplaatsen van techniek naar business-risico. Wie de baseline niet aantoonbaar op orde heeft, kan het gesprek over MDR, Copilot en data governance simpelweg niet voeren. SuperVision biedt MSP’s het enablement platform om Microsoft 365-omgevingen gestandaardiseerd, gecontroleerd en aantoonbaar veilig te beheren, met Baseline Management als fundament en MDR als logische volgende laag, uitgelijnd op het NIST cybersecurity framework.
