Een goede AI- en securitystrategie voor een MSP begint niet bij een Copilot-licentie of een MDR-abonnement. Ze begint bij het gesprek dat MSP’s nu nog te weinig voeren: hoe zorg je dat de klant zijn tempo, zijn efficiency en zijn risico op orde houdt terwijl AI het speelveld onder hem verschuift. Dat is geen tooldiscussie. Dat is een positioneringsvraag. En het is de vraag die bepaalt of je in 2030 nog een gesprekspartner bent aan tafel, of dat je het beheer mag blijven doen tegen een steeds lagere marge.
Vraag tien MKB-ondernemers of ze een AI-beleid hebben. Negen keer krijg je een schouderophalen. En tegelijk zit er intussen wel een medewerker een concept-jaarrekening in een gratis chatbot te plakken om er even een samenvatting van te laten maken.
Dat is het patroon. Geen strategie, geen kaders, geen keuze tussen Copilot, Claude of ChatGPT. Wel iedereen die alles gebruikt en er ondertussen data naartoe verplaatst die er niet hoort te staan. Dat is de nieuwe shadow IT, en die groeit sneller dan het beleid ooit kan bijhouden.
Wat MSP’s daarin onderschatten is dat dit een businessprobleem is, geen tooldiscussie. Een MKB-ondernemer die efficiënter wil groeien met hetzelfde team, kan dat niet als zijn mensen zonder kaders alle tools door elkaar gebruiken. Het risico stapelt zich op en de winst blijft achter.
Bijna iedereen die de vraag krijgt “heb je ooit een gevoelig document in een AI-tool gezet?” antwoordt eerlijk met ja. Cijfers, juridische stukken, concepten. Dat gebeurt nu. Iedere week.
De MSP die dit gesprek niet aangaat met zijn klant, laat een gat vallen dat straks door iemand anders gedicht wordt. En dan gaat het niet over verloren beheeruren, maar over verloren relevantie.
MSP-relevantie stijgt door AI en security, niet door beheer
Waar MSP’s decennialang concurreerden op tooling, infra en onderhoud, verschuift de waarde nu naar onderwerpen die de MKB-directeur écht bezighouden. Groei, efficiency, risicoreductie. Dat zijn de assen waarop MSP’s de komende drie jaar hun bestaansrecht opnieuw moeten bewijzen.
Denk aan de klant die dit jaar tien mensen wil aannemen om zijn groei op te vangen. Als een MSP kan helpen om daar met AI en Copilot zes van te maken, zonder concessies aan het resultaat, dan spreek je een taal die geen enkele beheerpartij spreekt. Dat is directie-taal.
Hetzelfde geldt voor security. Zolang het wordt verkocht als een technische firewall-plus-antivirus-plus-backup-stack, blijft het een kostenpost. Op het moment dat een MSP kan laten zien dat zijn security direct verbonden is met de continuïteit van de operatie, verandert de discussie fundamenteel.
De MSP’s die dat begrijpen, koppelen twee dingen aan elkaar: de doelstellingen van de eindklant en de technologische initiatieven die daar aan bijdragen. Niet los verkopen. Aan elkaar knopen.
Dat is een andere play dan waar veel MSP’s in Nederland vandaan komen. Onder de motorkap sleutelen is niet meer waar het geld en de relevantie zitten. Boven de motorkap staan en meepraten over waar de auto naartoe rijdt, is de rol die overblijft.
AI en security zijn boardroom-onderwerpen geworden
AI en security klinken als twee aparte agendapunten. In de praktijk zijn het hetzelfde gesprek. AI wordt gebruikt om security-preventie sterker te maken, en tegelijk wordt AI gebruikt door aanvallers om sneller binnen te komen. Twee kanten van dezelfde discussie.
Voor de MKB-directie betekent dat één vraag: welk beleid voeren we, en wie helpt ons dat te monitoren. Welke tools mogen wel, welke niet. Waar mag welke data heen. En wie kijkt daar structureel op mee.
Dat is geen vraag die een servicedesk-tier-1-collega beantwoordt. Dat is een vraag die op directieniveau ligt en waar de MSP een gesprekspartner in moet zijn. Als je die rol niet neemt, wordt hem door een consultant of accountant ingevuld die veel minder van je Microsoft-omgeving snapt dan jij.
Een MKB-bedrijf met twintig medewerkers heeft dit soort onderwerpen simpelweg niet in huis. En een grotere klant heeft ze wel in huis, maar met een complexiteit waar ook zij hulp bij nodig hebben. Beide vragen dezelfde partij: iemand die het kan uitleggen, kan implementeren en kan monitoren.
Shadow IT rond AI is onvermijdelijk en al gaande
Bij elke disruptieve technologie loopt het beleid achter op de praktijk. Dat gold voor de cloud, dat gold voor mobiele devices, dat geldt nu voor AI. Verwachten dat je klanten netjes eerst een beleid opstellen en dan pas de tools gebruiken, is naïef.
Data-beleid is bovendien niet sexy. Het is hygiëne. En in hygiëne wordt pas geïnvesteerd als er iets fout is gegaan, precies zoals bij verzekeringen en bij security in het algemeen. Trial and error, met alle schade van dien.
Dat is exact het gat waar de MSP in stapt. Niet wachten tot het beleid vanzelf ontstaat, maar het gesprek initiëren. Welke tools staan we toe. Welke data mag waar heen. Welke gebruikers krijgen welke rechten. Vastleggen in een baseline, monitoren op afwijkingen, bijsturen waar nodig.
Wie dat vandaag oppakt, staat over twee jaar met een geloofwaardig verhaal bij zijn klanten. Wie nu wacht tot het beleid vanzelf komt, gaat straks aan de knoppen zitten van een probleem dat allang uit de hand is gelopen.
Agentic AI verandert het tempo van aanvallen fundamenteel
Wat aanvallers vroeger met tientallen mensen deden, kunnen ze straks met een handjevol agents. AI maakt het mogelijk om standaarden en methodes uit te schrijven waar agents op grote schaal mee gaan kijken of ze ergens binnen kunnen komen.
Het tempo en de complexiteit die AI kan overwinnen, zorgen ervoor dat er meer risico wordt gelopen en minder mensen nodig zijn om diep in systemen te komen. Dat is de bewegende bodem onder het security-vak.
De verdediging heeft dezelfde technologie tot zijn beschikking. Alleen: agentic AI aan de aanvallende kant vraagt om agentic detectie en respons aan de defensieve kant. Handmatig meekijken schaalt niet meer. Automatisering is geen luxe, het is de enige manier om bij te blijven.
Voor MSP’s betekent dat: kiezen voor een security-stack die niet alleen tools bundelt, maar die detectie, respons en tenant-hardening als één samenhangend geheel behandelt. Met een platform dat continu monitort en waar de responses zoveel mogelijk geautomatiseerd zijn.
Security is zowel extern als intern een gevecht
De reflex is nog steeds vooral naar buiten. Tenant harden, MDR inzetten, detectie inrichten, het gevaar buiten de deur houden. Dat is terecht en dat blijft belangrijk. Maar het is niet meer genoeg.
Er is een tweede laag die zich razendsnel ontwikkelt: de medewerker die al binnen is. Dat kan een onoplettende collega zijn die op de verkeerde link klikt. Het kan ook een ontevreden medewerker zijn die bewust een phishing-mail opent onder het mom van “ik wist het niet” en zo de hele operatie plat legt.
Je kan niet anders dan naar een systeem waar continu wordt gecontroleerd: ook al ben je een compliant user, wat doe je, waar doe je dat, en wijkt dat af.
Awareness-trainingen met een online vinkje op vrijdagmiddag zijn daar geen antwoord meer op. De phishing wordt echter, de social engineering wordt gerichter, en de interne dreiging wordt slimmer. Beveiliging wordt multidimensionaal.
Dat vraagt om een basis die staat als een huis. Tenant-configuratie waterdicht, user-management strak, application-management op orde. Daarbovenop een MDR-laag die op gedrag detecteert, niet alleen op signatures. En daaronder een cultuur waarin de medewerker weet dat er wordt meegekeken.
De gemiddelde MKB-hack kost een kwart miljoen euro directe schade
Als je aan een MKB-ondernemer vraagt wat een dag stilstand kost, weet hij het meestal niet exact. Dat verklaart waarom security-investeringen zo vaak worden uitgesteld. Het gevoel van urgentie ontbreekt tot het misgaat.
De gemiddelde succesvolle hack bij een MKB-bedrijf kost zo’n 250.000 euro aan directe schade. En dat is alleen wat je op de factuur ziet. De vertrouwensschade in de keten, de impact op medewerkers, de gevolgen voor klanten en leveranciers komen daar bovenop.
De staalfabrikant die denkt “bij mij valt niets te halen” onderschat waar de aanvaller op mikt. Het gaat allang niet meer om jouw data, het gaat om jouw continuïteit. Als de platen niet meer van de band komen, produceer je niet en loopt de hele keten leeg.
De vraag is niet of een MKB-bedrijf een hack financieel overleeft. De vraag is hoeveel MKB-bedrijven een week stilstand überhaupt overleven zonder de bank te bellen. Voor veel is het antwoord ongemakkelijk.
NIS2 legt de zorgplicht bij de MSP neer
NIS2 gaat over meer dan ketenaansprakelijkheid. Het meest complexe stuk zit in de zorgplicht van de MSP. Die is nog niet volledig uitgekristalliseerd in de rechtspraak, maar de richting is duidelijk.
Er zijn het afgelopen jaar rechtszaken geweest waarbij een MSP aantoonbaar met de klant had gesproken over specifieke securitymaatregelen, waarbij de klant bewust had gekozen om die niet af te nemen, en waarbij de MSP alsnog aansprakelijk werd gehouden voor de vervolgschade. Dat is een fundamentele verschuiving.
Het betekent dat “de klant wilde het niet” geen verdedigingslinie meer is. De MSP heeft een adviserende, controlerende en waar nodig weigerende rol. Wat je in place brengt bij je klant, is geen keuze meer die je aan de klant kunt laten.
Dat vraagt om een baseline waar je op kunt terugvallen. Configuraties die aantoonbaar zijn, afwijkingen die zichtbaar zijn, en een dossier waarin staat wat is aangeboden, wat is geïmplementeerd en wat door de klant is geweigerd. Zonder dat sta je juridisch met lege handen.
MSP’s die standaarden vasthouden groeien het hardst
De MSP’s die het snelst groeien en de hoogste marges draaien, zijn niet de MSP’s die per klant maatwerk leveren. Het zijn de MSP’s die zoveel mogelijk klanten op dezelfde standaard krijgen en hun uitzonderingen tot een minimum beperken.
Feit is dat de MSP’s die zoveel mogelijk bij hun standaard blijven, de MSP’s zijn die het hardste groeien, het hoogste resultaat halen en het efficiëntste kunnen werken.
Dat staat haaks op hoe veel MSP’s ooit groot zijn geworden. Groot geworden door dichtbij de klant te staan, links en rechts maatwerk te leveren, op basis van relatie te werken. Precies dat model loopt nu tegen zijn grenzen aan.
Een simpel voorbeeld is MFA. Vier jaar geleden was het gedoe om een klant te overtuigen. Vandaag is het common sense. Een klant die vandaag nog nee zegt tegen MFA, is een klant waar je nee tegen mag zeggen. Niet omdat de klant fout is, maar omdat je zorgplicht dat verlangt.
De kleinere klanten zijn hierin het lastigst. Die zijn aan het straatvechten, willen weinig geld en weinig tijd besteden aan iets wat niet direct omzet oplevert. Grotere klanten begrijpen de logica van procedures beter. Vandaar dat je steeds meer MSP’s ziet die bewust upmarket bewegen.
Wat dat vraagt van je klantportfolio
Je zult keuzes moeten maken. Welke klanten passen bij je standaard en welke niet. Welke klanten wil je nog aannemen en welke laat je door een collega-MSP verder helpen. Dat voelt ongemakkelijk, maar het is de enige manier om je afbreukrisico onder controle te houden nu de zorgplicht zwaarder wordt.
MDR in het MKB is een half miljard aan groeipotentieel
Wie zoekt naar de commerciële kans van de komende drie jaar in de Nederlandse MSP-markt, hoeft niet ver te kijken. Het zit in MDR voor het MKB. De cijfers zijn helder.
Nederland telt in het MKB ongeveer 3 miljoen Microsoft Business Standard en Business Premium licenties. Daarvan is nu ergens tussen de 15 en 20 procent voorzien van MDR-dienstverlening. De verwachting voor de komende drie jaar is dat dat naar 100 procent groeit, gedreven door de cumulatieve stijging van aanvallen en door compliance.
Macro betekent dat 3 miljoen licenties keer ongeveer 15 euro per maand, ongeveer een half miljard euro aan marktpotentie. Micro betekent het per duizend licenties ongeveer 15.000 euro MRR voor een MSP. Dat is geen randactiviteit meer. Dat wordt basis-dienstverlening.
Wie op tijd instapt, wint klanten op iets waar hij nu nog onderscheidend in is. Wie wacht tot 2027, verkoopt hetzelfde product als iedereen en concurreert alleen nog op prijs. Dat is het verschil tussen nu instappen en later inhalen.
En dat werkt alleen als je platform het aankan. Losse tools die aan de achterkant zogenaamd met elkaar praten, maar in de praktijk je servicedesk van tabblad naar tabblad laten springen, zijn niet houdbaar bij deze schaal. Eén platform dat tenant-hardening, user-management, application-management en MDR combineert, is voor MSP’s met MKB-klanten de enige werkbare route.
Van beheerpartij naar strategische gesprekspartner: de rolverandering die je nu moet maken
De rol van de MSP is de afgelopen twintig jaar geleidelijk verschoven, maar de komende drie jaar gaat die verschuiving in een stroomversnelling. Van leverancier van uptime, naar leverancier van adoptie. Van iemand die tickets afhandelt, naar iemand die richting geeft. Van externe partij die op afroep komt, naar vaste stem aan de directietafel bij zijn belangrijkste klanten.
Dat vraagt om andere mensen in je organisatie. Niet alleen technici die weten hoe een tenant werkt, maar ook consultants die weten hoe een MKB-directie denkt. Iemand die het verschil kent tussen een operationeel probleem en een strategisch probleem, en die weet wanneer welke oplossing op tafel hoort. Dat type medewerker vind je niet in de traditionele MSP-vijver. Die haal je uit consultancy, uit accountancy, uit de accountmanagement-hoek van softwareleveranciers. En je gaat ze zelf opleiden, want de markt heeft er te weinig van.
Het vraagt ook om een andere manier van verkopen. Niet meer offerte-op-aanvraag, maar quarterly business review waar je met de klant kijkt naar zijn doelstellingen, zijn risico’s en zijn adoptiegraad van de tools waar hij al voor betaalt. Copilot is daar het meest voor de hand liggende voorbeeld: een MKB-klant die 30 euro per maand per gebruiker betaalt en zijn mensen niet leert hoe ze het écht inzetten, verspilt geld. Als jij als MSP dat gesprek voert en het gat dicht, ben je meer waard geworden dan de leverancier zelf.
En het vraagt om lef om nee te zeggen. Nee tegen klanten die je standaard niet accepteren. Nee tegen opdrachten die niet passen bij waar je heen wilt. Nee tegen de reflex om alles zelf te blijven doen. De MSP’s die deze bocht maken, worden schaarser, gewilder en duurder. De MSP’s die blijven doen wat ze deden, worden inwisselbaar.
Concreet: waar begin je maandag?
Begin klein en begin nu. Kies vijf klanten uit je top-20 waar je het gesprek over AI-beleid en security-baseline aangaat. Niet als verkoopgesprek, maar als adviesgesprek. Breng in kaart welke AI-tools er nu gebruikt worden, welke data daarin belandt en welke afspraken er zijn. In negen van de tien gevallen kom je thuis met een lijstje ongemakkelijke feiten waar de directeur zelf van schrikt. Dat is je opening.
Leg daarnaast je eigen baseline vast. Wat is voor jou het minimum aan tenant-hardening, MFA, conditional access, user-management en logging waarmee je een klant nog wil bedienen. Documenteer het, communiceer het en verbind er een migratiepad aan voor klanten die er nog niet zijn. Dat is niet alleen commercieel handig, het is straks je juridische dossier onder de NIS2-zorgplicht.
De MSP van 2030 wordt niet gekozen om zijn beheer. Die wordt gekozen omdat hij begrijpt wat de klant probeert te bereiken en zijn technologie daarop aansluit. Wie nu al beweegt richting beleid, adoptie, compliance en security legt de basis voor die rol. SuperVision biedt MSP’s het enablement-platform om Microsoft 365-omgevingen gestandaardiseerd, gecontroleerd en aantoonbaar veilig te beheren, met Baseline Management als fundament en MDR als logische volgende laag, uitgelijnd op het NIST cybersecurity framework.
