IT-beheer uitbesteden: de complete gids

Bij managed services neemt een externe partij het beheer van (een deel van) je IT over tegen een vaste prijs en met vaste afspraken over kwaliteit. Denk aan monitoring, patching, backups, security en het oplossen van storingen. Het verschil met inhuur: de partij is verantwoordelijk voor het resultaat en levert dus meer dan uren.

• Je hebt 24/7 beschikbaarheid nodig en je team is te klein voor een piketdienst.
• Kennis is kwetsbaar, omdat die bij één of twee mensen zit.
• Je platform is complexer geworden, bijvoorbeeld door Kubernetes of meerdere clouds, en vraagt kennis die je niet in huis hebt.
• Je team komt niet toe aan verbetering, omdat het meeste werk uit routinebeheer en storingen bestaat.
• Je moet aantoonbaar voldoen aan normen als BIO, ISO 27001 of NIS2.

Uitbesteden loont minder als je beheer sterk verweven is met specifieke bedrijfsprocessen die veel interne kennis vragen, of als je team groot genoeg is en de kennis breed gespreid is.

Een week heeft 168 uur. Een fulltime medewerker werkt er ongeveer 36 tot 40, minus vakantie, ziekte en opleiding. Om elk uur van de week één persoon beschikbaar te hebben, heb je dus al meer dan vier fte nodig. In de praktijk reken je met vijf tot zes mensen per kennisgebied, zodat iemand niet elke week piket heeft en kennis niet bij één persoon zit.

Tel daarbij op: piket- en onregelmatigheidstoeslagen, opleiding en certificering, tooling voor monitoring en logging, en de tijd die werving kost. Vergelijk dat bedrag met de maandprijs van een partner, voor hetzelfde serviceniveau.

• Responstijd: hoe snel de partner reageert op een melding.
• Oplostijd of hersteltijd: hoe snel de dienst weer werkt. Belangrijker dan responstijd, maar lastiger hard af te spreken.
• Beschikbaarheid: het percentage van de tijd dat de dienst werkt, gemeten over een afgesproken periode.
• Prioriteiten: de indeling van incidenten (bijvoorbeeld P1 tot P4), met per prioriteit eigen tijden.
• Servicevenster: de uren waarin de afspraken gelden, bijvoorbeeld kantooruren of 24/7.

Let op: beschikbaarheid hangt af van het hele platform, inclusief applicaties, netwerk en leveranciers. Een partner kan alleen garanderen wat hij beheert. Spreek af of gepland onderhoud meetelt.

NIS2 is de Europese richtlijn voor cyberbeveiliging. In Nederland geldt sinds 15 augustus 2026 de Cyberbeveiligingswet (Cbw), de invulling van NIS2. Twee punten zijn belangrijk bij uitbesteden:

• Je blijft zelf verantwoordelijk. Valt je organisatie onder NIS2, dan moet je ook de risico’s in je toeleveringsketen beheersen, inclusief je beheerpartner. Neem eisen aan beveiliging en incidentmelding op in het contract.
• Beheerpartners vallen er zelf ook onder. Aanbieders van managed (security) services zijn in NIS2 als aparte categorie opgenomen. Vraag een partner hoe hij daaraan voldoet.

Dit is geen juridisch advies. Laat de toepassing op je organisatie toetsen door je jurist of compliance officer.

1. Inventariseren: systemen, afhankelijkheden, documentatie, toegang en lopende problemen.
2. Healthcheck: risico’s benoemen die vóór de overdracht opgelost moeten worden.
3. Afspraken maken met de huidige partij of het eigen team over de overdracht.
4. Monitoring en toegang inrichten voor de nieuwe partner.
5. Gefaseerd overnemen, bijvoorbeeld eerst monitoring, dan incidenten, dan wijzigingen.
6. Evalueren na de eerste maanden en de afspraken bijstellen.

Veelgemaakte fouten: te weinig tijd voor de overdracht, documentatie die niet klopt met de werkelijkheid, geen afspraken met de vertrekkende partij, en vergeten welke taken “vanzelf” door iemand gedaan werden.