MSP aansprakelijkheid security: waarom aannames je nu de kop kosten

MSP aansprakelijkheid security is geen theoretisch risico meer. Er liggen inmiddels uitspraken waarin de rechter de MSP verantwoordelijk houdt, niet omdat er iets technisch fout ging, maar omdat de klant nooit aantoonbaar is geïnformeerd over de risico's die hij liep. Zes, zeven jaar aan aannames worden nu ineens juridisch gewogen. En die weging valt zelden in het voordeel uit van de partij die zei "dat hebben we toch besproken".

Het patroon herken je waarschijnlijk. Je hebt tegen de klant gezegd dat MFA erop moet. Je hebt in een kwartaaloverleg genoemd dat de backup-strategie beter kan. Je hebt drie keer een offerte gestuurd voor betere endpointbescherming. De klant knikte, tekende niet, en jij bent doorgegaan. Want er waren nog vijftig andere tickets.

De klant zit intussen in een heel ander frame. Die betaalt elke maand een factuur en gaat er vanuit dat "het geregeld is". Wat er precies is geregeld, weet hij niet, en dat interesseert hem ook niet, tot het moment dat er ransomware op de bestandsserver zit. Op dat moment gaat de vraag niet meer over de bedreiging. De vraag gaat over wie er wist wat, en vooral: waar staat dat.

Dat is de scheiding waar veel MSP-eigenaren nu tegenaan lopen. Adviseren deden ze al jaren. Zorgplicht is nieuw. En de bewijslast voor die zorgplicht ligt nadrukkelijk bij de MSP, niet bij de klant die "het toch had moeten begrijpen".

Aantoonbaarheid is de nieuwe stack

Wat in de praktijk werkt is een verschuiving in wat je vastlegt en wanneer. Niet nog een tool, niet nog een dashboard voor jezelf. Een klantregistratie waarin per kwartaal staat: welke risico's zijn benoemd, welke keuze heeft de klant gemaakt, en wie heeft dat vanuit de klant getekend. Dat klinkt bureaucratisch en dat is het ook. Maar het is het verschil tussen een discussie voeren en een dossier hebben.

De MSP's die deze slag afgelopen jaar hebben gemaakt, hebben iets ontdekt. De verkoopdynamiek is gedraaid. Twee jaar geleden moest je bij de klant leuren om een awareness-training verkocht te krijgen. Nu vraagt de klant zelf welke bewijsvoering je kunt leveren, omdat zijn verzekeraar of zijn keten daarom vraagt. Wie klaarstaat met een gestandaardiseerd basispakket, verkoopt zonder pitch.

Wat helpt is een harde ondergrens. Geen MFA, dan geen klant. Geen minimale awareness-cyclus, dan geen contract. Dat voelt hard, maar het is de enige positie waarin je je eigen aansprakelijkheid nog kunt beheersen. Iedere uitzondering die je maakt om een klant binnen te halen, wordt over twee jaar het bewijsstuk waaruit blijkt dat je zelf je basis niet handhaafde.

Boven die ondergrens bied je gelaagdheid. Frequentie van controles, diepte van monitoring, snelheid van response. Daar kiest de klant. Onder die ondergrens kiest hij niets, want dan werkt het model niet. Vergelijk het met de garage: als de remmen weg zijn, mag de auto de weg niet meer op, ook niet als de eigenaar zegt dat hij geen budget heeft.

Van aanname naar dossier in vier bewegingen

De MSP's die dit goed hebben ingericht, doen vier dingen consistent. Ze voeren minstens twee keer per jaar een risicogesprek met de klant, niet met de systeembeheerder maar met de directie. Ze leggen de uitkomst vast in taal die de directie zelf begrijpt, dus niet in CIS-controls maar in bedrijfsimpact. Ze laten die uitkomst tekenen. En ze koppelen elke afwijking van het beleid terug naar dezelfde tafel, binnen dertig dagen.

Dat vierde punt is waar de meesten struikelen. Een beleid afspreken in januari en dan een jaar niets doen is geen zorgplicht, dat is een archiefstuk. De werkelijkheid van een klant verandert wekelijks: een nieuwe medewerker, een uitgezet MFA-token, een firewall-regel die er "even tijdelijk" uit is gegaan. Als jij als MSP daar niet op signaleert richting directie, ben jij degene die het risico geaccepteerd heeft.

Praktisch betekent dit dat je één iemand in je organisatie eigenaar maakt van die terugkoppelcyclus. Geen collectieve verantwoordelijkheid, want dan gebeurt het niet. Iemand met een agenda-item elke maandag: welke uitzonderingen staan er open, wie heeft ze goedgekeurd, en is die goedkeuring nog geldig. Dat kost een halve dag per week bij een portefeuille van vijftig klanten. Die halve dag is de goedkoopste verzekering die je kunt afsluiten.

De taalbarrière is het echte probleem

De onderschatte factor in dit hele verhaal is taal. De gemiddelde MSP praat over baselines, configuraties en compliance-frameworks. De advocaat, bakker of zorginstelling aan de andere kant hoort ruis. En als de klant je waarschuwing niet begrijpt, telt die waarschuwing juridisch niet als informatie. Dat is precies waar rechters op landen.

Vertaal de risico's naar het bedrijf van de klant. Voor een advocatenkantoor gaat het over cliëntdossiers en tuchtrecht. Voor de bakker om de hoek over kassasystemen en loonadministratie. Voor de zorginstelling over patiëntgegevens en de IGJ. Diezelfde technische bevinding krijgt dus drie verschillende uitleg-varianten. Dat kost tijd, en die tijd moet in je dienstverleningsmodel zitten, niet in de marge van je consultant. Als je die vertaling niet levert, ben je geen MSP meer, dan ben je een leverancier van gereedschap dat de klant niet begrijpt.

Een gemiddelde MSP werkt met ergens tussen de 40 en 50 tools. Elk portaal, elke API, elke update-cyclus. De verleiding is om nog een tool toe te voegen die "compliance" of "aantoonbaarheid" belooft. Dat is meestal het verkeerde antwoord. De vraag is niet welke tool erbij moet, maar welke drie tools eruit kunnen als je een platformkeuze maakt, en welke uren je vrijmaakt om die risicogesprekken twee keer per jaar echt te voeren. Aantoonbaarheid ontstaat aan een tafel, niet in een dashboard.

Wat een goed risicogesprek er in de praktijk uitziet

Een risicogesprek dat werkt, duurt geen twee uur en gaat niet over techniek. Het gaat over drie vragen. Wat zou er in dit bedrijf stilliggen als we morgen twee weken zonder systemen zitten. Welke gegevens mogen onder geen beding op straat komen te liggen, en wie in de keten kijkt daarop mee. En: welke afwijking van ons standaardbeleid heeft de directie het afgelopen halfjaar bewust geaccepteerd, en staat dat nog. Meer vragen zijn het niet.

Wat je terug op tafel legt, is één A4. Bovenaan de drie grootste risico's, gerangschikt naar impact op de omzet van de klant. Middenin de maatregelen die eronder liggen, met per maatregel de status: actief, opengesteld op verzoek van de klant, of niet ingekocht. Onderaan één regel met de datum, de naam van de tekenbevoegde bij de klant, en een handtekening. Geen bijlage van veertig pagina's. Geen policy-document dat niemand leest. Eén A4 die iemand kan pakken als het misgaat, en waaruit blijkt: dit is besproken, dit is gekozen, dit is geaccepteerd.

De MSP's die dit een jaar volhouden, merken twee dingen. De klanten die het niet willen tekenen, vallen vanzelf af, en dat zijn achteraf bijna altijd de klanten waar je al onderbuikgevoel bij had. En de klanten die wel tekenen, worden opvallend rustiger in hun ticketgedrag, omdat ze voor het eerst begrijpen wat ze wel en niet mogen verwachten. De verwachtingskloof die jarenlang je marge opat, sluit zich.

De MSP's die de komende twee jaar overeind blijven, zijn niet degenen met de duurste security-stack. Het zijn de MSP's die hun basis niet-onderhandelbaar hebben gemaakt, hun risicogesprekken hebben ingeroosterd zoals ze hun patchcycli inroosteren, en die durven te zeggen dat een klant die niet mee wil, beter ergens anders klant kan zijn. In de MSP Late Night Performance Club delen eigenaren precies hoe ze dat gesprek voeren, welk dossier ze aanleggen en waar ze zelf de klanten hebben laten gaan die het niet snapten.