NIS2 business continuity voor de MSP: waarom je nu aan de directietafel hoort

NIS2, business continuity en de MSP zitten opeens in hetzelfde gesprek, en dat gesprek hoort niet meer in de serverruimte. Vorige week zat een collega bij een groot transportbedrijf aan tafel. De algemeen directeur zei: “Wij hoeven niet compliant te zijn aan NIS2. Maar we gaan het wel alvast doen, want de keten.” Deal gegund, zonder één woord over back-ups of retentiebeleid. Dát is de verschuiving die je moet begrijpen als je je MSP-praktijk de komende twee jaar wilt laten groeien.

De meeste MSP’s die we spreken zitten nog vast in dezelfde reflex. Er komt een nieuwe wet, dus je bouwt een dienstenpakket, je legt uit wat encryptie doet, je laat zien hoe je back-ups draait en je hoopt dat de klant het snapt. Ondertussen zit de directeur van diezelfde klant in een ander gesprek, met zijn grootste afnemer, die vraagt of hij aantoonbaar zijn continuïteit heeft geborgd. En daar valt het stil.

Want NIS2 raakt in Europa 400.000 organisaties direct, en die directe groep, tussen de 8.000 en 10.000 in Nederland, mag alleen nog werken met leveranciers waarvan ze het risico contractueel hebben vastgelegd. Reken maar door: honderdduizenden toeleveranciers gaan gescreend worden door hun grootste klanten. Als jouw MKB-klant die screening niet doorstaat, raakt hij die omzet kwijt. En als jij als MSP dat gesprek niet aanzwengelt, ben jij degene die straks uit die keten valt. Het probleem is niet techniek. Het probleem is dat je op het verkeerde niveau zit, met de verkeerde mensen, over het verkeerde onderwerp.

Wat werkt: business continuity als verkoopgesprek, niet als product

Wat we in de praktijk zien werken is een verschuiving in wie je aan tafel krijgt. Niet de IT-manager, maar de bestuurder. Niet omdat dat commercieel handiger klinkt, maar omdat NIS2 het letterlijk voorschrijft: directieleden hebben een persoonlijke opleidingsplicht en zijn persoonlijk aansprakelijk. Dit is geen onderwerp dat je tussen twee IT’ers kunt afpingelen. Wie het daar laat, voldoet per definitie niet aan de wet.

Het gesprek dat werkt gaat niet over toeters en bellen. Het gaat over één vraag: wat kost het jouw bedrijf als je drie weken plat ligt? Enisa onderzocht dit bij Europese bedrijven die gehackt waren. Een dag stilstand kost tussen 2,5 en 5 procent omzet. Anderhalve week plat is 25 procent. Meer dan drie weken plat betekent voor 60 procent van de getroffen bedrijven faillissement. Die som maak je in twee minuten samen met de directeur. En dan heb je geen securitygesprek meer, je hebt een continuïteitsgesprek. Dat is een fundamenteel andere positie in het inkoopproces.

Waarom back-up en business continuity twee verschillende gesprekken zijn

De grootste denkfout in de midmarket is dat back-up en business continuity synoniemen zijn. Ze zijn dat niet. Back-up is een onderdeel, continuity is de bredere vraag: kan deze organisatie na een incident nog leveren aan haar klanten, en zo ja, binnen welke termijn. Bij een maakbedrijf gaat het over fabriekshallen die stilliggen. Bij een ziekenhuis over patiënten die per ambulance naar een ander pand gaan. Bij een transporteur over ritten die niet gereden worden. Dat is de taal van de bestuurder, en de MSP die die taal spreekt zit op een andere stoel dan de MSP die praat over retentiebeleid.

Concreet betekent dit dat je een impact-analyse voert vóórdat je één technisch woord uitspreekt. Welke processen mogen maximaal vier uur stilliggen? Welke acht uur? Welke twee dagen? Voor welke processen bestaat er een handmatige workaround en voor welke absoluut niet? Wie die vragen beantwoordt samen met de directie krijgt automatisch een RTO en RPO die geen theoretisch getal is, maar een bestuursbesluit. En dat bestuursbesluit is de basis van elk contract, elk SLA en elk investeringsvoorstel dat je daarna neerlegt. Zonder die basis verkoop je losse tools zonder verhaal.

De simulatie als opening

De opening die het beste werkt is niet een aanbieding. Het is een boardroom-simulatie. Je gaat met foto’s op tafel zitten en vraagt: wat als vandaag hier alles plat gaat? Wie belt wie? Waar staan de contracten? Wie mag de verzekeraar bellen? Wie neemt contact op met de grootste klant? In negen van de tien gevallen weet niemand het antwoord. Dat besef, in de kamer, met de directie erbij, is meer waard dan drie kwartalen aan cold outreach. Je verkoopt niet security, je verkoopt de reden waarom hun grootste klant volgend jaar met ze blijft werken.

Bouw die simulatie op als een tabletop-oefening van maximaal negentig minuten. Neem drie scenario’s mee: ransomware in de nacht, een leverancier die zelf plat ligt, en een ex-medewerker die data meeneemt. Laat de directie zelf beslissen wie welke rol pakt. Noteer de stiltes, niet de antwoorden. In die stiltes zit jouw hele offerte. Aan het einde van die sessie legt de directeur zelf zijn gaten op tafel, en jij hoeft alleen nog te vertellen hoe je die dichtloopt. Dat is een fundamenteel andere verkoopdynamiek dan een demo van je back-upconsole.

Waarom het verantwoordelijkheidsgesprek zo lastig is voor de MSP

Het lastigste onderdeel, en dat is waar de meeste MSP’s stuk lopen, is het gedeelde-verantwoordelijkheidsgesprek. Klanten willen ontzorgd worden. Ze willen dat jij het regelt. Maar juridisch is de bestuurder aansprakelijk, niet de MSP. Als je die verdeling niet expliciet op tafel legt, met handtekening eronder, ben jij degene die na een incident aan de beurt is. We adviseren om ook een expliciete afwijzing te laten tekenen: als een klant zegt “die uitgebreide continuity-oplossing wil ik niet”, laat dat dan zwart op wit vastleggen. Dat is geen wantrouwen, dat is professionalisme. Het beschermt de klant tegen zichzelf, en jou tegen een claim die je nooit zag aankomen.

En dan is er nog het salesniveau zelf. Het gemiddelde salesniveau in MSP-land is om te janken, en dat komt niet door slechte mensen. Het komt doordat MSP-sales is opgegroeid met techniek verkopen aan techniek-inkopers. De vertaalslag van techniek naar business impact, van uptime naar omzet, van patchmanagement naar ketenaansprakelijkheid, die wordt zelden gemaakt. Wie die vertaalslag wel maakt, wint deals waar concurrenten niet eens weten dat ze bestonden. Wie hem niet maakt, blijft hangen in prijsonderhandelingen over per-endpoint-tarieven met inkopers die alleen naar de onderste regel kijken.

Wat dit vraagt van je organisatie

Praktisch betekent dit dat je iemand nodig hebt die het directiegesprek kán voeren. Dat is zelden je huidige accountmanager en bijna nooit je engineer. Het is iemand met bedrijfskundige achtergrond, iemand die een jaarrekening kan lezen, iemand die begrijpt wat een bestuurder ‘s nachts wakker houdt. Sommige MSP’s huren daar een oud-controller voor in, anderen laten hun eigenaar de eerste tien gesprekken zelf voeren om het patroon te ontdekken. Beide werken. Wat niet werkt is hopen dat je bestaande sales dit erbij pakt tussen de licentie-renewals door.

De grootste kans die je als MSP dit jaar hebt zit niet in een nieuwe vendor of een slimmere tool. Hij zit in het feit dat honderdduizenden Nederlandse bedrijven een gesprek moeten voeren dat ze niet zelf kunnen voeren, met een klok die tikt. Wie dat gesprek aandurft aan de directietafel, met cijfers over omzetderving en aansprakelijkheid, bouwt de komende twee jaar een klantportfolio dat niet meer weg te concurreren is. Wie het parkeert en wacht tot de klant zelf begint, schiet zichzelf in twee voeten tegelijk. Begin deze week: bel drie bestaande klanten, vraag naar hun grootste afnemer, en stel die ene vraag over drie weken stilstand.