IT-beveiliging uitbesteden: wat regelt een partner?

Bijgewerkt op 12 november 2026 · Audiocom Dokkum

IT-beveiliging uitbesteden betekent dat een IT-partner de technische bescherming van je bedrijf inricht en bijhoudt: werkplekken, accounts, netwerk, mail en back-ups. Voor de meeste MKB-bedrijven zonder eigen IT’er is dat de praktische weg naar de basismaatregelen die het NCSC aanraadt. Maar niet alles is uit te besteden. De keuzes, je medewerkers en de wettelijke plichten blijven bij jou.

Wat houdt IT-beveiliging uitbesteden in?

Bij IT-beveiliging uitbesteden neemt een IT-partner de inrichting, bewaking en het onderhoud van je beveiliging over. Denk aan beveiligingssoftware op elke pc, een filter tegen phishing-mail, inloggen met een tweede stap, een zakelijke firewall, automatische updates en back-ups waarvan het herstel getest is. De partner houdt dat continu in de gaten en grijpt in bij een incident.

Vaak gaat dat samen met IT-beheer uitbesteden: de partner beheert dan ook je werkplekken, Microsoft 365 en support voor je team. Beveiliging en beheer liggen dicht tegen elkaar aan. Een update die niet wordt geïnstalleerd is een beheerprobleem en een beveiligingslek tegelijk. Daarom is het handig als één partij beide ziet.

Welke basismaatregelen raadt het NCSC het MKB aan?

Het NCSC en het Digital Trust Center hebben vijf basisprincipes van digitale weerbaarheid opgesteld, bedoeld voor zzp’ers en MKB-bedrijven. Ze luiden: breng risico’s in kaart, bevorder veilig gedrag, bescherm systemen, apparaten en applicaties, beheer toegang, en bereid je voor door back-ups te maken, te testen en scenario’s te oefenen.

In de praktijk komen die principes neer op een handvol concrete maatregelen. Zo verdeel je ze tussen jezelf en een IT-partner:

Wil je eerst zelf zien waar je staat, dan biedt het NCSC op dezelfde pagina de CyberVeilig Check voor zzp en MKB, die binnen vijf minuten een eerste beeld geeft.

Wat regelt een IT-partner en wat blijft jouw verantwoordelijkheid?

Een IT-partner regelt de techniek: beveiligingssoftware, MFA, firewall, gescheiden netwerken, updates, back-ups, monitoring en ingrijpen bij een incident. Jij blijft verantwoordelijk voor de keuzes over je bedrijf, voor het gedrag van je medewerkers en voor wettelijke plichten. Bij persoonsgegevens blijf je als verwerkingsverantwoordelijke altijd zelf aanspreekbaar, ook als je het werk uitbesteedt.

Dat laatste staat letterlijk bij de Autoriteit Persoonsgegevens over de verwerkersovereenkomst: de verantwoordelijkheid voor de verwerking blijft bij jou. Wat in de praktijk bij jou blijft liggen:

• Bepalen wie toegang krijgt, en een medewerker die vertrekt op tijd laten afmelden.
• Je team aanspreken op veilig gedrag, en zorgen dat iemand een verdachte mail of verloren laptop direct durft te melden.
• Beslissen of een datalek gemeld moet worden, en dat op tijd doen.
• Een verwerkersovereenkomst afsluiten met je IT-partner.
• Als je onder de Cyberbeveiligingswet valt: registreren en de maatregelen als bestuur goedkeuren.

Valt mijn bedrijf onder de Cyberbeveiligingswet (NIS2)?

Waarschijnlijk niet, als je een klein MKB-bedrijf bent. De Cyberbeveiligingswet geldt sinds 15 augustus 2026 en raakt volgens het NCSC ongeveer 8.000 organisaties. Je valt er alleen onder als je sector in de wet staat én je organisatie groot genoeg is. Kleine bedrijven buiten die sectoren hoeven zich niet te registreren.

Het NCSC legt op de pagina Valt mijn organisatie onder de Cyberbeveiligingswet? uit hoe je dat bepaalt:

• Sector. Het gaat om achttien sectoren, onder meer energie, vervoer, gezondheidszorg, drinkwater, digitale infrastructuur, beheer van ICT-diensten, overheid, post- en koeriersdiensten, afvalstoffenbeheer, levensmiddelen, chemische stoffen en vervaardiging.
• Omvang. Je organisatie is groot genoeg bij 50 of meer medewerkers (in fte), of bij minder dan 50 medewerkers met een jaaromzet of balanstotaal boven de 10 miljoen euro. Moeder- en dochterbedrijven tel je mee.
• Uitzonderingen. DNS-dienstverleners, aanbieders van openbare telecomnetwerken en diensten, verleners van vertrouwensdiensten, registers voor topleveldomeinen en overheidsorganisaties vallen er altijd onder, ongeacht hun omvang. Volgens de KVK kan een minister ook een klein bedrijf aanwijzen; je krijgt dan bericht.

Een tandartspraktijk of bouwbedrijf met twintig medewerkers en een omzet onder de 10 miljoen euro valt er dus in principe niet onder. Val je er wel onder, dan moet je je registreren, een risicoanalyse maken, passende maatregelen nemen en volgens de NCSC-pagina over de Cbw een incident binnen 24 uur melden bij het CSIRT en de toezichthouder. Twijfel je, doe dan de NIS2-zelfevaluatie van de RDI waar het NCSC naar verwijst. Dit artikel is geen juridisch advies.

Let op: ook als je er niet onder valt, kan de wet je raken. Bedrijven onder de Cbw moeten hun keten beveiligen en kunnen jou als leverancier vragen naar MFA, updates, back-ups en een incidentprocedure.

Wat moet je doen bij een datalek?

Bij een datalek meld je dat binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens, tenzij het niet waarschijnlijk is dat het een risico oplevert voor de betrokkenen. Bij een hoog risico informeer je ook de mensen van wie de gegevens zijn gelekt. Elk datalek, ook een niet-gemeld lek, leg je vast in een intern datalekregister.

Dat staat in het stappenplan Datalek? Dit moet u doen van de AP: overzicht krijgen, het lek stoppen en de schade beperken, beoordelen of je moet melden, slachtoffers informeren als dat nodig is, en registreren. Een IT-partner helpt vooral bij de eerste twee stappen: systemen isoleren, accounts blokkeren, herstellen vanaf een back-up en uitzoeken wat er is gebeurd. De beslissing om te melden en de melding zelf blijven jouw verantwoordelijkheid. Spreek daarom vooraf af wie wat doet, zodat de 72 uur niet verloren gaan aan zoeken.

Hoe kies je een IT-partner voor beveiliging?

Kies een partner die eerst je huidige situatie doorlicht, concreet zegt welke maatregelen hij regelt en het herstel van back-ups test. Let daarnaast op afspraken over incidenten, een verwerkersovereenkomst en of iemand ook kan langskomen. Met deze checklist vergelijk je aanbieders:

1. Begint met een check of scan van accounts, updates, poorten, back-ups en rechten, met een rapport in gewone taal.
2. Noemt de maatregelen bij naam: EDR, phishing-filter, MFA, firewall, updates en back-ups. En zegt ook wat er niet in zit.
3. Test het herstel van back-ups, niet alleen het maken ervan.
4. Heeft een verwerkersovereenkomst klaarliggen.
5. Maakt afspraken over incidenten: bereikbaarheid buiten kantooruren, wie wat doet en hulp bij een datalekmelding.
6. Legt vast wie toegang heeft tot je systemen en houdt bij welke acties zijn uitgevoerd.
7. Neemt je team mee in het herkennen van phishing.
8. Kan langskomen als het op afstand niet lukt, en kent ook je netwerk, telefonie en camera’s.
9. Helpt bij vragenlijsten van klanten die zelf onder de Cyberbeveiligingswet vallen.

Waar past Audiocom?

Audiocom regelt IT-beveiliging voor MKB-bedrijven in Noordoost-Friesland, in zes lagen: EDR, phishing-filter en bewustwording, MFA en toegangsbeheer, netwerk en firewall, updates en back-ups met hersteltest. Alles wordt bewaakt vanuit Dokkum en abonnees kunnen 24 uur per dag bij de servicedesk terecht. Je begint met een gratis beveiligingscheck, met een rapport in gewone taal.

Wil je weten waar je bedrijf staat? Plan een gratis adviesgesprek of bel 0519 220 660.