Wat is een MSSP?
Een MSSP (Managed Security Service Provider) is een externe dienstverlener die namens een organisatie cybersecuritydiensten beheert, bewaakt en uitvoert, zoals 24/7 beveiligingsmonitoring, SIEM-beheer, kwetsbaarheidsbeheer en incidentrespons. De MSSP levert dus mensen, processen en vaak ook techniek, meestal vanuit een eigen SOC. De Europese NIS2-richtlijn definieert een MSSP als een beheerde dienstverlener die activiteiten op het gebied van cybersecurityrisicobeheer uitvoert of daarbij ondersteunt. In industriële omgevingen komt daar specifieke kennis van ICS, SCADA en industriële protocollen bij.
Met een MSSP koopt u expertise en continuïteit in, maar niet uw verantwoordelijkheid: die blijft bij uw eigen organisatie.
🧠 Waarom kiezen organisaties voor een MSSP?
Een eigen SOC dat dag en nacht bemand is, is duur en lastig te bemensen. Een 24/7-positie beslaat 8.760 uur per jaar, wat neerkomt op vijf tot zes FTE per positie. Daarbij komen licenties, opleiding en het vasthouden van schaarse analisten. Een MSSP verdeelt die kosten over veel klanten.
- Continue bewaking - meldingen worden ook ‘s nachts en in het weekend beoordeeld.
- Snellere detectie - analisten zien patronen bij meerdere klanten en herkennen aanvalstechnieken eerder.
- Gespecialiseerde kennis - bijvoorbeeld van ICS/SCADA-beveiliging, forensisch onderzoek en threat intelligence.
- Voorspelbare kosten - een vast abonnement in plaats van wervings- en opleidingsrisico’s.
- Snellere respons - vaste playbooks en SLA’s met afgesproken reactietijden.
- Ondersteuning bij Compliance - rapportages en bewijslast voor audits en toezichthouders.
🔧 Welke diensten levert een MSSP?
| Dienst | Wat de MSSP doet |
|---|---|
| SIEM-beheer | Logs verzamelen, correleren, use cases onderhouden en alarmen beoordelen |
| SOC als dienst | 24/7 bewaking van systemen en netwerken door analisten |
| Threat Intelligence | Informatie over actuele dreigingen, aanvallers en zero-days vertalen naar detectieregels |
| Vulnerability Management | Scannen, prioriteren en rapporteren van kwetsbaarheden |
| Patchmanagement | Advies over of uitvoering van beveiligingsupdates |
| Incident Response | Onderzoek, inperking en herstel bij inbraken of malware |
| Pentest en Red Team | Periodieke aanvalssimulaties en technische tests |
| Compliance-rapportage | Bewijs leveren voor NIS2, IEC 62443 en ISO 27001 |
Niet elke MSSP levert alles. Sommige richten zich alleen op monitoring en melden verdachte activiteit aan de klant, andere voeren ook zelf respons uit. De Amerikaanse wet FISMA speelt alleen een rol als u systemen beheert voor de Amerikaanse federale overheid; in Europa zijn NIS2 en ISO 27001 het referentiekader.
🔄 Wat is het verschil tussen een MSP, MSSP, MDR en een eigen SOC?
| Model | Kern | Respons | Typische klant |
|---|---|---|---|
| MSP | Beheer van ICT: servers, netwerk, werkplekken | Herstel van storingen, niet primair security | Organisaties die hun ICT-beheer uitbesteden |
| MSSP | Beheer en bewaking van beveiligingsvoorzieningen | Meestal melden en adviseren; respons vaak optioneel | Middelgrote organisaties zonder eigen SOC |
| MDR | Detectie en respons als dienst, vaak op basis van EDR of XDR | Voert zelf respons uit, zoals een endpoint isoleren | Organisaties die snelle ingreep willen |
| Eigen SOC | Interne analisten en tooling | Volledig in eigen hand | Grote organisaties en vitale aanbieders |
| Hybride | MSSP doet eerstelijnsbewaking, eigen team triage en respons | Gedeeld via afgesproken escalatie | Organisaties met OT die 24/7 dekking willen |
In de praktijk lopen de begrippen door elkaar. Kijk daarom niet naar het label, maar naar wat contractueel is afgesproken over detectie, respons en bevoegdheden.
🏭 Hoe werkt een MSSP in OT-omgevingen?
In OT gelden andere prioriteiten dan in IT: beschikbaarheid en veiligheid van het proces gaan voor. Een MSSP mag daarom niet zomaar een systeem isoleren of een scan starten op een productienetwerk. Een gespecialiseerde OT-MSSP of een OT SOC werkt vooral passief.
| Toepassing | Voorbeeld |
|---|---|
| OT-netwerkbewaking | Passive Monitoring en IDS op Industrial Ethernet via SPAN-poorten of TAP-connecties |
| Assetdetectie | Inventarisatie van PLC, HMI, Drives en SCADA-systemen via Asset Discovery |
| Historian-analyse | Afwijkende dataverzameling of onverwachte uitgaande verbindingen van de Historian |
| Remote access-auditing | Logging op de Jump Server, MFA en Protocol Filtering voor leveranciers |
| Patchadvies | Risicogebaseerd advies over firmware- en OS-updates, afgestemd op onderhoudsstops |
OT-MSSP’s gebruiken vaak platforms als Claroty, Nozomi Networks, Dragos of Tenable OT Security. Belangrijk is dat de MSSP de Purdue-zones van de klant respecteert: sensoren en verzamelservers staan bij voorkeur in de DMZ of in de betreffende zone, en de verbinding naar het SOC van de MSSP loopt alleen uitgaand en versleuteld. Voor dienstverleners die OT-systemen integreren of onderhouden beschrijft IEC 62443-2-4 welke securityprocessen u mag verwachten.
🔐 Welke rol speelt een MSSP onder NIS2 en de Cyberbeveiligingswet?
Een MSSP is onder NIS2 op twee manieren relevant.
- De MSSP als gereguleerde entiteit - NIS2 noemt beheerde dienstverleners en beheerde beveiligingsdienstverleners in bijlage I, sector 9 “Beheer van ICT-diensten (business-to-business)“. Een middelgrote of grotere MSSP valt daarmee zelf onder de richtlijn: boven de drempel voor middelgrote ondernemingen als essentiële entiteit, daaronder als belangrijke entiteit. Uitvoeringsverordening (EU) 2024/2690 van 17 oktober 2024 legt voor deze dienstverleners gedetailleerde technische eisen vast.
- De MSSP als leverancier - artikel 21, lid 2, onder d, van NIS2 verplicht organisaties hun toeleveringsketen te beveiligen, inclusief de relatie met directe dienstverleners. Overweging 86 wijst erop dat MSSP’s zelf doelwit zijn van aanvallen en door hun nauwe integratie een bijzonder risico vormen, zodat u ze met extra zorg moet selecteren.
In Nederland is NIS2 omgezet in de Cyberbeveiligingswet, die samen met het Cyberbeveiligingsbesluit op 15 augustus 2026 in werking is getreden. De Rijksinspectie Digitale Infrastructuur (RDI) is coördinerend toezichthouder en het NCSC is voor de meeste sectoren de CSIRT. Let op: de meldplicht blijft bij uzelf. Een vroegtijdige waarschuwing moet binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport binnen een maand. Leg dus vast dat de MSSP u tijdig de informatie levert die u daarvoor nodig hebt.
Daarnaast wijzigt Verordening (EU) 2025/37, die op 4 februari 2025 in werking trad, de Europese cyberbeveiligingsverordening (Verordening (EU) 2019/881). Die maakt nu ook Europese certificeringsschema’s mogelijk voor beheerde beveiligingsdiensten zoals incidentafhandeling, penetratietests en security-audits. Zo’n schema bestaat nog niet, maar kan straks helpen bij het kiezen van een betrouwbare MSSP.
🎯 Hoe selecteert en contracteert u een MSSP?
Een stappenplan dat in de praktijk goed werkt:
- Bepaal de scope - welke systemen, locaties en zones vallen eronder, en hoort OT erbij?
- Kies het model - alleen bewaking, MDR met respons, of hybride met een eigen team.
- Toets OT-kennis - vraag naar ervaring met uw protocollen, leveranciers en IEC 62443.
- Leg SLA’s vast - reactietijden per prioriteit, escalatiepaden en beschikbaarheid buiten kantooruren.
- Regel bevoegdheden - wat mag de MSSP zelf doen, en welke acties in OT vragen altijd akkoord van de operatie?
- Beveilig de toegang - MFA, minimale rechten, aparte accounts per analist en volledige logging.
- Borg data en exit - waar worden logs opgeslagen (On-Premise of in de Cloud), hoe lang, en hoe krijgt u ze terug bij beëindiging?
- Oefen samen - test het Incident Response Plan met de MSSP minstens jaarlijks.
| Aandachtspunt | Gangbare afspraak in contracten |
|---|---|
| Reactietijd kritieke melding | Binnen 15 tot 60 minuten, 24/7 |
| Bewaartermijn logs | Vaak 90 dagen direct doorzoekbaar, langer in archief |
| Rapportage | Maandelijks operationeel, per kwartaal op managementniveau |
| Audit van de MSSP | ISO 27001-certificaat of SOC 2-rapport, plus recht op eigen audit |
| Exit | Overdracht van logs, detectieregels en documentatie |
De gezamenlijke waarschuwing AA22-131A van de Five Eyes-diensten uit mei 2022 benadrukte dat aanvallers het vertrouwen tussen dienstverlener en klant misbruiken. De aanval op Kaseya VSA in juli 2021, waarbij ransomware via de beheersoftware van zo’n 60 dienstverleners bij naar schatting 800 tot 1.500 van hun klanten terechtkwam, liet zien hoe één dienstverlener een ingang naar veel organisaties wordt. Behandel uw MSSP daarom als onderdeel van uw Third Party Risk Management.
❓ Veelgestelde vragen
Wat kost een MSSP?
De kosten van een MSSP hangen af van het aantal bronnen, endpoints, locaties en de gekozen dienstverlening. Een abonnement is voor de meeste middelgrote organisaties goedkoper dan een eigen 24/7-SOC, dat al snel tien tot vijftien medewerkers vraagt. OT-monitoring wordt vaak per site of per sensor geprijsd.
Is een MSSP verantwoordelijk als er een incident gebeurt?
Nee, een MSSP draagt de eindverantwoordelijkheid niet over. Onder NIS2 en de Cyberbeveiligingswet blijft het bestuur van uw organisatie verantwoordelijk voor de zorgplicht en de meldplicht. De MSSP is verantwoordelijk voor het nakomen van de contractuele afspraken en SLA’s.
Valt een MSSP zelf onder NIS2?
Ja, beheerde beveiligingsdienstverleners staan in bijlage I van NIS2 onder de sector beheer van ICT-diensten. Een MSSP vanaf middelgrote omvang moet daardoor zelf aan de zorgplicht en meldplicht voldoen. Uitvoeringsverordening (EU) 2024/2690 werkt de technische eisen voor deze dienstverleners uit.
Kan een gewone IT-MSSP ook OT bewaken?
Een IT-gerichte MSSP kan OT alleen goed bewaken als hij industriële protocollen, procesrisico’s en de afspraken met de operatie begrijpt. Zonder die kennis ontstaan valse alarmen of riskante ingrepen op productiesystemen. Vraag daarom naar OT-specifieke tooling, referenties en ervaring met IEC 62443.
Wat is het verschil tussen een MSSP en een SOC?
Een SOC is de functie of afdeling die beveiligingsmeldingen bewaakt en opvolgt. Een MSSP is een externe partij die zo’n SOC als dienst levert, vaak samen met andere beveiligingsdiensten. Een organisatie kan dus een eigen SOC hebben, een MSSP inschakelen of beide combineren.
Hoe beperkt u het risico van een MSSP met toegang tot uw netwerk?
Het risico van een MSSP beperkt u met MFA, minimale rechten, aparte accounts per analist, volledige logging van alle sessies en uitgaande verbindingen vanaf uw kant. Neem beveiligingseisen, auditrechten en meldafspraken op in het contract. Controleer periodiek of de toegang nog nodig is en trek die direct in bij beëindiging.
📌 Samengevat
Een MSSP levert continue bewaking, expertise en schaal die veel organisaties zelf niet kunnen opbouwen. In OT vraagt dat om passieve monitoring, respect voor de procesvoering en heldere afspraken over bevoegdheden. Onder NIS2 en de Cyberbeveiligingswet is de MSSP zowel zelf gereguleerd als een leverancier waarvan u het risico moet beheersen.
Een MSSP is een externe partner die uw Cybersecurity, inclusief OT en industriële netwerken, beheert en bewaakt; de verantwoordelijkheid voor uw beveiliging en meldplicht blijft echter altijd bij uzelf.