Managed Detection and Response (MDR) voor het MKB: MSP versus MSSP versus Intern SOC

Als je vandaag als MKB-organisatie serieus met detectie en respons aan de slag gaat, kom je snel in een woud van afkortingen terecht: MSP, MSSP, MDR, SOC-as-a-Service, XDR, SIEM. Ze klinken uitwisselbaar in verkoopgesprekken, maar leveren fundamenteel verschillende diensten en kosten. In dit artikel leggen we uit welke dienstmodellen er zijn, wat ze in 2026 concreet kosten en welke keuze past bij welk type Nederlandse MKB-organisatie. Voor een uitgebreide uitleg van hoe SOC-uitbesteding zelf werkt verwijzen we naar ons artikel over SOC uitbesteden en managed detection response.

De vier dienstmodellen op een rij

Voor MKB-organisaties zijn er in de praktijk vier dienstmodellen die je overweegt.

1. MSP (Managed Service Provider). Runt je IT: endpoints, netwerk, back-up, patchmanagement, helpdesk. Security zit erbij als basislaag (antivirus, patches, wat firewall-instellingen), maar 24/7-detectie is geen kernactiviteit.
2. MSSP (Managed Security Service Provider). Levert diepere security-diensten: threat detection, threat hunting, vulnerability assessments, incident response, compliance-ondersteuning. Draait vaak vanuit een eigen SOC en heeft analisten die aanvalspatronen dagelijks zien.
3. MDR (Managed Detection & Response). Een specifieke dienst, gefocust op detecteren en stoppen van bedreigingen. MDR is meestal endpoint-gericht (via EDR/XDR), 24/7 gemonitord door mensen, met concrete containment-acties bij een incident. Wordt zowel door pure-play MDR-vendors als door MSSP's aangeboden.
4. Intern SOC. Je eigen 24/7-team van security-analisten, tooling en processen. In theorie de meeste controle; in de praktijk vrijwel niet betaalbaar voor MKB-organisaties.

Belangrijk om te begrijpen: MDR is een DIENST, MSSP is een PROVIDER-MODEL. Een MSSP kan MDR aanbieden, plus andere diensten als log management, netwerkmonitoring en compliance-rapportage. Wie alleen "MDR" koopt bij een pure-play speler, krijgt vaak snelle response op endpoint-bedreigingen, maar geen breed security-programma.

Wat een MSP wel en niet doet voor je security

De typische Nederlandse MSP levert uitstekende operationele hygiene: gecentraliseerd apparaatbeheer via Intune, MFA op alle accounts, automatisch patchmanagement, back-up-monitoring en helpdesk. Voor 70 tot 90% van de MKB-security-basis is dat de belangrijkste laag.

Wat een MSP zonder security-team niet levert, is 24/7-monitoring op actieve aanvallen, threat hunting en snelle containment. Als een aanvaller via een gestolen wachtwoord binnen komt en om 02:15 uur op zaterdag ransomware begint uit te rollen, staat een MSP-helpdesk vaak pas maandagochtend voor je klaar. Dat is een fundamenteel verschil.

Voor veel MKB is de logische route: eerst je basis op orde via een managed IT-partner, en daarna een detectie-laag erbovenop, vaak bij dezelfde partij als die MDR-diensten heeft.

MSSP en MDR: het security-vak

MSSP's zijn ingericht om over meerdere klanten aanvalspatronen te correleren en snel te reageren. Ze werken met SIEM-tooling, EDR/XDR op endpoints, threat intelligence-feeds en een team dat gestandaardiseerd op alerts reageert. Meer over dat providermodel in ons overzicht van wat een MSSP precies is.

MDR-diensten binnen een MSSP kijken naar endpoints, cloud en netwerk. Bij een bevestigd incident kunnen ze isoleren, processen stoppen en accounts blokkeren zonder dat jij eerst 40 minuten telefonisch moet uitleggen wat er speelt. Voor de brede uitleg van endpoint-detectie, zie wat EDR precies is.

Intern SOC: theoretisch mooi, praktisch onhaalbaar voor MKB

Een 24/7 dekkende interne SOC vraagt minimaal 5 tot 7 FTE aan security-analisten om continue dekking te garanderen (drie shifts, plus vakantie- en ziekteopvang). In Nederland ligt het bruto-jaarsalaris van een SOC-analist ergens tussen 50.000 en 90.000 euro, oplopend tot 120.000 euro voor senior of tier-3-niveau in de Randstad. Tel daar de kosten voor SIEM-, EDR-, SOAR-tooling, threat intelligence, training en retentie bij op, en je zit al snel op een jaarbudget van 1,5 tot 3 miljoen dollar voor een basaal functionerend SOC.

Voor een MKB-organisatie met 50 tot 250 medewerkers is dat simpelweg buiten proportie. Zelfs bij organisaties met 500 medewerkers is de rekensom vaak in het voordeel van uitbesteden, tenzij je in een sterk gereguleerde sector zit waar je om andere redenen intern moet houden.

Wat wel realistisch is voor een groter MKB: een co-managed of hybride model, waarbij je 1 tot 2 interne security-mensen hebt voor business-context en policy-werk, en 24/7-monitoring plus tier-1-triage extern belegt bij een MDR-provider. Dit is in 2026 het snelst groeiende deploymentpatroon.

Wat kost het in 2026?

Europese tarieven zijn meestal vergelijkbaar in euro's.

MSP (zonder aparte security-laag) Basale managed IT met patchmanagement, back-up, helpdesk en device management: 100 tot 250 dollar per gebruiker per maand.

MDR (per endpoint of per gebruiker)

• Entry (24/7 monitoring, alert-triage, basic containment): 8 tot 25 dollar per endpoint per maand.
• Full met response (containment, forensics, remediation guidance): 25 tot 50 dollar per endpoint per maand.
• Premium met dedicated analist en threat hunting: 50 tot 100+ dollar per endpoint per maand.

Concrete voorbeelden: Huntress Managed EDR vanaf ongeveer 9 dollar per endpoint per maand met 24/7 SOC. Sophos MDR en SentinelOne bewegen tussen 7 en 25 dollar per endpoint per maand. Arctic Wolf zit met een named-team-model hoger, vanaf ongeveer 44.000 dollar per jaar entry en 30 tot 60% boven pooled-SOC-vendors. CrowdStrike Falcon Complete zit rond 25 tot 45 dollar per endpoint per maand. Voor kleine MKB met 25 tot 75 endpoints komt de MDR-factuur meestal uit op 1.500 tot 5.000 dollar per maand.

Volwaardige MSSP-diensten (per organisatie per maand)

• Kleine MKB (25-100 medewerkers): 2.000 tot 5.000 dollar per maand.
• Mid-market (100-500): 5.000 tot 20.000 dollar per maand.
• Enterprise (500+): 20.000 dollar en hoger.

Een MSP die security-diensten credibly levert zit vaak dicht bij MSSP-tarieven, tussen 150 en 300 dollar per gebruiker per maand.

Intern SOC (indicatief) Year-one totaal 1,5 tot 3,3 miljoen dollar (personeel plus tooling en infra). Recurring 1,2 tot 2 miljoen dollar per jaar.

Welk model past bij welk MKB?

Een pragmatisch keuzeframework op basis van omvang en risicoprofiel.

Onder 25 medewerkers, standaard MKB. Een goede MSP met Microsoft 365-basis, Intune, MFA en back-up dekt 80% van je risico. Overweeg lichtgewicht MDR (Huntress-achtige oplossingen) als je met gevoelige klantdata werkt of een cyberverzekering het eist.

25 tot 100 medewerkers. Investeer in een MSP die MDR-diensten via een pooled SOC aanbiedt. Reken op 200 tot 400 euro per gebruiker per maand all-in voor IT plus MDR. Je krijgt 24/7-detectie, containment en incident-support die een intern team niet evenaart.

100 tot 500 medewerkers, gereguleerd. MSSP met dedicated MDR-service, plus 1 tot 3 interne security-mensen voor beleid en business-context. Reken op 5.000 tot 20.000 euro per maand extern. Co-managed SIEM als je logs zelf wilt beheren.

500+ medewerkers, hoge dreiging. Hybride model: interne tier-2/tier-3 voor business-context, externe partij voor tier-1-triage en 24/7-dekking. Volledig intern is zelden te rechtvaardigen, tenzij regelgeving het eist.

De NIS2-context: waarom detectie in 2026 handhaafbaar is

Sinds 15 augustus 2026 handhaaft de Nederlandse Cyberbeveiligingswet actief de NIS2-verplichtingen. Voor essentiele entiteiten liggen de boetes tot 10 miljoen euro of 2% wereldwijde omzet; voor belangrijke entiteiten tot 7 miljoen euro of 1,4%. Bestuurders kunnen bij nalatigheid persoonlijk aansprakelijk worden gesteld, met tijdelijke bestuursverboden als optie.

De incident-meldplicht is strak: 24 uur eerste melding, 72 uur tussenrapportage, 1 maand eindrapportage. Zonder detectie- en response-capaciteit is die deadline niet te halen. Meer context staat in ons overzicht van NIS2-compliance in Nederland. Voor MKB dat onder NIS2 valt (of via de leveranciersketen indirect), is een aantoonbare MDR- of MSSP-relatie geen luxe meer, maar een verwachting van toezichthouder, verzekeraar en enterprise-klant.

Valkuilen bij het uitbesteden van security

Vanuit onze eigen managed cyber security-praktijk zien we een aantal fouten terugkomen.

• MDR kopen zonder EDR-fundament. Sommige providers vereisen hun eigen EDR-tool, andere werken met wat je al hebt. Check dit vooraf, want licentiekosten voor Defender for Endpoint, CrowdStrike of SentinelOne kunnen snel oplopen.
• Contract zonder response-belofte. Alerts krijgen is niet hetzelfde als geholpen worden. Zorg dat het contract expliciet regelt wat de provider zelf doet bij een incident (isoleren, processen stoppen, accounts blokkeren).
• Onduidelijke SLA op reactietijd. "Best effort" is geen SLA. Vraag om concrete MTTA en MTTR met boeteclausules.
• Alleen endpoint-dekking. MDR die alleen naar endpoints kijkt, mist wat er in de cloud en op netwerkniveau gebeurt. Voor de meeste MKB is er ook detectie nodig op Microsoft 365 (identiteit, mail-doorstuurregels) en netwerk.
• Geen periodieke evaluatie. Test elk kwartaal via een tabletop of simulated attack of de provider echt levert wat het contract belooft.

Veelgestelde vragen over MDR, MSSP en intern SOC voor het MKB

Wat is het praktische verschil tussen een MSP met security en een MSSP? Een MSP levert IT-beheer met security als basislaag; een MSSP is primair een security-organisatie met 24/7-SOC, analistenteam en threat intelligence als kern. Als je aan het einde van de dag vooral operationele IT wilt uitbesteden en security is een must-have basis, past een MSP. Als je actieve detectie en snelle response nodig hebt, past een MSSP of een MSP die aantoonbaar MDR-diensten levert.

Kan een MSP zonder eigen SOC toch MDR aanbieden? Ja, veel Nederlandse MSP's werken met een pure-play MDR-vendor (Huntress, Sophos, SentinelOne, Bitdefender) achter de schermen. Voor het MKB is dit vaak de pragmatische route: je hebt een lokale IT-partner die aanspreekbaar is, en achter de schermen zit een gespecialiseerd SOC dat het zware detectiewerk doet.

Wat kost een basale MDR-dienst voor 50 werkplekken? Reken op 500 tot 1.500 euro per maand voor entry-MDR (pooled SOC, endpoint-focus, 24/7 monitoring, basic containment). Full MDR met response en cloud-integratie komt richting 1.500 tot 3.500 euro per maand. Premium met dedicated analist zit fors hoger. Combineer dat met je bestaande MSP-contract voor het totaalplaatje.

Heb ik zowel MSSP als MSP nodig? Niet per se. De trend in 2026 is dat MSP's security-diensten inbouwen (soms via een MSSP-partner achter de schermen), zodat je een enkele partij aanspreekpunt hebt. Voor mid-market en enterprise MKB komt de combinatie MDR plus MSSP wel vaak voor: MDR voor endpoint-detectie, MSSP voor breed security-programma en compliance-rapportage.

Wat als er 's nachts een incident is en de provider reageert traag? Vraag dit voor het contract expliciet uit. Vraag om MTTA en MTTR met boeteclausules, en om referenties van klanten die een echte crisis hebben meegemaakt. Test het elk kwartaal met een simulated incident of tabletop-oefening. Zorg ook zelf voor duidelijke escalatie-protocollen intern, want ook de beste provider heeft input van jouw kant nodig.

Wanneer is intern SOC toch de moeite waard? Vrijwel nooit voor puur MKB (tot 500 medewerkers). Vanaf ongeveer 1.000 medewerkers, in gereguleerde sectoren met specifieke soevereiniteits- of business-context-eisen, wordt intern SOC een reele overweging. Zelfs dan zien we in 2026 vaker hybride modellen (interne tier-2/3, externe tier-1) dan volledig interne 24/7-SOCs.

Conclusie

De keuze tussen MSP, MSSP, MDR en intern SOC is voor het MKB in 2026 zelden zwart-wit. Voor het overgrote deel van Nederlandse MKB-organisaties is de pragmatische route: een sterke MSP-basis voor operationele IT, aangevuld met een MDR-dienst voor 24/7-detectie en response. Een volledig eigen SOC is voor bijna elk MKB financieel niet haalbaar en operationeel niet nodig. Belangrijker dan het model is dat de dienst aantoonbaar levert wat je nodig hebt: 24/7-menselijke monitoring, snelle containment, concrete SLA-afspraken en periodieke tests.

TRON Group levert deze combinatie in Nederland: managed IT met MDR-integratie, 24/7-detectie via een pooled SOC met Nederlandstalige aanspreekpunten, en NIS2-vaste rapportage voor toezichthouders en verzekeraars. Wil je weten of jouw huidige detectie-inrichting bestand is tegen een echte aanval of NIS2-controle? Bel ons op 085-3035869 of vraag een vrijblijvende security-scan aan. We denken graag mee, eerlijk over waar je basis staat.