SLA voor IT-dienstverlening: Welke Afspraken moet je Eisen?

Een SLA klinkt als iets voor jurastudenten, maar in de praktijk bepaalt het exact wat je krijgt als je IT-beheer uitbesteedt. Krijg je binnen een uur iemand aan de lijn als de mail eruit ligt, of pas op maandagochtend? Betaal je bij een dag storing gewoon de volledige maandprijs door? En kun je weg als je IT-partner keer op keer zijn afspraken niet nakomt? Dit artikel legt uit wat een SLA voor IT-dienstverlening precies is, welke afspraken je in het MKB moet eisen, en waar je bij de onderhandeling op moet letten.

Wat is een SLA voor IT-dienstverlening?

SLA staat voor Service Level Agreement. Het is de bijlage bij je IT-contract waarin staat welke prestatie je van je leverancier mag verwachten, hoe die prestatie gemeten wordt, en wat er gebeurt als hij zich er niet aan houdt. Een SLA is dus geen marketingfolder ("wij zijn snel en betrouwbaar") maar een meetbare afspraak ("wij reageren binnen 15 minuten op een kritiek incident, met een resolutietijd van maximaal 4 uur").

In ITIL-terminologie werden vroeger drie types onderscheiden: SLA (extern naar de klant), OLA (Operational Level Agreement, binnen dezelfde organisatie) en UC (Underpinning Contract, met externe onderaannemers). ITIL 4 heeft die drieledigheid geschrapt met een pragmatische reden: in de praktijk noemt iedereen alles een SLA en is het enige verschil je perspectief. Voor het MKB is de simpele vraag: "wat mag ik als klant verwachten?"

Waarom een goede SLA in het MKB zo belangrijk is

Wij zien regelmatig contracten waarin de SLA bestaat uit drie zinnen: "streven naar best effort, kantooruren 9 tot 17, service credits op verzoek". Juridisch waardeloos: ze meten niets, verplichten niets en bieden geen escape.

IT-uitval kost ook in het MKB geld. Voorbeeld: als 25 medewerkers een dag niet kunnen werken door een netwerkstoring en je rekent voorzichtig 300 euro per medewerker per dag, is dat 7.500 euro. Bij twee dagen per jaar praat je over 15.000 euro, meer dan menig jaarcontract met een IT-partner. Een goede SLA laat je die kosten claimen of geeft je op zijn minst het recht om zonder boete te vertrekken. Zie ook Wat kost IT beheer uitbesteden in 2026.

De vier bouwstenen van een sterke SLA

Elke serieuze SLA voor IT-dienstverlening rust op vier fundamenten:

1. Bereikbaarheid en service window. Wanneer kun je iemand bereiken (kantooruren, 24/7, weekend, feestdagen) en via welke kanalen (telefoon, portaal, email, chat).
2. Response en resolution times per prioriteit. Hoe snel wordt er gereageerd op een melding, en binnen welke termijn is het opgelost, gedifferentieerd naar impact van het probleem.
3. Uptime en beschikbaarheid van diensten. Percentages die aangeven hoe vaak een dienst beschikbaar hoort te zijn en wat er gebeurt als dat niet lukt.
4. Consequenties: service credits, escape-clausule en rapportage. Wat kost het de leverancier als hij zijn afspraken niet nakomt, en wat zijn jouw juridische opties.

De rest van dit artikel loopt deze vier bouwstenen langs, plus enkele bonuscomponenten die in de praktijk vaak vergeten worden.

Bereikbaarheid en service window: wat is realistisch?

De eerste vraag: heb je 24/7-support nodig? Voor een productiebedrijf, e-commerce webshop of zorgorganisatie is het antwoord ja. Voor een advocatenkantoor dat van 8 tot 18 draait is dat minder duidelijk. 24/7-support kost bij Nederlandse IT-partners typisch 20 tot 50 procent meer dan uitgebreide kantooruren (bijvoorbeeld 7 tot 19 op werkdagen). Beslis eerlijk of je ook echt gebruik gaat maken van die nachtdienst voordat je ervoor betaalt.

De tweede vraag: welke kanalen? De praktijk is dat portaal en email het meeste volume krijgen, maar dat telefonisch contact essentieel is bij kritieke incidenten. Vraag naar concrete cijfers: hoeveel procent van de calls wordt binnen 30 seconden opgenomen? Hoe lang duurt de gemiddelde wachttijd? Onze aparte gids over 24/7 IT-support in Nederland legt uit hoe je die twee vragen afweegt.

Belangrijk: een SLA-klok pauzeert bij moderne dienstverleners standaard als een ticket bij de klant hangt in "pending customer state". Dat is redelijk, maar leg vast wat er gebeurt als de klant lang niet reageert. Anders is het te verleidelijk om tickets in die staat te "parkeren".

Response en resolution times per prioriteit

Een SLA zonder prioriteitsniveaus is nutteloos, want een password reset heeft niet dezelfde urgentie als een volledige mailuitval. De gangbare indeling in IT-dienstverlening:

• P1 Kritiek. Bedrijf ligt (grotendeels) stil. Response binnen 15 minuten, resolutie binnen 2 tot 4 uur. Voorbeelden: mailserver down, hele netwerk uit, ERP niet bereikbaar, ransomware-verdenking.
• P2 Hoog. Belangrijke functie geraakt, groep gebruikers geraakt. Response binnen 30 tot 60 minuten, resolutie binnen 4 tot 8 uur. Voorbeelden: printer-server down, een van de vestigingen zonder internet.
• P3 Middel. Individuele gebruiker of niet-kritieke functie. Response binnen 4 uur, resolutie binnen 1 tot 2 werkdagen.
• P4 Laag. Vraag of wens, geen impact. Response binnen 8 uur, resolutie in overleg.

Belangrijk detail: response time is niet resolution time. Response is dat er iemand terugbelt, resolution is dat het opgelost is. Sommige leveranciers verstoppen zich achter een snelle response en trekken de daadwerkelijke oplossing uit. Vraag altijd om beide getallen, en spreek af dat de leverancier je informeert als de resolutie-target dreigt te sneuvelen.

Wie de prioriteit bepaalt is ook onderdeel van de SLA. In gezonde contracten benoemt de klant de prioriteit; de leverancier mag argumenteren maar niet eenzijdig verlagen.

Uptime en beschikbaarheid: wat betekenen die percentages?

Uptime-percentages zien er indrukwekkend uit tot je ze uitrekent naar echte uren:

• 99 procent uptime. Maximaal 3 dagen en 15 uur downtime per jaar. Voor kritieke diensten onvoldoende.
• 99,9 procent uptime (drie negens). Maximaal 8 uur 46 minuten per jaar, ongeveer 43 minuten per maand. Standaard voor de meeste zakelijke SaaS-toepassingen.
• 99,99 procent (vier negens). Maximaal 52 minuten per jaar. Vaak nodig voor bank-, betaal- en zorg-oplossingen.
• 99,999 procent (five 9s). Maximaal 5 minuten en 15 seconden per jaar. Alleen bij hyperscale cloud-infrastructuur, telecom en levenskritieke systemen.

Twee valkuilen. Ten eerste: 99,9 procent per maand is niet hetzelfde als per jaar. Een leverancier die geen maand-cap belooft kan een keer 8 uur down zijn en de rest van het jaar rondkomen. Ten tweede: de meetdefinitie. Wordt geplande onderhoudstijd meegeteld? Telt gedeeltelijke uitval (een van de vijf functies werkt niet) als downtime? Leg dat in de SLA vast, anders wordt elk incident een woordenspel.

Voor het MKB is 99,9 procent per maand voor je kernsystemen (mail, SharePoint, ERP) een redelijke ondergrens. Kritieke productie-omgevingen verdienen vaak 99,95 of 99,99 procent, met financiele consequenties bij overschrijding.

Service credits en de escape-clausule

Wat gebeurt er als de leverancier zijn SLA niet haalt? Het gangbare instrument zijn service credits: een percentage van de maandfactuur wordt gecrediteerd. Typische staffel bij Nederlandse IT-partners: 5 procent bij overschrijding van response time in een maand, 10 tot 25 procent bij overschrijding van uptime-target, en 50 procent bij herhaalde ernstige overschrijding.

Credits zijn een nuttige prikkel, maar lossen je onderliggende probleem niet op als een dienst maandenlang wankelt. Daarom hoort in een sterke SLA een chronic failure clause: bij drie of vier maanden op rij onder target, of meer dan twee kritieke incidenten binnen 12 maanden die niet binnen resolution zijn opgelost, mag je het contract voor cause opzeggen zonder early termination fee. Vraag ook een cash-out optie: onbenutte credits moeten aan het einde van het contract uitbetaald worden, niet vervallen.

Rapportage en transparantie

Een SLA die niet gemeten wordt bestaat niet. In een gezond contract levert de leverancier maandelijks een SLA-rapport met minimaal:

• Aantal tickets per prioriteit en per categorie.
• Response en resolution times per prioriteit, met adherentie-percentage.
• MTTR (Mean Time to Resolve) en FCR (First Call Resolution) rate.
• Uptime-metingen van kernsystemen.
• CSAT-score (klanttevredenheid, gemeten na afgesloten tickets).
• Aantal SLA-breaches met wortelanalyse.
• Vooruitblik: welke procesveranderingen komen eraan.

Best-in-class MSP's halen consequent boven 95 procent SLA-adherentie; voor P1-tickets liggen realistische doelen tussen 98 en 99 procent. Op klanttevredenheid mikken sterke partners op 90 procent of hoger. Vraag deze cijfers op voordat je tekent; als de leverancier ze niet kan overleggen, meet hij ze zelf niet en is de SLA papier. Achtergrond over hoe een MSP zijn werk zichtbaar maakt staat in wat is systeembeheer.

Wat vaak vergeten wordt

Drie onderwerpen die in tweederde van de SLA's ontbreken: security-SLA's (detectie- en response-tijden bij incidenten zoals EDR-alarm, patch-cycli, awareness-training; onder NIS2 expliciet vereist), change management (doorlooptijd voor standaard en emergency changes; vaak eist een helpdesk-SLA 4 tot 8 uur standaard en 30 minuten emergency), en exit-clausules met data-portabiliteit (in welke formaten en tegen welke kosten krijg je je data terug bij vertrek). De EU Data Act dwingt sinds september 2025 hier meer transparantie af.

Onderhandelen: waar zit ruimte?

Standaard SLA-templates zijn onderhandelbaar, ook in het MKB. Ruimte zit vooral in response times (P2 en P3 vaak scherper te krijgen), service credit percentages en trigger-drempels, chronic failure clause en cash-out, exit-vergoedingen en dataportabiliteit, en de contractduur (12 maanden meer flexibiliteit, 36 maanden vaak betere tarieven). Zelden onderhandelbaar: uptime-percentages van externe cloud-diensten die de MSP niet zelf beheert. Daar hangt hij zelf af van underpinning contracts met de hyperscaler.

Veelgestelde vragen over SLA voor IT-dienstverlening

Wat is het verschil tussen response time en resolution time in een SLA? Response time is de tijd tussen jouw melding en de eerste inhoudelijke reactie van de leverancier. Resolution time is de tijd waarin het probleem daadwerkelijk verholpen is. Sommige contracten benoemen alleen response en verzuimen resolution vast te leggen; vraag beide, gedifferentieerd per prioriteit.

Welke uptime hoort een IT-partner voor het MKB te bieden? Voor de meeste kernsystemen (mail, bestandsopslag, ERP) is 99,9 procent per maand een redelijke ondergrens, wat betekent maximaal 43 minuten downtime per maand. Kritieke productie- of zorgomgevingen verdienen 99,95 tot 99,99 procent. Let bij de meting op de definitie: geplande onderhoudsvensters mogen niet stiekem worden uitgesloten.

Wat zijn service credits en werken ze eigenlijk? Service credits zijn kortingen op de maandfactuur bij SLA-overtreding. Ze werken als financiele prikkel maar dekken zelden je werkelijke schade. Daarom hoort er naast credits een chronic failure clause te staan: bij structurele onder-performance mag je het contract opzeggen zonder early termination fees.

Kan ik weg als mijn IT-partner de SLA structureel niet haalt? Alleen als je contract dat vastlegt. Een goede SLA bevat een chronic failure clause: bij drie maanden op rij onder target, mag je opzeggen voor cause zonder boete. Zonder zo'n clausule zit je vast tot de looptijd verstrijkt.

Hoe vaak moet ik SLA-rapportages ontvangen? Minimaal maandelijks, met een kwartaal- en jaarreview. Een compleet rapport bevat volumes per prioriteit, adherentie-percentages, MTTR, uptime-metingen, CSAT en een lijst met breaches inclusief wortelanalyse. Als de leverancier dat niet kan leveren meet hij niets en is de SLA slechts een tekst.

Is 24/7-support nodig voor mijn MKB? Alleen als je bedrijf ook buiten kantooruren draait, of als klantendiensten 24/7 beschikbaar horen te zijn. 24/7-support kost typisch 20 tot 50 procent meer; voor een 9-tot-17 kantoor is een goed 7-tot-19-model vaak toereikender.

Conclusie

Een SLA voor IT-dienstverlening is geen bijlage die je snel doorbladert. Het is het document waarmee je aan het einde van een slechte maand aantoont wat de leverancier had moeten leveren, en waarmee je bij structurele onder-performance de deur uit kunt zonder boete. De vier bouwstenen zijn bereikbaarheid, response en resolution times per prioriteit, uptime met heldere meetdefinitie, en consequenties in de vorm van service credits met chronic failure clause. Vergeet security-SLA's, change management en exit-clausules niet.

Zit je in een onderhandeling of ben je aan het overwegen om IT-beheer uit te besteden? Wij helpen Nederlandse MKB-bedrijven graag met het opzetten of hercontracteren van een SLA die echt werkt. Ontdek onze IT-beheer-diensten of bel 085-3035869 voor een gesprek waarin je geen verkoop krijgt, wel duidelijkheid. TRON Group. Moving IT Forward: IT die werkt, groeit en beschermt.