Wat is managed IT en wanneer heb je het nodig?

Wat is managed IT?

Bij managed IT draag je het beheer van je hardware, software en IT-beleid, of een deel daarvan, over aan een externe dienstverlener. Het Nationaal Cyber Security Centrum (NCSC) wijst erop dat je zelf kiest of je het volledige beheer uitbesteedt of alleen een bepaalde dienst afneemt. Als voordeel noemt het NCSC dat je niet in één keer alle laptops en netwerkapparatuur hoeft aan te schaffen: in ruil daarvoor betaal je maandelijks een afgesproken bedrag.

KVK noemt drie vormen van ICT uitbesteden: een afgesproken proces, zoals het gebruiksklaar maken van een cloudoplossing; bewaking van systemen, waarbij het ICT-bedrijf onder meer datalekken en hacks signaleert; en ICT-support voor kleine problemen tegen een afgesproken uurtarief. Managed IT, zoals HAN-IT het aanbiedt, combineert de tweede en de derde vorm: bewaking van je systemen en support, samen in een maandbedrag.

Wat zit er in managed IT?

Dit zijn onderdelen die je kunt afspreken:

• Monitoring van servers, laptops en netwerk, zodat problemen zichtbaar zijn voordat ze werk stilzetten.
• Updates en patches voor besturingssystemen en software.
• Support voor medewerkers via telefoon, mail of hulp op afstand.
• Beveiliging, zoals antivirus, een firewall, e-mailbeveiliging en extra bescherming van kritieke systemen met tweefactorauthenticatie.
• Back-up en periodieke herstelproeven.
• Rapportages en een vast aanspreekpunt.

Managed IT of per uur betalen?

Bij betalen per uur hangen je kosten af van hoeveel er misgaat, en dat is lastig vooraf te begroten. Bij managed IT spreek je een maandbedrag af voor een omschreven pakket, inclusief preventief werk zoals updates en bewaking. Wat buiten het pakket valt, kan apart in rekening worden gebracht: vraag wat erin zit.

Wanneer heb je managed IT nodig?

• Je IT hangt af van één collega of een vriend van de familie.
• Storingen leggen regelmatig het werk stil.
• Je weet niet of je back-up werkt en je accounts goed zijn beveiligd.
• Klanten stellen vragen over je informatiebeveiliging.
• Je groeit en wilt nieuwe medewerkers snel en veilig laten starten.

Welke prijsmodellen bestaan er?

Het maandbedrag wordt op verschillende manieren berekend. Aanbieders van managed services beschrijven onder meer deze drie modellen:

• Per medewerker: een vast bedrag per persoon, inclusief diens apparaten. Vraag hoeveel apparaten per medewerker zijn inbegrepen.
• Per apparaat: een bedrag per beheerd apparaat, soms met een ander tarief per soort, zoals werkstation, server of printer. Spreek af wat als apparaat telt, bijvoorbeeld bij virtuele servers.
• Vast bedrag voor een pakket: één vast maandbedrag voor een omschreven aanbod. Dat is overzichtelijk, maar leg vast wat er niet onder valt.

Sommige aanbieders werken ook met pakketten in niveaus, waarbij een hoger niveau meer diensten omvat. Welk model het gunstigst is, hangt af van je aantal medewerkers en apparaten, van wat is inbegrepen en van de vraag of je team groeit of krimpt. Reken elke offerte door over een jaar, vraag naar eenmalige startkosten en vergelijk alleen offertes met dezelfde inhoud. Met de IT-calculator zet je je aantallen op een rij; de pakketten van HAN-IT staan bij pakketten en prijzen.

Waar let je op in het contract en het servicelevel?

Je legt de afspraken vast in een servicelevelovereenkomst (SLA). Volgens het NCSC hoort daar onder meer in: de dienstbeschrijving, de looptijd, eigendom en risico, beveiliging en de werkwijze bij geschillen. Het NCSC raadt aan begrippen meetbaar en eenduidig te maken, zodat de overeenkomst niet op interpretatie berust. Loop deze onderwerpen na:

• Wat is inbegrepen: diensten en apparatuur, en waarvoor je zelf verantwoordelijk blijft.
• Onderhoud: welke updates en patches, wie ze uitvoert, hoe vaak en of dat buiten kantooruren gebeurt.
• Beveiliging: antivirus, firewall, tweefactorauthenticatie voor kritieke systemen, periodieke controles en wie waarvoor verantwoordelijk is.
• Gegevens en back-up: waar je gegevens staan (binnen of buiten de EU), wie erbij kan, hoe vaak en hoe lang back-ups worden bewaard en of terugzetten wordt getest.
• Incidenten: aanspreekpunt, meldprocedure, reactietijd, oplostijd en 24/7 ondersteuning.
• Beschikbaarheid: het toegezegde uptimepercentage, hoe lang een dienst offline mag zijn en of gepland onderhoud meetelt.
• Bevoegdheden: wanneer de partij zelf maatregelen mag nemen en wanneer jij of je directie beslist.
• Niet nagekomen afspraken: welke vergoeding geldt, wat is afgesproken over schade en wie aansprakelijk is.
• Looptijd en opzegtermijn: hoe lang je vastzit en wanneer je kunt opzeggen.

Laat de tekst over aansprakelijkheid, schade en opzeggen bij twijfel beoordelen door een jurist of adviseur.

Reactietijd, oplostijd en uptime

De reactietijd is de tijd waarbinnen de partij op je melding reageert, de oplostijd de tijd waarbinnen het probleem is opgelost. Een reactietijd zegt weinig over hoe snel je weer kunt werken. Reken ook het uptimepercentage na: volgens de checklist van het NCSC mogen je systemen bij 99,9 procent per jaar een ruime werkdag achter elkaar uitvallen, en per maand minder dan een uur. Zelf uitgerekend is 0,1 procent van een jaar ongeveer 8,8 uur. In het NCSC-advies over cloudleveranciers staat dat een hogere beschikbaarheid over het algemeen duurder is.

Persoonsgegevens

Heeft de partij toegang tot persoonsgegevens waarvoor jij verantwoordelijk bent, dan kan een verwerkersovereenkomst nodig zijn. KVK legt uit dat je zo’n overeenkomst sluit als een andere organisatie werkt met persoonsgegevens die jij verzamelt en bewaart, en dat je zelf verantwoordelijk blijft. Laat een jurist beoordelen of dit voor jouw situatie geldt.

Waar let je op bij de keuze voor een partner?

1. Krijg je een vast aanspreekpunt, of wissel je steeds van gezicht?
2. Begrijpt de partij je vraag en heeft ze aantoonbare kennis van de systemen die jij gebruikt?
3. Staan reactietijd en oplostijd schriftelijk vast, en test de partij regelmatig of de back-up terug te zetten is?
4. Krijg je rapportages in gewone taal?
5. Hoe zorgt de partij zelf voor haar cybersecurity en is ze financieel stabiel?
6. Past de prijs bij de kwaliteit en kan de partij meegroeien met je bedrijf?

Noemt een partij ISO/IEC 20000-1 of ITIL, vraag dan wat dat voor jouw afspraken betekent. ISO/IEC 20000-1 beschrijft de eisen aan een servicemanagementsysteem: een organisatie zet dat op, voert het in, onderhoudt het en verbetert het voortdurend. ITIL gaat over het beheren van IT-diensten (servicemanagement), en in de ITIL 4 Foundation-leerstof komt de rol van SLA’s bij het vastleggen en beheren van servicekwaliteit aan bod.

Hoe verloopt een overstap naar een andere partij?

Het NCSC adviseert exitafspraken bij de start van een contract te maken, omdat ze dan makkelijker te maken zijn. Zo’n exitplan beschrijft wat er gebeurt als het contract eindigt of je naar een andere leverancier gaat. Stel het samen met de partij op en werk het jaarlijks bij. Een leverancier waar je weggaat is niet altijd bereid veel te helpen, dus leg vast welke ondersteuning je krijgt. Zo loopt een overstap:

1. Lees je huidige contract: looptijd, opzegtermijn en medewerking bij beëindiging. Kijk ook of je alleen op bepaalde momenten kunt opzeggen.
2. Inventariseer wat er draait: systemen, accounts, koppelingen en softwarelicenties, en maak afspraken over wat er met de licenties gebeurt.
3. Spreek af welke gegevens je terugkrijgt, inclusief back-ups, en wie eigenaar is van die gegevens.
4. Vraag de nieuwe partij om een voorstel en bespreek vooraf wat de overstap kost en wie dat betaalt.
5. Leg vast of de huidige en de nieuwe partij met elkaar overleggen en wie in de overgangsperiode waarvoor verantwoordelijk is.
6. Laat de oude dienst doorlopen tot de nieuwe werkt, zodat je team kan blijven werken.
7. Laat gegevens bij de oude partij pas vernietigen als de overstap is geslaagd.

In zijn uitleg over cloud-exitplannen schrijft het NCSC dat je zonder jaarlijkse bijwerking verrast kunt worden door bedragen die 10 tot 15 keer hoger zijn dan je aanvankelijk had afgesproken. Het NCSC geeft daar geen meting of bron bij. Als manier om de kosten van een overstap vooraf vast te leggen noemt het NCSC een afgesproken tarief of een vaste prijs.