Een IT-dienstverlener beoordeel je niet op basis van zijn commerciële brochure. De betrouwbaarste toets is een technische lezing van het contract, een controle van de daadwerkelijke reikwijdte van de certificeringen en de vraag of de kandidaat zijn beveiligingsverplichtingen kan documenteren met het oog op de wettelijke verplichtingen van de klant.
Reikwijdte van certificeringen: wat het attest van een IT-dienstverlener daadwerkelijk dekt
Een ISO 27001-certificering of SecNumCloud-kwalificatie die een hostingprovider vermeldt, biedt geen enkele garantie voor de IT-beheerder die het systeem dagelijks beheert. Elk attest heeft een nauwkeurig afgebakende reikwijdte: entiteiten, locaties en diensten. Besteedt de dienstverlener de hosting uit aan een gecertificeerde derde partij, maar verzorgt hij zelf het beheer, dan geldt de certificering van die derde partij niet voor zijn eigen werkwijzen.
Vraag vóór ondertekening om het originele certificaat en lees de bijlage met de reikwijdte. Controleer of de diensten in de offerte overeenkomen met de diensten die in het certificaat staan vermeld. Een serieuze dienstverlener verstrekt deze informatie zonder aarzeling.
Partijen zoals ProInfo Services bouwen hun aanbod op rond deze transparantie en specificeren welke technische onderdelen onder hun eigen kwalificaties vallen en welke onder die van hun hostingpartners.
Vragen over certificeringen
- Welke locaties en diensten vallen binnen de geaudite reikwijdte van uw certificering?
- Wordt de hosting in eigen beheer uitgevoerd of uitbesteed? En als dat laatste het geval is, is de onderaannemer dan voor dezelfde reikwijdte gecertificeerd?
- Hoe vaak vindt de hernieuwingsaudit plaats en kan het laatste rapport worden ingezien?
NIS2- en AVG-verplichtingen: verantwoordelijkheden die niet worden overgedragen door uitbesteding
Door IT uit te besteden, verschuift de juridische verantwoordelijkheid van de klant niet. Onder de AVG blijft de onderneming verantwoordelijk voor de verwerking van persoonsgegevens, ook als de dienstverlener deze technisch verwerkt. Bij een datalek moet de klant de CNIL binnen een beperkte termijn op de hoogte stellen.
De verwerkersovereenkomst moet daarom de meldingsketen vastleggen. De dienstverlener verbindt zich ertoe de klant binnen een afgesproken termijn op de hoogte te stellen van elk datalek, met voldoende details zodat de klant aan zijn eigen meldingsverplichtingen kan voldoen.
De invloed van de NIS2-richtlijn op de keuze van een dienstverlener
Een IT-dienstverlener kan indirect onder NIS2 vallen. Is de klantonderneming aan deze richtlijn onderworpen, dan moet zij van haar leveranciers garanties krijgen over het beheer van beheerdersrechten, het bijhouden van activiteitenlogboeken, de aanpak van kwetsbaarheden en het melden van incidenten.
Vraag de kandidaat concreet naar drie zaken: het beleid voor het loggen van bevoorrechte toegangen, de procedure voor kwetsbaarheidsbeheer (frequentie van scans, termijn voor herstel) en het proces voor incidentmeldingen. Een dienstverlener die deze vragen niet kan beantwoorden, is niet klaar om een onderneming te ondersteunen die aan sectorspecifieke cyberbeveiligingseisen moet voldoen.
SLA’s en serviceverplichtingen: lees het IT-beheercontract verder dan alleen het beschikbaarheidspercentage
Het vermelde beschikbaarheidspercentage (vaak uitgedrukt als percentage) zegt vrijwel niets als drie zaken ontbreken: de berekeningsmethode, de uitzonderingen en de daadwerkelijke boetes.
- De berekeningsmethode: wordt geplande onderhoudstijd buiten de berekening gehouden? Zo ja, dan kan een dienstverlener een hoog percentage vermelden terwijl hij regelmatig perioden van onbeschikbaarheid inplant.
- De uitzonderingen: worden incidenten die verband houden met een externe leverancier (telecomoperator, softwareleverancier) meegerekend of uitgesloten van de SLA?
- De boetes: een tegoed van enkele procenten op de maandelijkse factuur compenseert geen bedrijfsverlies. Controleer of het contract voorziet in een compensatieregeling die in verhouding staat tot de daadwerkelijke impact.
- De GTI (gegarandeerde interventietijd) en de GTR (gegarandeerde hersteltijd): dit zijn twee verschillende indicatoren. De eerste meet de tijd voordat een technicus de melding in behandeling neemt, de tweede de tijd tot de daadwerkelijke oplossing. Een korte GTI met een onduidelijke GTR heeft operationeel geen waarde.
We zien dat de meest robuuste contracten de verschillende prioriteitsniveaus (P1 tot P4) duidelijk onderscheiden, met voor elk niveau aparte GTI’s en GTR’s en oplopende boetes.
Overdraagbaarheid en technische afhankelijkheid: anticipeer op de exit vanaf het moment van ondertekening
De exitclausule bepaalt hoe vrij u bent om van dienstverlener te veranderen. Een IT-beheercontract zonder gedetailleerd exitplan leidt tot technische afhankelijkheid die bij beëindiging duur kan uitpakken.
De exitregeling omvat drie onderdelen. Het eerste is de teruggave van gegevens in een bruikbaar formaat, niet in een eigen formaat dat alleen de vertrekkende dienstverlener kan lezen. Het tweede betreft de technische documentatie: netwerkschema’s, configuratie-inventaris en operationele procedures. Het derde onderdeel is de overgangsperiode, waarin de vertrekkende dienstverlener met de nieuwe dienstverlener samenwerkt om de continuïteit van de dienstverlening te waarborgen.
Aandachtspunten bij de exitclausule
Controleer of het contract het formaat voor de teruggave van gegevens, de maximale overdrachtstermijn en de eventuele kosten van de exitdienstverlening vermeldt. Sommige dienstverleners rekenen de exit af op basis van de bestede tijd, zonder maximumbedrag. Dat kan bij een meningsverschil als drukmiddel worden ingezet.
Een betrouwbare IT-dienstverlener neemt de exitregeling op als een standaardcontractuele verplichting, niet als een optie waarover aan het einde van de onderhandelingen nog kan worden gesproken. Onderhandel vóór ondertekening over het exitplan, wanneer de machtsverhouding nog in evenwicht is.
Bij de keuze van een IT-dienstverlener voor dagelijkse ondersteuning van een onderneming zijn de aandachtige lezing van het contract, de concrete controle van de reikwijdte van certificeringen en het vermogen van de kandidaat om aan de wettelijke eisen van de klant te voldoen belangrijker dan de beloften in de brochure. Een goede dienstverlener documenteert zijn verplichtingen, is transparant over zijn beperkingen en regelt de exit vanaf dag één.
