Inhuren en uitbesteden

ICT uitbesteden: vast beheer, detachering of losse projecten?

ICT uitbesteden als mkb: wat je kunt uitbesteden, wat beheer per gebruiker ongeveer kost, wanneer detachering past en wat je in het contract vastlegt.

aiworktalent Redactie · 3 november 2026 · 16 min leestijd

ICT uitbesteden betekent voor de meeste mkb-bedrijven met 5 tot 100 medewerkers twee dingen tegelijk. Het doorlopende beheer, van laptops en Microsoft 365 tot beveiliging en back-up, leg je bij één vaste IT-dienstverlener neer, meestal tegen een vaste prijs per gebruiker per maand. Losse klussen, zoals een koppeling, een automatisering of een AI-toepassing, besteed je apart uit aan een specialist. Detachering, waarbij iemand van een ander bij jou op de werkvloer werkt, past vooral als je zelf iemand hebt die het werk aanstuurt.

Of je het nu ICT uitbesteden of IT uitbesteden noemt, de keuzes zijn dezelfde. Hieronder lees je wat beheer ongeveer kost, wat je in het contract zet en welke regels gelden.

Wat kun je uitbesteden?

Vrijwel alles, maar niet alles op dezelfde manier. Het belangrijkste onderscheid is of iets elke dag moet blijven werken, of dat het een klus is met een begin en een eind.

De eerste vier hangen sterk samen. Een laptop is pas veilig als de accounts goed staan. Verdeel die vier dus liever niet over verschillende partijen. De laatste twee zijn afgebakende projecten, waarvoor je juist een specialist in dat ene vak wilt.

Een koppeling die elke bestelling in je boekhouding zet, volgt een vaste regel: dat is automatisering. Van AI spreek je pas als een model zelf tekst, spraak of beeld begrijpt of maakt. AI vraagt extra afspraken over controle en over welke gegevens erin gaan.

Drie vormen van ICT uitbesteden naast elkaar

Er zijn drie manieren om het werk bij een ander neer te leggen. Ze verschillen vooral in wie het werk aanstuurt en wie verantwoordelijk is als het misgaat.

Doorlopend beheer bij een IT-dienstverlener

Dit heet ook wel managed services. De IT-dienstverlener neemt het dagelijkse beheer over en houdt je systemen op afstand in de gaten. Je medewerkers kunnen met vragen bij zijn helpdesk terecht. Met een vast bedrag per maand weet je wat je kwijt bent.

Voor doorlopend beheer is dit voor de meeste mkb-bedrijven de beste keuze. De reden is simpel: een dienstverlener heeft meerdere mensen die jouw omgeving kennen. Valt er iemand uit of is iemand op vakantie, dan neemt een collega het over. Dat kan één persoon niet bieden, hoe goed die ook is.

Detachering in de ICT: iemand van een ander op jouw werkvloer

Bij detachering werkt een werknemer tijdelijk bij jou, maar blijft hij in dienst van het bureau. Volgens het Ondernemersplein van de overheid werkt hij onder leiding en toezicht van jou als inlener. Je betaalt het bureau een vergoeding bovenop het salaris. Een detacheringscontract loopt vaak voor een langere periode. Staat er een opzegtermijn in, dan kun je tussentijds stoppen. Met een uitzendbeding kan dat zelfs per direct.

Dat jij de leiding hebt, is meteen het nadeel. Een gedetacheerde systeembeheerder doet wat jij vraagt, maar iemand moet weten wat er gevraagd moet worden. Zonder eigen IT-verantwoordelijke koop je vooral uren in, geen verantwoordelijkheid. En bij ziekte of vakantie is er geen vervanging, tenzij je dat met het bureau afspreekt.

Detachering past wel als je IT-verantwoordelijke tijdelijk extra handen nodig heeft, bijvoorbeeld bij een grote overstap. Als inlener moet je ook controleren of het bureau als uitlener bij de KVK staat ingeschreven. Wat er verder bij detachering op jouw bord ligt, staat uitgewerkt in het artikel over softwareontwikkeling uitbesteden.

Losse projecten bij een specialist of freelancer

Een koppeling tussen twee pakketten, een automatisering van je orderverwerking of een AI-toepassing die binnenkomende mail sorteert: dat zijn projecten met een duidelijk resultaat. Je IT-dienstverlener kan dat soms ook, maar beheer en ontwikkeling zijn verschillende vakken.

Zo'n project kun je prima los uitbesteden aan een specialist of freelancer. Regel vooraf hoe die toegang krijgt tot je systemen, dat die toegang na afloop wordt ingetrokken, en wie het resultaat daarna beheert. Betrek je vaste IT-dienstverlener er vroeg bij: hij beheert de omgeving waarin het project moet draaien.

Wat kost ICT-beheer uitbesteden?

Een onafhankelijk onderzoek naar wat IT-beheer voor het mkb kost, hebben wij niet gevonden. Wat wel openbaar is: IT-dienstverleners die zelf over hun prijzen schrijven. Op basis daarvan is dit de indicatie, per gebruiker per maand:

• Basispakket met helpdesk en monitoring: vaak ongeveer 30 tot 60 euro.
• Beheer inclusief beveiliging, updates en apparaatbeheer: vaak ongeveer 50 tot 100 euro.
• Uitgebreid, met ondersteuning buiten kantoortijd en zwaardere beveiliging: loopt op tot 100 euro of meer.

Lees die bedragen met drie kanttekeningen. Ze komen van de verkopers zelf, niet van een onafhankelijke partij. Licenties zoals Microsoft 365 zitten er meestal niet in en komen er dus bij. En vaak staat er niet bij of het bedrag met of zonder btw is.

Wat de prijs bepaalt, is vooral wat er in het pakket zit. Vraag bij elke offerte naar deze punten, dan kun je ze naast elkaar leggen:

• Per gebruiker of per apparaat. Heeft iedereen een laptop én een telefoon, dan kan dat flink schelen.
• Helpdesktijden. Alleen op werkdagen, of ook 's avonds en in het weekend?
• Wat er buiten de vaste prijs valt. Langskomen op locatie, nieuwe laptops inrichten, projecten en werk buiten kantooruren worden vaak apart gerekend.
• Beveiliging en back-up. Zit het erin, en wordt de back-up ook echt getest door hem terug te zetten?
• Eenmalige kosten. Vraag of het overnemen van je huidige omgeving apart wordt gerekend.

Voor losse projecten werkt een prijs per gebruiker niet. Vraag daar om een urenraming per onderdeel, dan zie je waar het geld heen gaat en kun je offertes echt vergelijken.

Zo kies je in vijf stappen

1. Maak een lijst van wat je hebt. Hoeveel mensen, laptops en telefoons, welke pakketten, waar staan je bestanden, wie heeft nu de beheerderswachtwoorden?
2. Splits doorlopend werk en projecten. Beheer, helpdesk, beveiliging en back-up horen bij elkaar. Een koppeling of AI-toepassing is een apart traject.
3. Kies voor het doorlopende deel één vaste partij. Vraag offertes bij minstens twee IT-dienstverleners en vergelijk ze op de punten uit de lijst hierboven.
4. Wijs intern één aanspreekpunt aan. Ook als je alles uitbesteedt, moet iemand bij jou beslissingen nemen en controleren of het werk goed gebeurt. Dat hoeft geen IT'er te zijn.
5. Zet de projecten apart uit. Beschrijf het gewenste resultaat, en spreek af hoe de specialist en je IT-dienstverlener samenwerken.

Wat zet je in het contract?

Het contract bepaalt hoe snel je geholpen wordt als het misgaat, en hoe makkelijk je weg kunt als het niet bevalt. Dat tweede wordt vaak vergeten, terwijl het achteraf het duurst is om te repareren.

Afspraken over de dienst

De afspraken over de dienst staan meestal in een SLA, een overeenkomst over het serviceniveau. Let op het verschil tussen reactietijd en oplostijd. Een reactietijd van een uur betekent dat iemand binnen een uur reageert, niet dat het probleem dan is opgelost. Vraag naar allebei, per prioriteit. Een storing waarbij niemand kan werken, hoort een kortere termijn te hebben dan een printer die hapert.

Eigendom en vertrek

Leg vast dat alles waar je bedrijf op draait op naam van je eigen bedrijf staat. Microsoft raadt in de eigen documentatie over noodtoegang minstens twee noodaccounts aan met de rol van globale beheerder. Die koppel je niet aan één persoon. Een van de situaties die Microsoft daarbij noemt: de persoon met de laatste globale beheerderstoegang verlaat de organisatie. Zorg dus dat zo'n account ook bij jou ligt, niet alleen bij je dienstverlener. Zet daarnaast in het contract:

• Accounts en domeinnaam op jouw naam. Je Microsoft 365-omgeving, je domeinnaam en de accounts van belangrijke pakketten staan op naam van je bedrijf.
• Overdracht van wachtwoorden en beheerrechten bij vertrek. Een volledige lijst, en de plicht om eigen toegang daarna in te trekken.
• Documentatie. Een actueel overzicht van je netwerk, instellingen en apparaten, dat je op elk moment kunt opvragen.
• Medewerking bij een overstap. Hoe lang, tegen welk tarief, en dat je gegevens in een bruikbaar formaat meekomen.
• Looptijd en licenties. Hoe lang zit je eraan vast, wordt het stilzwijgend verlengd, en wat gebeurt er met licenties die via de dienstverlener lopen?

Wat je doet als een leverancier stopt, verandert of gehackt wordt, staat voor AI-diensten uitgewerkt in het artikel over wat je doet als je AI-leverancier omvalt. Voor je IT-beheer geldt dezelfde redenering.

AVG: je IT-dienstverlener is een verwerker

Een IT-dienstverlener die je systemen beheert, kan bij de persoonsgegevens van je klanten en medewerkers. Een partij die persoonsgegevens voor jou verwerkt, is een verwerker, en dan is een verwerkersovereenkomst verplicht. Dat staat in artikel 28 van de AVG. Twee afspraken daaruit zijn bij IT-beheer extra belangrijk. De verwerker schakelt niet zonder jouw voorafgaande schriftelijke toestemming een andere verwerker in. En na afloop wist hij de gegevens of geeft hij ze aan jou terug, naar jouw keuze.

Leg in die overeenkomst ook vast hoe hij een datalek meldt. Volgens artikel 33 van de AVG moet een verwerker een datalek zonder onredelijke vertraging aan jou melden. Jij meldt het daarna binnen 72 uur bij de Autoriteit Persoonsgegevens. Dat hoeft niet als het niet waarschijnlijk is dat het lek een risico oplevert voor de mensen om wie het gaat. Is het risico hoog, dan informeer je ook die mensen zelf. Elk datalek leg je vast, ook als je het niet hoeft te melden. Wat er verder in een verwerkersovereenkomst hoort, staat in het artikel over de verwerkersovereenkomst voor AI-tools; de lijst geldt voor IT-beheer net zo goed.

De Cyberbeveiligingswet: geldt die voor jou?

De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Ze geldt sinds 15 augustus 2026, en volgens de Rijksoverheid gelden daarmee nieuwe verplichtingen voor ruim 8000 organisaties. Organisaties die eronder vallen, moeten maatregelen nemen voor de beveiliging van hun systemen, significante incidenten melden en zich registreren bij het Nationaal Cyber Security Centrum.

De meeste kleine mkb-bedrijven vallen er niet rechtstreeks onder. Volgens het NCSC moet je in de regel aan twee voorwaarden tegelijk voldoen:

• Je zit in een aangewezen sector. Denk aan energie, vervoer, gezondheidszorg, drinkwater, digitale infrastructuur, afvalstoffenbeheer, levensmiddelen, chemische stoffen, post- en koeriersdiensten en een deel van de maakindustrie.
• Je bent groot genoeg. Je hebt 50 of meer medewerkers in fte, of minder medewerkers maar een jaaromzet en een balanstotaal die allebei boven 10 miljoen euro liggen. Partner- en verbonden ondernemingen, zoals een moederbedrijf of dochters, tel je mee.

Voor een paar soorten organisaties geldt geen omvangseis, zoals aanbieders van openbare telecomnetwerken en overheidsorganisaties. Twijfel je, loop het dan na op de pagina van het NCSC.

Val je er niet onder, dan kun je er toch mee te maken krijgen. De wet verplicht organisaties die eronder vallen om ook de beveiliging van hun toeleveringsketen te regelen. Lever je aan zo'n organisatie, dan kun je dus eisen in je contract krijgen, ook al geldt de wet niet voor jou. Spreek af dat je IT-dienstverlener je helpt om daaraan te voldoen. Valt je bedrijf er wel onder, dan geldt een strakke meldplicht. Een significant incident meld je binnen 24 uur met een eerste waarschuwing en binnen 72 uur met een melding. Uiterlijk een maand later volgt een eindverslag. Spreek af dat je dienstverlener daarbij helpt, ook buiten kantooruren.

Er is nog een kant. Beheer van ICT-diensten is in de wet een eigen sector, met aanbieders van beheerde diensten en van beheerde beveiligingsdiensten. Een IT-dienstverlener die groot genoeg is, valt er in de regel dus zelf onder. Vraag je dienstverlener gerust of dat voor hem geldt. Valt hij eronder, dan gelden de zorgplicht en de meldplicht ook voor hem zelf. Welke basismaatregelen elk klein bedrijf hoe dan ook verstandig neemt, lees je in het artikel over AI en cybersecurity voor het mkb.

Valkuilen, en wanneer je het niet zo moet doen

• Al het beheer bij één freelancer. Voor een project prima, voor doorlopend beheer kwetsbaar. Is die ene persoon ziek, op vakantie of gestopt, dan heb je niemand die je omgeving kent.
• De beheerder heeft de enige sleutels. Staat je Microsoft 365-omgeving of domeinnaam op naam van je dienstverlener, dan ben je bij een conflict afhankelijk van zijn medewerking.
• Kiezen op de laagste prijs per gebruiker. Een laag bedrag waarbij alles buiten kantoortijd, op locatie of rond nieuwe laptops apart wordt gerekend, kan duurder uitvallen dan een hoger all-inbedrag.
• Uitbesteden en niet meer kijken. De verantwoordelijkheid blijft bij jou. Vraag af en toe of de back-up is getest en of vertrokken medewerkers echt zijn afgesloten.
• Een project langs je beheerder heen. Een specialist die een koppeling bouwt zonder dat je IT-dienstverlener het weet, levert een systeem op dat niemand beheert.

En soms is uitbesteden nog niet nodig. Werk je met vijf mensen alleen in Microsoft 365 en is een collega er handig in? Dan kan het volstaan om alles goed te laten inrichten en eenmalig te laten controleren. Een vast beheercontract loont pas als de tijd die het intern kost, of het risico van een storing, groter wordt dan de maandprijs.

Veelgestelde vragen

Wat kost ICT uitbesteden per maand?

Een onafhankelijk onderzoek naar wat IT-beheer kost, hebben wij niet gevonden. IT-dienstverleners die zelf over hun prijzen schrijven, noemen voor een basispakket met helpdesk en monitoring vaak ongeveer 30 tot 60 euro per gebruiker per maand. Komen daar beveiliging, updates en apparaatbeheer bij, dan noemen ze vaak ongeveer 50 tot 100 euro. Pakketten met ondersteuning buiten kantoortijd en uitgebreidere beveiliging lopen op tot 100 euro of meer. Licenties zoals Microsoft 365 zitten daar meestal niet in, en vaak staat er niet bij of het bedrag met of zonder btw is. Het blijft een indicatie van de verkopers zelf: vraag dus altijd wat er wel en niet in de prijs zit.

Wat is het verschil tussen ICT-beheer uitbesteden en detachering?

Bij uitbesteed beheer koop je een dienst: de IT-dienstverlener regelt het werk met zijn eigen mensen en is verantwoordelijk voor de afgesproken resultaten. Bij detachering huur je een persoon in die in dienst blijft van het detacheringsbureau, maar onder jouw leiding en toezicht werkt. Jij stuurt dan het werk aan, en als die persoon ziek of op vakantie is, staat het stil tenzij je iets anders afspreekt. Voor doorlopend beheer van een mkb-bedrijf is een vaste IT-dienstverlener daarom meestal de betere keuze. Detachering past vooral als je zelf iemand hebt die het werk kan aansturen.

Moet ik een verwerkersovereenkomst sluiten met mijn IT-dienstverlener?

In de praktijk vrijwel altijd. Een IT-dienstverlener die je systemen beheert, kan bij de persoonsgegevens van je klanten en medewerkers. Een partij die persoonsgegevens voor jou verwerkt, is een verwerker, en artikel 28 van de AVG verplicht dan een verwerkersovereenkomst. Daarin staat onder meer dat hij niet zonder jouw voorafgaande schriftelijke toestemming een andere verwerker inschakelt, en dat hij na afloop de gegevens wist of aan jou teruggeeft.

Valt mijn bedrijf onder de Cyberbeveiligingswet?

De meeste kleine mkb-bedrijven niet rechtstreeks. De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Je valt er in de regel pas onder als je in een aangewezen sector zit en groot genoeg bent. Groot genoeg betekent 50 of meer medewerkers in fte, of minder medewerkers maar een jaaromzet en een balanstotaal die allebei boven 10 miljoen euro liggen. Partner- en verbonden ondernemingen tel je mee. Voor een paar soorten organisaties geldt geen omvangseis. Val je er niet onder, dan kun je er toch mee te maken krijgen. Klanten die er wel onder vallen, moeten de beveiliging van hun toeleveringsketen regelen en kunnen daarom eisen aan jou stellen.

Kan ik een koppeling of AI-toepassing los uitbesteden naast mijn IT-dienstverlener?

Ja, en dat is vaak verstandig. Een koppeling, een automatisering of een AI-toepassing is een afgebakend project met een begin en een eind. Daarvoor kun je een specialist of freelancer inhuren die precies dat vak beheerst. Spreek wel vooraf af hoe die specialist toegang krijgt tot je systemen, en wie het na oplevering beheert. Betrek je vaste IT-dienstverlener daar vroeg bij, want hij beheert de omgeving waarin het project moet gaan draaien.

ICT uitbesteden werkt het best als je twee soorten werk uit elkaar houdt. Het doorlopende beheer leg je bij één vaste IT-dienstverlener. In het contract staat hoe snel je geholpen wordt en hoe je met al je accounts en wachtwoorden weer weg kunt. Losse klussen zoals een koppeling, een automatisering of een AI-toepassing besteed je apart uit aan iemand die dat vak beheerst. Twijfel je welke specialist je daarvoor nodig hebt? Lees dan eerst waar je op let als je een AI-expert inhuurt. Heb je zo'n project klaarliggen? Plaats je opdracht op aiworktalent en ontvang voorstellen van specialisten.