Het aandeel van de IT-begroting in de totale uitgaven van Franse bedrijven stijgt elk jaar, maar de resultaten volgen niet altijd. Tussen verouderde machineparken, slecht afgestemde onderhoudscontracten en een Europese regelgeving die haar eisen op het gebied van cyberbeveiliging aanscherpt, is het simpelweg “de IT draaiende houden” niet meer voldoende. Het onderwerp is niet langer technisch: het is structureel.
Cyber Resilience Act: de nieuwe regelgeving die de spelregels verandert voor IT-diensten
De Cyber Resilience Act (verordening EU 2024/2847), die op 10 december 2024 in werking treedt, legt verplichte cyberbeveiligingseisen op aan alle producten met digitale elementen die in de Europese Unie worden verkocht. Hardware, software, verbonden objecten: de dekking is breed.
Vanaf 11 september 2026 moeten fabrikanten binnen 24 uur elke actief geëxploiteerde kwetsbaarheid en elk ernstig incident dat de veiligheid van hun producten beïnvloedt, melden. Deze meldingen verlopen via gecentraliseerde platforms die worden beheerd door ENISA en de nationale CSIRT’s.
Voor een bedrijf dat al zijn of een deel van zijn IT-diensten uitbesteedt, heeft deze verordening directe gevolgen. De IT-leverancier wordt een schakel in de keten van naleving. Een bedrijfssoftware die wordt uitgerold zonder toezicht op kwetsbaarheden, stelt het klantbedrijf bloot aan een regelgevend risico, niet alleen een technisch risico.
De infogérance-contracten die voor deze deadline zijn ondertekend, verdienen een zorgvuldige herziening. Het beheer van kwetsbaarheden en de melding van incidenten moeten daar expliciet in worden opgenomen, anders loopt men het risico een leverancier te hebben die geen contractuele verplichting heeft om een geëxploiteerde kwetsbaarheid op een beheerd hulpmiddel te melden. Onder de IT-diensten van Digiterio maakt deze regelgevende dimensie deel uit van de structurele werkgebieden voor bedrijven die hun SI willen afstemmen op de nieuwe Europese verplichtingen.
Infogérance en IT-uitbesteding: wat de contracten niet altijd zeggen
Het uitbesteden van het beheer van de IT lijkt op papier eenvoudig. Een leverancier neemt de onderhoud, technische ondersteuning en soms de cloudhosting voor zijn rekening. In de praktijk hangt de kwaliteit van de service af van wat er in het contract staat (of niet staat).
De contractuele grijze gebieden om te controleren
- De omkeerbaarheid van gegevens: in geval van een wijziging van leverancier, binnen welke termijn en in welk formaat kunnen we onze gegevens terugkrijgen? Sommige contracten specificeren niets, wat een feitelijke afhankelijkheid creëert.
- De exacte reikwijdte van de ondersteuning: een onderhoudscontract kan de hardware dekken maar kritieke software-updates uitsluiten, of een beperkt aantal interventies per maand omvatten zonder dat deze limiet duidelijk wordt vermeld.
- De locatie van de gehoste gegevens: met de AVG en de evoluties van de Amerikaanse Cloud Act is het belangrijk om te weten of de servers zich in Frankrijk, de EU of elders bevinden. De ervaringen ter plaatse verschillen over de werkelijke transparantie van leveranciers hierover.
- De service level agreements (SLA): een aangekondigd beschikbaarheidspercentage dat stijgt, is niets waard zonder contractuele sancties bij niet-naleving.
Een goed onderhandeld infogérance-contract biedt net zoveel bescherming als een goede firewall. Een vaag contract stelt het bedrijf bloot aan verborgen kosten en een geleidelijke verlies van controle over zijn eigen informatiesysteem.
Geïntegreerde DSI of externe leverancier: beslissen op basis van grootte en belangen
De vraag komt systematisch terug: moet men een interne IT-manager aanwerven of het beheer aan een leverancier toevertrouwen? Het antwoord hangt minder af van de grootte van het bedrijf dan van de kriticiteit van het SI in zijn activiteiten.
Een KMO wiens kernactiviteit afhankelijk is van een webapplicatie heeft meer behoefte aan een geïnternaliseerde IT-competentie dan een adviesbureau van 200 mensen dat alleen een cloud-kantoorsoftware gebruikt. De kriticiteit van het SI bepaalt het model, niet het aantal werknemers.
Wat de internalisatie biedt (en wat het kost)
Een DSI of interne IT-manager kent de bedrijfsprocessen, de gebruikers, de specifieke beperkingen. Deze nabijheid versnelt de oplossing van incidenten en maakt het mogelijk om evoluties te anticiperen. Aan de andere kant wegen de loonkosten, de voortdurende opleiding en de technologische monitoring zwaar op bescheiden structuren.
Wat de uitbesteding mogelijk maakt (en wat het verbergt)
Een externe leverancier bundelt zijn vaardigheden over meerdere klanten. Hij beschikt doorgaans over een bredere technische expertise (beveiliging, cloud, netwerk). Het risico: een oppervlakkige kennis van de klantsector en responstijden die afhankelijk zijn van de totale belasting van de leverancier. Uitbesteding werkt wanneer het lastenboek nauwkeurig is en de opvolging regelmatig is.
Automatisering van IT-processen: scheiden van echte winsten en marketingpraat
Automatisering is een alomtegenwoordig commercieel argument geworden in de aanbiedingen van IT-diensten. Geautomatiseerde uitrol van updates, ticketbeheer door kunstmatige intelligentie, cloud-provisioning in self-service: de beloften zijn talrijk.
De echte winsten bestaan, maar ze zijn voorwaardelijk. Het automatiseren van een slecht gedefinieerd proces komt neer op het industrialiseren van een disfunctie. Voordat een automatiseringstool wordt uitgerold, moeten de bestaande stromen worden in kaart gebracht, de daadwerkelijk repetitieve taken worden geïdentificeerd en de daadwerkelijk verloren tijd worden gemeten.
Enkele gevallen waarin automatisering meetbare resultaten oplevert:
- Het beheer van toegangsrechten bij de komst en vertrek van medewerkers, wat vaak meerdere uren in beslag neemt bij handmatige verwerking.
- De uitrol van beveiligingspatches op een park van werkstations, waar de tijd tussen de publicatie van een patch en de toepassing ervan een direct risicofactor is.
- De proactieve monitoring van servers en netwerkapparatuur, die het mogelijk maakt om een anomalie te detecteren voordat deze een storing wordt.
De beschikbare gegevens maken het niet mogelijk om een algemene productiviteitswinst te generaliseren. De resultaten zijn afhankelijk van de technische context, de volwassenheid van de teams en de kwaliteit van de integratie. Een leverancier die een percentage kostenbesparing aankondigt zonder voorafgaand onderzoek verdient enige voorzichtigheid.
De keuze van een IT-leverancier bindt het bedrijf voor meerdere jaren. De technische criteria zijn belangrijk, maar de capaciteit om de regelgevende evoluties (zoals de Cyber Resilience Act), de contractuele transparantie en de kwaliteit van de menselijke opvolging te begeleiden, maken het verschil tussen een werkende service en een service die beschermt.
