Co-managed IT klinkt als een compromis, maar in de praktijk is het een keuze die veel organisaties nooit bewust maken. Je hebt een eigen IT-team van twee of drie mensen, een MSP voor de lastige dingen en een groeiende stapel onderwerpen waarvan niemand precies weet bij wie ze horen. Dat gaat goed tot er om drie uur ’s nachts iets misgaat en blijkt dat iedereen dacht dat de ander keek.
Dit beeld zie je vaak bij organisaties tussen de 80 en 600 medewerkers: er zit een ICT-manager, soms met een manager digitalisering ernaast, en samen houden ze het overzicht. Ze zijn technisch sterk genoeg om bijna alles zelf te doen. Juist daardoor groeit het takenpakket ongemerkt door. Firewalls, wifi, Azure, de ERP-applicatie, de phishingmeldingen, de vragen van de accountant. Na een paar overnames komen daar nog drie lokaal ingerichte omgevingen bij die naar één platform moeten.
Het probleem is niet dat dit team het niet kan. Het probleem is tempo. Security verandert zo snel dat je het niet meer bij één of twee mensen kunt neerleggen. Phishingmails die vroeger nog slecht vertaald waren, zijn nu met AI vrijwel niet van echt te onderscheiden. Zelfs een stem is na ongeveer 30 seconden opname na te doen. Wie dat naast het dagelijkse werk wil bijhouden, loopt per definitie achter.
Tegelijk wordt er steeds meer bewijs gevraagd. NIS2, DORA, ISO en de accountant willen vaker zien hoe de hele IT-afdeling is ingericht. Zes jaar geleden was de vraag nog of de back-up op orde was. Nu gaat het om controle die je kunt aantonen: wie heeft welke rechten, hoe snel wordt een incident opgepakt, waar staat het verwerkingsregister, wanneer is de laatste hersteltest gedaan. Dat kost tijd die het interne team niet heeft. En dus blijft het werk liggen op precies de plek waar het pijn doet.
Wat het nog lastiger maakt: als de verdeling nergens is uitgesproken, kan het interne team denken dat de MSP iets meeneemt omdat het security is, terwijl de MSP ervan uitgaat dat het interne team het oppakt. Niemand doet iets fout, maar samen laten ze een gat vallen. Dat gat zie je pas tijdens een audit of een incident.
De scheidslijn hoort bij het tempo van verandering te liggen
Het ligt voor de hand om werk te verdelen op basis van wat je zelf kunt. Dat is precies de verkeerde maatstaf, want een capabel team kan bijna alles. Een betere vraag: hoe snel verandert dit onderwerp, en hoe dicht zit het op ons eigen bedrijfsproces? Die twee assen bepalen waar iets thuishoort in een co-managed IT-model.
Neem een installatiebedrijf met ongeveer 500 medewerkers, van wie meer dan de helft monteur op de weg is. Zij houden de eerste lijn zelf, omdat lokale support en persoonlijk contact daar snelheid opleveren. Een monteur die zijn tablet niet aan de praat krijgt, wil iemand aan de lijn die zijn naam kent en weet welke klus hij die dag heeft. Het applicatiebeheer van Dynamics 365 houden ze ook in huis. Dat zit diep in hun processen, verandert dagelijks mee met wat klanten vragen, en ze willen er zelf grip op houden, ook op de kosten.
Netwerksecurity, firewalls, switching, wifi en de inrichting van Azure liggen bewust bij de MSP. Die onderwerpen veranderen sneller dan een intern team kan bijhouden, maar raken het primaire proces minder direct. Een nieuwe kwetsbaarheid in een firewall-firmware moet binnen uren gepatcht worden, niet als er volgende week tijd is.
Het resultaat is geen kleiner takenpakket. Het is een team dat zich niet meer druk hoeft te maken over een verdacht inlogpatroon, omdat er al een signaal komt voordat iemand durft toe te geven dat hij geklikt heeft. Bij medewerkers duurt dat soms een dag of twee. Dan ben je eigenlijk al te laat.
Vier soorten werk, vier plekken
Leg elk IT-onderwerp langs de twee assen en je krijgt vier categorieën. Dicht op het proces en snel veranderend: houd het in huis, eventueel met een gespecialiseerde partner ernaast. Denk aan je ERP of field service-applicatie. Dicht op het proces en stabiel: ook intern, zoals de eerste lijn en het onboarden van gebruikers. Ver van het proces en snel veranderend: uitbesteden, met harde afspraken. Dat is security, netwerk en cloudinrichting. Ver van het proces en stabiel: dat kan overal, kies op kosten.
In de derde categorie gaat het meestal mis. Een intern team dat security er zelf bij doet, is niet slecht. Het is alleen soms net te laat, en bij een phishingaanval via de keten bepaalt juist die snelheid hoe groot de schade wordt. Aanvallers komen steeds vaker binnen via een gehackte leverancier, met een vertrouwde handtekening onder de mail. Die mail ziet er precies zo uit als de factuur van vorige maand, alleen staat er een ander rekeningnummer op.
Een praktische oefening: zet in een middag met je team alle IT-onderwerpen op een whiteboard, van printerbeheer tot de regels voor wie waar mag inloggen. Geef elk onderwerp een plek in het kwadrant. Grote kans dat je onderwerpen ontdekt die nu nergens belegd zijn, of juist dubbel. Dat zijn je eerste gesprekken met de MSP.
De tweede en derde lijn als samenwerking
In een goed co-managed model is de tweede en derde lijn geen loket waar je tickets naartoe schuift. Het interne team en de MSP stemmen samen af hoe iets wordt ingericht. Bij een hoog risico zet de MSP direct een account dicht, bijvoorbeeld als iemand onverwacht vanaf een ander continent inlogt. Welke acties zonder overleg mogen, spreek je vooraf af. Niet tijdens het incident.
Leg die afspraken vast in een simpel overzicht: per type incident wie beslist, wie uitvoert en wie geïnformeerd wordt. Hoeft geen dik document te zijn, één A4 volstaat. Het voorkomt dat er om middernacht een discussie ontstaat over wie het mandaat heeft om de mailbox van de financieel directeur te blokkeren. En het helpt meteen bij de volgende audit, want dit is precies het bewijs waar NIS2 en de accountant om vragen.
Herzie de verdeling regelmatig, want de assen verschuiven. AI is daar nu het duidelijkste voorbeeld van. Medewerkers installeren zelf transcriptietools en add-ins in Teams, en in het voorjaar van 2026 vroegen meerdere klanten per dag of Claude via SSO ontsloten kon worden. Wie bepaalt dan waar die data heen gaat? Begin bij beleid, sluit daarna tools af die buiten IT om zijn binnengehaald (shadow IT) en bied een veilig alternatief aan. Sla je dat alternatief over, dan zoeken medewerkers een omweg.
Het interne team hoeft niet alles te weten, maar moet wel weten wat het bewust niet zelf doet. Daardoor verandert ook de rol van een ICT-manager: minder techniek, meer mensen meenemen. De directie, die soms nog denkt dat het hen niet overkomt. De monteur, voor wie elke beperking voelt als extra gedoe. Bij een uitrol van de moderne werkplek op locatie, met laptop en telefoon in de hand, leg je in vijf minuten meer uit dan in een nieuwsbrief.
Een co-managed IT-model werkt pas als de grens bewust is getrokken: zelf doen wat dicht op je proces zit, uitbesteden wat sneller verandert dan je kunt bijhouden. Constant IT neemt in dat model security, netwerk en de inrichting van de Microsoft Cloud voor zijn rekening, met proactieve monitoring, zodat je interne team kan doen waarvoor het is aangenomen. Wil je eerst weten hoe vatbaar je medewerkers zijn? Doe dan een phishingsimulatie. Dat is een goed beginpunt.
