Overdag is het overzichtelijk. Er zit iemand achter een scherm, er komt een melding binnen en die wordt bekeken en opgevolgd. De echte vraag is wat er gebeurt als het vrijdagavond 23:40 is en er ineens een account vanaf een onbekende locatie inlogt en bestanden begint te versleutelen. Wie grijpt er dan in?
Bij de meeste mkb-bedrijven is het antwoord niemand, tenzij je dit hebt belegd bij je IT-leverancier.
Om te beginnen moet iemand de melding überhaupt krijgen. Een SIEM die om drie uur 's nachts alarm slaat, doet niks als de telefoon op stil staat. Je hebt dus een systeem nodig dat de juiste meldingen doorzet naar degene die dienst heeft, en de ruis eruit filtert. Anders word je elke nacht wakker gebeld voor een false positive (wel een melding, geen daadwerkelijke dreiging) en na twee weken neemt niemand meer op.
Dan moet die persoon ook kunnen ingrijpen. Een account blokkeren, een laptop van het netwerk halen, een aanval stoppen terwijl die nog loopt. Dat vraagt securitykennis en de juiste rechten in je systemen.
En één persoon kan niet elke week wachtdienst draaien. Met een rooster van één week dienst en drie weken vrij heb je minimaal vier mensen nodig die dit kunnen, plus vervanging bij vakantie en ziekte. Je wil je personeel ook belonen voor de waakdiensten dus dit kost extra geld. De uren die iemand 's nachts echt werkt gaan tegen toeslag en wie om vier uur 's nachts een incident heeft afgehandeld, zal de volgende ochtend minder fris op zijn werk aankomen.
Wil je dat er buiten kantoortijden niet alleen iemand bereikbaar is, maar ook echt meekijkt? Dan wordt het nog duurder. Een jaar heeft 8.760 uur, en een fulltime analist is na vakantie, ziekte en training zo'n 1.500 uur per jaar inzetbaar. Voor één bezette plek, dag en nacht, heb je dus al bijna 6 analisten nodig. Daarom bestaat een eigen SOC-team voor een mkb-bedrijf in de praktijk uit 5 à 6 analisten plus een teamlead en security engineer die de tooling onderhoudt.
Op een rij zijn dit de kosten van een eigen SOC:
Dat is nog voordat je team één dreiging heeft gevonden. Waar die bedragen vandaan komen, lees je hieronder.
In elke begroting staat de post SOC-kosten personeel bovenaan, en daar is een goede reden voor. Een SOC-analist verdient in Nederland gemiddeld zo'n 50.000 euro bruto per jaar (Glassdoor, 2026). Starters zitten eronder. Een senior analist in de Randstad vraagt al snel 60.000 euro of meer, en voor echt ervaren specialisten, zoals forensische analisten of incident responders, betaal je al gauw meer.
Daar komen de werkgeverslasten nog bij: vakantiegeld, pensioen en premies. Reken grofweg 30 tot 40 procent bovenop het brutosalaris. Een analist kost je dan zo'n 65.000 tot 70.000 euro per jaar. Zes daarvan plus een teamlead en een security engineer, en je zit op ruim 500.000 euro.
Dan moet je die mensen ook nog vinden. Securityspecialisten zijn schaars op de arbeidsmarkt en de goede hebben het voor het kiezen. Dit zorgt voor een extra uitdaging om je eigen SOC draaiende te houden.
Een analist zonder tooling ziet niks. Je hebt minimaal nodig:
Voor een mkb-omgeving gaat dat al snel om tienduizenden euro's per jaar. Wat vaak vergeten wordt is dat de licenties het goedkope deel zijn. Een SIEM doet niks uit zichzelf. Iemand moet de detectieregels schrijven, de ruis eruit filteren en alles bijhouden als je omgeving verandert. Dat komt dan weer neer op manuren die je uit je team moet halen.
Aanvallers staan niet stil, dus je team ook niet. Certificeringen, trainingen en af en toe een conferentie horen erbij. Je kan zelf bepalen welk opleidingsbudget je jouw specialisten geeft. Maar twee trainingen of meer per jaar zorgt al gauw voor een budget van minimaal een- tot tweeduizend euro.
Tijd is de verborgen kostenpost. Een analist die op training zit, kijkt niet naar je omgeving. Dat gat moet iemand anders opvangen en in een team van zes voel je dat meteen.
Wellicht dat je bij het lezen van deze blog denkt, zo'n eigen SOC lijkt voor niemand haalbaar. Dat is uiteraard niet waar en we proberen hiermee inzicht te geven dat er veel bij komt kijken als je een eigen SOC gaat opzetten. Bedrijven die capaciteit en budget hebben en medewerking van de organisatie krijgen, kunnen heel goed een eigen SOC opzetten.
Vaak is voor MKB een managed SOC een betere oplossing. Bij een managed SOC koop je een dienst. Het team, de tooling en de procedures zijn er al. Jij sluit je omgeving aan en vanaf dan kijken analisten tijdens en buiten kantoortijden mee. Ook in het weekend en tijdens vakanties.
Bij Peakproteqt betaal je een vast bedrag per maand per werkplek en server, exclusief btw:
Inzicht in kwetsbaarheden, het oplossen ervan en dark web monitoring zit hierbij inbegrepen.
Een rekenvoorbeeld: een bedrijf met 50 medewerkers, 50 werkplekken en 5 servers betaalt 786,00 euro voor de werkplekken, 786,00 euro voor de medewerkers en 303,10 euro voor de servers, dus 1.875,10 euro per maand. Dat is ongeveer 22.500 euro per jaar voor bewaking van je gehele bedrijf.
Leg dat naast de 400.000 tot 700.000 euro per jaar van een eigen SOC. Het verschil is zo groot dat de rest van de vergelijking eigenlijk alleen nog gaat over wat je ervoor terugkrijgt.
En groei je, dan groeit ons SOC met je mee. Tien werkplekken erbij is tien keer 15,72 euro en geen nieuwe vacature. Met de prijscalculator op de website kun je dit snel en gemakkelijk voor je eigen bedrijf uitrekenen.
Het team bestaat al. Jij hoeft geen vacatures uit te zetten, geen recruiter te betalen en geen nachtrooster te maken. Of die analisten hun certificeringen bijhouden en op de hoogte blijven van nieuwe aanvalstechnieken, is ons probleem, niet het jouwe.
Dat geldt ook als iemand vertrekt of ziek wordt. Dus die continuïteit is niet meer jouw probleem.
Je hoeft geen SIEM aan te schaffen, geen tooling in te richten en geen team op te bouwen. Er is geen instaptarief en geen minimumafname. Alleen voor het aansluiten van je omgeving kunnen eenmalige projectkosten gelden. Dat is iets heel anders dan een investering van twee tot vijf ton vooraf.
We streven ernaar dat je binnen 2 tot 4 weken operationeel bent. In die weken inventariseren we je omgeving, sluiten we je systemen aan (inclusief Microsoft 365 en Azure) en stellen we vast wat normaal gedrag is. Daarna filteren wij de ruis eruit en grijpen onze analisten in als het echt mis is.
Een eigen SOC kost een mkb-bedrijf 200.000 tot 500.000 euro aan opstart, 400.000 tot 700.000 euro per jaar en 6 tot 12 maanden opbouwtijd. Een managed SOC is binnen 2 tot 4 weken operationeel, zonder opstartkosten, voor een vast maandbedrag per werkplek en server.
De kosten zijn hoog, maar voorspelbaar. De risico's zijn dat niet.
Stel dat je in januari besluit om een eigen SOC te bouwen. Eerst personeel werven. Als dat meezit heb je in Q1 een aantal analisten. Dan het SIEM inrichten, systemen aansluiten, detectieregels schrijven, procedures opstellen. Voordat je op een bepaald volwassenheidsniveau bent, ben je zo 6 maanden verder.
Al die maanden betaal je salarissen en licenties, terwijl je nog niet alles helemaal onder controle hebt en aanvallers wachten niet tot je team compleet is. Met managed SOC ben je ongeveer 90% sneller live: na 2 tot 4 weken in plaats van 6 tot 12 maanden.
SOC-werk is niet altijd even leuk en kan soms ook een bepaalde vorm van druk opleggen. Waar het in de praktijk vaak misgaat is dat analisten op het SOC te veel valse meldingen moeten wegwerken. Dit kan vermoeiend zijn en levert ook niet altijd wat op. Dit wordt ook wel alert fatigue genoemd en kan ervoor zorgen dat je medewerkers ander werk gaan zoeken.
In een eigen SOC-team van zes mensen merk je elk vertrek direct. Het rooster klopt niet, anderen moeten extra diensten draaien en kennis verdwijnt ook. Dan begint de werving weer opnieuw, met de kosten die daarbij horen. Het is dus belangrijk dat ook de menselijke kant van het SOC goed gewaarborgd blijft.
Ransomware wordt vaak 's nachts of in het weekend uitgerold. Aanvallers zijn zich ook bewust van de momenten wanneer niemand meekijkt. Juist die momenten zijn het lastigst te bemannen: kerst, de zomervakantie. Daarom is een 24/7 SOC niet zomaar op te zetten en kiezen veel bedrijven voor waakdiensten/consignatiediensten. Zo kun je toch zorgen dat er iemand buiten kantoortijden alert is, zonder dat je personeel omvalt.
Zelf bouwen
Past bij grote organisaties (vanaf 250+ medewerkers) met een eigen securitybudget en medewerking vanaf directieniveau, genoeg capaciteit om een volledig team te dragen en eisen die het echt nodig maken om alles in eigen beheer te houden.
SOC uitbesteden
Past bij vrijwel elk ander bedrijf. Je krijgt continu bewaking en externe specialisten kunnen vaak sneller ingrijpen dan de ondernemers zelf, zonder opstartkosten en zonder zorgen over werving of verloop. Dit alles voor een vast bedrag per maand dat meegroeit met je organisatie. Een managed SOC is voor mkb dus een logische keuze.
