De prijs hangt meestal af van drie pijlers. Hieronder zie je welke dat zijn.
De prijs schaalt met wat er bewaakt moet worden. Een werkplek is een laptop of pc. Een server weegt zwaarder, daar draaien vaak meer diensten op, er komen meer logs binnen en wie daar binnenkomt, kan vaak ook meer schade aanrichten. Daarom kost een server meer dan een werkplek.
Het aantal medewerkers telt apart, omdat elk gebruikersaccount apart bewaakt wordt. Een aanvaller die met een gestolen wachtwoord inlogt, ziet er voor een virusscanner uit als een gewone collega.
Een adviesbureau van twaalf mensen dat alles in Microsoft 365 heeft, zit dus een stuk lager dan een productiebedrijf met dertig man en drie servers in de meterkast. Het aantal medewerkers en systemen bepaalt onder andere de kosten.
Hier zit het grootste prijsverschil. Preventie, zoals MFA, een wachtwoordmanager en updates, is goedkoop of zit vaak al in je licenties. Detectie en respons kost meer, want daar zit ook een heel team achter dat jouw bedrijf in de gaten houdt.
De grootste cybersecurity kosten zitten, bij detectie en response, in bewaking buiten kantoortijden. Iemand die om twee uur 's nachts een melding oppakt, kost geld. Je ziet dat terug in onze twee MDR-pakketten: Essentials werkt op best effort, Premium reageert binnen 15 minuten na detectie, ook buiten kantoortijden.
Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2. Volgens RVO hangt het van je sector, je diensten en de grootte van je organisatie af of je eronder valt, verdeeld over 18 sectoren. Val je eronder, dan moet je kunnen aantonen wat je doet: logging, rapportages, oftewel een meldplicht. Dat aantonen kost tijd en soms een extra dienst. Meer over NIS2 vind je in onze NIS2-checklist.
Ook zonder wettelijke plicht gaat de lat omhoog. Een grote opdrachtgever stuurt een security-vragenlijst en wellicht wil je cyberverzekeraar MFA en security monitoring zien. Lever je aan de zorg, de overheid of de financiële sector, dan krijg je die vragen eerder.
De eisen vanuit wetgeving, auditors of verzekeraars hoeven niet te betekenen dat de cybersecurity kosten ineens torenhoog worden, maar kunnen wel zorgen dat je meer investeringen in cybersecurity moet doen, die je anders misschien niet had gedaan.
We kunnen alleen richtprijzen geven voor onze eigen diensten. Wij vinden het belangrijk daar transparant over te zijn, ook als het bedrijf om de hoek toch goedkoper is. Het ligt vaak ook aan het securitybedrijf en hoe zij hun pakketten samenstellen.
Wat cybersecurity voor het mkb kost, verschilt per dienst. Bij Peakproteqt kost SOC-as-a-Service €15,72 per werkplek, €15,72 per medewerker en €60,62 per server per maand, exclusief btw. Een eenmalig adviestraject begint bij €2.495. MDR Essentials, voor bedrijven tot 25 medewerkers, ligt lager. Een instaptarief rekenen we niet; bij Premium komen wel eenmalige projectkosten voor het aansluiten.
Als je nog preciezer wil weten wat onze dienst kost voor jouw bedrijf, dan is het mogelijk om dit zelf uit te rekenen aan de hand van de prijscalculator.
MDR staat voor Managed Detection & Response: specialisten kijken binnen en buiten kantoortijden mee in je omgeving en grijpen in als er iets misgaat. De MDR-kosten zijn een maandbedrag per medewerker en per apparaat. Daarvoor krijg je detectie van malware en ransomware, bewaking van Microsoft 365, dark web monitoring en elke maand een rapport.
Wij faciliteren onze dienst in twee pakketten: MDR Essentials en MDR Premium. MDR Essentials is bedoeld voor bedrijven rond de 25 medewerkers of minder en werkt op best effort. MDR Premium past vanaf 26 medewerkers en reageert binnen 15 minuten op kritieke incidenten. Hulp bij een echt incident gaat bij beide pakketten op nacalculatie; bij Essentials is die hulp beperkter, omdat we dan minder capaciteit hebben bij jouw bedrijf.
We hebben hierboven al benoemd wat bedrijven betalen voor MDR Premium, maar voor Essentials nog niet. Voor werkplekken en medewerkers betaal je €6,58 en voor serverbeveiliging €26,23. Voor kwetsbaarhedenbeheer betaal je bij MDR Essentials extra en dat is voor werkplekken €3,50 en voor servers €9,59. Bij MDR Premium is kwetsbaarhedenbeheer standaard inbegrepen.
Bij ons valt SOC-as-a-Service onder MDR Premium: een extern securityteam (SOC) dat je omgeving bewaakt alsof het je eigen team is. Ook voor SOC-as-a-Service geldt bij ons dat er geen minimumafname is.
Reken het door voor 30 medewerkers met elk een laptop en 2 servers:
Per jaar is dat €12.773, exclusief btw. Zet dat tegenover een cyberaanval die succesvol is voor de hackers en je betaalt gemiddeld €270.000 om de schade weer te herstellen (ESET, 2022). Dan is de investering ineens minder groot.
Advies is geen abonnement. Het is een eenmalig traject vanaf €2.495, tegen een vaste prijs die je vooraf weet. Een adviestraject, opnieuw afhankelijk van de grootte van het bedrijf, duurt vaak één à twee weken. Je krijgt een risicorapport en een roadmap waarin elke maatregel een eigenaar en een termijn heeft. Het oplossen van deze punten kun je samen met je IT-partij doen of met ons.
Het past bij bedrijven van ongeveer 10 tot 250 medewerkers zonder eigen IT-afdeling. Of bij iedereen die een vragenlijst van de verzekeraar op het bureau heeft liggen.
Een jaar heeft 8.760 uur. Een fulltime medewerker is na vakantie, ziekte en opleiding zo'n 1.500 uur per jaar echt inzetbaar. Wil je dat er altijd iemand kijkt, dan heb je bijna zes mensen nodig voor één stoel.
Wij rekenen in dit voorbeeld €65.000 tot €70.000 per SOC-analist per jaar, inclusief werkgeverslasten. Tel daar een teamlead, een security engineer, tooling, licenties en opleiding bij op en een eigen SOC kost €400.000 tot €700.000 per jaar. Daarbovenop komen eenmalig €200.000 tot €500.000 aan opstartkosten.
Zelf doen is daarmee geen probleem, maar het wringt bij de bewaking. Als je je medewerkers ineens gaat opleggen om waakdiensten te draaien en zich te laten scholen in security, gaat dat wringen. Een heel team opzetten kost daarnaast ook veel geld en tijd.
Uit ervaring kunnen we vertellen dat we een keer in gesprek zijn geweest met een bedrijf dat graag security monitoring wilde inrichten en wellicht ook uitbesteden. Uiteindelijk hebben ze besloten dit helemaal zelf te doen. Voor wat andere projecten konden we het bedrijf in kwestie uiteindelijk nog wel helpen en in die tijd zagen we dat ze met een team van 3 tot 4 mensen bij kritieke incidenten zelf alles moesten regelen.
Dat is dan toch alsof je 24/7 bedacht moet zijn op een mogelijke melding dat er iets misgaat. De meeste mensen houden dat een paar maanden vol, maar daarna houdt het op.
Wil je weten wat je precies uit handen geeft en wat bij jou blijft, lees dan ons stuk over cybersecurity uitbesteden.
Hoeveel cybersecurity budget mkb-bedrijven nodig hebben, hangt minder af van de omvang dan van de volgorde. Ons advies is om eerst te kijken naar wat je al hebt en daar stappen in te zetten.
Wil je zien hoe die stappen samen een aanpak vormen, kijk dan hoe wij cybersecurity voor mkb inrichten of neem direct contact op.
