Due diligence van internetproviders voor het MKB: de definitieve gids 2026

Het probleem bij veel SaaS-aankopen ontstaat niet op het moment dat je het contract ondertekent. Het ontstaat pas maanden later, wanneer de aanbieder niet meer reageert zoals beloofd, de voorwaarden wijzigt, het exporteren van gegevens bemoeilijkt of verantwoordelijkheden op jou afschuift waarvan je dacht dat ze bij hem lagen. Op dat moment verdwijnt de aanvankelijk lage prijs. Wat overblijft zijn de bedrijfsstilstand, het juridische risico en de uitstapkosten.

Wie een MKB-bedrijf leidt, weet dat maar al te goed. De commerciële demo ziet er altijd netjes uit, het contract veel minder. En wanneer de leverancier te maken krijgt met gegevens, kritieke processen of verkoopstromen, blijft een verkeerde keuze niet beperkt tot de IT-afdeling. Het raakt ook de administratie, compliance, klantenservice en bedrijfscontinuïteit.

Ik spreek als ondernemer die concrete geschillen heeft meegemaakt met providers die onduidelijk waren over GDPR, Europese facturatie, echte support en eenzijdige wijzigingen van voorwaarden. De les is eenvoudig: provider due diligence is geen formaliteit voor de inkoopafdeling. Het is de manier waarop je beoordeelt of een leverancier een kracht of een structureel risico kan worden.

Hier vind je een praktisch kader om een provider te beoordelen zoals je een zakenpartner zou beoordelen. Niet alleen prijs en functionaliteit, maar ook het contract, de veiligheid, de bedrijfszekerheid, de overdraagbaarheid en de voortdurende monitoring.

Inleiding: Het telefoontje dat geen enkele ondernemer wil ontvangen

De website ligt plat op de slechtst mogelijke dag. Bestellingen lopen vast, het verkoopteam communiceert via drie verschillende kanalen en de klantenservice weet niet wat ze tegen de klanten moeten zeggen. Je opent een ‘prioritair’ ticket bij je SaaS-provider en krijgt een automatisch antwoord. Geen technicus, geen duidelijke escalatieprocedure, geen realtime oplossingstijd.

Op dat moment besef je pas wat je werkelijk hebt gekocht.

Je hebt niet alleen een dienst gekocht. Je hebt gekocht hoe die leverancier incidenten, aansprakelijkheid, gegevens, contract en uitstap beheert. Als je dit niet vooraf hebt gecontroleerd, heb je operationele schuld opgebouwd. Die zie je niet in een demo, staat niet in de prijslijst, maar komt allemaal tegelijk naar boven wanneer de leverancier het laat afweten.

Wanneer een provider op een cruciaal moment in de steek laat, is het probleem niet alleen van technische aard. Het krijgt op dezelfde dag ook commerciële, juridische en reputatiegerelateerde gevolgen.

Veel ondernemers beschouwen de due diligence van een provider als een administratieve formaliteit. Ze kijken naar de prijs, een paar functies, misschien een certificaat op de startpagina, en dan tekenen ze. Dat is een veelgemaakte fout. De cruciale vragen zijn andere: wie is verantwoordelijk voor de gegevens, waar worden ze opgeslagen, hoe kun je ze exporteren, wie biedt je daadwerkelijk ondersteuning, en wat gebeurt er als de provider van eigenaar verandert of de contractvoorwaarden wijzigt?

Het vervelende is dat deze vragen de onderhandelingen vertragen. Het nuttige is dat ze je maandenlang gedoe achteraf besparen.

Wat is ‘provider due diligence’ en waarom is het een vergissing om dit te onderschatten?

Provider due diligence dient om te begrijpen welk stuk risico je samen met de dienst koopt. Het gaat er niet om documenten te verzamelen om gerust te zijn bij het tekenen. Het gaat erom vooraf in te schatten hoeveel die leverancier je écht gaat kosten als er iets misgaat, als de bedrijfsstructuur verandert, als de support tekortschiet of als je op een dag snel weg moet.

Wie al eens te maken heeft gehad met een gedwongen migratie of een slecht beheerd incident, weet dit maar al te goed. Het probleem blijft zelden beperkt tot de leverancier. Het dringt door tot in de interne processen, legt de commerciële activiteiten stil, slokt uren van het technische team op, roept juridische twijfels op en verandert een ogenschijnlijk voordelig abonnement in een verborgen operationele schuld.

Daarom is een gedegen due diligence-onderzoek op vier concrete niveaus gebaseerd:

• Juridische identiteit van de leverancier. Je moet weten welke vennootschap tekent, waar ze actief is, wie de groep controleert en welke entiteit werkelijk aansprakelijk is bij een geschil.
• Financiële en vennootschappelijke stabiliteit. Een kwetsbare provider laat instabiliteit doorwerken op jouw dienst, op reactietijden en op het vermogen om te investeren in veiligheid en continuïteit.
• Contractuele en privacy-scope. Hier wordt bepaald wie het risico draagt op gegevens, onderaannemers, aansprakelijkheidsbeperkingen, eenzijdige wijzigingen en uitstap.
• Werkelijke operationele betrouwbaarheid. Belangrijk zijn support, escalatie, kwaliteit van de documentatie, incidentbeheer en de mogelijkheid om zonder problemen te migreren.

Praktische regel: als de leverancier gegevens, betalingen, klantenservice of een kritiek proces raakt, moet due diligence worden behandeld als een controle van bedrijfscontinuïteit, niet als administratieve routine.

In de Italiaanse context kost onderschatting nog meer, omdat de keten grotendeels bestaat uit kleine en middelgrote bedrijven, die vaak sterk afhankelijk zijn van derde partijen. Het mkb vertegenwoordigt 99,9% van de actieve bedrijven en biedt werk aan ongeveer 76,5% van de werknemers in de private sector, volgens de gegevens van het Ministerie van Ondernemingen en Made in Italy. In zo'n systeem verspreidt het risico van de leverancier zich snel naar de klant.

Daarnaast is er een terugkerende fout. Veel bedrijven beoordelen een provider zonder eerst duidelijk te hebben wat ze werkelijk aanschaffen: infrastructuur, platform, applicatiesoftware, of een combinatie van de drie. Als je deze analyse vooraf goed wilt opzetten, is het verstandig te beginnen bij de verschillen tussen clouddiensten.

Het onderschatten van de due diligence van een leverancier betekent dat je een zakenpartner behandelt als een kostenpost. Hier ontstaan de problemen die niemand in de pitch noemt: interne processen die slecht zijn afgestemd op de leverancier, technische afhankelijkheden die moeilijk te doorbreken zijn, aansprakelijkheden die je pas ontdekt na een incident en uitstapkosten die op je afkomen op het moment dat je de minste onderhandelingsruimte hebt.

Een goed uitgevoerde taxatie voorkomt verrassingen. Een slecht uitgevoerde taxatie stelt ze alleen maar uit.

De contractuele en juridische due diligence die je echt redt

De meeste ernstige problemen komen niet voort uit een technisch defect. Ze komen voort uit een clausule die te laat is gelezen. In het contract staat wie de touwtjes in handen heeft als er iets kapotgaat.

De bepalingen die ertoe doen als het misgaat

Bij het beoordelen van een dienstverlener is de prijs het laatste waar je naar moet kijken. Het juridische kader van de relatie komt op de eerste plaats.

Vertrek vanuit deze gebieden:

• DPA en GDPR-rollen. De Data Processing Agreement moet duidelijk maken wie verwerkingsverantwoordelijke is, wie verwerker is, welke instructies worden gevolgd en welke onderaannemers erbij betrokken zijn.
• Gebruik en teruggave van gegevens. Krijg je bij uitstap je gegevens terug in een bruikbaar formaat, of in een onbruikbare of onvolledige export?
• Eenzijdige wijzigingen. Als de provider voorwaarden, prijzen of beleid kan wijzigen door dit simpelweg op de website te publiceren, blijft het risico bij jou.
• Overname, sluiting, contractoverdracht. Je moet begrijpen wat er met jouw gegevens en de dienst gebeurt als de provider van eigenaar wisselt of stopt met de activiteit.
• Bevoegde rechtbank, toepasselijk recht, geschiltermijnen. Als een geschil onbeheersbaar wordt of ver van jouw operationele omgeving ligt, heb je al onderhandelingsmarge verloren.

Veel ondernemers beschouwen het contract als een document waarmee de aanbieder zich indekt. Dat klopt. Daarom moet het worden gezien als een overzicht van zijn prikkels.

Vragen die je moet stellen voordat je tekent

Tijdens een zakelijke vergadering is het beter om recht voor zijn raap te zijn. Het heeft geen zin om in juridische bewoordingen te spreken. Je moet spreken als een bedrijf dat verborgen kosten wil vermijden.

Probeer het eens met dit soort vragen:

1. Wie verwerkt de gegevens en in welke rol volgens de GDPR?
2. Waar worden de gegevens gehost en welke overdrachten kunnen plaatsvinden?
3. Hoe werkt de opzegging en wat omvat de ondersteuning bij uitstap?
4. In welk formaat exporteren jullie alle gegevens, inclusief logs, bijlagen, configuraties en nuttige metadata?
5. Wat gebeurt er als jullie worden overgenomen of als de servicevoorwaarden veranderen?
6. Welke subverwerkers gebruiken jullie en hoe communiceren jullie wijzigingen?
7. Hoe reageren jullie op een formeel verzoek om toegang tot of verwijdering van gegevens?

Een goed contract is niet het contract dat alles belooft. Het is het contract dat weinig ruimte laat voor onduidelijkheden wanneer de relatie verslechtert.

Een klassieke red flag is de provider die goed antwoordt op commerciële vragen en slecht op vragen over uitstap. Een andere is de standaard-DPA die wel bestaat, maar geen duidelijkheid geeft over aansprakelijkheid, overdrachten en termijnen. Als je vandaag werkt met gegevens, automatiseringen of beslissingssystemen, is het de moeite waard om ook het thema van de European AI Act voor het mkb te lezen, omdat die veel bedrijven ertoe aanzet governance, traceerbaarheid en de rol van leveranciers strenger te formaliseren.

Nog een laatste praktisch criterium. Als de leverancier je vragen over gegevens, aansprakelijkheid en overdraagbaarheid als vervelend beschouwt, zegt dat al iets over het soort relatie dat je na ondertekening zult hebben.

Technische leveranciersaudit: veiligheid die verder gaat dan certificeringen

Een conformiteitskeurmerk helpt. Maar dat is niet genoeg. Een certificering geeft aan dat er een controlesysteem bestaat. Op zichzelf zegt het je echter niet of die provider geschikt is voor jouw context, jouw gegevens en jouw operationele risico’s.

Praktijkervaring is meer waard dan een badge

Vendor-managementframeworks bevelen aan om risicovragenlijsten, financiële rapporten en certificeringen zoals ISO 27001 en SOC 2 te verzamelen, en leveranciers naar kriticiteit te classificeren. Voor leveranciers met hoog risico komen daar on-site audits en reviews van het externe attack surface bij, zoals Mitratech samenvat in de gids over vendor due diligence.

Dit punt verandert de manier waarop een leverancier wordt beoordeeld. De vraag is niet: „Heeft hij een certificaat?”. De vraag is: „Welk praktisch bewijs laat hij mij zien, naast het certificaat?”.

Het is bijvoorbeeld zinvol om te vragen:

OnderwerpWat te vragenWaarom het belangrijk isHostingRegio waar de gegevens en infrastructuuronderleveranciers zijn gevestigdVan invloed op rechtsbevoegdheid en nalevingBack-upBeleid, frequentie, controle van het herstel Een niet-geteste back-up is slechts een hoop Toegang Controles op geprivilegieerde accounts Vermindert intern risico en misbruik Incidentrespons Gedocumenteerd proces voor incidentbeheer Geeft aan wie wat doet onder druk Kwetsbaarheden Bewijs van beoordeling van het blootgestelde oppervlak Helpt te begrijpen in hoeverre de provider zichtbaar en kwetsbaar is voor aanvallen

Back-upjurisdictie en aanvalsgebied

De jurisdictie van gegevens is belangrijker dan velen denken. Als de provider gegevens host of doorgeeft buiten de grenzen die je als vanzelfsprekend beschouwde, veranderen de verplichtingen, de beoordelingen en vaak ook de manier waarop je incidenten en formele verzoeken afhandelt.

Dan is er nog het minder glamoureuze en meer praktische deel: back-ups en noodherstel. Vraag niet alleen of deze voorzieningen bestaan. Vraag ook hoe ze worden gecontroleerd, hoe ze worden gedocumenteerd en wie er ingrijpt in geval van gegevenscorruptie of uitval van de dienst.

Kijk daarnaast ook naar de reputatiekwaliteit van de partij waarmee je onderhandelt. In bepaalde sectoren met veel ruis is het controleren van publieke waarschuwings- of toezichtssignalen een minimale hygiënemaatregel. Een nuttig voorbeeld is de zwarte lijst van cryptovalutafraude, die goed laat zien waarom reputatiescreening en externe verificatie geen luxe zijn, maar een basisbescherming wanneer de provider actief is in gevoelige of ondoorzichtige gebieden.

Als een leverancier je alleen gelikte PDF’s laat zien en geen bewijs levert van hoe hij omgaat met incidenten, back-ups, toegangsrechten en kwetsbaarheden, dan ben je bezig met marketing, niet met beveiliging.

De daadwerkelijke werking beoordelen: de ondersteuningstest en de lock-in-test

De ware kwaliteit van een provider blijkt pas als je haast hebt en weinig speelruimte. Niet in de demo. Niet in het commerciële voorstel. Niet op de ‘enterprise’-pagina.

De demo telt niet mee op cruciale momenten

Je moet de ondersteuning eerst testen voordat je klant wordt. Dat is een stap die bijna niemand zet.

Dat kun je heel eenvoudig doen:

• Stuur een lastige vraag. Vraag niet “hebben jullie prioritaire ondersteuning?”. Vraag hoe ze een formeel verzoek om volledige export of een incident met data behandelen.
• Controleer de escalatie. Bestaat er een gedocumenteerd traject, of word je doorgestuurd naar generieke tickets zonder duidelijke ownership?
• Lees de SLA's aandachtig. De reactietijd is nuttig, maar het echte punt is de oplostijd en wat er buiten kantooruren gebeurt.
• Kijk wie er reageert. Een accountmanager die alles belooft, vervangt geen gestructureerde technische ondersteuning.

Een betrouwbare provider neemt het je niet kwalijk als je deze vragen stelt. Hij vindt ze heel normaal.

Uitstekende ondersteuning is niet dat ze snel reageren als alles goed werkt. Het is dat ze een lastig probleem op zich nemen, het op de juiste manier escaleren en je een schriftelijk overzicht geven van de genomen beslissingen.

De werkelijke prijs is de uitstapkosten

Hier schuilt het meest over het hoofd geziene aspect van de due diligence bij providers: de lock-in.

Een effectieve technische due diligence moet code- en dependency-scans omvatten om een volledige inventaris op te bouwen van software van derden, relaties tussen dependencies en open source-licenties, naast een controle van architectuur, API's en databases om het risico op technische schuld en lock-in te meten, zoals uitgelegd door FOSSA in de gids over technical due diligence.

In ondernemerstermen gezegd: je moet drie dingen begrijpen:

• Echte data-export. Geven ze je CSV, JSON of andere open formaten, of nauwelijks herbruikbare dumps?
• Gedocumenteerde API's. Kun je data en configuraties extraheren zonder afhankelijk te zijn van menselijke ondersteuning?
• Verborgen afhankelijkheden. Hoeveel aanpassingen of proprietaire componenten maken vertrek duur?

Als de provider het makkelijk maakt om erbij aan te sluiten, maar moeilijk om eruit te stappen, dan heb je geen partnerschap. Dan zit je vast.

Wat continuïteit betreft, loont het ook de moeite om duidelijk te krijgen hoe de leverancier omgaat met herstel en gegevensverlies. Als je een goede basis wilt om deze scenario's te beoordelen, vind je een nuttig referentiepunt in ELECTE over het beheer van RTO en RPO.

Een eenvoudig criterium helpt enorm: vraag, voordat je tekent, om een schriftelijke offboardingprocedure. Als die er niet is, zijn de kosten bij vertrek vrijwel zeker hoger dan je denkt.

De risicogebaseerde aanpak: hoe AI en data het toezicht automatiseren

Het probleem met checklists is dat ze een momentopname geven van de leverancier op een bepaalde dag. Het risico verandert daarentegen voortdurend.

Van een eenmalige controle naar voortdurend toezicht

Een veelvoorkomend hiaat in provider due diligence is precies dit: bijna iedereen legt uit wat je aan de provider moet vragen, weinigen leggen uit hoe je het risico ervan doorlopend opnieuw moet berekenen. Toch vraagt de context daarom. Het Clusit 2025-rapport geeft aan dat het aantal cyberaanvallen op Italiaanse doelwitten in 2024 357 bedroeg, een stijging ten opzichte van de 310 in 2023, waarbij 79% een hoge of kritieke ernst had. Bovendien kosten inbreuken via derde partijen gemiddeld meer dan 370.000 dollar extra ten opzichte van interne inbreuken, zoals gemeld door SecurityScorecard in zijn checklist voor service providers.

Dit verandert de controlelogica. Het volstaat niet om de provider bij aanvang goed te keuren. Je moet bepalen welke leveranciers meer aandacht vereisen en welke signalen aanleiding geven tot een herbeoordeling.

Welke signalen is het de moeite waard om in de gaten te houden?

Een risicogebaseerde aanpak begint met een interne classificatie. Niet alle leveranciers zijn hetzelfde. Het volgende is in ieder geval van belang:

• Kritisch belang voor de business. Als de provider stilvalt, komt jouw proces dan volledig tot stilstand of vertraagt het alleen?
• Gevoeligheid van de verwerkte data. Analytische data, klantdata, gereguleerde data, operationele informatie.
• Technische afhankelijkheid. Hoe complex is het om de provider te vervangen of te ontkoppelen?
• Operationele geschiedenis van de relatie. Incidenten, vertragingen, beleidswijzigingen, afname van ondersteuning.

Van daaruit kun je een nuttig toezichtsysteem opzetten, ook met behulp van tools voor gegevensanalyse: dashboards over SLA’s, het volgen van kritieke tickets, waarschuwingen bij wijzigingen in documentatie, veranderingen bij onderaannemers, afwijkingen in de prestaties of bij beveiligingsincidenten.

Een leverancier wordt niet pas risicovol wanneer er zich een incident voordoet. Hij wordt risicovol wanneer de vage signalen zich opstapelen en niemand ze in hun onderlinge samenhang interpreteert.

Voor een MKB-bedrijf is dit het moment waarop gegevens worden omgezet in praktische bedrijfsvoering. Niet om de bureaucratie te verbeteren, maar om sneller te kunnen reageren.

Operationele checklist voor je volgende due diligence van een dienstverlener

De checklist dient maar voor één ding: om te bepalen of je een leverancier kiest die je bedrijf ondersteunt, of een leverancier die je opzadelt met operationele schulden, juridische geschillen en een kostbare uitstap. Als het document je niet helpt om nee te zeggen, is het geen bruikbare checklist.

Juridische en contractuele zaken

Zo voorkom je het soort problemen dat pas na de ondertekening aan het licht komt.

• Duidelijke contractuele identiteit. Controleer wie er echt tekent, welke groepsmaatschappijen betrokken zijn bij de dienst en welke subverwerkers toegang hebben tot data of infrastructuur.
• Leesbare en coherente DPA. Controleer rollen, instructies, doorgiften, verklaarde technische maatregelen, meldingstermijnen en ondersteuning bij verzoeken van betrokkenen of incidenten.
• Uittredingsclausules. Eis vaste termijnen, expliciete kosten, bruikbare exportformaten, verwijdering van resterende data en ondersteuning bij de overgang.
• Eenzijdige wijzigingen. Controleer hoe deze worden gecommuniceerd, hoeveel opzegtermijn je hebt en welk contractueel verhaal er bestaat als de wijziging risico, kosten of operationele werking verslechtert.

Technische afdeling

Hier telt de praktijk. Certificaten helpen wel, maar geven geen inzicht in hoe de provider onder druk presteert.

• Beveiligingsdocumentatie. Vraag bewijs over toegangsbeheer, back-ups, logging, patching, incidentrespons en bekende kwetsbaarheden.
• Architectuur en afhankelijkheden. Begrijp van welke API's, databases, diensten van derden en proprietaire componenten de dagelijkse werking afhangt.
• Echte portabiliteit. Controleer of data, configuraties en logs kunnen worden geëxporteerd in herbruikbare formaten zonder alles handmatig opnieuw op te bouwen.
• Operationele continuïteit. Controleer herstelplannen, uitgevoerde tests, interne rollen tijdens een incident en de kwaliteit van de communicatie naar de klant.

Werkgebied

Veel fouten ontstaan hier, niet in het contract.

• Echte ondersteuning. Test reactietijden, kanalen, escalatie en kwaliteit van de antwoorden voordat je je committeert.
• Offboarding. Vraag om een gedocumenteerde procedure. Als die niet bestaat, is de lock-in al begonnen.
• Changemanagement. Controleer hoe de provider omgaat met updates, deprecations, beleidswijzigingen en roadmapkeuzes die processen die al in productie zijn kunnen breken.
• Kritieke onderaannemers. Zorg voor duidelijkheid over wie wat doet, wie kan wijzigen zonder jouw toestemming en welke operationele effecten dat voor jou heeft.
• Periodieke interne herziening. Wijs een verantwoordelijke aan, bepaal een controlefrequentie en stel duidelijke drempels vast die een herbeoordeling van de leverancier activeren.

De meest voorkomende fout is dat men het bij de selectiefase laat. Het echte risico komt pas daarna aan het licht, wanneer de ondersteuning verslechtert, onderaannemers veranderen, de exportproducten onbruikbaar blijken te zijn of een beleidswijziging ervoor zorgt dat activiteiten die je dacht dat inbegrepen waren, op jouw schouders terechtkomen. Op dat moment duiken de secundaire kosten op.

Als je het allemaal in één vuistregel wilt samenvatten, houd je dan aan deze: beoordeel de provider zoals je een zakenpartner zou beoordelen. Hij moet bestand zijn tegen een incident, een juridisch geschil en een ordelijke beëindiging van de samenwerking. Als je niet weet hoe je eruit moet stappen, heb je onvoldoende onderzoek gedaan.

Als je data over leveranciers, SLA's, incidenten en prestaties wilt omzetten in een continu monitoringsysteem, helpt ELECTE, een AI-powered data analytics platform voor SMEs, om verspreide signalen te verzamelen en om te zetten in bruikbare inzichten voor snellere en beter onderbouwde beslissingen. Het is een concrete manier om van incidentele due diligence over te stappen naar een volwassener operationeel toezicht.