Wat is een SOC? Security Operations Center uitgelegd voor MSPs

Analisten in een Security Operations Center monitoren netwerkverkeer en beveiligingsmeldingen op meerdere schermen

Een SOC (Security Operations Center) is een team dat continu de netwerken, systemen en endpoints van een organisatie bewaakt om cyberdreigingen te detecteren en erop te reageren. De drie kerntaken zijn monitoring, detectie en incidentrespons, doorgaans 24 uur per dag.

Een SOC is geen tool maar een operatie: mensen, processen en techniek samen. Een SIEM zonder team is een dashboard dat niemand bekijkt.

Onder de Cyberbeveiligingswet, de Nederlandse implementatie van NIS2, is die detectiecapaciteit geen vrije keuze meer. De wet verplicht tot continue monitoring en tot melding van een significant incident binnen 24 uur. Je kunt alleen melden wat je detecteert.

Wat doet een SOC precies?

Drie kerntaken, in volgorde van hoe het werk verloopt.

Monitoring. Het SOC verzamelt logs en telemetrie uit de hele omgeving: netwerkapparatuur, servers, endpoints, cloudomgevingen en applicaties. Die data wordt gecorreleerd om afwijkingen van normaal gedrag te signaleren.

Detectie. Analisten beoordelen waarschuwingen en scheiden valse positieven van echte dreigingen. Dit is het werk waar de meeste tijd in gaat en waar de kwaliteit van het SOC zich laat zien: een SOC dat alles doorzet als incident is even nutteloos als een SOC dat alles wegklikt.

Incidentrespons. Zodra een incident bevestigd is: insluiten, de oorzaak verwijderen, herstellen en evalueren. Bij organisaties onder de Cyberbeveiligingswet komt daar de meldketen bij: 24 uur voor de eerste melding aan het CSIRT, 72 uur voor de volledige melding, een maand voor het eindverslag.

Daarnaast levert een SOC de rapportage en bewijsvoering die je bij een audit nodig hebt. Dat onderdeel wordt vaak onderschat tot het moment dat een auditor om logs van drie maanden geleden vraagt.

Intern, uitbesteed of hybride?

Drie modellen, met een rekensom die vaak wordt overgeslagen.

Intern SOC. Eigen team, eigen tooling, maximale controle. Ook maximale kosten en volledige afhankelijkheid van schaars personeel.

Managed SOC. Uitbesteed aan een gespecialiseerde dienstverlener. Direct operationeel, voorspelbare kosten, minder directe sturing.

Hybride. Eigen mensen voor de omgevingskennis, externe partij voor de 24/7-dekking en de diepere analyse.

De rekensom die de keuze bepaalt

Uit benchmarkonderzoek onder ongeveer tweehonderd SOC’s wereldwijd komt één cijfer dat de discussie grotendeels beslecht: SOC’s met minder dan zeven fte komen zelden verder dan volwassenheidsniveau 2.

De reden is niet talent of budget maar continuïteit. Onder de zeven fte is 24/7-dekking met kennisborging, opleiding en gedocumenteerde processen structureel onhaalbaar. Vakantie, ziekte en verloop breken elke consistentie.

Voor de meeste mkb-organisaties en kleinere MSPs is een eigen SOC daarmee geen realistische route naar een aantoonbaar volwassen operatie. Dat maakt uitbesteden geen zwaktebod maar een rekenkundige uitkomst. Hoe je die volwassenheid meet en onderbouwt lees je in ons artikel over het SOC-CMM volwassenheidsmodel.

Een SOC als invulling van de Cyberbeveiligingswet

Artikel 21 van de Cyberbeveiligingswet verplicht tot monitoring van netwerk- en informatiesystemen. De wet schrijft geen SOC voor, maar noemt wel de uitkomst die een SOC levert.

Wat de wet concreet vraagt:

Continue bewaking van netwerken en informatiesystemen op afwijkingen
Incidenten detecteren, analyseren en documenteren
Significante incidenten melden binnen 24 uur, volledig binnen 72 uur, eindverslag binnen een maand
Aantoonbaar maken dat de maatregelen werken via logging en rapportage

Die laatste eis is waar organisaties het vaakst op vastlopen. Monitoring draaien is één ding; kunnen laten zien dat het draaide op de dag dat het ertoe deed is iets anders. Meer over de technische vereisten staat in ons artikel over de NIS2 impact op informatiesystemen.

SOC-as-a-service voor MSPs

Als MSP zit je in een dubbele positie. Je valt zelf onder de Cyberbeveiligingswet als aanbieder van beheerde ICT-diensten, én je klanten verwachten dat jij hun monitoringsverplichting invult.

SOC-as-a-service lost beide op met dezelfde investering: je levert aantoonbare monitoring aan klanten en dekt je eigen verplichting af. Wel met een voorbehoud: een incident in een door jou beheerde klantomgeving kan een dubbele meldplicht activeren, die van de klant en die van jou. Leg vooraf vast wie welke melding doet.

Rollen in een SOC

SOC-analisten beoordelen als eerste de binnenkomende waarschuwingen. Zij bepalen wat doorgaat naar onderzoek en wat een vals alarm is.

Security engineers bouwen en onderhouden de detectie: de koppelingen, de regels, de tuning. Zonder engineering verzandt elk SOC binnen een jaar in alert fatigue.

Forensisch specialisten komen na een incident in beeld voor oorzaakanalyse en bewijsvergaring.

Threat hunters zoeken proactief naar dreigingen die de geautomatiseerde detectie heeft gemist. Dit is een rol die pas rendabel wordt bij grotere operaties.

Welke technologie heeft een SOC nodig?

Technologie	Functie	Noodzakelijk?
SIEM	Logverzameling, correlatie en alerting	Ja, de basis
EDR of XDR	Detectie en respons op endpoints en breder	Ja
SOAR	Automatisering van terugkerende responstaken	Bij schaal
Threat intelligence	Context bij indicatoren en campagnes	Sterk aanbevolen
Case management	Registratie en opvolging van incidenten	Ja, voor aantoonbaarheid

Het volgordeprobleem dat veel organisaties maken: eerst een SIEM kopen, dan bedenken wie ernaar kijkt. De SOC-CMM stelt bewust de vraag naar business en governance vóór de vraag naar techniek, en dat is niet zonder reden.

Een SOC inrichten in vier stappen

Stap 1: bepaal waarvoor je het doet. Welke systemen en data zijn kritiek? Welke dreigingen zijn realistisch voor jouw sector? Val je onder de Cyberbeveiligingswet en welke monitoringsverplichting volgt daaruit? Zonder dit fundament koop je tooling zonder doel.

Stap 2: kies het model. Intern, managed of hybride, op basis van de rekensom hierboven en je risicoprofiel. Bij uitbesteden: beoordeel de partij ook op wat ze kunnen aantonen. Onze vergelijking van cybersecurity bedrijven in Nederland zet de MDR-aanbieders naast elkaar.

Stap 3: bouw de detectie op. Databronnen koppelen, use cases definiëren, detectieregels tunen. Reken op maanden, niet weken. Een SIEM met standaardregels produceert vooral ruis.

Stap 4: meet en verbeter. Leg een nulmeting vast en herhaal die jaarlijks. Een SOC-CMM-assessment geeft je een score per domein en daarmee een onderbouwd verbeterplan, plus de tijdreeks die een toezichthouder wil zien.

Veelgestelde vragen over het SOC

Wat is een SOC? Een SOC (Security Operations Center) is een team dat continu de IT-omgeving van een organisatie bewaakt om cyberdreigingen te detecteren en erop te reageren. Het combineert mensen, processen en technologie; een SOC is dus meer dan een SIEM of een tool.

Waar staat SOC voor? SOC staat voor Security Operations Center. In de cybersecuritycontext verwijst het naar het beveiligingsoperatiecentrum. De afkorting wordt ook gebruikt voor SOC 2, een Amerikaanse auditstandaard; dat is een compleet ander onderwerp.

Wat is het verschil tussen een SOC en een SIEM? Een SIEM is een technologisch platform dat logs verzamelt, correleert en alerts genereert. Een SOC is het team en de organisatie die met dat platform werkt. SIEM zonder SOC is een dashboard dat niemand beoordeelt.

Is een SOC verplicht onder NIS2? Nee, de Cyberbeveiligingswet schrijft geen SOC voor. De wet verplicht wel tot continue monitoring en tot incidentmelding binnen 24 uur. Een SOC is in de praktijk de meest directe manier om daaraan te voldoen, maar de wet laat de invulling vrij.

Wat kost een SOC? Een intern SOC kost vooral personeel: onder de zeven fte is volwassen 24/7-dekking niet haalbaar, wat de personeelskosten alleen al fors maakt. Een managed SOC werkt met een maandtarief per omgeving of per endpoint en is voor het mkb doorgaans aanzienlijk kostenefficiënter.

Wat is het verschil tussen een SOC en een CSIRT? Een SOC richt zich op continue monitoring en detectie binnen de eigen organisatie. Een CSIRT (Computer Security Incident Response Team) is gericht op incidentafhandeling en coördinatie, vaak op sector- of landniveau. In Nederland is het NCSC het nationale CSIRT; voor de zorg is dat Z-CERT. Onder de Cyberbeveiligingswet meld je incidenten bij het CSIRT, niet bij je eigen SOC.

Hoe meet ik of mijn SOC goed genoeg is? Met een volwassenheidsassessment. Het SOC-CMM is het meest gebruikte model: gratis, Nederlands van origine en door ENISA genoemd als bruikbaar instrument. Het meet vijf domeinen op een schaal van 0 tot 5 en levert een onderbouwde nulmeting.

Volgende stap

Wil je weten of jouw organisatie onder de Cyberbeveiligingswet valt en welke monitoringsverplichting daaruit volgt? Doe de gratis NIS2 Quickscan en ontvang binnen drie minuten inzicht in je verplichtingen en prioriteiten.

Heb je al een SOC en wil je weten waar het staat? Begin met het SOC-CMM volwassenheidsmodel.