Microsoft 365-beheer uitbesteden: wat het inhoudt en hoe het veilig gaat

Microsoft 365-beheer uitbesteden is voor veel mkb-bedrijven geen bewuste beslissing, het ontstaat vanzelf op het moment dat Microsoft 365 wordt aangeschaft. Zo'n aankoop voelt als abonnementen en licenties kiezen, niet als een doorlopende taak. U kiest een abonnement, wijst licenties toe, en de postvakken en Teams-kanalen staan er. Wat makkelijk over het hoofd wordt gezien: iemand moet het daarna ook blijven beheren. Gebruikers toevoegen en verwijderen als mensen in- en uitstromen, bepalen wie welke licentie krijgt, voorkomen dat beveiligingsinstellingen langzaam verwateren, en merken wanneer iets verandert dat niet had mogen veranderen. Dat is geen bijzaak, en "de cloud regelt het zelf" is precies de aanname waardoor het postvak van een oud-medewerker na zes maanden nog actief staat, of een gedeeld wachtwoord van een hoofdbeheerder in een oude e-mail blijft rondzwerven.

Microsoft 365-beheer is die doorlopende beheerlaag: niet de licentie die u betaalt, en ook niet de servicedesk die "Outlook wil niet opstarten" oplost. Het is ook een eigen uitbestedingsvraag, met een mechanisme dat Microsoft 365 daar speciaal voor heeft ingebouwd, en dat u beter kent voordat u dit aan wie dan ook overdraagt, ook aan uw eigen IT'er.

Wat Microsoft 365-beheer precies inhoudt

Zonder de verkooppraat valt het werk uiteen in een handvol terugkerende taken, elk gekoppeld aan een specifieke beheerdersrol die Microsoft 365 daar precies voor definieert:

• De levenscyclus van gebruikers. Accounts aanmaken voor nieuwe medewerkers, ze uitschakelen of verwijderen zodra iemand vertrekt, en groeplidmaatschappen actueel houden. Microsofts eigen documentatie over beheerdersrollen kent dit toe aan de rol Gebruikersbeheerder, die accounts kan aanmaken, uitschakelen of inschakelen en de meeste gebruikerseigenschappen beheert.
• Licentietoewijzing. De juiste licentie aan de juiste persoon toewijzen, en die meteen vrijgeven zodra iemand vertrekt, in plaats van hem stilletjes te laten doorlopen. Dit is het werk van de rol Licentiebeheerder: licenties toewijzen en intrekken, en de gebruikerslocatie corrigeren.
• Postvak- en platforminstellingen. Regels voor Exchange Online-postvakken, Microsoft 365-groepen en het herstellen van verwijderde items horen bij de rol Exchange-beheerder; sitecollecties en instellingen in SharePoint horen bij de rol SharePoint-beheerder.
• De beveiligingsbasis. Meervoudige authenticatie, aanmeldbeleid en wie er überhaupt beheerdersrechten heeft. De technische kant van het instellen daarvan behandelen we in onze gids over [MFA instellen in Microsoft 365](/nl/articles/mfa-instellen-microsoft-365); dit artikel gaat over wie de sleutel vasthoudt om dat te wijzigen, niet over hoe u het aanzet.
• Dagelijkse wachtwoord- en toegangsverzoeken. Een vergeten wachtwoord resetten of een geblokkeerde aanmelding opheffen komt zo vaak voor dat Microsoft hier een eigen, smallere rol voor heeft, Helpdesk-beheerder, zodat daar geen volledige beheerder voor nodig is.

Bij een gemiddeld mkb-bedrijf is hier geen fulltime functie voor nodig, maar het moet wel iemands duidelijk toegewezen taak zijn. Het meest voorkomende probleem is geen onkunde, het is dat niemand dit als eigen taak heeft, zodat er pas naar wordt gekeken als er al iets is misgegaan.

Zelf doen, uitbesteden of splitsen, en waarom deze keuze kleiner is dan hij lijkt

Dit is een kleinere vraag dan "besteden we onze IT-ondersteuning uit", die onze gids over IT-servicedesk uitbesteden volledig behandelt, inclusief de vormen die die keuze meestal aanneemt: zelf doen, uitbesteden of een hybride opzet. Microsoft 365-beheer is één laag binnen die bredere vraag: een bedrijf kan zijn eigen servicedesk draaien en toch het tenantbeheer aan een partner overlaten, omdat de kennis die daarvoor nodig is, het beheercentrum, de rollen en de beveiligingsinstellingen, specifiek is en niet vraagt om kennis van uw branchesoftware zoals dagelijkse ondersteuning dat wel doet.

In de praktijk besteden de meeste mkb-bedrijven zonder eigen IT-afdeling deze laag uit, ook als ze de dagelijkse ondersteuning informeel zelf blijven regelen, eenvoudigweg omdat niemand intern elke maand de beveiligingsaanbevelingen in het beheercentrum controleert, en een partner die tientallen tenants beheert dat wel doet.

Hoe uitbesteden in de praktijk werkt: gedelegeerd beheer

Microsoft 365 heeft hiervoor een specifiek, benoemd mechanisme, en het is goed om dat te kennen voordat u iets met een leverancier afspreekt. Microsoft noemt dit gedelegeerd beheer: een Microsoft-partner stuurt uw organisatie een e-mail met het verzoek om namens u als beheerder te mogen optreden, en uw organisatie geeft die toestemming via het beheercentrum, niet door een wachtwoord door te geven.

Belangrijk is dat een gedelegeerde partner geen vrij spel krijgt: Microsoft beperkt gedelegeerde partners tot precies twee rollen, en het verschil daartussen is groot:

• Volledig beheer geeft de partner brede rechten: gebruikersaccounts, licenties, domeinen en abonnementen beheren, beveiligingsinstellingen en wachtwoordbeleid instellen, en toegang tot gegevens in Exchange Online en SharePoint Online.
• Beperkt beheer is bewust smaller: gebruikersaccounts aanmaken en wijzigen, wachtwoorden resetten, groeplidmaatschappen beheren en de servicestatus en supporttickets bekijken, zonder toegang tot domeinen, abonnementen of beveiligingsinstellingen.

Een leverancier die elke klant zonder te vragen standaard op Volledig beheer zet, kiest voor eigen gemak boven uw beveiliging, dat is geen eis van Microsoft. Microsofts eigen advies over beheerdersrollen in het algemeen, gedelegeerd of niet, is om zo weinig rechten toe te wijzen als nodig, en het aantal mensen met hoofdbeheerderstoegang te beperken, omdat een hoofdbeheerder bijna onbeperkte toegang heeft tot de instellingen en gegevens van uw organisatie. Voor een routinetaak als het resetten van wachtwoorden raadt Microsoft uitdrukkelijk een smallere rol aan, zoals Wachtwoordbeheerder of Helpdesk-beheerder, in plaats van volledige beheerderstoegang, en Microsoft raadt aan om meervoudige authenticatie te verplichten voor elk beheerdersaccount, ook dat van de leverancier zelf.

Wat u een leverancier vraagt voordat u toegang overdraagt

Microsofts eigen praktijkadvies over gedelegeerd beheer, geschreven voor de partners die het krijgen toegewezen, is een handige checklist om juist aan uw eigen leverancier voor te leggen: plannen zij beheerdersrollen bewust, afgestemd op wat iemand bij hen daadwerkelijk voor u moet doen, in plaats van standaard Volledig beheer toe te kennen? Leggen zij vast en controleren zij periodiek wie welke rol heeft, in plaats van dat stilletjes te laten verouderen? En hebt u, als klant, dat rolontwerp zelf gezien en goedgekeurd, in plaats van alleen "ja" te klikken op een toestemmingsmail?

Een leverancier met goede antwoorden op die vragen beheert uw tenant bewust. Een leverancier die niet kan vertellen welke rol diens technici in uw omgeving hebben, vraagt u op goed vertrouwen te vertrouwen op gegevens en instellingen waar u zelf geen zicht op hebt.

Wat er gebeurt als u van leverancier wisselt

Hier raakt Microsoft 365-beheer rechtstreeks aan een groter risico: vendor lock-in. Gedelegeerd beheer is in te trekken, u kunt de toegang van een partner op elk moment via het beheercentrum verwijderen, maar alleen als u weet dat die er is om in te trekken. Degene die ooit uw Microsoft 365-abonnement heeft aangeschaft, wordt automatisch hoofdbeheerder, en het is goed om vóór een overstap precies na te gaan wie dat is, welke accounts van uw huidige leverancier hoofdbeheerder- of Volledig-beheerrechten hebben, en of een van die accounts toebehoort aan iemand die op de dag dat u wilt vertrekken onbereikbaar blijkt. Leg dit vast bij het aangaan van het contract, niet pas tijdens een overdracht die al loopt.

Licentiekosten en beheerkosten zijn twee aparte rekeningen

Microsofts eigen gepubliceerde prijzen voor de belangrijkste Business-abonnementen (per gebruiker per maand, jaarlijks gefactureerd, exclusief btw, gecontroleerd deze maand) zijn: Business Basic op € 6,07, Business Standard met Copilot op € 20,36, en Business Premium met Copilot, dat in tegenstelling tot de twee lagere niveaus Microsoft Entra ID en Intune bundelt, op € 27,73. Deze prijzen veranderen in de tijd, behandel ze dus als een momentopname en controleer Microsofts eigen prijspagina voor het actuele tarief voordat u gaat begroten.

Wat die licentieprijs niet omvat, is de tijd die iemand besteedt aan het beheren van de tenant. Uitbesteed Microsoft 365-beheer wordt zelden als losse post gefactureerd, het zit meestal verwerkt in een bredere beheervergoeding per werkplek, die onze gids over wat IT-beheer per werkplek kost in detail uitsplitst. Als een offerte "Microsoft 365-licenties" en "IT-beheer" los van elkaar noemt zonder te zeggen welke post het tenantbeheer dekt, vraag er dan rechtstreeks naar; dat is precies de plek waar scope stilletjes tussen de twee posten kan wegvallen.

Veelgestelde vragen

Wat doet een Microsoft 365-beheerder precies? Gebruikersaccounts en licenties, postvak- en SharePoint-instellingen, en de beveiligingsbasis: MFA, aanmeldbeleid, wie beheerderstoegang heeft. Microsoft 365 verdeelt dit in specifiek benoemde rollen in plaats van één alles-of-niets-taak, en precies dat maakt veilig uitbesteden mogelijk.

Kunnen we Microsoft 365-beheer uitbesteden zonder een leverancier volledige toegang te geven? Ja. Microsofts model voor gedelegeerd beheer biedt hiervoor specifiek de rol Beperkt beheer, en een leverancier kan ook smallere, individuele rollen krijgen zoals Helpdesk-beheerder of Gebruikersbeheerder in plaats van hoofdbeheerder. Als een leverancier volhoudt dat volledige toegang de enige optie is, is dat hun eigen standaardkeuze, geen technische eis.

Is Microsoft 365-beheer hetzelfde als onze IT-servicedesk? Nee. Een servicedesk beantwoordt "waarom start dit niet op", wat onze gids over IT-servicedesk uitbesteden apart behandelt. Tenantbeheer is de beheerlaag daaronder: wie beveiligingsinstellingen mag wijzigen, wie welke licentie heeft, wie na vertrek nog een account heeft.

Hebben we bij een klein bedrijf een eigen Microsoft 365-beheerder nodig? Geen fulltime functie bij een gemiddeld mkb-bedrijf, maar het werk moet wel een duidelijke eigenaar hebben, of dat nu iemand intern is met een helder afgebakende verantwoordelijkheid, of een leverancier onder gedelegeerd beheer. Het gebruikelijke probleem is dat niemand het als eigen taak heeft, niet dat de verkeerde persoon het doet.

Waar letten we op voordat we een beheercontract tekenen? Welke beheerdersrol de leverancier daadwerkelijk krijgt (vraag naar de naam van de rol, niet alleen "we krijgen toegang"), of die toegang is vastgelegd en periodiek wordt herzien, en hoe u die toegang schoon kunt intrekken als u ooit van leverancier wisselt.

Behandel tenantbeheer als infrastructuur, niet als bijzaak

Microsoft 365-beheer valt pas op zodra het misgaat: een account dat al maanden geleden uitgeschakeld had moeten zijn wordt ergens voor gebruikt, of een leverancierscontract loopt af en niemand kan zeggen wie nog toegang heeft tot wat. Ons team voor managed IT richt gedelegeerd beheer in met zo weinig toegang als nodig, legt dat vast zodat u het zelf kunt zien, en herziet het volgens een vast schema in plaats van het te laten verwateren; onze teams voor cloud-infrastructuur en cybersecurity en identiteit verzorgen het platform- en beveiligingsbasiswerk daar direct naast.