2 november 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)
Incident response retainer: hoe hij werkt, wat erin zit en hoe u hem afstemt op uw meldplichten
Een incident response retainer is een vooraf onderhandeld contract dat een forensisch en incident-response-team paraat zet voordat er iets gebeurt. Deze gids behandelt de commerciële modellen, wat een goede retainer bevat, hoe hij zich verhoudt tot managed detection and response en tot het panel van uw verzekeraar, en wat u controleert voordat u tekent.
Wat een incident response retainer is
Een incident response (IR) retainer is een doorlopende overeenkomst met een securitybedrijf die u gegarandeerde toegang geeft tot specialisten in digital forensics en incident response (DFIR) zodra een datalek, ransomware-aanval of ander beveiligingsincident zich voordoet. Scope, tarievenkaart, inschakelprocedure en de tijdsafspraak voor het moment waarop een responder aan de lijn is, worden vooraf vastgelegd. De eerste uren van een incident gaan daardoor naar indamming in plaats van naar inkoop, conflictcontroles en geheimhoudingsverklaringen. Het alternatief, op de dag zelf een bureau koud bellen, betekent spoedtarieven van wie toevallig capaciteit heeft, zonder voorkennis van uw omgeving.
Retainers zijn de norm bij Amerikaanse beursgenoteerde ondernemingen, financiële instellingen onder toezicht, zorgaanbieders en defensieleveranciers, en steeds vaker een voorwaarde voor cyberverzekeringsdekking. De koper is meestal de CISO samen met de bedrijfsjurist, omdat de retainer op het snijvlak ligt van technische respons, juridische bescherming en wettelijke meldplichten. NIST SP 800-61 Rev. 3, de herziening uit 2025 van de incident-response-richtlijn die aansluit op NIST CSF 2.0, rekent afspraken met externe responders tot het voorbereidende werk in de functies Govern en Identify, niet tot de reactie wanneer een incident al loopt. Een retainer is geen monitoring en geen verzekering: hij detecteert niets en betaalt niets. Hij zekert mensen, een proces en een tijdsafspraak.
De drie retainermodellen, en de hybride vorm
Aanbieders gebruiken verschillende etiketten, maar bijna elke retainer op de markt is een van deze constructies of een combinatie ervan.
Vooruitbetaalde uren
U koopt een blok DFIR-uren, meestal voor twaalf maanden, tegen een vast tarief. Ongebruikte uren kunnen vaak worden omgezet in voorbereidend werk zoals tabletop-oefeningen of een review van draaiboeken. Het risico zit in de maatvoering: een ransomware-onderzoek verbruikt veel meer uren dan een klein blok dekt, en ongebruikte uren vervallen aan het einde van de termijn tenzij het contract overdracht toestaat.
Zero-cost retainer (zonder voorschot)
Geen vergoeding vooraf. U tekent de raamovereenkomst, spreekt een tarievenkaart en een inschakelprocedure af en betaalt pas wanneer u een incident afkondigt. U krijgt contractzekerheid en een bekend tarief. De tijdsafspraak voor de start van de inzet is doorgaans zwakker dan bij betaalde modellen, en uw melding kan tijdens een brede exploitatiecampagne achter betalende klanten in de rij komen.
Abonnement (full-service retainer)
Een vaste jaarlijkse vergoeding dekt een omschreven responsrecht plus proactieve diensten: een readiness assessment, vaste contactpersonen, periodieke tabletop-oefeningen en een onboarding waardoor responders uw netwerk, identity provider en logging al kennen. De sterkste tijdsafspraken en het model waar verzekeraars en toezichthouders het meest vertrouwd mee zijn.
Hybride en gebundeld
Een kleinere vooruitbetaalde of abonnementskern met betaling per uur voor het meerwerk, of een retainer die is opgenomen in een contract voor managed detection and response. De bundel is logisch wanneer hetzelfde team uw telemetrie al bewaakt: hij neemt de overdracht weg tussen de mensen die de alert zagen en de mensen die het onderzoek uitvoeren.
Inzettijd, reikwijdte van DFIR en juridische bescherming
De clausule die het meest telt, is de tijdsafspraak voor de start van de inzet: hoe lang na uw afkondiging van een incident een gekwalificeerde responder met u in uw omgeving aan het werk is, en hoe lang het duurt voordat een hoofdonderzoeker is toegewezen. Aanbieders drukken dit uit in uren en onderscheiden inzet op afstand, de norm, van aanwezigheid op locatie, die langer duurt en meestal optioneel is. Controleer of de klok begint bij uw telefoontje, bij de bevestiging van de aanbieder of bij ondertekening van een opdrachtbevestiging; daar kunnen uren tussen zitten. Controleer vervolgens wat de afspraak waard is als zij niet wordt gehaald: een servicekrediet op een zero-cost retainer is niets waard.
De scope bepaalt wat de responders daadwerkelijk doen. Volledige DFIR omvat triage en afbakening, forensische veiligstelling en bewaring, analyse van logs en endpoints, identificatie van de dreigingsactor, aansturing van indamming en opschoning, ondersteuning bij herstel en een schriftelijk rapport. Smallere retainers dekken alleen triage op afstand en factureren forensisch onderzoek apart. Controleer of cloudtenants (Microsoft 365, Google Workspace, AWS, Azure), identity providers, SaaS-platformen en OT-omgevingen onder de dekking vallen, want veel standaardscopes zijn geschreven voor endpoints op locatie.
In de Verenigde Staten wordt incident response meestal via een extern advocatenkantoor ingeschakeld, waarbij het DFIR-bureau door de advocaat wordt gecontracteerd zodat het onderzoeksmateriaal onder het attorney-client privilege kan worden gebracht. Rechters hebben dat argument niet consequent aanvaard, zeker wanneer hetzelfde bureau al onder een bestaand contract diensten leverde en het rapport breed is gedeeld. In Nederland beschermt het verschoningsrecht van de advocaat de communicatie met de advocaat, niet het forensische rapport als zodanig, en verplicht artikel 33(5) AVG de verwerkingsverantwoordelijke elk datalek te documenteren. Houd het juridisch aangestuurde onderzoek daarom een apart, afgebakend spoor en de technische hersteldocumenten gescheiden van het juridische rapport.
Wat een complete retainer bevat
Vergelijk voorstellen op deze negen onderdelen. Een retainer die er meer dan twee mist, is een tarievenkaart, geen retainer.
1. Readiness assessment en onboarding
Een beoordeling van uw IR-plan, de dekking van uw logging, de uitrol van EDR, de isolatie van back-ups en uw identiteitsarchitectuur, zodat responders weten welk bewijs er op dag één zal bestaan. Hiaten die hier aan het licht komen, kosten nu veel minder om te dichten dan tijdens een incident.
2. Draaiboeken en escalatiecontacten
Scenariodraaiboeken voor ransomware, business email compromise, misbruik van cloudcredentials en datadiefstal door insiders, met vaste contactpersonen aan beide kanten, kanalen buiten de reguliere infrastructuur en een beslismatrix die vastlegt wie een incident mag afkondigen.
3. Tabletop-oefeningen
Minimaal één begeleide oefening per jaar met directie, juridische zaken, communicatie en IT tegen een realistisch scenario. Hier ontmoet het plan de mensen die het moeten uitvoeren; de verwante gids over tabletop-oefeningen behandelt het ontwerp.
4. Forensische veiligstelling en analyse
Veiligstellen van geheugen en schijven, export van cloud-auditlogs, reconstructie van de tijdlijn, malware-analyse en, waar het bewijs dat toelaat, attributie aan een bekende dreigingsactor. De omgang met bewijs moet standhouden in een rechtszaak en bij de toezichthouder.
5. Aansturing van indamming en opschoning
Concrete aansturing bij het isoleren van hosts, intrekken van tokens, roteren van credentials, blokkeren van command-and-control-infrastructuur en verwijderen van persistentie, afgestemd met uw IT-team, interne SOC of MDR-aanbieder.
6. Ondersteuning bij herstel
Prioriteren van het herstel, valideren dat back-ups schoon zijn, bepalen wanneer systemen veilig opnieuw kunnen worden aangesloten, en waken voor hernieuwde toegang in de weken na indamming, wanneer aanvallers terugkeren via de credentials die niemand heeft geroteerd.
7. Ondersteuning bij wettelijke meldingen
Feitelijke input voor de meldingen die uw jurist indient: welke gegevens, welke systemen, hoeveel betrokkenen, welke jurisdicties. De termijnen hieronder lopen vanaf kennisneming, dus de retainer moet binnen uren verdedigbare feiten opleveren.
8. Communicatie met de dreigingsactor, indien gekozen
Als uw organisatie en haar verzekeraar besluiten met een afpersingsgroep in contact te treden: een gespecialiseerde onderhandelaar, toetsing aan de sanctielijsten van OFAC en de EU, en de logistiek van een eventuele betaling. Veel retainers sluiten dit volledig uit; ken de positie voordat u die nodig heeft.
9. Eindrapport en lessen
Een schriftelijk rapport met oorzaak, tijdlijn, genomen maatregelen, bewijsinventaris en geprioriteerd herstel, in een vorm die uw auditors, verzekeraar en bestuur kunnen gebruiken, gevolgd door een sessie om maatregelen, detecties en draaiboeken bij te stellen.
Retainer versus managed detection and response versus verzekeraarspanel
De drie worden vaak verward omdat ze alle drie experts aan de telefoon brengen tijdens een incident. Ze lossen verschillende problemen op, en de meeste volwassen programma's hebben alle drie.
| Aspect | IR retainer | Managed detection and response (MDR) | Panel van de cyberverzekeraar |
|---|---|---|---|
| Wat het is | Vooraf onderhandelde toegang tot een DFIR-team zodra u een incident afkondigt | Een continue 24/7-dienst die telemetrie van endpoints, identiteiten en cloud bewaakt en reageert op wat zij detecteert | Goedgekeurde breach coaches, forensische bureaus en PR-bureaus die uw verzekeraar vergoedt |
| Wanneer het begint te werken | Bij afkondiging van een incident | Vanaf de onboarding, elke dag | Nadat u de verzekeraar heeft geïnformeerd en de claim is geaccepteerd |
| Wie de responders kiest | U, vooraf | De analisten van uw MDR-aanbieder | De verzekeraar, tenzij u uw eigen bureau op de polis heeft laten zetten |
| Kent uw omgeving vooraf | Ja, als onboarding en voorbereidend werk zijn inbegrepen | Ja, via dagelijkse telemetrie | Zelden; het panelbureau ontmoet u op uw slechtste dag |
| Detecteert incidenten | Nee | Ja, dat is de kern van de dienst | Nee |
| Betaalt de incidentkosten | Nee; hij legt het tarief en de tijdsafspraak vast | Nee; respons binnen de bewaakte scope is onderdeel van de dienst | Ja, binnen limieten, sublimieten en uitsluitingen |
| Meest geschikt voor | Organisaties met een SOC of MDR die extra forensische capaciteit, juridische bescherming en ondersteuning bij meldplichten nodig hebben | Organisaties zonder eigen 24/7 detectie- en indammingscapaciteit | Overdracht van financieel risico; geen vervanging voor de andere twee |
Hoe u een retainer op maat bepaalt
Bepaal het responsrecht op een realistisch worstcasescenario, niet op een gemiddelde. Een business email compromise van één mailbox kost enkele onderzoekersdagen. Een ransomware-aanval op ondernemingsniveau met domeinbrede versleuteling, data-exfiltratie en meldingen in meerdere jurisdicties houdt een team van responders wekenlang bezig. Koopt u vooruitbetaalde uren, modelleer dan het ransomwaregeval en controleer wat er gebeurt als het blok op is: loopt het vaste tarief door, en blijft de tijdsafspraak voor de inzet overeind?
Bepaal daarna de proactieve kant. Organisaties met een onvolwassen IR-plan zetten de uren het best in op voorbereiding: review van het plan, hiaten in de logging, een eerste tabletop-oefening. Organisaties met een volwassen SOC zetten ze in op forensische diepgang en juridische ondersteuning. Leg de retainer ten slotte naast uw footprint: landen, cloudtenants, dochterondernemingen met eigen identity providers, OT-locaties. Een praktische toets: vraag de aanbieder de bezetting op dag één, drie en tien van de laatste drie opdrachten van het type dat u het meest vreest te beschrijven. Dat antwoord zegt meer dan de tarievenkaart.
Contractchecklist: wat u controleert voordat u tekent
Laat de jurist en de CISO deze clausules samen doornemen, met de eisen van de verzekeraar ernaast.
- Tijdsafspraak voor de start van de inzet in uren, met een heldere definitie van wanneer de klok begint en welk rechtsmiddel geldt als zij niet wordt gehaald
- Bij naam genoemde hoofdresponders of een omschreven senioriteitsniveau, en het recht om vervangers onder dat niveau te weigeren
- Scopeverklaring die endpoints, servers, cloudtenants, SaaS, identity providers, OT en de meegenomen dochterondernemingen en jurisdicties dekt
- Tarievenkaart voor elke rol met voorwaarden voor overwerk, weekenden en reizen, vast voor de looptijd; behandeling van ongebruikte vooruitbetaalde uren (overdracht, omzetting of verval)
- Inschakeling via een extern advocatenkantoor: wie contracteert met wie, wie eigenaar is van het rapport, hoe technische opleveringen gescheiden blijven van het juridisch beschermde onderzoek
- Omgang met bewijs, chain of custody, dataresidentie en bewaartermijnen voor forensische images en logs, inclusief AVG-voorwaarden voor persoonsgegevens
- Capaciteitsbepalingen: wat er gebeurt als een massale exploitatiegolf betekent dat tientallen klanten van de aanbieder op dezelfde dag bellen
- Coördinatieclausule met uw MDR-aanbieder, MSSP of interne SOC: wie leidt, wie beheerderstoegang heeft, hoe overdrachten worden vastgelegd
- Afstemming met de verzekeraar: bevestig dat uw verzekeraar het bureau als panel- of vooraf goedgekeurde leverancier accepteert, of laat het bij verlenging op de polis zetten
Wettelijke meldtermijnen waar de retainer u bij moet helpen
Meldtermijnen lopen vanaf het moment dat u kennisneemt van een incident of het classificeert, niet vanaf het moment dat u het begrijpt. De taak van de retainer is binnen die vensters verdedigbare feiten opleveren. Uw jurist bevestigt de toepasselijkheid per juridische entiteit.
| Regime | Voor wie | Termijn | Wat moet worden geleverd |
|---|---|---|---|
| AVG art. 33 en 34 (EU) | Elke verwerkingsverantwoordelijke die persoonsgegevens van EU-burgers verwerkt | 72 uur na kennisneming van een datalek | Melding bij de Autoriteit Persoonsgegevens; betrokkenen zonder onredelijke vertraging bij hoog risico |
| NIS2 art. 23 (EU), in Nederland de Cyberbeveiligingswet | Essentiële en belangrijke entiteiten in 18 sectoren | 24 uur vroegtijdige waarschuwing, 72 uur incidentmelding, eindrapport binnen een maand | Meldingen bij het nationale CSIRT of de bevoegde autoriteit voor significante incidenten; zie onze gids over managed security voor NIS2 voor hoe monitoring deze termijnen ondersteunt |
| DORA art. 19 (EU, financiële sector) | Banken, verzekeraars, beleggingsondernemingen, betaalinstellingen en anderen | Eerste melding binnen vier uur na classificatie als ernstig incident en uiterlijk 24 uur na kennisneming; tussenrapport binnen 72 uur; eindrapport binnen een maand | Rapporten aan de bevoegde financiële toezichthouder, in Nederland DNB of AFM |
| SEC Form 8-K Item 1.05 (VS) | Aan een Amerikaanse beurs genoteerde ondernemingen | Vier werkdagen na vaststelling dat het incident materieel is | Openbare bekendmaking van aard, omvang, timing en materiële impact |
| HIPAA Breach Notification Rule, 45 CFR 164.400 tot 164.414 (VS) | Covered entities en business associates in de Amerikaanse zorg | Zonder onredelijke vertraging en uiterlijk 60 kalenderdagen na ontdekking | Kennisgeving aan betrokkenen en aan HHS; aan de media bij inbreuken die 500 of meer inwoners van een staat raken |
| NYDFS 23 NYCRR 500.17 (VS) | Entiteiten met een vergunning van het New York Department of Financial Services | 72 uur na vaststelling dat een cybersecurity-incident heeft plaatsgevonden; 24 uur voor elke afpersingsbetaling | Kennisgeving aan de Superintendent, met een schriftelijke toelichting op een betaling binnen 30 dagen |
| CIRCIA (VS, vitale infrastructuur) | Entiteiten in de 16 vitale sectoren, zodra de definitieve regeling van kracht is | 72 uur voor gedekte incidenten, 24 uur voor ransomwarebetalingen | Melding bij CISA |
Hoe de retainer aansluit op MDR en op tabletop-oefeningen
Een retainer is de opschalingslaag boven continue detectie. Managed detection and response bewaakt uw telemetrie rond de klok en damt in wat zij ziet; de retainer brengt forensische diepgang, juridisch bewust onderzoek en ondersteuning bij meldplichten wanneer een gebeurtenis groter is dan wat het monitoringteam in zijn normale werkwijze kan afsluiten. Het wrijvingspunt is de overdracht. Bij twee aanbieders legt u in beide contracten vast wie leidt, wie beheerderstoegang heeft en hoe bewijs dat het monitoringteam verzamelt wordt bewaard. Bij één aanbieder controleert u of het responsteam niet simpelweg dezelfde analisten zijn die overwerken.
Tabletop-oefeningen zijn waar de retainer zijn proactieve waarde verdient. Een begeleide oefening tegen een ransomware- of business-email-compromise-scenario toetst de escalatiecontacten, het afkondigingsbesluit, de route via de advocaat en de meldtermijnen hierboven, met de mensen die straks moeten handelen. Organisaties die er elk jaar een draaien, vinden de hiaten in de retainer (een verkeerd contact, een uitgesloten cloudtenant, een onduidelijke afkondigingsbevoegdheid) voordat een incident ze vindt.
Hoe HackersHub incident response ondersteunt
HackersHub is een offensief securitybedrijf uit Amsterdam met meer dan tien jaar ervaring, dat daarnaast managed security levert aan enterprise-klanten in de EU en de VS, op afstand en met inzet op locatie waar een opdracht dat vraagt. Onze dienst voor managed detection and response combineert 24/7 monitoring, beheer van SIEM en EDR en detection engineering gevoed door ons offensieve werk, met ondersteuning bij incident response als onderdeel van de dienst in plaats van als losse spoedopdracht. Readiness reviews, draaiboeken en tabletop-oefeningen maken deel uit van die onboarding, ontworpen door dezelfde testers die red-team-opdrachten uitvoeren tegen omgevingen als de uwe. Wij verkopen geen losse retainer; de responscapaciteit komt mee met de monitoring.
De dienstvoorwaarden worden per klant in het contract voor managed detection and response vastgelegd, na een scopinggesprek over uw footprint, uw toezichtrechtelijke blootstelling en uw bestaande monitoring. Wij publiceren geen responstijden en geen prijslijst, omdat beide afhangen van de scope. Onze rapportage sluit aan op de kaders die uw auditors en toezichthouders gebruiken, waaronder NIST CSF 2.0, ISO 27001:2022, NIS2 en DORA.
Veelgestelde vragen
Gerelateerde gidsen
- Managed detection and response van HackersHub
- Tabletop-oefening cybersecurity: zo ontwerpt en begeleidt u er een
- Ransomware readiness assessment: wat het omvat
- MDR vs EDR vs XDR: tool of dienst?
- MSSP vs MDR vs SOC: de verschillen uitgelegd
- NIS2 compliance en penetratietesten
- Managed security voor NIS2: de meldtermijnen halen
- DORA pentest en TLPT uitgelegd
- Penetratietest laten uitvoeren door HackersHub
Responders die uw omgeving al kennen?
Onze dienst voor managed detection and response bouwt ondersteuning bij incident response in de dagelijkse monitoring in, met readiness reviews, draaiboeken en tabletop-oefeningen als onderdeel van de onboarding. Praat met een expert over wat uw footprint en uw toezichthouders vereisen.