Managed SIEM is een dienst waarbij een securityaanbieder uw security information and event management-platform bedient: logbronnen aansluiten, detectieregels schrijven en tunen, alerts 24/7 bewaken, incidenten onderzoeken en compliancerapportages opleveren. Het platform kan van u of van de aanbieder zijn; de aanbieder is verantwoordelijk voor bruikbare detecties.

Wat is het verschil tussen managed SIEM en SIEM as a service?

SIEM as a service is een leveringsmodel waarbij de aanbieder ook het platform levert, meestal cloud-native en op abonnementsbasis, zodat u geen licenties of infrastructuur bezit. Managed SIEM is de bredere categorie: het omvat SIEM as a service, co-managed constructies en aanbieders die een SIEM beheren die u al bezit.

Wat is co-managed SIEM?

Bij co-managed SIEM wordt het werk verdeeld tussen uw team en de aanbieder. Doorgaans houdt u het eigendom van het platform en volledige consoletoegang, dekt de aanbieder de bewaking buiten kantooruren en de detection engineering, en delen beide partijen een regelbibliotheek onder één wijzigingsproces. Het past bij organisaties met een bestaand securityteam dat diepte en dekking nodig heeft, geen vervanging.

Wat is het verschil tussen managed SIEM en MDR?

Managed SIEM draait om het logplatform en de detecties die daarop worden gebouwd over elke bron die u aansluit. MDR (managed detection and response) draait om endpoint- en identiteitstelemetrie met een sterker responsmandaat, vaak op de eigen tooling van de aanbieder. Veel organisaties draaien beide, met de SIEM als bronsysteem en MDR als eerste responder; onze vergelijking MSSP vs MDR vs SOC behandelt de overlap.

Vereist PCI DSS een SIEM?

PCI DSS v4.0.1 noemt SIEM niet, maar Requirement 10 eist auditlogging van alle toegang tot systeemcomponenten en kaarthouderdata, dagelijkse logreview (geautomatiseerd toegestaan), twaalf maanden retentie waarvan drie maanden direct beschikbaar, en detectie van uitval van beveiligingsmaatregelen. In de praktijk is een SIEM, beheerd of niet, de manier waarop beoordeelde organisaties daaraan voldoen.

Wat kost managed SIEM?

De prijs wordt bepaald door ingenomen logvolume of aantal bronnen, bewaartermijn, uren dekking, de diepte van detection engineering en responsmandaat, en of het platform van u of van de aanbieder is. HackersHub publiceert geen prijzen en scopet elke opdracht afzonderlijk; de gids over kostenfactoren van SOC as a service legt elke variabele uit.

2 november 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)

Managed SIEM: wat de dienst omvat, hoe de leveringsmodellen verschillen en wat u vraagt voordat u tekent

Een SIEM is de duurste securitytool die de meeste organisaties onderbenutten. Bij managed SIEM, oftewel SIEM uitbesteden, neemt een aanbieder het platform, de detectiecontent en de 24/7-bewaking over, zodat de logs waarvoor u al betaalt incidenten opleveren in plaats van dashboards.

Praat met ons over managed SIEM

Wat een SIEM is, en wat managed SIEM toevoegt

Een SIEM (security information and event management-platform) verzamelt logs en telemetrie uit uw hele omgeving, normaliseert ze naar één formaat, correleert gebeurtenissen met detectieregels en gedragsbaselines en genereert alerts die analisten onderzoeken. Microsoft Sentinel, Splunk, Elastic Security, Google Security Operations, IBM QRadar en Sumo Logic zijn de platforms die u het vaakst tegenkomt; zij verschillen in licentiemodel, querytaal en cloudmodel, maar het operationele probleem is voor alle platforms hetzelfde.

Managed SIEM is een dienst waarbij een aanbieder dat platform voor u beheert: logbronnen aansluiten en onderhouden, detectiecontent schrijven en tunen, de alertwachtrij 24/7 bewaken, onderzoeken wat afgaat en de rapportages opleveren die uw complianceteam nodig heeft. Het platform kan van u zijn of van de aanbieder. Het onderscheid dat telt, is wie verantwoordelijk is voor een SIEM die op zondagnacht om drie uur echte incidenten oplevert, want op dat moment is een onbeheerde SIEM een zeer kostbaar logarchief.

Een SIEM is een platform; een SOC is de functie die het bedient. Weegt u een managed SIEM af tegen het uitbesteden van de volledige securityoperatie, lees dan onze uitleg over SOC as a service, die de kant van mensen, proces en platform behandelt en laat zien waar de twee diensten overlappen.

Waarom een SIEM faalt als niemand hem beheert

De meeste SIEM-projecten mislukken niet bij de aankoop. Zij mislukken achttien maanden later, om een van deze vijf redenen. Een zesde, de compliance-SIEM die wel verzamelt maar nooit wordt bevraagd, slaagt voor de audit en faalt bij de inbraak.

1. Het tunen is nooit af

Standaardregels gaan af op normaal gedrag in uw omgeving: serviceaccounts, back-upjobs, kwetsbaarheidsscanners, uw eigen pentesters. Elke regel heeft uitzonderingen, drempels en context nodig, en elke wijziging in de omgeving breekt er een aantal. Zonder een eigenaar voor detectiecontent vult de wachtrij zich met ruis en stoppen analisten met lezen.

2. Het logvolume groeit sneller dan het budget

De meeste platforms rekenen per ingenomen volume of per rekenkracht. Teams reageren door uitgebreide bronnen uit te zetten, en dat zijn vaak juist de bronnen met de meeste forensische waarde (DNS, proxy, procestelemetrie van endpoints). De SIEM bevestigt dan wat de firewall al zei en mist wat er op het endpoint gebeurde.

3. Parsing breekt geruisloos

Een leverancier wijzigt een logformaat, een connector wordt uitgefaseerd, een certificaat verloopt, een forwarder wordt opnieuw opgebouwd zonder configuratie. De bron valt stil of komt ongeparsed binnen, er gaat geen alert af omdat er geen regel is voor 'een bron zwijgt', en het gat wordt ontdekt tijdens een incident.

4. Alertvermoeidheid vervangt detectie

Wanneer een SIEM honderden alerts per dag genereert en een team van twee er twintig kan onderzoeken, gaat het team op gevoel triageren. Echte inbraken produceren in 2026 een handvol laaggeclassificeerde gebeurtenissen verspreid over dagen: een nieuw MFA-apparaat, een onmogelijke-reis-aanmelding, een mailboxregel, een ongebruikelijke OAuth-toestemming.

5. Buiten kantooruren kijkt niemand

Ransomwaregroepen rollen niet voor niets uit op vrijdagavond en op feestdagen. Een SIEM die elke ochtend wordt bekeken, geeft een aanvaller twaalf uur voorsprong; de meeste domeinbrede ransomware-uitrollen zijn sneller klaar.

Wat een managed SIEM-dienst omvat

Zes werkstromen. Zwijgt een voorstel over een ervan, dan is dat gat uw probleem.

Logbronnen aansluiten en gezond houden

Identiteits-, endpoint-, cloud-, netwerk- en SaaS-bronnen koppelen; parsers bouwen voor applicaties die het platform niet kent; elke bron bewaken op stilte of volumeafwijkingen; de reparatie oppakken wanneer een connector breekt.

Detection engineering

Detectieregels schrijven, koppelen aan MITRE ATT&CK en onder versiebeheer brengen, ze tunen op uw omgeving, regels uitfaseren die niets meer opleveren en content toevoegen voor nieuwe technieken en voor bevindingen uit uw eigen penetratietesten.

24/7-bewaking en triage

Analisten die elke alert de klok rond lezen, verrijken met asset- en identiteitscontext, beoordelen als echt of vals positief en bevestigde incidenten via een afgesproken pad met afgesproken ernstniveaus naar uw team escaleren.

Onderzoek en ondersteuning bij respons

Een incident afbakenen over alle data die de SIEM bevat, de tijdlijn opbouwen, getroffen accounts en hosts identificeren en containmentstappen aanbevelen of uitvoeren, afhankelijk van het mandaat in het contract.

Rapportage voor directie en auditors

Maandelijkse servicerapporten (dekking, alertvolumes, incidenten, tuningwijzigingen) en bewijsdossiers gekoppeld aan PCI DSS, HIPAA, SOC 2, NIS2 of DORA, zodat dezelfde data zowel de CISO als de auditor beantwoordt.

Retentie, archief en doorzoekbaarheid

Directe retentie voor onderzoek, koude of archiefopslag voor de bewaartermijnen die uw toezichthouders eisen, en een getest pad om gearchiveerde data terug te halen wanneer een inbraakonderzoek twaalf maanden teruggaat.

Vier leveringsmodellen voor managed SIEM

Dezelfde zes werkstromen kunnen op vier gangbare manieren tussen u en de aanbieder worden verdeeld. Welke past, hangt af van hoeveel controle over het platform en hoeveel eigen analistencapaciteit u wilt behouden.

Aspect	Volledig beheerd	Co-managed SIEM	SIEM as a service (cloud-native)	Eigen SIEM, extern beheer
Wie bezit platform en licentie	Aanbieder	U, of gedeeld	Aanbieder, multi-tenant of eigen tenant	U
Wie schrijft de detectiecontent	Aanbieder	Beiden, met gedeelde regelbibliotheek en wijzigingsproces	Aanbieder, met uw eigen regels op verzoek	Aanbieder, op uw platform
Wie bewaakt 24/7	Aanbieder	Aanbieder buiten kantooruren, uw team overdag (of elke andere verdeling)	Aanbieder	Aanbieder
Consoletoegang van uw team	Alleen lezen of dashboards	Volledig	Meestal volledig binnen uw tenant	Volledig
Datalocatie en eigendom	Onderhandelbaar; controleer exportrechten	Van u	Cloud van de aanbieder; bevestig regio en export	Van u
Exit	Moeilijkst: data en content staan bij de aanbieder	Eenvoudig: u houdt platform en regels	Gemiddeld: logs exporteren, regels elders herbouwen	Eenvoudigst: wissel van beheerder, behoud alles
Meest geschikt voor	Geen eigen SOC-capaciteit, één verantwoordelijke partij gewenst	Bestaand team dat dekking en diepte nodig heeft, geen vervanging	Cloud-first organisaties zonder legacy on-premises logbronnen	SIEM al gelicentieerd maar niet te bemensen

Welke logbronnen u eerst aansluit

Sluit aan in de volgorde die de aanvalsketens vangt die wij daadwerkelijk in red team-opdrachten zien.

Identiteit: aanmeld- en auditlogs van directory en identity provider (Active Directory, Entra ID, Okta), inclusief MFA-registratie, conditional access en wijzigingen in bevoorrechte rollen
Endpoint detection and response-telemetrie: proces-, netwerk- en bestandsgebeurtenissen uit uw EDR-platform, waar de meeste initiële toegang en laterale beweging zichtbaar is
E-mailbeveiliging: aflevering, phishingoordelen, aanmaak van mailboxregels en wijzigingen in doorsturen
Cloud control plane: AWS CloudTrail, Azure Activity Log, Google Cloud Audit Logs, plus toegangslogs van opslag met gevoelige data
Perimeter en toegang op afstand: firewall, VPN, zero-trust-toegangsbroker en webproxy, zowel uitgaand als inkomend
Administratieve auditlogs van SaaS: Microsoft 365, Google Workspace, Salesforce, uw HR- en financiële platforms
Bevoorrechte toegang en geheimen: PAM-sessielogs, vault-toegang, gebruik van serviceaccountsleutels
Servers en workloads: Windows Security- en PowerShell-logs, Linux-authenticatie en sudo, auditlogs van containerorkestratie
DNS en DHCP, die een IP-adres in elke andere log omzetten in een hostnaam; netwerkflowdata en OT-telemetrie pas daarna

Metrics die laten zien of de dienst werkt

Vraag deze op in het maandrapport. Het zijn begrippen die elke volwassen aanbieder meet; de doelwaarden onderhandelt u zelf.

Dekking van logbronnen ten opzichte van uw assetinventaris

Het percentage systemen en identiteiten binnen scope dat daadwerkelijk logs stuurt, plus een lijst van wat ontbreekt. Een SIEM detecteert niet wat hij niet ziet, en dit is het cijfer dat de meeste aanbieders liever niet tonen.

Detectiedekking gekoppeld aan MITRE ATT&CK

Welke technieken actieve, geteste detecties hebben en welke niet, zodat de gaten een bewuste keuze zijn en geen toeval. Detecties die zijn gevalideerd in een purple team-oefening of tijdens uw laatste penetratietest tellen zwaarder dan regels die nooit zijn afgegaan.

Verhouding alerts tot incidenten en percentage vals positieven

Hoeveel alerts de analisten hebben behandeld, hoeveel daarvan incident werden en hoe de tuningachterstand zich ontwikkelde.

Tijd tot detectie, bevestiging en containment

Gemiddelde of mediane tijd van de eerste kwaadaardige gebeurtenis tot detectie, van alert tot bevestiging door een analist en van bevestiging tot containment. Meet ze per ernstniveau en lees de trend, niet één maand.

Gezondheid van de ingestie en parserfouten

Bronnen die stilvielen, bronnen die ongeparsed binnenkwamen en hoe lang het duurde om elk op te merken en te herstellen.

Naleving van bewaartermijnen

Bewijs dat elke bron wordt bewaard voor de termijn die uw kaders eisen en dat gearchiveerde data binnen een vastgestelde tijd kan worden hersteld en doorzocht, minimaal jaarlijks getest.

Compliance-eisen: wat de kaders werkelijk van logging vragen

De duidelijkste eisen staan in PCI DSS v4.0.1 Requirement 10: auditlogs voor alle toegang tot systeemcomponenten en kaarthouderdata, dagelijkse logreview (geautomatiseerde mechanismen zijn toegestaan onder 10.4.1.1), twaalf maanden retentie waarvan drie maanden direct beschikbaar (10.5.1) en tijdige detectie van uitval van kritieke beveiligingsmaatregelen (10.7). Requirement 11.5 voegt inbraak- en wijzigingsdetectie toe. De Amerikaanse HIPAA Security Rule eist auditcontroles (45 CFR 164.312(b)) en periodieke review van systeemactiviteit (164.308(a)(1)(ii)(D)); SOC 2 koppelt aan CC7.2, het bewaken van systeemcomponenten op afwijkingen die op kwaadaardig handelen wijzen; 23 NYCRR 500.6 eist audittrails waarmee transacties kunnen worden gereconstrueerd en cyberincidenten gedetecteerd. CMMC 2.0 Level 2 erft de audit- en verantwoordingsfamilie van NIST SP 800-171, en NIST CSF 2.0 plaatst dit alles onder Detect: Continuous Monitoring en Adverse Event Analysis.

In de EU vereist NIS2 artikel 21(2) incidentafhandeling en basismaatregelen voor cyberhygiëne die toezichthouders lezen als centrale logging en detectiecapaciteit; de Nederlandse Cyberbeveiligingswet zet dit om. DORA artikel 10 eist mechanismen om afwijkende activiteiten tijdig te detecteren en artikel 17 een incidentbeheerproces met vroegtijdige waarschuwingsindicatoren. ISO 27001:2022 maatregelen A.8.15 (logging) en A.8.16 (monitoringactiviteiten) zijn de certificeringsequivalenten.

Vragen aan een managed SIEM-aanbieder

Stel deze vragen schriftelijk aan elke aanbieder op de shortlist.

Wie is eigenaar van de detectiecontent, en houden wij die (met historie) als wij vertrekken?
Wat gebeurt er met onze logdata bij exit: formaat, doorlooptijd, kosten en bewijs van verwijdering achteraf?
Welke van onze bronnen hebben eigen parsers nodig, wie bouwt ze en hoe wordt een gebroken parser opgemerkt?
Hoe wordt ingestie geprijsd, welke filtering past u toe om volume te beperken en wie beslist wat wordt weggegooid?
Hoe bewijst u 24/7-dekking: bezettingsmodel, follow-the-sun of één locatie, en wat zien wij daarvan terug in het ticketspoor?
Wat is het escalatiepad per ernstniveau, wie aan uw kant mag containment uitvoeren en onder welk schriftelijk mandaat?
Hoe integreert de dienst met onze EDR, met onze MDR-aanbieder als die apart is en met onze incident response-retainer?
Waar wordt onze data opgeslagen en verwerkt, in welke regio, en wie bij de aanbieder heeft er toegang toe?
Welke compliancerapporten zijn standaard, en hoe valideert u detecties: purple team-oefeningen, breach simulation of bevindingen uit onze penetratietesten?

Hoe HackersHub managed SIEM uitvoert

HackersHub is een offensive-securitybedrijf uit Amsterdam dat ook managed security levert aan enterprise-klanten in de EU en de Verenigde Staten, op afstand en op locatie waar een opdracht dat vraagt. Onze managed SIEM-dienst omvat het aansluiten van logbronnen, SIEM- en EDR-beheer, 24/7-bewaking, ondersteuning bij incident response en rapportage die aansluit op de bovenstaande compliancekaders. Wij werken co-managed of volledig beheerd, op uw platform of op het onze.

Wat de detectiecontent onderscheidt, is waar zij vandaan komt. Onze testers hebben minimaal OSCP, met OSWE- en CREST-gecertificeerde testers in het team, en zij brengen hun dagen door met binnendringen in omgevingen zoals de uwe. Elke techniek die in een penetratietest of red team-opdracht werkt, wordt een detectiehypothese voor de SIEM, en elke detectie wordt getoetst aan de aanval die haar inspireerde. Begin voor de contractkant met onze MSSP-contractchecklist; is budget de eerste vraag, dan legt de gids over de kostenfactoren van SOC as a service uit wat het bedrag beweegt.

Veelgestelde vragen

Gerelateerde gidsen over managed security

Levert uw SIEM incidenten op, of dashboards?

Wij sluiten de bronnen aan die ertoe doen, schrijven detecties op basis van de aanvallen die wij zelf uitvoeren en bewaken de wachtrij de klok rond. Praat met een expert over een co-managed of volledig beheerde SIEM.

Bekijk managed security services Plan een gesprek