Liegt Je MSP Tegen Je Om Je Premiumproducten Te Verkopen?

Kort antwoord: sommige wel.

Het langere antwoord is erger, en het is degene die je tijd waard is. De meeste hoeven nooit te liegen, want de regeling doet het voor ze. Ze worden betaald door de vendors wiens producten ze aanbevelen, tegen tarieven die meebewegen met welk product je neemt en hoeveel ervan verbruikt wordt, en niemand is verplicht er een woord over te reppen. Zet een bedrijf dertig jaar in die positie en oneerlijkheid wordt overbodig. De shortlist schrijft zichzelf.

Van waar jij zit, aan de ontvangende kant van de factuur, kosten een leugen en een doorgestoken proces precies hetzelfde.

Dit deel is het verkopen: wie de persoon betaalt die je adviseert, wat de shortlist nooit haalt, waarom het betere antwoord degene is die ze niet zullen aanbieden, en wat je stilletjes huurt. Deel twee is wat er gebouwd wordt zodra het papierwerk getekend is en wie het nog meer kan bereiken. Deel drie is wie het draagt wanneer het ding omvalt, en wat weggaan kost. Een deel ervan heb ik zien gebeuren. De rest staat in het openbare dossier met de naam van een toezichthouder erop, en elke bewering hier draagt een link.

Niets ervan vereist dat je technisch bent. Je hoeft alleen te vragen.

De Makkelijke Fix Is Het Teken

Neem een gangbare. Een thuiswerker krijgt zijn laptop geen VPN-tunnel terug naar kantoor. De provider kijkt ernaar en komt terug met iets dat de klant aan het thuiseind moet veranderen. Niet aan hun eind. Aan het thuiseind.

De tunnel is L2TP over IPsec naar een Cisco Meraki MX, en wat er werkelijk mis is, is NAT-traversal. De client onderhandelt nog steeds op UDP 500 in plaats van naar UDP 4500 te gaan, want NAT-T werd nooit geconfigureerd aan het kantooreind. RFC 3947 is er bot over: zodra een NAT gedetecteerd is, “MUST set both UDP source and destination ports to 4500” — moet de initiator de UDP-bron- en bestemmingspoorten op 4500 zetten. Hij doet het nooit. De tunnel sterft in de NAT. Elke keer.

Het antwoord zit op hun eigen firewall, uitgeschakeld. Diezelfde MX draait AnyConnect, dat “will attempt to connect using both TLS, and DTLS (Datagram TLS) over TCP and UDP 443 respectively” — zal proberen te verbinden met zowel TLS als DTLS (Datagram TLS) over respectievelijk TCP en UDP 443. Gewone TLS op een gewone poort. Een NAT begrijpt dat perfect — er is niets te traverseren en niets te configureren — en het zou werken de middag dat iemand het aanzette.

Niemand neemt een packet capture. Niemand controleert op welke poort de client werkelijk praat. Dat zijn de eerste twee dingen die je doet, en ze zouden het in een minuut beëindigen.

Nu een tweede van dezelfde provider, en er zit nergens een netwerk in. Een labelprinter, en een verzendlabel dat er in het juiste formaat uit moet komen. Dat is het hele verzoek. Het is ook het enige dat een labelprinter doet.

Het antwoord dat terugkwam was dat het niet mogelijk is.

Het was een optie in de printerdriver. Een vinkje, in een instellingendialoog, op software die zij beheren, en de hele klus was het aanvinken en een testprint draaien. Niemand hoefde iets te kopen. Niemand hoefde iets te ontwerpen. Ze wilden het niet aanvinken.

Merk op dat “niet mogelijk” een antwoord is met nergens een meting erin, en het is het ene antwoord dat een ticket sluit zonder dat iemand iets hoeft te doen. Het wordt ook moeilijker terug te nemen naarmate het langer staat, want nu gaan kijken betekent toegeven dat er iets was om naar te kijken.

Dat is de vorm om op te letten, en het is dezelfde vorm twee keer. De fout is gratis te repareren, de fix zit binnen apparatuur die de provider al bezit en al betaald wordt om te draaien, en wat er in plaats daarvan terugkomt is ofwel een instructie om iets aan het eind van de klant te veranderen ofwel een botte verklaring dat het niet gedaan kan worden. Wanneer het goedkope antwoord wordt weggewuifd zonder een meting, krijg je geen diagnose. Je wordt gemanaged.

Een engineer die de fout heeft gevonden vertelt je wat de fout is. Iemand die het niet gevonden heeft vertelt je dat het niet gedaan kan worden, of vertelt je wat te kopen.

Wie Je Adviseur Betaalt

Begin met het geld, want al het andere volgt het.

Wanneer je MSP een hyperscaler aanbeveelt, zijn ze niet neutraal. Microsofts eigen factureringsdocumentatie beschrijft partner earned credit — een credit toegepast tegen de kosten op je Azure-verbruik, verdiend door de partner die de adminrechten houdt om het te beheren. Je rekening gaat omhoog, zij krijgen een schijfje. Ernaast zitten resellermarges, volumetiers, certificeringskortingen, market development funds en kwartaaldoelen, over elke vendor in de stack, niet alleen die ene.

Niets hiervan is geheim, en niets ervan is tegen enige regel. Het is gepubliceerd, het is normaal, en het is hoe het kanaal dertig jaar heeft gewerkt.

Hier is het stukje dat je zou moeten storen. Niemand hoeft je er iets over te vertellen — niet het tarief, niet de doelen, niet de credit. De persoon die het product aanbeveelt wordt betaald door het bedrijf dat het product maakt, tegen een tarief dat afhangt van welk product ze je aanpraten en van hoeveel ervan je vervolgens verbruikt, en er is nergens een verplichting om er een woord van in het voorstel te zetten dat je leest.

Een andere industrie keek precies naar deze regeling en verbood het. Onder de regels van de FCA mag een financieel adviseur “only be remunerated for the personal recommendation … by adviser charges” — alleen beloond worden voor de persoonlijke aanbeveling door adviesvergoedingen — en moet “not solicit or accept … any other commissions, remuneration or benefit” — geen enkele andere commissie, beloning of voordeel vragen of accepteren. Jij betaalt je adviseur. De productleverancier niet. Die regel bestaat omdat de toezichthouder iets voor de hand liggends uitwerkte. Je kunt advies niet van verkopen onderscheiden wanneer de verkoper wordt betaald door de fabrikant.

IT had die afrekening nooit. De CMA is door de cloudmarkt gegaan en keek hard naar committed spend, egress en overstappen, maar niemand heeft nog naar de laag in het midden gekeken. Het bedrijf dat tussen jou en de vendor zit, dat zowel een plicht aan jou houdt als een doel van hen.

Ook het waard het ding bij zijn naam te noemen.

Een prikkel is een betaling van de ene partij om een beslissing te vormen waar een andere partij op steunt. Dat is het mechanisme, hoe het programma ook heet op de website van de vendor. De vendor betaalt, de klant steunt, en de aanbeveling verschuift.

Het is ook dwingend aan het eind van de MSP, wat de helft is die niemand bekijkt. Mis de tier en je loopt niet simpelweg een bonus mis. Je inkoopprijs gaat omhoog op alles dat je verkoopt voor de volgende twaalf maanden. Dus de druk is niet “verkoop dit en krijg een traktatie”. Het is “verkoop dit of je hele bedrijf wordt duurder”. Niemand in die positie kiest vrij, en het was nooit ontworpen om als een keuze te voelen.

Het Engelse recht kent de vorm hiervan al. De Bribery Act 2010 heeft nergens een ambtenaar bij nodig — sectie 3 dekt “any activity connected with a business” — elke activiteit verbonden aan een bedrijf — en het bijt waar de persoon die die activiteit uitvoert geacht wordt het te doen “in good faith” — te goeder trouw —, of “impartially” — onpartijdig —, of “in a position of trust” — in een vertrouwenspositie — is. Lees die drie voorwaarden. Lees dan het voorstel op je bureau.

Ik beschuldig niemands accountmanager van een misdrijf. Wat er gaande is, is saaier dan dat en moeilijker te repareren. De regeling zit een haartje aan de goede kant van de lijn, en het enige dat het daar houdt is dat niemand ooit heeft vastgesteld dat een MSP je in de eerste plaats onpartijdigheid verschuldigd is. Financieel advies stelde het vast, en de commissie stopte. Niemand heeft het hier vastgesteld, dus is het niet gestopt.

Noem een prikkel een milde vorm van corruptie en mensen worden nijdig. Zet de betaling, het doel en de shortlist op dezelfde pagina, en vraag dan hoe je het anders zou noemen.

De Kleine Leverancier Wordt Nooit Genoemd

De lijst leveranciers die je getoond werd is niet de lijst leveranciers die bestaan. Het is de lijst waar je MSP al een account mee heeft.

Om op die lijst te komen heeft een vendor een partnerprogramma nodig. Tiers, accreditatie, kortingen, deal registration, een distributeur bereid de lijn te dragen. Dat is een machine. Die draaiende houden kost geld dat helemaal niets te maken heeft met hoe goed het product is. Er zijn heel wat kleine bedrijven in dit land die betere apparatuur en betere software bouwen dan de badge op je voorstel, en ze zullen er nooit op verschijnen, want ze hebben twaalf medewerkers en geen kanaalteam.

Kijk naar wat de machine met de aanbeveling doet.

Deal registration bindt je MSP aan een vendor voordat iemand met jou over eisen heeft gesproken. Ze loggen de kans, ze krijgen een betere inkoopprijs en bescherming tegen een andere partner die jou hetzelfde offreert, en vanaf dat moment is er een reden om het ontwerp naar die vendor te sturen die niks met jouw bedrijf te maken heeft.

Tiers doen de rest. Goud, platina, hoe het dit jaar ook heet, de status draait op jaarlijks volume, en het zet hun korting op al het andere dat ze het hele jaar verkopen. Jouw project kan het ding zijn dat ze over de streep trekt. Dat wordt je niet verteld.

Dan beslist de distributeur wat er over is. Een MSP koopt via een distie, de distie draagt de lijnen waar het overeenkomsten op houdt, en een vendor die niet op de prijslijst staat kan net zo goed niet bestaan.

Wat dat je kost is niet abstract. Een kleinere leverancier zal je meestal aan de telefoon zetten met de mensen die de software schreven in plaats van een eerstelijnsscript, zal iets veranderen omdat je het vroeg, en is volgend jaar nog steeds aan jou verantwoording verschuldigd omdat je een echt deel van hun omzet bent in plaats van een afrondingsfout. Niets daarvan past in een vergelijkingsmatrix, en niets ervan betaalt iemand een korting.

Vraag dus wat er nodig zou zijn om een van die kleinere bedrijven op de shortlist te krijgen. Het antwoord vertelt je voor wie de shortlist werd opgesteld.

En Het Mandaat Komt Uit Eén Land

Kijk naar de badges op het voorstel. De hypervisor, de cloud, de netwerkapparatuur, de firewall, het officepakket, de CRM, het backupdoel, de monitoring. Bijna allemaal Amerikaans.

Niets daarvan is een oordeel over kwaliteit. Het is wat er gebeurt wanneer de route naar de markt een kanaalprogramma is, want de bedrijven groot genoeg om er een op wereldschaal te draaien zitten in één land. Dus de doelen die je MSP draagt, de kortingen die je shortlist vormen en de tier die hun marge zet zijn allemaal geschreven in de Verenigde Staten.

Wat het de moeite waard maakt te weten hoe dat land momenteel de regels behandelt over zaken winnen in het buitenland.

Op 10 februari 2025 tekende de president een executive order getiteld “Pausing Foreign Corrupt Practices Act Enforcement to Further American Economic and National Security”. Het instrueerde de Attorney General, voor 180 dagen, om “cease initiation of any new FCPA investigations or enforcement actions” — de aanvang van nieuwe FCPA-onderzoeken of handhavingsacties te staken —, op de aangevoerde redenering dat handhaving tegen Amerikaanse bedrijven “for routine business practices in other nations” — voor routinematige zakelijke praktijken in andere landen — de Amerikaanse concurrentiekracht schaadt.

De FCPA vervolgt het omkopen van buitenlandse ambtenaren. Dat is de praktijk die beschreven wordt.

Wat volgde staat in het dossier. Nieuwe richtlijnen van het Department of Justice op 9 juni 2025 versmalden handhaving tot zaken die kartels, directe schade aan Amerikaanse bedrijven of nationale veiligheid raken. Over 2025 bracht de Securities and Exchange Commission helemaal geen civiele FCPA-acties en ontbond zijn FCPA-eenheid, terwijl het Department of Justice ruwweg de helft van zijn actieve onderzoeken sloot. Het kwam ook niet opdagen bij de vergadering van de OESO Working Group on Bribery in maart 2025.

Zelfde statuut, andere richting. Het nam $772 miljoen van een Frans ingenieursbedrijf in 2014, en het is de reden dat de Franse staat een rapport bestelde over of Amerikaanse extraterritoriale wet als commercieel wapen werkt. Ik ging daardoor in hoe ver de wet van één land reikt. Dus de wet reikt over grenzen voor buitenlandse bedrijven en wordt stilgezet voor binnenlandse, door de overheid van het land waar je hele productlijst vandaan komt.

Verwacht ook niet dat het VK het gat vult. De wet hier is niet het zwakke deel — de Bribery Act 2010 gaat op plekken verder dan het Amerikaanse statuut, en sectie 7 maakt het een strafbaar feit voor een commerciële organisatie om omkoping niet te voorkomen door wie ook namens haar handelt. Streng, breed, en al vijftien jaar op de boeken.

Het zwakke deel is dat handhaving op deze schaal alleen ooit als gezamenlijke operatie werkt. Airbus is de grootste omkopingsschikking waar dit land deel van is geweest, en Airbus’ eigen aankondiging zet de vorm ervan uiteen: EUR 3.598 miljoen aan boetes op 31 januari 2020, met EUR 2.083 miljoen naar het Franse Parquet National Financier, EUR 984 miljoen naar het Serious Fraud Office, EUR 526 miljoen naar het Department of Justice en EUR 9 miljoen naar het State Department, met het SFO en het PNF die het als een gezamenlijk onderzoeksteam draaiden. Het geld kruist verscheidene landen en zo ook het bewijs, en geen enkele instantie kan de hele boel op eigen houtje afdwingen. Het vereist dat iedereen komt opdagen.

Merk de datum daarvan op. Januari 2020 zit binnen de eerste Trump-regering, en het Department of Justice van die tijd was tevreden genoeg om zijn aandeel van EUR 526 miljoen ervan te nemen. De pauze kwam vijf jaar later, van dezelfde president in zijn tweede termijn. Dit is geen verschil tussen regeringen. Het is een beslissing genomen in 2025.

Een van hen is opgehouden op te dagen, en het loopt dieper dan een lege stoel. Een aanklager die geen zaken opent produceert niets om te delen. Geen dagvaardingen, geen documentproducties, geen meewerkende verdachten, geen getuigen onder druk gezet — het bewijs dat Airbus mogelijk maakte bestond omdat iemand eropuit ging en het haalde. Sluit de helft van een rol en breng geen nieuwe acties, en er zit niets in de pot voor wie ook om uit te putten. Dit is geen land dat weigert dingen te overhandigen. Het is een land dat niets meer heeft om te overhandigen.

Het sluit ook de andere deur. Airbus’ eigen aankondiging schrijft de uitkomst toe aan “reporting, cooperation and new compliance standards” bij het bedrijf. Bedrijven melden zich vanwege wat er met hen gebeurt als ze het niet doen. Verwijder wat er met hen gebeurt, en de zelfmeldingen die de meeste van deze zaken starten stoppen met arriveren. In Londen net zozeer als in Washington.

De Bribery Act wordt er niet zwakker van wanneer dat gebeurt. Het verliest alleen de aanvoer van bewijs die het bruikbaar maakte op precies de zaken waarvoor het geschreven werd.

Achttien maanden daarvan, en het heeft geen enkele shortlist in deze industrie verschoven. Niemand heeft het in een risicoregister, niemand vraagt het op een inkoopformulier, en niemand die je een abonnement van vijf jaar verkoopt heeft het genoemd.

Het Trainingsbudget Ging Als Eerste

Er is een tweede reden dat het product blijft winnen, en het is minder cynisch dan de eerste. Veel van de mensen die aan je verkopen zouden het andere ding niet kunnen.

Investering van werkgevers in training in dit land daalt al twintig jaar. Het lezen van de Employer Skills Survey 2024 van het Learning and Work Institute zet het op 36% minder per werknemer in reële termen dan in 2005 — GBP 1.700 tegen GBP 2.634. Alleen al sinds de enquête van 2022 is het nog eens 13% gedaald. De apprenticeship levy arriveerde in 2017 om precies dit om te keren, en de uitgave per werknemer inclusief de levy is met 23% gedaald sinds.

Kijk dan naar welke sectoren het hardst sneden tussen 2022 en 2024. Openbaar bestuur op 50%, financiële diensten op 47%, en informatie en communicatie op 30%. Die laatste is de onze. Bijna een derde weg in twee jaar, uit de industrie die het snelst verandert.

Ondertussen groeide het ding dat verdedigd wordt. Ik telde de gepubliceerde kwetsbaarheden aan weerszijden van een decennium recht uit de National Vulnerability Database: 6.595 CVE’s gepubliceerd in 2015, en 49.972 in 2025. Zeven-en-een-half keer zoveel in tien jaar, tegen een trainingsbudget dat met een derde daalde. Die twee lijnen gaan in tegengestelde richtingen en dat doen ze al jaren.

De controles die het verschil zouden blootleggen zijn er ook niet. De eigen Cyber Security Breaches Survey 2025/2026 van de overheid zet twee-factor-authenticatie op 47% van de bedrijven — dezelfde controle die de five-eyes-diensten in 2022 voor MSP-accounts noemden, en dezelfde waarover de ICO Advanced beboette. Dezelfde enquête heeft formeel cybersecuritybeleid gedaald van 59% naar 52% in een jaar, en bedrijfscontinuïteitsplannen die cybersecurity dekken gedaald van 53% naar 44%. Niet stabiel blijvend. Dalend.

En zet dan een cloud-tenancy onder de hele boel. Een klein bedrijf beheert zijn eigen niet. De MSP houdt de global admin, bouwt het identiteitsmodel, zet de conditional access, beslist welke opslag publiek is en welke niet, en bezit de console. Dat is precies waarvoor het ingehuurd werd. Dus wanneer een tenancy verkeerd geconfigureerd eindigt, waren de handen erop die van de contractant. Niet een klant die het verkeerde vinkje aanklikt.

De blast radius veranderde ook. Een server verkeerd geconfigureerd in 2005 reikte ongeveer zo ver als de draad waar hij op zat. Een tenancy verkeerd geconfigureerd vandaag staat op het internet de seconde dat het opgeslagen wordt, het is dezelfde tenancy voor elk systeem dat dat bedrijf draait, en de credential die het beheert zit bij iemand die ze nooit ontmoet hebben, bij een bedrijf dat ze niet mogen auditen.

De veiligheidsdiensten van vijf landen schreven hierover een advisory in 2022, en de allereerste actie op hun lijst betreft de accounts die een provider gebruikt om in je systemen te komen. Ze zetten het eerst omdat dat de ingang is.

Dan is er wat deze industrie training noemt. Een vendorcertificering is producttraining. Het leert je waar de knoppen zitten in de console van één bedrijf en wat dat bedrijf heeft besloten zijn features te noemen, het is geschreven en geprijsd door het bedrijf wiens producten het dekt, en er genoeg houden is een voorwaarde van de partnertier die de marge zet. Het is een verkoopkanaal met een academische toga.

Een console kennen is niet weten hoe het ding werkt. Een engineer met vijf certificeringen heeft misschien nooit een RFC gelezen, nooit een packet capture genomen, en nooit één keer uitgewerkt waarom iets faalde vanuit eerste principes. Zet die persoon voor een tunnel die niet omhoog wil komen en het eerlijke antwoord is niet voor ze beschikbaar. De IPv6 op het thuisnetwerk van de klant afschuiven wel.

Dus de twee helften ontmoeten elkaar. Ze worden betaald om een product te verkopen, en steeds meer is het product het enige antwoord dat ze hebben. Een klant die voor expertise betaalt eindigt met geen van beide.

Niemand Schreef Op Wat Je Nodig Had

Vraag om je eisen te zien. Niet het voorstel, niet de offerte, niet het architectuurdiagram met je logo erop. De eisen.

Een fatsoenlijke opname is saai en het is niet kort. Wat moet de dienst doen, en voor wie. Hoeveel mensen, vanwaar, op wat. Wat is het drukste uur en wat is de groei over drie jaar. Hoe lang kan het uit liggen voordat het echt geld kost, en hoeveel data kun je je veroorloven te verliezen. Wat mag nooit het land verlaten, en onder wiens wet. Wat moet een brand in één gebouw overleven. Waar ben je contractueel voor aansprakelijk aan je eigen klanten. Wat is het budget, kapitaal en exploitatie, uitgesplitst. Wat bezit je al dat nog leven in zich heeft. Wie houdt het draaiende daarna, en wat weten ze al te draaien.

Dat is een ochtend werk met de juiste mensen in de kamer — en het zou moeten eindigen in een document dat je ondertekent voordat iemand een enkele doos tekent.

Als niemand je het meeste daarvan vroeg, kreeg je geen ontwerp. Je kreeg het ding dat ze al verkopen, met je bedrijfsnaam op de omslag.

Let ook op het teken in de andere richting. Als de dimensioneringsoefening in de eerste vergadering gebeurde, voordat iemand keek naar wat je belasting werkelijk is, dan kwamen de getallen uit een sjabloon in plaats van uit je estate, en echte dimensionering heeft data nodig. Iemand die kijkt naar wat je apparatuur nu werkelijk doet, lang genoeg om een maandafsluiting en een kwartaalafsluiting te zien.

Eén Optie Is Geen Keuze

Een ontwerp is een set keuzes met de redenering eraan gehecht. Wat betekent opties, en kosten op allemaal, niet alleen degene die ze willen dat je neemt.

Je zou het niets-doen moeten krijgen, geprijsd, inclusief wat het je kost wanneer het breekt. Je zou het goedkoopste ding moeten krijgen dat aan de eisen voldoet. Je zou de aanbeveling moeten krijgen, en je zou degene moeten krijgen die overgedimensioneerd is voor jou, zodat je kunt zien waar de lijn ligt. Elk met wat het kost om te kopen, wat het kost om vijf jaar te draaien, wat het niet doet — en wat je vervolgens zou moeten doen als je het ontgroeide.

En cruciaal, je zou de lijst moeten krijgen van wat afgevallen is en waarom. Dat is het deel dat toont dat iemand werkelijk nadacht.

Als je precies één antwoord ontving, en dat antwoord toevallig de vendor is waar ze in gecertificeerd zijn en het licentiemodel dat maandelijks betaalt, kreeg je geen ontwerp. Je kreeg een offerte in de kleren van een ontwerp. Meer niet.

Er is een simpele vraag die dit boven water haalt, en ik zou het in de kamer stellen. Wat overwoog je nog meer, en wat kostte het? Iemand die het werk deed heeft de getallen paraat en geniet er nogal van gevraagd te worden. Iemand die het niet deed zal je vertellen dat de alternatieven niet ondersteund worden, niet enterprise-grade zijn, of niet iets waar ze hun naam aan zouden verbinden. Geen van die is een getal.

Open Source Haalt De Lijst Nooit

Het is niet dat ze het haten. Er is geen marge op, geen korting ertegen, geen certificering om te verkopen en geen kwartaaldoel dat het beweegt.

Het bezwaar is altijd hetzelfde, en het is de ene bewering in deze post die botweg onwaar is — “het wordt niet ondersteund”. Het wordt allemaal ondersteund, commercieel, met een contract en een SLA en iemand om te bellen — Proxmox verkopen abonnementen per socket, en Red Hat, SUSE en Canonical verkopen support voor de stack. Je kiest wie het ondersteunt in plaats van te kiezen of het überhaupt ondersteund wordt. Waar je voor stopt te betalen is het recht om software te gebruiken die je al hebt.

Dan is er de apparatuur die al op de vloer staat. Het wordt geheel gemist. Bij mijn laatste werkgever bouwde ik een private cloud uit afgedankte HPC-nodes — Proxmox, Ceph en een volledige keten van Ansible erbovenop — en eindigde met 7 servers, 480 cores, 15 TiB RAM en 1,8 PiB opslag, zonder budget en met drie mensen. Een MSP die diezelfde eis offreerde zou nieuwe hardware en een abonnement gecalculeerd hebben — er zit niets in voor hen in apparatuur die je al gekocht en betaald hebt.

De andere helft hiervan is de apparatuur die al op je vloer staat, en het is de helft die helemaal nooit gecalculeerd wordt. Een server stopt niet met werken op de dag dat zijn supportcontract afloopt. “End of support” is een datum die de vendor koos, geen meting die iemand van de hardware nam, en een doos met vijf goede jaren erin is meer waard voor jou dan voor wie ook zijn vervanging verkoopt. Open source is wat je laat het blijven gebruiken, want de licentie kan het niet schelen hoe oud de CPU is of dat de badge op de voorkant nog in garantie is.

Dat is het stukje dat niemand betaalt. Er is geen korting op hardware die je al bezit, geen tier-credit voor een machine die blijft waar het staat, en geen verlenging op een licentie die niemand hoefde te kopen. Als zodanig wordt het niet voorgesteld, en de zin waar in plaats daarvan naar gegrepen wordt is “end of life”, wat als engineering klinkt en een verkoopdatum is.

Vraag om de open source optie fatsoenlijk gecalculeerd te krijgen, support inbegrepen, naast de andere — en vraag om de versie die hergebruikt wat je hebt, geprijsd tegen de versie die dat niet doet. Niet om uit de commerciële te worden gepraat. Om het gat te zien, zodat de beslissing de jouwe is.

Hoe Het Alternatief Er Werkelijk Uitziet

Er is een ondersteund open source antwoord op bijna alles op een voorstel, en het is de moeite waard te beginnen met het deel dat je het meest kost, want het zijn nooit de servers.

De per-seat-software. Dit is waar het terugkerende geld zit, en waar een alternatief nooit genoemd wordt. Officepakket: LibreOffice, ONLYOFFICE, of Collabora Online, dat ondersteunde deployments verkoopt en je de browser-gebaseerde bewerking geeft waarvan mensen denken dat het maar van één plek komt. Mail, agenda’s en gedeelde contacten: grommunio spreekt MAPI, dus Outlook verbindt ermee zoals het met Exchange zou; SOGo en mailcow dekken hetzelfde terrein anders. Bestanden, delen en de stukjes waar mensen een clouddrive werkelijk voor gebruiken: Nextcloud, met een enterprise-contract erachter. Chat en vergaderingen, wat de Teams-helft is: Mattermost en Rocket.Chat zijn de dichtstbijzijnde gelijke, beide zelf-hostbaar met support te kopen, en Zulip is Apache-gelicentieerd en threadt fatsoenlijk. Matrix met Element, Nextcloud Talk en Jitsi dekken de rest. En de SharePoint-helft — intranet, documentbibliotheken, teamsites — is XWiki, BookStack, OpenProject, Seafile en Nextcloud samen.

De bedrijfsapplicaties. ERP: Odoo Community, ERPNext, Dolibarr. CRM: SuiteCRM, waar het bedrijf erachter support voor verkoopt, of EspoCRM. Boekhouding: GnuCash, of het grootboek ingebouwd in Dolibarr en ERPNext. Documentbeheer: Paperless-ngx. Rapportage: Metabase. Servicedesk en asset tracking, waar je MSP je als product voor rekent: GLPI en Zammad.

Identiteit en secrets, waar al het andere aan hangt. Keycloak, FreeIPA, of Samba als domeincontroller. Voor wachtwoorden kan Bitwarden zelf-gehost worden, Vaultwarden is een lichtgewicht AGPL-server die met dezelfde clients praat, en Passbolt en KeePassXC dekken dezelfde klus anders. Dit is een per-gebruiker-maandregel op de meeste voorstellen.

Apparaatbeheer, wat de Intune-regel op je rekening is. Fleet doet inventaris, beleid en enrolment over de platforms die een estate werkelijk bevat, gebouwd op osquery. MicroMDM handelt Apple-enrolment af, Headwind handelt Android af, en Ansible, Puppet of Salt doen de configuratie onder een van beide. Voor de remote-access-helft — het ding waar een latere sectie van deze post geheel over gaat — is MeshCentral Apache-gelicentieerd en RustDesk AGPL, en beide draaien op een server die je bezit. Wat betekent dat het antwoord op “welk remote tool zit op mijn machines, en wie kan in de console inloggen” er een kan zijn die je zelf host en patcht, in plaats van er een waar je achteraf over hoort.

En het updaten zelf is niet langer de zwarte kunst waarvoor het verkocht wordt. Zelfs op het Fisher-Price OS (Windows) lopen applicatie-updates nu via winget, dat MIT-gelicentieerd is, tegen een community-manifest-repository onder dezelfde licentie; Chocolatey en Scoop doen dezelfde klus al langer, en elke Unix heeft het sinds de jaren negentig gehad. Dus wanneer patch management op een voorstel verschijnt als een premium managed regel, kijk naar wat er werkelijk verkocht wordt. Het mechanisme is gratis en geleverd door de platformvendor, en het opzetten is een middag. Daarna is het een geplande taak. Een cron-entry, of hoe de console het ook noemt, die draait op een machine die er al was. Je betaalt een maandvergoeding voor een klus die zichzelf draait.

Het antwoord daarop wordt geacht te zijn dat je betaalt voor iemand om het resultaat te bekijken en te handelen wanneer het faalt, en dat zou het geld waard zijn. Kijk dus naar het bewijs voor het bekijken. Bij Capita werd het alarm in tien minuten geslagen en het beste deel van drie dagen later gehandeld, tegen een doel van één uur, door een team dat de toezichthouder onderbezet vond. Buiten op het internet zijn er firewalls die nog kwetsbaarheden dragen die jaren nadat een fix uitkwam de exploited catalogue in gingen. Het bekijken is het deel dat de factuur zou rechtvaardigen, en het is het deel met het minste bewijs dat het gebeurt.

Het telefoonsysteem, wat een van de oudste per-extensie-maandregels is die er is. Asterisk doet dit al vijfentwintig jaar, FreePBX zet er een webinterface bovenop, FreeSWITCH is de andere engine, en Kamailio en OpenSIPS handelen SIP-routing op carrierschaal af. Als je het verpakt wilt in plaats van geassembleerd, leveren Wazo, FusionPBX en Issabel het allemaal gebouwd.

Het is ook de moeite waard te onthouden wat er met de proprietaire gebeurde die de meeste providers voorstellen. In maart 2023 publiceerde CISA een alert die stelde dat “3CXDesktopApp — a voice and video conferencing app — was trojanized, potentially leading to multi-staged attacks against users employing the vulnerable app” — 3CXDesktopApp, een spraak- en video-conferencing-app, getrojaniseerd was, mogelijk leidend tot meertraps-aanvallen tegen gebruikers van de kwetsbare app. Niemand hoefde een kwetsbaarheid te vinden en te exploiteren. Het arriveerde als de eigen ondertekende applicatie van de vendor via het eigen updatekanaal van de vendor, op elk bureau waar een partner het naar had uitgerold.

Adobe, wat een per-seat-abonnement is zoals al het andere. De meeste bedrijven betalen helemaal niet voor een creatieve suite. Ze betalen voor Acrobat en voor handtekeningen. Stirling PDF is een zelf-gehoste toolkit die het samenvoegen, splitsen, redactie, OCR en formulier-invullen doet waar Acrobat Pro voor gekocht wordt, en Okular of LibreOffice Draw dekken de rest. Voor ondertekenen zijn Documenso en DocuSeal beide AGPL en beide zelf-hostbaar — en een per-envelope-heffing voor het ondertekenen van een document is ongeveer zo’n schoon voorbeeld als deze post heeft van iets meten dat je eigen server voor niets zou doen. Waar er echt een designteam is: GIMP en Krita voor beelden, Inkscape voor vector, Scribus voor opmaak, darktable en RawTherapee voor fotografie, Kdenlive voor video, Blender voor 3D en compositing, Audacity en Ardour voor audio.

Video, wat een eigen paragraaf waard is. Camera’s worden verkocht als een managed product met een licentie per kanaal en een recorder waar je niet in mag. Frigate is MIT-gelicentieerd en doet objectdetectie lokaal op hardware die je bezit; ZoneMinder is al twintig jaar GPL. Voor conferencing, Jitsi en BigBlueButton. En onthoud welk product het was waar Cisco $8,6 miljoen en nog eens $6 miljoen voor betaalde om te schikken, een paar secties verderop. Videobewakingssoftware, verkocht aan overheidsinstanties. De premium camerastack komt niet met veiligheid eraan gehecht.

Opslag en filesystemen, en merk op dat niemand je hier ooit een keuze biedt. OpenZFS voor checksummed opslag met snapshots en send/receive, Btrfs, XFS, CephFS. Het filesystem onder je data is een engineeringbeslissing met echte gevolgen voor hoeveel ervan je terugkrijgt na een slechte dag, en het arriveert meestal als wat de appliance ook geleverd werd.

De infrastructuur, als laatste, want het is het goedkoopste deel van de rekening. Hypervisor en cluster: Proxmox VE. Opslag: Ceph, dat graag draait op de schijven die je al bezit in plaats van een nieuwe array. Firewall en routing: nftables, OPNsense. VPN: WireGuard of strongSwan. Voor de mesh-overlay die iedereen nu verkoopt, is het de moeite waard het beeld goed te krijgen. Tailscales clients zijn open source en zijn eigen gehoste coördinatieserver niet — het bedrijf stelt dat het “remains proprietary as part of our managed service” — proprietair blijft als deel van onze managed service. Maar er is een open coördinatieserver, en het is een serieuze: Headscale is BSD-gelicentieerd, “an open source, self-hosted implementation of the Tailscale control server” — een open source, zelf-gehoste implementatie van de Tailscale-controlserver —, en Tailscale heeft zijn hoofdonderhouder in dienst terwijl het zegt dat het “does not set Headscale’s product direction” — de productrichting van Headscale niet bepaalt. Dus het hele ding kan op je eigen apparatuur gedraaid worden. NetBird en Nebula zijn de andere routes. Load balancing: HAProxy en keepalived. Monitoring: Prometheus, Grafana, Zabbix. Backup: Proxmox Backup Server, Bareos, restic. Config management: Ansible. En voor het integratiewerk dat geoffreerd wordt als maatwerk-ontwikkeling of als een per-run cloud-automatiseringsabonnement, is Node-RED Apache-gelicentieerd, draait het op een doos die je bezit, en rekent het je niet per uitvoering.

Drie plekken waar ik niet zal doen alsof de wissel schoon is. Ten eerste, Teams en SharePoint. De bestemming is niet het probleem, wat je ook verteld wordt — de producten hierboven zijn volwassen en bedrijven draaien erop. De migratie is het probleem: jaren opgebouwde sites, permission-overerving die niemand ooit documenteerde, Power Automate-flows die iemand bouwde en toen verliet, en co-authoring-gedrag dat personeel verwacht zonder het te kunnen benoemen. Dat is echt werk, en het zou als echt werk gecalculeerd moeten worden in plaats van weggewuifd in beide richtingen. Al is het merkwaardig wat je ook stopt te dragen. Die flows en die sites zijn bedrijfsprocessen die in andermans datacenter draaien, op een platform dat je niet kunt herstarten. Wanneer ze stoppen, repareer je ze niet. Je wacht, en je vertelt je eigen klanten dat je wacht. En Britse boekhouding heeft een harde rand: btw moet ingediend worden via software die HMRC herkent, en HMRC publiceert de lijst. De open source routes naar Making Tax Digital bestaan — GnuCash heeft een community-bridge, ERPNext heeft een Britse btw-module — maar ze zijn community-onderhouden in plaats van een product met een supportcontract erachter. Dat is een echte beperking en het hoort in de vergelijking. Ten derde, een werkend designbureau leeft of sterft op bestandsuitwisseling, en klanten die je een .psd sturen en er een terug verwachten zijn een echt probleem in plaats van een principekwestie. Voor iedereen anders, die een PDF moet invullen en getekend krijgen, is er helemaal geen wissel te maken. Het is gewoon stoppen met betalen.

Waarom Het Betere Bedrijf Nooit Verkocht Wordt

Dus waarom wordt niets ervan aangeboden? Omdat het beter bedrijf voor hen zou zijn, niet slechter, wat de weigering interessanter maakt in plaats van minder.

Er zijn twee manieren om aan een klant geld te verdienen. Herverkoop een licentie, en de marge wordt door iemand anders gezet, gecapt door hen, opnieuw geprijsd door hen bij verlenging, en betaald of je die maand werk deed of niet. Deploy en draai een open stack, en de marge is je eigen arbeid tegen je eigen tarief, met niemand die onderweg een schijfje neemt en geen vendor in staat het getal volgend april te veranderen. De tweede is meer waard per klant, en het bouwt iets. Een engineer die Ceph kan draaien, of een mailserver kan opzetten waar Outlook mee praat, is volgend jaar meer waard dan dit jaar. Iemand die alleen ooit een console heeft bestuurd is volgend jaar precies hetzelfde waard, en alleen zolang die console bestaat.

Het is ook moeilijker, en dat is het geheel ervan. Het moet elke maand opnieuw verdiend worden. Het heeft engineers nodig in plaats van beheerders, en engineers zijn duur, kosten jaren om te kweken, en kunnen wegwandelen en voor zichzelf beginnen. Een licentie vertrekt nooit.

Dat is een toewijding, en toewijding is het ding dat vermeden wordt. Herverkopen vraagt niets van niemand. Kies dit jaar een vendor, kies volgend jaar een andere, en wanneer het omvalt was het in de eerste plaats nooit jouw ontwerp. De stack zelf draaien betekent het kiezen, het fatsoenlijk leren, en erachter staan voor een klant om twee uur ’s nachts. Een van die vereist dat je iets weet. De andere vereist een portal-login.

Het breekt ook de rekenkunde waar het model op draait. Een managed service wordt geprijsd op leverage — zoveel mogelijk klanten per engineer, junior personeel dat runbooks afwerkt, escalatie alleen wanneer de runbook opraakt. Dat werkt omdat de klus tot stappen gereduceerd is. Zet er een stack in die iemand werkelijk moet begrijpen en de ratio stort in, de loonrekening klimt, en het bedrijf vindt zichzelf afhankelijk van mensen die zouden kunnen vertrekken en klanten meenemen.

Dus de vraag onder de shortlist was nooit welk product beter is. Het is of een bedrijf bereid is het soort te zijn dat mensen in dienst neemt die dingen weten.

Wat is waar het trainingscijfer van eerder terugkomt. Een sector die zijn uitgave aan vaardigheden met 30% in twee jaar heeft gesneden kan geen vaardigheid verkopen, dus verkoopt het licenties. Licenties verkopen betekent dat het de vaardigheid nooit hoeft te verwerven, dus de training blijft gesneden, en volgend jaar is er nog minder dat het kan bieden. Dat is een lus, en het draait maar één kant op.

De rest is prikkel, en dat hebben we al doorgenomen. De vendor betaalt een korting op de licentie en helemaal niets op de arbeid. De verkoper wordt beloond op product. En wanneer een hyperscaler een storing heeft is het de schuld van de hyperscaler, terwijl een cluster dat je zelf bouwde de jouwe is — dus herverkopen koopt iemand een plek om de schuld te leggen. Dat is echt geld waard voor een bedrijf dat liever niet verantwoordelijk is.

Niets daarvan maakt het het juiste antwoord voor jou. Het verklaart alleen waarom de vergelijking nooit geschreven wordt.

De IPv4-Belasting

Deze is het schoonste voorbeeld in de hele post, want je kunt een prijs op beide kanten zetten.

Ze bouwen je een IPv4-only dienst. Dan verkopen ze je de publieke adressen die je nodig hebt om het te bereiken, per adres, per maand, voor altijd. Vraag er nog een en er is een formulier, een rechtvaardiging en een regel op de verlenging.

Ondertussen kost IPv6 niets extra. De toewijzing komt met het registerlidmaatschap dat je al betaalt, en RIPE’s charging scheme 2026 is een vlakke EUR 1.800 per LIR-account wat je ook houdt. RIPE-690 zegt dat een eindsite een /48 of een /56 krijgt. Er is geen per-adres-meter aan de v6-kant. Er is niets te meteren.

De getallen aan de andere kant zijn ook publiek. AWS rekent $0,005 per uur voor elk publiek IPv4-adres, gekoppeld of niet, wat ongeveer $43,80 per jaar per stuk is. Op de transfermarkt was de gemiddelde prijs in de eerste helft van 2026 $20,04 per adres, met een geldend leasetarief van ongeveer $0,59 per adres per maand. Dus een adres is ruwweg twintig dollar waard om ronduit te kopen, en verhuurt groothandel voor ongeveer zeven per jaar — en het wordt aan je herverkocht als een schaarse resource. Een maandregel op je rekening en een formulier om in te vullen wanneer je er nog een wilt.

De schaarste is echt. De reden dat je er nog steeds voor betaalt is niet. Een dienst dual-stacken is een middag werk, en het verandert een terugkerende heffing in een eenmalige change request, wat precies is waarom het nooit voorgesteld wordt.

Als je het volledige beeld wilt van wie in dit land werkelijk de moeite heeft genomen, ik telde de hele boel: We Zijn Nooit Zonder Adressen Geraakt. We Zijn Zonder Moeite Geraakt.

Cloud Standaard, Wanneer Alles Wat Je Hebt Ter Plaatse Is

Denk na over waar het werk werkelijk gebeurt. Een productiesite. Een automonteur. Een cateringbedrijf.

Elke gebruiker is in het gebouw. Elk stukje data wordt in het gebouw gemaakt — de machines, de kassa’s, de werkbonnen, de voorraad, de CAD, de CNC-programma’s, de orders die over de toonbank komen. Alles dat die data consumeert is ook in het gebouw. Geen tweede site, geen buitendienst, geen klanten die een webfrontend raken, en geen maand waarin de belasting verdubbelt.

Zet de applicatie in andermans datacenter en elk van die bytes verlaat nu het pand en komt regelrecht terug. Zelfde gebruikers. Zelfde data. Zelfde verwerking. Plus een WAN in het midden ervan, een maandrekening, en een afhankelijkheid van een lijn die je niet bezit.

Niets waar cloud werkelijk goed in is geldt hier. Elastische schaal is voor belasting die beweegt, en een werkvloer die twee ploegen draait beweegt niet. Wereldwijd bereik is voor gebruikers die ergens anders zijn, en de jouwe staan bij de machine. Andermans gebouw is een echt antwoord voor disaster recovery, maar disaster recovery is een backupdoel, niet de plek waar je de lijn vanuit draait.

Wat het je wel koopt is een nieuwe manier om te stoppen. Ter plaatse is een dode breedbandlijn een ongemak, en het werk gaat door tot iemand het repareert. In de cloud is het een stilstand — de lijn valt weg, de garage kan geen werkbon opvragen, de keuken kan geen order aannemen, de productie staat daar, en je wacht op andermans engineer tegen een SLA die je nooit onderhandelde.

En je breedband is maar de helft ervan. De andere helft is die van hen, en die valt ook uit. AWS’ eigen post-event summary voor oktober 2025 beschrijft een verstoring in zijn primaire regio Northern Virginia die liep van 23:48 op 19 oktober tot 14:20 op 20 oktober — het beste deel van vijftien uur — waar klanten en andere AWS-diensten “were unable to establish new connections” — geen nieuwe verbindingen konden opzetten. De oorzaak, in hun woorden, was “a latent defect within the service’s automated DNS management system” — een latent defect binnen het geautomatiseerde DNS-beheersysteem van de dienst. Negen dagen later nam Azure Front Door Microsoft 365, Outlook en de Azure-portal met zich mee voor het grootste deel van een werkdag. Microsoft houdt een lopende geschiedenis hiervan bij, en het is geen kort document.

Downtime is ook niet het geheel ervan. Het andere ding dat op de voorkant van het voorstel verkocht werd was capaciteit op aanvraag, en dat heeft een eigen gedocumenteerde faalmodus. Microsoft publiceert een pagina getiteld “Troubleshooting Azure VM allocation failures”. AWS publiceert “How do I troubleshoot InsufficientInstanceCapacity errors when I start or launch an EC2 instance?”. Lees die titels nog eens. Beide vendors onderhouden staande documentatie voor het geval waar je om een machine vraagt en er geen is — geen fout, geen storing, gewoon vandaag niets vrij in die regio. Daar bovenop zitten quota, per subscription gezet, wat een tweede manier is om nee te horen.

Dus de elastische schaal op het voorstel draagt een voorbehoud dat het voorstel niet doet. Elastisch binnen wat er ook vrij is, in die regio, op de dag dat je vraagt. En providers blijven klanten in beperkte regio’s tekenen ongeacht, want een handtekening telt dit kwartaal en een capaciteitscheck niet. Je komt erachter bij deployment, wat het slechtste moment beschikbaar is — nadat de migratie is toegezegd, nadat de on-premises apparatuur weg is, en nadat de terugval werd afgebroken om de verhuizing te betalen.

Lees wat dat alles betekent voor de garage en de keuken. Op je eigen apparatuur is een storing iemand die je kunt bellen, of een machine waar iemand naartoe kan lopen en herstarten. In andermans cloud is er helemaal geen hendel. Je kunt het niet escaleren, je kunt je eigen herstel niet prioriteren, en de provider die je betaalt kan dat ook niet. Ze verversen dezelfde statuspagina als iedereen. Wat je als veerkracht kocht blijkt een afhankelijkheid te zijn die je deelt met verscheidene miljoen andere klanten, en op de dag dat het faalt is je positie dezelfde als de hunne.

Dus waarom is het altijd de aanbeveling? Omdat een kapitaalaankoop je MSP één keer betaalt. Een abonnement betaalt ze elke maand, tegen een percentage, met een credit van de vendor bovenop. Je migreren verplaatst ook de hardware van hun bord, wat het deel van de dienst is dat ze het moeilijkst te bemensen vinden. Drie redenen die dezelfde kant op wijzen, geen ervan de jouwe.

Dan is er waar je data eindigt. Onder 18 U.S.C. § 2713, toegevoegd door de CLOUD Act, moet een Amerikaanse provider data in zijn “possession, custody, or control” — bezit, hoede of beheer — produceren wanneer correct gedagvaard, “regardless of whether such communication, record, or other information is located within or outside of the United States” — ongeacht of die communicatie, dat dossier of andere informatie zich binnen of buiten de Verenigde Staten bevindt. Dus “het staat in de UK-regio” is een waar antwoord op een vraag die je niet stelde. De regio vertelt je waar de schijf staat. Het statuut volgt wie het bedrijf bezit.

Niemand legde je dat als beslissing voor. Het arriveerde als een aanname, binnen een voorstel, geschreven door iemand die meer betaald krijgt wanneer je ja zegt.

Ik heb over die afhankelijkheid uitgebreid geschreven in wat je technologie huren kost.

Dat Alles Gebeurde Voordat Er Iets Gebouwd Was

Merk op wanneer het plaatsvindt, de hele boel. Voordat een machine geracked is, voordat iemand op iets heeft ingelogd, in vergaderingen en op spreadsheets waar je meestal niet bij was. De korting, de eisen die niemand opnam, de enkele optie, de ontbrekende open source regel, de adressen die je nu voor de duur van het contract huurt, het datacenter dat niemand in het gebouw nodig had — niets ervan is technisch, en het is allemaal beslecht in de eerste veertien dagen.

Wat is waarom het je aandacht waard is zelfs als je nooit een switch hebt geopend. Het is ook waarom het achteraf zo moeilijk te ontwarren is. Alles stroomafwaarts erft die veertien dagen. De estate wordt gebouwd zoals de shortlist zei dat het zou. Het gereedschap verschijnt omdat het is wat de provider al bezit en al kent. De sleutels eindigen waar hun proces ze ook zet. En het contract dat aan het eind ervan getekend wordt beslist, jaren van tevoren, wie het verlies draagt op de ochtend dat iets stopt.

Dus deel twee is wat er werkelijk gebouwd werd: de doos waar ze niet uit te praten zijn, de perimeterapparatuur met het slechtste dossier op de exploited list, de basis die het ding was dat je kocht, en het gereedschap dat elke machine die je bezit bereikt vanuit een console die je nooit gezien hebt. Twee van de faalgevallen erin hebben een bevinding van een toezichthouder eraan gehecht. Geen ervan overkwam een klant. Ze overkwamen een provider, en de klanten waren stroomafwaarts.

Bronnen

Opgehaald 28 augustus 2026.

Hoe het geld werkt.

• Microsoft Partner Center-factureringsdocumentatie — partner earned credit toegepast tegen kosten op het Azure-verbruik van de klant.
• FCA Handbook, COBS 6.1A — adviescharging: de regel dat een bedrijf alleen betaald mag worden voor een aanbeveling door de klant, en geen commissie mag accepteren van de productleverancier.
• CMA cloud services market investigation — het werk van de Britse mededingingstoezichthouder aan de cloudmarkt.

Adressen.

• RIPE NCC charging scheme 2026 — EUR 1.800 per LIR-account, vlak.
• RIPE-690 — /48 of /56 naar een eindsite, oktober 2017.
• AWS publieke IPv4-heffing — $0,005 per adres per uur, vanaf februari 2024.
• IPv4-transfermarkt, eerste helft van 2026 — gemiddeld $20,04 per adres, leasetarief ongeveer $0,59 per adres per maand, samenvatting van CircleID’s analyse van openbaar geprijsde transacties.

De VPN.

• Cisco Meraki’s AnyConnect troubleshooting guide — TLS en DTLS op 443, zonder NAT-probleem op te lossen.
• RFC 3947 en RFC 3948 — NAT-traversal voor IPsec, en de overgang naar UDP 4500.

Support die je werkelijk kunt kopen.

• Proxmox VE-abonnementen — één voorbeeld van commerciële support voor open source infrastructuur.

Training en vaardigheden.

• Learning and Work Institute, 24 december 2025 — investering van werkgevers in training met 36% per werknemer in reële termen gedaald sinds 2005, en met 30% in informatie en communicatie tussen 2022 en 2024, op de Employer Skills Survey 2024.
• National Vulnerability Database — CVE-publicatietellingen per jaar, per kwartaal opgeteld: 6.595 in 2015 tegen 49.972 in 2025.
• Cyber Security Breaches Survey 2025/2026 — twee-factor-authenticatie op 47% van de bedrijven, formeel beleid gedaald naar 52%, continuïteitsplannen die cyber dekken gedaald naar 44%.
• CISA alert, 30 maart 2023 — de getrojaniseerde 3CX-desktopapplicatie.

Wet en beleid.

• Executive order, 10 februari 2025 — het pauzeren van Foreign Corrupt Practices Act-handhaving, in de eigen woorden van de regering.
• Just Security, over het jaar dat volgde — de handhavingsrichtlijnen van juni 2025, de ontbonden FCPA-eenheid van de SEC, en de gesloten onderzoeken.
• Bribery Act 2010 en sectie 7 — het Britse statuut, en het bedrijfsdelict van niet-voorkomen.
• Airbus, 31 januari 2020 — het eigen relaas van het bedrijf van de tripartiete schikking en hoe de boetes splitsten tussen het PNF, het SFO, het DoJ en het DoS.

Jurisdictie.

• 18 U.S.C. § 2713 — de CLOUD Act-bepaling: openbaarmaking ongeacht waar de data is opgeslagen.

Wanneer het platform stopt.

• AWS post-event summary, oktober 2025 — de DynamoDB- en DNS-verstoring in us-east-1, in Amazons eigen woorden.
• Azure status history — Microsofts eigen lopende dossier van zijn incidenten.