Aankoopgids Incident Response Services

Je koopt reactietijd en tarief. Aanbieders noemen 24 tot 72 uur tot een eerste reactie zonder contract tegenover 2 tot 4 uur met retainer, en noodtarieven die twee tot drie keer hoger liggen; die cijfers komen uit hun eigen materiaal en zijn niet onafhankelijk gemeten. Veel aanbieders zetten ongebruikte uren in voor oefeningen, plan-reviews of compromise assessments, zodat het budget niet verdampt als het rustig blijft.

Voor een middelgrote organisatie is 40 tot 80 uur per jaar een gangbaar vertrekpunt voor één regio. Een echte ransomware-inzet loopt makkelijk over dat blok heen, dus kijk vooral naar het uurtarief boven het blok en of het retainerbedrag verrekend wordt met gebruikte uren.

Vraag naar de tijd tot een responder daadwerkelijk aan het werk gaat, niet tot iemand de telefoon opneemt. Twee tot vier uur is wat aanbieders in retainercontracten als standaard noemen. Bij instaptarieven staat er soms alleen naar beste vermogen, en dat is geen garantie.

Deels. Een SOC detecteert en isoleert, maar diepgaand forensisch onderzoek, onderhandeling en herstel vallen daar meestal buiten. Als je SOC-leverancier ook incident response levert, controleer dan of dat inbegrepen is of apart wordt gefactureerd.

Verzekeraars werken vaak met een eigen panel van responspartijen en vergoeden inzet buiten dat panel soms niet of beperkt. Stem je retainerkeuze daarom af met je polisvoorwaarden voordat je tekent, anders betaal je twee keer of krijg je achteraf discussie over dekking.

Bij een datalek loopt naast het technische spoor een juridisch spoor: melding bij de Autoriteit Persoonsgegevens binnen 72 uur, informatie aan betrokkenen, en bewijsvoering die later stand moet houden. Sommige aanbieders bieden een gecombineerde retainer met een technisch en juridisch team, wat scheelt in coördinatie tijdens de eerste dagen.