Managed SASE, wat het is, hoe het werkt en wanneer het de slimste keuze is

Managed SASE is het antwoord op die combinatie van druk. Gartner voorspelde dat minstens 45 procent van de ondernemingen in 2026 managed SASE-diensten zal gebruiken, een verdrievoudiging ten opzichte van begin 2023. Organisaties kiezen er niet voor omdat het goedkoper is dan zelf doen. Ze kiezen er voor omdat het beter is: betere beveiliging, minder operationele last en aantoonbare compliance, zonder een team van twintig security-specialisten te hoeven opbouwen.

Dit artikel legt uit wat managed SASE precies inhoudt, hoe de drie beheermodellen van elkaar verschillen en in welke drie scenario's managed SASE de slimste keuze is. Meer achtergrond vind je in de complete SASE-gids voor internationale organisaties.

Wat is managed SASE precies?

Managed SASE is het model waarbij een gespecialiseerde partner niet alleen het SASE-platform levert maar ook het beheer, de monitoring en de operationele verantwoordelijkheid voor netwerk en security op zich neemt. Het is geen support-contract bij een softwareleverancier, het is een actieve servicedienst waarbij de partner dagelijks in jouw netwerk werkt.

Het verschil met een gewone SASE-licentie is concreet. Bij een licentie koopt de organisatie toegang tot het platform en beheert alles zelf: configuratie, beleidswijzigingen, monitoring van security-events, incidentrespons, patching van de edge-devices, capaciteitsplanning en compliance-rapportages. Bij managed SASE draagt de partner een aanzienlijk deel, of het geheel, van die operationele taken. De IT-afdeling van de klant houdt strategische controle en heeft volledige zichtbaarheid via de Cato-console, maar hoeft niet de dagelijkse operatie te draaien.

Cato's platform heeft daarvoor een specifieke architecturale eigenschap die beheer door een partner structureel vereenvoudigt: één codebase, één policy engine en één data lake. Waar andere managed SASE-aanbieders hun dienst assembleren uit meerdere overgenomen producten, elk met eigen beheerinterface, werkt een Cato-partner vanuit één console met volledige context over netwerk én security voor alle klanten tegelijk.

De drie beheermodellen: self-managed, co-managed en fully managed

Cato en Momentum EMEA bieden drie beheermodellen die aansluiten op de capaciteit en ambitie van de klantorganisatie. Er is geen hiërarchie tussen de modellen, elk model is de juiste keuze in het juiste context.

Self-managed. De organisatie beheert het Cato-platform volledig zelf via de Cato Management Application. Momentum EMEA verzorgt de implementatie, de onboarding en de onderliggende connectiviteit, de underlay. Het interne IT-team is eigenaar van alle configuratie, beleidswijzigingen en incidentrespons. Dit model past bij organisaties met een volwassen intern security-team dat aantoonbaar capaciteit heeft voor 24/7-monitoring en incidentrespons, en dat de autonomie van volledig eigenaarschap verkiest boven de last die daarmee gepaard gaat.

Co-managed. De organisatie en Momentum EMEA delen de operationele verantwoordelijkheid op basis van een gezamenlijk afgesproken taakverdeling. Typisch: het interne team behoudt eigenaarschap over beleidswijzigingen en strategie; Momentum EMEA levert 24/7 monitoring, incidentdetectie en eerste respons. Dit model past bij organisaties die intern security-capaciteit hebben maar geen volledige 24/7-dekking willen of kunnen bouwen. Het geeft de rust van continue monitoring zonder volledige overdracht van controle. Een goede keuze wanneer een organisatie een Zero Trust implementatie in de praktijk wil uitvoeren maar de operationele continuïteit tijdens de transitie wil waarborgen.

Fully managed. Momentum EMEA is verantwoordelijk voor de volledige operatie: monitoring, detectie, incidentrespons, beleidswijzigingen, capaciteitsplanning, compliance-rapportages en lifecycle management van alle edge-componenten. Het interne team houdt strategische oversight via de Cato-console maar is niet betrokken bij dagelijkse operatie. Dit model past bij organisaties die security willen uitbesteden als strategische keuze, niet omdat ze het niet kunnen maar omdat ze liever focussen op hun kernactiviteiten dan op het runnen van een security-operations-functie.

"De meeste organisaties die ons benaderen denken dat ze een licentie-gesprek gaan voeren. Maar wat ze eigenlijk zoeken is zekerheid: zekerheid dat ze beveiligd zijn, dat ze NIS2-compliant zijn en dat ze bij een incident iemand hebben die weet wat er moet gebeuren. Dat is geen softwarevraagstuk. Dat is een partnervraagstuk. Het beheermodel dat daarvoor het meest passend is, bepalen we altijd samen op basis van wat er intern beschikbaar is en wat de organisatie echt nodig heeft."

Momentum EMEA, EMEA's leading Cato Networks implementation partner

Wanneer is managed SASE de slimste keuze? Drie scenario's

Scenario 1: De organisatie groeit sneller dan de IT-capaciteit. Een bedrijf opent jaarlijks meerdere nieuwe vestigingen, in Europa, maar ook daarbuiten. Elke nieuwe locatie vereist connectiviteit, beveiliging en toegangsbeleid. Intern heeft de IT-afdeling niet de capaciteit om dit elk kwartaal van nul op te bouwen. Managed SASE geeft de organisatie een partner die nieuwe locaties opbrengt via zero-touch provisioning, de connectiviteit regelt via carrier-neutrale underlay en de security-stack direct meelevert, zonder extra IT-personeel per vestiging. Lees meer over dit transitiemoment in ons artikel over MPLS vervangen door SD-WAN en SASE.

Scenario 2: De security-skills zijn intern schaars of verspreid. De organisatie heeft bekwame IT-generalisten maar geen diepgespecialiseerde security-engineers. Bij een incident of een NIS2-audit is er geen intern team dat kan aantonen dat het SASE-platform correct is geconfigureerd, dat beleid consistent is doorgevoerd op alle vestigingen en dat security-events tijdig zijn opgevolgd. Managed SASE geeft de organisatie een partner met aantoonbare expertise, een 24/7 NOC en de documentatie die toezichthouders verwachten, zonder het eigen team te moeten uitbreiden met vijf security-specialisten die de markt toch niet biedt.

Scenario 3: De organisatie staat voor een grote migratie of transformatie. MPLS-contracten lopen af, een datacenter wordt gesloten of een grote overname voegt tientallen nieuwe locaties toe. Dat zijn kritieke transitiemomenten waarbij het risico van downtime en beveiligingsgaten het grootst is. Een managed SASE-partner neemt de migratieregie over, zorgt voor continuïteit tijdens de overgang en bewaakt de security-posture gedurende het hele traject.

Wat doet een 24/7 NOC-team voor jouw organisatie?

24/7 NOC-monitoring is niet hetzelfde als een servicedesk die piket draait. Een volwassen NOC-team bij een managed SASE-partner voert continu actieve werkzaamheden uit, ook als er geen incident is.

Concreet omvat NOC-beheer bij Momentum EMEA: proactieve monitoring van alle netwerkverbindingen op latency, packetloss en jitter; detectie en correlatie van security-events via de Cato-console; prioritering en escalatie van incidenten op basis van ernst; ownership van carriervraagstukken en technische escalaties naar Cato; lifecycle management van alle Cato Socket-apparatuur op vestigingen; en maandelijkse rapportages over netwerkprestaties, dreigingen en policy-events voor IT-management en bestuurders.

Bij een Priority 1-incident, een locatie die volledig unreachable is of een actieve security-dreiging, is de responstijd 15 minuten. Dat niveau van respons is intern alleen haalbaar als de organisatie een volledig bezet security operations center heeft. Voor de meeste organisaties is dat geen reële optie.

De Momentum EMEA-aanpak: underlay + overlay vanuit één contract

Wat Momentum EMEA onderscheidt van de meeste andere managed SASE-partners is de combinatie van underlay en overlay in één dienst.

De underlay is de internetconnectiviteit: carrier-neutrale verbindingen voor alle vestigingen, wereldwijd, geleverd en beheerd door Momentum EMEA. We zijn niet afhankelijk van één carrier en kunnen per locatie de beste verbinding selecteren op basis van beschikbaarheid, prestatie en prijs. De overlay is het Cato SASE-platform: security, toegangsbeleid, AI security, Zero Trust en alle andere functionaliteit die op de global private backbone draait.

Die combinatie heeft één fundamenteel voordeel: bij een connectiviteitsincident is er geen discussie over welke partij verantwoordelijk is, de carrier, de SASE-provider of de implementatiepartner. Momentum EMEA is verantwoordelijk voor het geheel. Één contract, één SLA, één escalatiepad. Meer over het platform dat we beheren lees je in ons artikel over het Cato Networks platform en de vier modules.

NIS2 en managed SASE, compliance als onderdeel van de dienst

De Cyberbeveiligingswet (NIS2) stelt verplichtingen aan technische maatregelen en aantoonbaar risicobeheer. Een managed SASE-dienst levert die aantoonbaarheid structureel: elk security-event wordt gelogd, elke beleidswijziging is geauditeerd, en de maandelijkse rapportages produceren het bewijs dat toezichthouders verwachten. Lees meer in ons artikel over NIS2-compliance met één platform.

Bij een NIS2-audit levert Momentum EMEA de technische documentatie, configuratie-overzichten, event-logs, incidentrapportages, die het bestuur nodig heeft om bestuurlijke aansprakelijkheid aan te tonen. Dat is een directe waarde van managed SASE die organisaties zelden meenemen in de beslissing maar altijd waarderen zodra de audit komt.

Financiële logica: kosten versus risico

De TCO-rekensom van managed SASE bevat meer dan de maandelijkse servicefee. Forrester berekende in een Total Economic Impact-studie een ROI van 235 procent over drie jaar voor organisaties die het Cato SASE-platform inzetten. Die ROI komt niet alleen uit de directe hardware- en licentiebesparingen maar uit de operationele lastverlichting: minder FTE's voor netwerkbeheer, lagere gemiddelde reactietijd op incidenten en vermindering van downtime door proactief beheer.

De kosten van managed SASE zijn afhankelijk van organisatiegrootte, aantal vestigingen en het gekozen beheermodel. Stel Momentum EMEA een gesprek voor en we maken samen een concrete TCO-vergelijking voor jouw situatie, inclusief de vergelijking met de huidige infrastructuurkosten en de risicokosten van een beveiligingsincident zonder adequate respons.