Incidentrespons-retainers: hoe u prepaid blokuren, opnames en de noodopschaling boekt

Twee bedrijven worden in dezelfde week getroffen door dezelfde ransomware-stam. Dezelfde 200 uur forensisch onderzoek, indamming en herstel. Het ene betaalt ongeveer $60.000 en heeft responders binnen twee uur aan het triageren. Het andere betaalt ruim boven de $150.000, besteedt de eerste dag aan het onderhandelen over een contract terwijl systemen donker blijven, en ontmoet zijn responseteam voor het eerst tijdens de slechtste week in de bedrijfsgeschiedenis. Het verschil was nooit de malware. Het was een contract dat maanden eerder was ondertekend, in rustig weer — een incidentrespons-retainer — en of elk bedrijf begreep wat het had gekocht.

Als uw bedrijf een forensisch bureau zou moeten googelen terwijl aanvallers door uw fileshares bewegen, is dit bericht voor u. Het legt uit wat een IR-retainer werkelijk koopt, hoe u het prepaid blok in uw eigen boeken boekt, wat er gebeurt met uren die u nooit gebruikt, en wat het nood-"surgetarief" doet met uren boven het blok. De boekhouding is even belangrijk als het contract: een verkeerd geboekte retainer overschat stilzwijgend uw activa het hele jaar, en verrast u dan twee keer — één keer wanneer ongebruikte uren verlopen, en nog eens wanneer de overage-factuur binnenkomt.

Wat een retainer werkelijk koopt​

Een incidentrespons-retainer is een vooruitbetaald blok responderuren dat u koopt voordat er iets in brand staat. U betaalt vooraf voor een vastgesteld aantal uren (of credits) over een termijn van 12 maanden, en in ruil daarvoor krijgt u twee dingen die een nieuwe beller niet kan kopen: een gecontracteerde triage-SLA, meestal één tot vier uur, en een vooraf onderhandeld opnametarief voor elk uur dat het bureau werkt. Zonder retainer strekt de mobilisatie zich uit tot 24 tot 72 uur terwijl u vanaf nul begint met afbakenen en contracteren, en elk uur wordt tegen het noodtarief gefactureerd.

De markt biedt vijf manieren om ongeveer dezelfde bescherming te kopen, en de gepubliceerde prijzen clusteren nuttig:

Twee dingen vallen op. Ten eerste publiceren de meeste grote bureaus helemaal geen uurtarief — Mandiant, CrowdStrike, Kroll en Unit 42 geven allemaal een prijsopgave per opdracht — dus de bovenstaande cijfers zijn planningsankers, geen offertes. Laat uw eigen drie cijfers op papier zetten: het noodtarief zonder retainer, het opnametarief met retainer en de jaarlijkse vergoeding. Ten tweede: vergelijk elk van die retainerprijzen met de inzet: IBM's Cost of a Data Breach-onderzoek uit 2025 stelt het mondiale gemiddelde datalek op $4,44 miljoen, en het Amerikaanse gemiddelde op een record van $10,22 miljoen. Een retainer van vijf cijfers is een afrondingsfout naast één incident — precies waarom de boekhouding ervoor meer zorg verdient dan een afrondingsfout gewoonlijk krijgt.

In uw boeken is een retainer een actief, geen kostenpost​

Hier is de fout die de meeste kleine bedrijven maken: de factuur van $40.000 voor de retainer komt in oktober binnen, en het hele bedrag belandt in de beveiligingskosten van die maand. Oktober ziet er verschrikkelijk uit, de volgende elf maanden zien er kunstmatig schoon uit, en de balans toont nooit wat u werkelijk bezit — $40.000 aan toekomstige responderuren.

Een vooruitbetaalde retainer is een vooruitbetaalde kost, een vlottend actief. U hebt cash betaald voor een economisch voordeel dat u nog niet hebt verbruikt: uren expert tijd die op afroep beschikbaar zijn gedurende de contracttermijn. De aankoop verplaatst geld tussen activarekeningen — cash omlaag, vooruitbetaalde retainer omhoog — en raakt de winst-en-verliesrekening helemaal niet. Pas wanneer uren worden opgenomen (of verlopen, daarover hieronder meer) wordt de kost een uitgave.

Dit is geen muggenzifterij. De volledige retainer vooraf als kost boeken onderschat uw activa met het onverbruikte saldo elke maand van de termijn, overschat de kost van die eerste maand, en verbergt het opnamepatroon dat u vertelt of de retainer goed gedimensioneerd was. Als u jaarlijks verlengt, herhaalt de vertekening zich elk jaar, en wordt uw beveiligingsuitgave jaar op jaar onleesbaar. Boek het actief en boek vervolgens het verbruik als kost. Uw maandafsluiting zal u dankbaar zijn.

Het blok opnemen naarmate incidenten het verbruiken​

Beschouw het prepaid blok zoals u een banksaldo beschouwt: elk incident is een opname, en het resterende saldo is een actief dat u nog kunt besteden. Neem elke maand (of na elke opdracht) de urenstaat van uw IR-bureau en verplaats de verbruikte waarde van het vooruitbetaalde actief naar beveiligingskosten tegen het opnametarief. Een indammingsopdracht van 22 uur opgenomen tegen $300 per uur is een kost van $6.600 in de maand dat het werk gebeurde — niet in de maand dat u vooruitbetaalde.

Drie boekhoudgewoonten houden de opname eerlijk:

• Reconcilieer uren als cash. De urenstaat van het bureau is uw bankafschrift voor deze rekening. Log elke maand het beginsaldo, de opgenomen uren, het toegepaste tarief en het eindsaldo, zelfs in rustige maanden waarin de boeking "geen wijziging" is. De maand waarin u stopt met reconciliëren is de maand waarin een betwiste "assessment" van 14 uur erdoorheen glipt.
• Accrueer uitgevoerd maar nog niet gefactureerd werk. Als responders in de laatste week van de maand hebben gewerkt en de urenstaat medio de volgende maand binnenkomt, boek dan een accrual: debet beveiligingskosten, credit te betalen post. Anders ziet de incidentmaand er goedkoop uit en de factuurmaand duur, en geen van beide weerspiegelt de werkelijkheid.
• Scheid opgenomen uren van overage op de P&L. Uren binnen het blok en nooduren die daarbuiten worden gefactureerd zijn verschillende economische gebeurtenissen tegen heel verschillende tarieven. Eén kostenrekening kan beide alleen bevatten als u nooit wilt kunnen antwoorden "wat heeft de retainer ons werkelijk bespaard?" — gebruik dus subrekeningen of een memo-discipline waarmee u ze kunt splitsen.

De uren die u nooit gebruikt: verval, overdracht en de afschrijving​

De stilste clausule in de retainer is wat er gebeurt met uren die u nooit opneemt. De meeste contracten kiezen een van drie behandelingen: uren vervallen waardeloos aan het einde van de termijn, een begrensd deel gaat over naar de volgende termijn, of ongebruikte uren worden omgezet in proactieve diensten zoals tabletop-oefeningen of compromise assessments. IBM's gedeponeerde tiers bundelen bijvoorbeeld proactieve service-eenheden naast responsuren — een ingebouwd conversiepad.

Wat uw contract ook zegt, uw boeken moeten ermee overeenstemmen. Als 40 van uw 100 uren ongebruikt verlopen aan het einde van de termijn, is het resterende vooruitbetaalde saldo geen actief meer — het is een verlies. Schrijf het af: debet beveiligingskosten (of een afschrijvingsrekening, als u het verval apart zichtbaar wilt maken), credit het vooruitbetaalde actief naar nul. Het overslaan van deze boeking is hoe vooruitbetaalde rekeningen spooksaldo's opbouwen die activa jarenlang overschatten.

De kant van de aanbieder spiegelt de uwe precies, wat het weten waard is voordat u onderhandelt. In de boeken van het bureau staat uw vooruitbetaling als uitgestelde omzet — een verplichting, cash geïnd voor nog niet geleverd werk — en ongebruikte uren die verlopen worden bij verval omzet van het bureau, een categorie die accountants breakage noemen. Uw verlopen uren zijn hun marge. Dat is geen kritiek; het is hefboom. Bureaus die profiteren van breakage willen er vaak mee ruilen: vraag om overdrachtsplafonds, omzetting van ongebruikte uren in proactieve diensten, of een kleiner blok met een goedkoper bijvultarief in plaats van een groot blok dat ontworpen is om te verlopen. Elk uur dat wordt omgezet in een tabletop-oefening is een uur dat een actief blijft in plaats van een afschrijving te worden.

Het surgetarief: wat uren boven het blok werkelijk kosten​

Nu de clausule die bepaalt of de retainer zichzelf terugverdient. Uren binnen het blok worden gefactureerd tegen het opnametarief dat u in rustige omstandigheden hebt onderhandeld. Uren boven het blok — en elk uur voor een bedrijf zonder retainer — worden gefactureerd tegen het noodtarief, en dat verschil is de hele economie van het product.

Doe de deling op uw eigen offertes, maar verwacht dat het noodtarief bij de meeste bureaus ruwweg 50 tot 150 procent boven het opnametarief ligt — hetzelfde bureau dat uw blok tegen $300 per uur opneemt, factureert nieuwe noodgevallen misschien tegen $450 tot $750 — terwijl topniveau noodopdrachten $800 tot $1.500 per uur lopen tegen opnametarieven van $175 tot $400. De surcharge stapelt ook met timing: nachten, weekends en gespecialiseerd forensisch onderzoek stapelen premies bovenop het basisnoodtarief.

De break-even-berekening is eenvoudig genoeg om vóór ondertekening te maken. Vergelijk (verwachte uren × noodtarief) met (verwachte uren × opnametarief) + retainervergoeding voor een incident van de omvang die u werkelijk plant. Omdat de retainervergoeding wordt verrekend met gebruikte uren, ligt het break-even-punt meestal ruim binnen één ernstig incident: bij een opnametarief van $300 tegen een noodtarief van $750 kost een opdracht van 100 uur $30.000 plus de vergoeding met een retainer tegen $75.000 zonder — de vergoeding verdient zichzelf terug vóór het tweede incident, en de gecontracteerde triage-SLA is waarde daarbovenop. Dimensioneer het blok op het incident dat u plant, niet op het incident dat u hoopt, en begroot een cashreserve voor de overage die u alsnog verschuldigd bent als het grote incident voorbij het blok loopt. De retainer koopt het tarief. Hij begrenst het incident niet.

Als u retainers verkoopt, geldt het spiegelbeeld​

Veel lezers staan aan de andere kant van dit contract — MSP's, beveiligingsconsultants en IT-bureaus die hun eigen prepaid blokuren verkopen. De boekhouding spiegelt die van de koper: de vooruitbetaling van een klant is niet uw omzet, het is uitgestelde omzet, een verplichting voor werk dat u verschuldigd bent. Erken omzet pas naarmate uren worden geleverd, houd het niet-geleverde saldo op de balans (onder ASC 606 is het een contractverplichting), en erken breakage pas als omzet wanneer uren werkelijk verlopen volgens de contractvoorwaarden — niet wanneer u er vertrouwen in hebt dat de klant ze niet zal gebruiken. Dezelfde reconciliatiediscipline geldt: als uw uitgestelde saldo en het vooruitbetaalde saldo van uw klant van elkaar afwijken, heeft één van u het mis, en het urenlog beslecht het. Bureaus die de volledige vooruitbetaling als omzet op dag één erkennen, overschatten het inkomen, onderschatten de verplichtingen, en ontdekken het gat tijdens due diligence voor een verkoop, wanneer de koper elke dollar niet-geleverd werk prijst als een verplichting die hij erft.

Hoe een jaar er in een grootboek uitziet​

Hier is een volledig retainerjaar voor een koper: een blok van $40.000 voor 100 uur gekocht in oktober, een incident van 22 uur opgenomen tegen $300 per uur in februari, 8 nood-overage-uren tegen $750 in hetzelfde incident (een surcharge van 150 procent boven het opnametarief), en het ongebruikte saldo afgeschreven wanneer de termijn verloopt zonder verdere incidenten. Als u uw boeken in platte tekst bijhoudt, behandelen de docs de opzet, en Fava verandert het vooruitbetaalde saldo in een grafiek die u over de termijn kunt zien leeglopen:

2025-10-01 open Assets:Cash:Operating USD
2025-10-01 open Assets:Prepaid:IR-Retainer USD
2025-10-01 open Liabilities:Payable USD
2025-10-01 open Expenses:Security:Incident-Response USD
 
2025-10-01 * "Sentinel IR" "Jaarlijkse retainer, 100 prepaid uren"
  Assets:Prepaid:IR-Retainer  40000.00 USD
  Assets:Cash:Operating  -40000.00 USD
 
2026-02-14 * "Sentinel IR" "Indamming, 22 uur opgenomen tegen 300,00 USD per uur"
  Expenses:Security:Incident-Response  6600.00 USD
  Assets:Prepaid:IR-Retainer  -6600.00 USD
 
2026-02-20 * "Sentinel IR" "Nood-overage, 8 uur tegen 750,00 USD per uur"
  Expenses:Security:Incident-Response  6000.00 USD
  Liabilities:Payable  -6000.00 USD
 
2026-03-02 * "Sentinel IR" "Overage-factuur betaald"
  Liabilities:Payable  6000.00 USD
  Assets:Cash:Operating  -6000.00 USD
 
2026-09-30 * "Sentinel IR" "Termijn verlopen, ongebruikte uren afgeschreven"
  Expenses:Security:Incident-Response  33400.00 USD
  Assets:Prepaid:IR-Retainer  -33400.00 USD

Lees het verhaal dat de rekeningen vertellen: $6.600 aan incidentrespons gekocht tegen het rustig-weertarief, $6.000 gekocht tegen het surgetarief, en $33.400 dat niets kocht behalve de optie om te bellen — de prijs van een te groot blok. Die afschrijving is geen argument tegen retainers. Het is een argument om het volgende blok te dimensioneren op basis van de opnamegeschiedenis van dit jaar in plaats van het voorstel van het bureau, en om de omzetting van het ongebruikte restant in proactief werk te onderhandelen voordat het verloopt.

Een maandeinde-checklist voor retainerkopers​

Zet dit op de afsluitchecklist voor elke maand dat de retainer actief is, en de versie voor het jaareinde schrijft zichzelf:

• Haal de urenstaat van het bureau op en reconciliëer die met uw vooruitbetaalde saldo — beginuren, opgenomen uren, tarief, einduren — voordat u iets boekt.
• Boek opgenomen uren als kost in de maand dat het werk gebeurde, en accrueer ongefabriceerd werk aan het maandeinde in plaats van te wachten op de urenstaat.
• Houd overage in een eigen subrekening zodat de surchargepremie zichtbaar blijft naast de uitgave tegen opnametarief die zij overschreed.
• Zet de vervaldatum in de agenda met een waarschuwing 90 dagen vooraf: dan plant u de tabletop-oefening, onderhandelt u over overdracht of past u de verlenging aan — niet in de week dat de uren sterven.
• Deel bij verlenging de totale incidentkost van vorig jaar (opgenomen + overage + afschrijving) door de werkelijk gebruikte uren. Dat blended tarief, niet het opnametarief uit de brochure, is het getal waartegen het volgende blok concurreert.

Het bedrijf dat $60.000 betaalt voor zijn 200 uur en het bedrijf dat $150.000 betaalt, kochten verschillende contracten — maar ze hielden ook verschillende boeken bij. Het ene behandelde de retainer als een actief om te beheren, te reconciliëren, op te nemen en met bewijs te verlengen. Het andere boekte hem in oktober als kost en ontmoette het surgetarief als een verrassing. Onderteken de retainer voordat u hem nodig hebt, boek hem als wat hij is, en laat de opnamegeschiedenis — niet het verkoopvoorstel — het blok van volgend jaar bepalen.