Onderhoudscontract website: wat moet het dekken in 2026?

Een onderhoudscontract voor een website moet zes concrete domeinen dekken: technische updates, back-ups, beveiliging, monitoring, ondersteuning met gegarandeerde termijnen (SLA's) en een exitregeling op het einde van het contract. Elk contract dat vaag blijft over een van die zes punten stelt uw kmo bloot aan onaangename verrassingen: een website die offline gaat zonder verhaal, verloren data, of een leverancier die uw toegangen gijzelt.

Julien Daniel, oprichter van OptionWeb, neemt elk jaar tientallen onderhoudscontracten door die Belgische klanten hem voorleggen. De vaststelling is telkens dezelfde: de meeste geschillen draaien niet om de prijs, maar om clausules die ontbreken. Deze gids geeft u de volledige leeswijzer: wat een contract moet bevatten, welke termijnen u moet eisen, welke valkuilen u moet herkennen en een checklist om af te lopen vóór u tekent.

1. Wat moet een onderhoudscontract voor een website dekken in 2026?

Een degelijk onderhoudscontract voor een website dekt drie families van prestaties: preventief onderhoud (updates, back-ups, bewaking), correctief onderhoud (herstel van bugs en incidenten) en ondersteuning (antwoorden op uw vragen, kleine aanpassingen). Elke familie moet beschreven zijn met concrete deliverables en een frequentie: 'maandelijkse update' is een engagement, 'regelmatige opvolging' is er geen.

• Preventief onderhoud — Updates van het CMS, de extensies en de dependencies; geautomatiseerde en geteste back-ups; vernieuwing van het SSL-certificaat; bewaking van beschikbaarheid en prestaties.
• Correctief onderhoud — Bugs verhelpen, de website opnieuw online brengen na een panne, opschonen na een hack, herstellen vanaf een back-up. Hier tonen SLA's (gegarandeerde termijnen) hun volle waarde.
• Support en kleine evoluties — Inhoud aanpassen, een pagina toevoegen, uw vragen beantwoorden. Het contract vermeldt het inbegrepen volume (in uren of tickets per maand) en het tarief daarbuiten.
• Transversale verplichtingen — Vertrouwelijkheid, AVG-conformiteit van de verwerker (artikel 28), periodieke rapportering en een exitclausule op het einde van het contract.

Buiten het toepassingsgebied vallen doorgaans de grafische redesign, grote ontwikkelingen en SEO. Dat is normaal: die prestaties horen in aparte offertes thuis. Wat niet normaal is: een contract dat het opnieuw online brengen na een incident of het herstellen van een back-up uitsluit. Die twee prestaties zijn de kern zelf van website onderhoud.

2. Waarom wordt een website zonder onderhoud een risico?

Een website zonder onderhoud wordt kwetsbaar in enkele maanden, niet in enkele jaren. CMS'en en hun extensies publiceren voortdurend beveiligingspatches; wie ze niet toepast, laat publiek gedocumenteerde achterpoortjes open die bots geautomatiseerd uitbuiten.

De cijfers liegen er niet om. Patchstack telde in 2024 meer dan 7.000 nieuwe kwetsbaarheden in het WordPress-ecosysteem, waarvan de overgrote meerderheid in plugins van derden. Volgens de jaarrapporten van Sucuri draaiden ongeveer 9 op de 10 gehackte websites uit hun analyses op een verouderd CMS op het moment van de infectie. En aan bezoekerskant mat Google dat 53% van de mobiele surfers een pagina verlaat die meer dan 3 seconden nodig heeft om te laden: een website die achteruitgaat, kost omzet nog vóór hij uitvalt.

Het risico is ook juridisch. Een website die gegevens verzamelt (contactformulier, nieuwsbrief, webshop) moet blijvend AVG-conform zijn: cookiebibliotheken up-to-date, correcte vermeldingen, gedocumenteerde verwerkers. Een datalek veroorzaakt door een niet-gepatchte website legt de aansprakelijkheid bij het bedrijf, niet bij de bezoeker. We werken dit luik uit in onze gids over de AVG-conformiteit van een website in 2026.

3. Welke clausules moet een goed contract bevatten?

Acht clausules maken het verschil tussen een contract dat u beschermt en een contract voor de vorm: een gedetailleerd toepassingsgebied, becijferde SLA's, back-ups met vastgelegde bewaartermijn, beveiliging, intellectuele eigendom, exitregeling, looptijd en opzegging, en aansprakelijkheid. De tabel hieronder vat samen waarom elke clausule cruciaal is en welk alarmsignaal u meteen moet doen reageren.

Een goed geschreven clausule is verifieerbaar: ze bevat een cijfer, een frequentie of een deliverable. 'Dagelijkse back-up, bewaartermijn 30 dagen, driemaandelijkse hersteltest' is een clausule. 'Regelmatige back-ups' is een brochurezin.

Eigendom van code en toegangen: het meest verwaarloosde punt

In België net als in Frankrijk is de code van een website auteursrechtelijk beschermd: zonder schriftelijke overdracht blijft hij eigendom van de ontwikkelaar. Het onderhoudscontract moet dus minstens garanderen dat u beschikt over of ontvangt: de administratortoegangen van de website, de toegangen tot de hosting, het beheer van de domeinnaam op uw naam (u moet de geregistreerde houder zijn, niet de leverancier) en een bruikbare kopie van de code en de database. Een leverancier die uw domein op zijn eigen naam registreert, creëert een afhankelijkheid die u duur betaalt op de dag van het vertrek.

4. Wat is een SLA en welke termijnen moet u eisen?

Een SLA (Service Level Agreement, of dienstverleningsovereenkomst) is het schriftelijke engagement van de leverancier over twee verschillende termijnen: de reactietijd (wanneer iemand uw vraag oppakt) en de hersteltijd (wanneer het probleem opgelost is). Een degelijke SLA deelt incidenten in per prioriteit, want een offline website en een tikfout vragen niet dezelfde urgentie.

De standaardindeling gebruikt drie prioriteitsniveaus. P1 staat voor een blokkerend incident: onbereikbare website, hacking, defecte betaling in een webshop. P2 staat voor een groot maar omzeilbaar incident: kapot formulier, belangrijke pagina in fout. P3 dekt de kleine vragen: cosmetische bug, vraag, kleine aanpassing.

Controleer drie details die alles veranderen. Eén: lopen de termijnen in kantooruren of in kalenderuren? Een P1-SLA 'binnen 8 kantooruren' betekent dat een panne op vrijdag om 18 uur tot maandag kan wachten. Twee: wat gebeurt er als de SLA niet gehaald wordt? Zonder sanctie (creditnota, gedeeltelijke terugbetaling) is een SLA een belofte zonder gevolgen. Drie: het kanaal telt: een SLA die pas begint te lopen na een ticket op een obscuur platform is zwakker dan een SLA die via e-mail of telefoon in gang schiet.

5. Back-ups, updates, monitoring: welke minimale garanties?

De minimale technische garanties van een onderhoudscontract in 2026 zijn: een dagelijkse extern opgeslagen back-up met 30 dagen bewaartermijn, beveiligingsupdates toegepast binnen 7 dagen (24-48 uur voor kritieke lekken), en beschikbaarheidsmonitoring met automatische alarmering. Onder die lat betaalt u voor een contract dat u niet beschermt.

Back-ups: de 3-2-1-regel

Een back-up heeft enkel waarde als hij herstelbaar is. De 3-2-1-regel blijft de referentie: drie kopieën van de data, op twee verschillende dragers, waarvan één kopie buiten de productieserver. Een back-up die op dezelfde server staat als de website, verdwijnt samen met de website bij een schijfpanne of ransomware.

• Frequentie afgestemd op de activiteit — Dagelijks voor een bedrijfswebsite, meerdere keren per dag voor een webshop waar elke verloren bestelling een klantengeschil is.
• Bewaartermijn vastgelegd in het contract — Minstens 30 dagen. Een discrete hack wordt soms pas weken na de infectie ontdekt: u moet tot vóór dat moment kunnen terugkeren.
• Hersteltests — Het contract moet periodieke tests voorzien (minstens driemaandelijks). Een nooit geteste back-up is een hypothese, geen garantie.
• Kopie opvraagbaar door de klant — U moet op eenvoudig verzoek een bruikbare kopie van uw website en uw data kunnen krijgen, zonder buitensporige kosten.

Updates en beveiliging: de frequentie maakt de bescherming

Het contract moet een onderscheid maken tussen beveiligingsupdates (snel toe te passen, binnen 24-48 uur voor een actief uitgebuit kritiek lek) en functionele updates (planbaar). Het moet ook vermelden dat elke update gevolgd wordt door een test: een update die de website breekt zonder dat iemand het merkt, is erger dan geen update. Vul aan met de basics: een automatisch vernieuwd SSL-certificaat, een applicatiefirewall als de website op een CMS draait, en een periodieke kwetsbaarheidsscan.

Monitoring: wie ontdekt de panne, u of de leverancier?

Beschikbaarheidsmonitoring controleert de website met korte tussenpozen (1 tot 5 minuten) en verwittigt de leverancier automatisch. Het is een eenvoudig te controleren teken van professionaliteit: vraag wie het alarm ontvangt en binnen welke tijd. Is het antwoord 'verwittig ons als u een probleem vaststelt', dan bestaat de monitoring niet: u bent de monitoring. Een goed contract bevat ook een periodiek rapport: vastgestelde beschikbaarheid, toegepaste updates, uitgevoerde back-ups, behandelde incidenten.

6. Wat zijn de red flags van een verraderlijk onderhoudscontract?

Verraderlijke contracten delen eenzelfde mechanisme: een afhankelijkheid creëren die het vertrek duur of technisch onmogelijk maakt. De alarmsignalen spot u in tien minuten leestijd, op voorwaarde dat u weet waar te kijken.

• Domein geregistreerd op naam van de leverancier — U bezit uw eigen webadres niet meer. Bij een conflict kan de leverancier uw onlineaanwezigheid letterlijk uitschakelen.
• Geen enkele administratortoegang bezorgd — 'Voor uw veiligheid houden wij de toegangen bij': de klassieke formule van de technische gijzeling. Uw toegangen zijn uw eigendom.
• Lang engagement met stilzwijgende verlenging — 24 of 36 maanden die automatisch verlengd worden met een opzegtermijn van 3 tot 6 maanden: het contract is zo ontworpen dat u het uitstapvenster mist.
• SLA's afwezig of zonder sanctie — 'Beste inspanningen' in plaats van becijferde termijnen. Bij een langdurige panne hebt u geen enkel contractueel drukkingsmiddel.
• Uitsluitingen die het contract uithollen — Hacking uitgesloten, herstel extra gefactureerd, incidenten 'van externe oorsprong' niet gedekt: er blijft niets over van datgene waarvoor u betaalt.
• Vage facturatie buiten het pakket — Geen schriftelijk uurtarief voor wat het forfait overschrijdt: elke vraag wordt een onderhandeling, en de factuur een verrassing.
• Gesloten eigen technologie — Website gebouwd op een niet-exporteerbare huistool: bij het vertrek begint u van nul. Vraag altijd wat recupereerbaar is, en in welk formaat.

Over één losse red flag valt te onderhandelen: vraag de aanpassing van de clausule vóór de ondertekening. Drie red flags of meer tekenen een commerciële strategie af: verander van leverancier. De Belgische markt biedt genoeg degelijke alternatieven om geen vergrendeld contract te hoeven tekenen.

7. Hoe analyseert u een contract vóór u tekent?

Analyseer elk onderhoudscontract door een checklist met tien punten af te lopen, in volgorde. Elk punt vraagt een schriftelijk antwoord in het contract zelf: een mondeling antwoord, hoe geruststellend ook, heeft geen enkele waarde op de dag van het incident. Reken op 30 minuten aandachtige lectuur; het is de beste investering van uw webproject.

1. Lijst op wat inbegrepen is: heeft elke prestatie een frequentie en een verifieerbare deliverable (maandelijkse update, driemaandelijks rapport, dagelijkse back-up)?
2. Lijst op wat uitgesloten is: zijn het opnieuw online brengen na een incident en het herstellen van een back-up wel degelijk inbegrepen? Als hacking uitgesloten is, wat dekt het contract dan nog echt?
3. Controleer de SLA's: becijferde reactie- en hersteltijden per prioriteit (P1/P2/P3), kantooruren of kalenderuren, en sancties bij overschrijding.
4. Controleer de back-ups: frequentie, bewaartermijn (minstens 30 dagen), externe opslag, hersteltests, en uw recht op een kopie.
5. Controleer de eigendom: domein op uw naam, administratortoegangen in uw bezit, overdracht of kopie van de code, recupereerbare database.
6. Zoek de exitclausule: volledige teruggave, uitvoeringstermijn, kostprijs (gratis of redelijk forfait), bruikbaar formaat.
7. Bekijk looptijd en uitstap: initieel engagement (maximaal 12 maanden bij een eerste samenwerking), opzegtermijn (1 tot 3 maanden), modaliteiten van de stilzwijgende verlenging.
8. Check het AVG-luik: de leverancier heeft toegang tot uw data en is dus verwerker in de zin van artikel 28; een verwerkersovereenkomst moet het contract vergezellen.
9. Verduidelijk het werk buiten het pakket: schriftelijk uurtarief, verplichte offerte boven een drempel, en het lot van niet-opgebruikte inbegrepen uren (overdraagbaar of verloren).
10. Vraag een klantenreferentie: vijf minuten aan de telefoon met een bestaande klant zegt meer dan tien pagina's contract.

Wat het budget betreft: onthoud gewoon dat degelijk onderhoud voor een kmo-website meestal tussen 40 en 150 €/maand ligt, afhankelijk van het toepassingsgebied en de technologie; voor een webshop loopt dat hoger op. Voor de gedetailleerde prijsvorken per type website en wat ze moeten omvatten, raadpleegt u onze gids over de kosten van website onderhoud in 2026: dit artikel focust op de inhoud van het contract, niet op de prijs.

Een laatste praktijktip: dateer en archiveer de ondertekende versie van het contract, de bijlagen en het toepassingsgebied. Volgens de Barometer van de digitale maturiteit van de FOD Economie beschikken meer dan 8 op de 10 Belgische kmo's over een website; wie een incident doormaakt zonder schriftelijk contract, ontdekt te laat dat commerciële beloftes niet afdwingbaar zijn.

Een onderhoudscontract is geen administratieve formaliteit: het is het document dat, op de dag dat uw website uitvalt, beslist of u binnen 4 uur of binnen 4 dagen weer online bent. Herlees het uwe met deze gids ernaast. En wilt u een second opinion: OptionWeb analyseert uw huidige contract of bezorgt u binnen 24 uur een offerte voor website onderhoud via contact@optionweb.dev of +32 491 14 01 01, met een afspraak mogelijk in Charleroi, Namen, Luik, Bergen of Brussel.