Website-onderhoudscontract en SLA: wat hoort erin?

Een website-onderhoudscontract legt scope, reactietijden, eigenaarschap en je exit vast.

Vier dingen horen minstens op papier:

• wat er onderhouden wordt
• hoe snel er gereageerd wordt
• wie wat bezit
• wat er gebeurt als je stopt

Het verdict: koppel een concrete scope aan een SLA met reactietijden en uptime, regel het eigendom van code en accounts, en eis een nette exit. Laat je die punten open, dan betaal je later met downtime, verrassingsfacturen of een site die je niet kan meenemen.

Het uitgangspunt is praktisch: je wil een site die blijft draaien en blijft converteren, zonder dat je vastzit aan je leverancier.

Wil je breder lezen over een site laten bouwen en beheren, start dan bij onze B2B-website gids.

Wat is een website-onderhoudscontract precies?

Het is de afspraak die regelt hoe je site na de lancering werkend, veilig en actueel blijft.

Een website is geen eenmalig project. Het is een levend systeem. Wat onderhoud in de praktijk inhoudt, lees je in wat is website-onderhoud.

Waarom onderhoud geen optie is

Een site veroudert vanzelf, ook als niemand eraan komt:

• software veroudert
• plugins krijgen updates
• browsers veranderen
• aanvallers zoeken constant naar zwakke plekken

Zonder onderhoud loop je achter op security, raakt je site trager en stapelen kleine defecten zich op tot een groot probleem.

Wat er dan concreet misgaat, lees je in de risico’s van een website die je niet onderhoudt.

Wat het contract toevoegt

Het contract maakt expliciet wat impliciet blijft.

Het beschrijft wie verantwoordelijk is voor updates, wie reageert als er iets stuk gaat, en binnen welke termijn.

Het verschil met “we kijken er wel naar”: je hebt rechten en termijnen in plaats van goodwill.

Voor een bedrijfskritische site die leads binnenhaalt, is dat het verschil tussen een paar uur en een paar dagen downtime.

Wat hoort er minimaal in de scope?

Een concrete lijst van taken, niet de vage term “algemeen onderhoud”.

De scope is het hart van het contract. Een complete scope dekt doorgaans deze onderdelen:

• Software- en plugin-updates: het CMS, thema’s, plugins of packages up-to-date houden, getest voor ze live gaan.
• Security: monitoring, patches voor bekende kwetsbaarheden, en afspraken over wat er gebeurt bij een hack of malware.
• Back-ups: hoe vaak er een back-up wordt gemaakt, waar die staat, hoe lang die bewaard blijft en, belangrijker nog, hoe snel een back-up terug te zetten is.
• Uptime-monitoring: actief bewaken of de site bereikbaar is en ingrijpen als hij plat gaat.
• Performance: in de gaten houden dat de site snel blijft. Trage laadtijden kosten je conversies, dus laat afspraken over Core Web Vitals niet buiten beschouwing.
• Toegankelijkheid: checks dat updates geen nieuwe drempels introduceren. Vermijd de bekende toegankelijkheidsfouten, zeker nu de eisen hierrond strenger worden.
• Kleine inhoudelijke aanpassingen: teksten wijzigen, een pagina toevoegen, een formulier aanpassen.
• Rapportage: een periodiek overzicht van wat er gedaan is en wat de site doet.

We lopen de onderdelen met de meeste valkuilen een voor een af.

Updates en security: waarom snelheid telt

Plugins zijn de zwakste plek van een WordPress-site.

Dit telde Patchstack over 2025 (Patchstack, State of WordPress Security 2026):

• 11.334 nieuwe kwetsbaarheden in het WordPress-ecosysteem
• 91% daarvan in plugins
• 46% nog zonder patch toen ze bekend werden
• ongeveer de helft van de zware binnen 24 uur misbruikt

Wat dat betekent voor je contract: “maandelijkse updates” is te traag voor kritieke patches. Vraag wat er gebeurt binnen 24 uur na een kritieke melding.

Hoe minder plugins, hoe kleiner dat risico. Lees waarom in te veel WordPress-plugins.

Back-ups: test het terugzetten

Een back-up die nooit is teruggezet, is een hoop. Geen garantie.

Leg in het contract vast hoe snel een herstel moet lukken, bijvoorbeeld binnen een werkdag. Spreek ook af dat er af en toe een testherstel gebeurt.

Hoe vaak en waar je back-ups bewaart, lees je in een back-upstrategie voor je website.

Performance: meet het, beloof het niet alleen

Snelheid levert geld op.

In een A/B-test van Vodafone gaf 31% betere LCP 8% meer verkoop en 15% meer leads per bezoek (web.dev, Vodafone-case).

Monitoring hoort dus in de scope. In ons eigen Search Console-rapport zie je waarom:

Het Core Web Vitals-rapport (mobiel) van customerimpact.be in Google Search Console, oktober 2026 (Engelse interface). Alle 349 URL’s staan op “Need improvement” door één CLS-probleem.

Zonder iemand die het rapport opvolgt, blijft zo’n melding makkelijk liggen.

Tip: test je eigen site gratis met onze website-snelheidstest voor je over performance onderhandelt.

Toegankelijkheid: de lat ligt hoger

De European Accessibility Act noemt onder meer e-commerce en bankdiensten als diensten die toegankelijk moeten zijn.

Updates mogen dus geen nieuwe drempels introduceren. Wat de wet voor Belgische sites betekent, lees je in de European Accessibility Act voor je website.

Wat er niet in zit, hoort er ook in

Maak vooral helder wat er niet in zit:

• een nieuwe landingspagina
• een redesign
• een koppeling met je CRM

Dat is vaak meerwerk. Geen probleem, zolang het op voorhand duidelijk is in plaats van achteraf op je factuur.

Wat staat er in een SLA en welke niveaus bestaan er?

Een SLA legt reactietijden, oplostijden, uptime en bereikbaarheid hard vast.

SLA staat voor Service Level Agreement. Waar de scope zegt wat er gebeurt, zegt de SLA hoe goed en hoe snel.

Let op: dat is precies het deel dat mondeling vaak mooier klinkt dan het op papier blijkt.

De vijf elementen van een SLA

De kern van een SLA bestaat uit een paar elementen:

• Reactietijd: binnen hoeveel tijd krijg je een eerste reactie na een melding. Let op: reactietijd is niet hetzelfde als oplostijd.
• Oplostijd of streeftijd: binnen welke termijn een probleem opgelost of omzeild is, vaak afhankelijk van de ernst.
• Prioriteiten: een onderscheid tussen een site die volledig plat ligt en een knop die verkeerd uitlijnt. Die horen niet dezelfde urgentie te krijgen.
• Bereikbaarheid: alleen op kantooruren of ook buiten kantooruren bij een calamiteit.
• Uptime: het percentage van de tijd dat je site bereikbaar hoort te zijn.

Een checklist om een SLA na te lopen vind je in de website-contract en SLA-checklist.

Wat een uptimepercentage echt betekent

Een veelgebruikte norm voor zakelijke sites ligt rond de 99,9 procent.

Dat klinkt als bijna altijd.

Reken je het om naar een jaar van 8.760 uur, dan zie je hoeveel downtime elk percentage toelaat:

Het verschil tussen 99% en 99,9% is dus 87,6 tegenover 8,8 uur per jaar.

Hoe hoger de garantie, hoe duurder.

Vraag ook: hoe wordt uptime gemeten, en telt gepland onderhoud mee? Hoe die meting werkt, lees je in website-uptime monitoring.

De drie gangbare support-niveaus

Qua support-niveaus zie je in de praktijk meestal drie smaken:

• Basisniveau: updates, back-ups en security, reactie op kantooruren
• Middenniveau: snellere reactie, een vast urenbudget en betere monitoring
• Premiumniveau: korte gegarandeerde reactietijden, ruimere bereikbaarheid en proactief meedenken

Het basisniveau past bij een site die belangrijk maar niet bedrijfskritisch is.

Kies realistisch: een loodgieter heeft geen premiumcontract nodig. Een SaaS-bedrijf waarvan de leadflow volledig via de site loopt vaak wel.

Wat elk niveau ongeveer kost, lees je in de kosten van website-onderhoud.

Hoe zit het met urenbundels en meerwerk?

Een urenbundel is handig, maar de details bepalen of hij zijn geld waard is.

Het gaat om een vast aantal uren per maand of kwartaal voor kleine aanpassingen. Je hoeft dan niet voor elke kleine wijziging een offerte te vragen.

Juist daar zitten de verrassingen.

Drie vragen voor je tekent

Stel deze drie vragen voor je tekent:

1. Vervallen ongebruikte uren? Veel contracten laten uren aan het eind van de periode vervallen. Je betaalt dan voor capaciteit die je niet gebruikt.
2. Wat kost een uur boven je bundel? Geldt dan een vooraf afgesproken uurtarief, of een hoger meerwerktarief?
3. Hoe wordt tijd geregistreerd en gerapporteerd? Zo kan je controleren waar je uren naartoe gaan.

Vuistregel: een bundel zonder transparante registratie is een blanco cheque.

Waar onderhoud ophoudt en projectwerk begint

Wees helder over de grens tussen onderhoud en nieuwe ontwikkeling.

Een tekst aanpassen, zoals een nieuwe prijs of een andere teamfoto, valt onder onderhoud. Een volledige nieuwe sectie bouwen of een website-migratie hoort tot projectwerk met een eigen offerte.

Een contract dat die grens vaag laat, eindigt vaak in discussie. Meer van zulke posten lees je in verborgen kosten bij een website laten maken.

Wie is eigenaar van je website, code en accounts?

Jij, als je het laat vastleggen; anders vaak niet helemaal.

Eigenaarschap is de valkuil die het minst zichtbaar is en het meest pijn doet. Je betaalt voor een site, maar dat betekent niet automatisch dat alles van jou is.

Wat er op jouw naam hoort

Leg expliciet vast wie eigenaar is van de broncode, het ontwerp en de content.

Minstens zo belangrijk zijn de accounts en domeinen eromheen. Deze horen op jouw naam te staan of voor jou toegankelijk te zijn:

• je domeinnaam
• je hosting
• je CMS-licenties
• je analytics
• de logins van diensten van derden

Te vaak staat het domein geregistreerd op naam van de leverancier, of heeft bijvoorbeeld alleen het bureau toegang tot de hosting.

Dat lijkt onschuldig tot de samenwerking stopt en je je eigen site niet kan meenemen.

Standaardtechnologie of een gesloten systeem?

Vraag ook of de site gebouwd is op standaardtechnologie of op een eigen, gesloten systeem van het bureau.

Dat laatste maakt je afhankelijk. Niemand anders kan ermee verder.

Wie welke rol speelt bij de hosting, lees je in managed hosting versus zelf hosten.

Onze ervaring: steeds meer digitale bedrijven stappen over op een agentic website. Geen plugin-updates, geen beveiligingswaarschuwingen, en updates gaan snel. Dan verschuift ook wat er in je onderhoudscontract hoort.

Persoonsgegevens: de verwerkersovereenkomst

Verwerkt je onderhoudspartij persoonsgegevens, zoals formulierinzendingen of een back-up van je klantendatabase? Dan hoort er ook een verwerkersovereenkomst bij.

De AVG eist dat zo’n contract onder meer regelt dat de partij alleen op jouw instructie werkt, beveiliging voorziet en de gegevens na afloop wist of teruggeeft (AVG, artikel 28).

Meer over een privacyproof site lees je in een GDPR-proof website in België.

De sleutels van je eigen huis

Het principe is eenvoudig: jij hoort de sleutels van je eigen huis te hebben.

Een goed bureau zorgt dat je eigenaar bent en blijft, ook als je ooit zou vertrekken.

Wat moet er in de exit-clausule staan?

Wat er gebeurt als de samenwerking eindigt, van opzegtermijn tot overdracht.

Ontbreekt de exit-clausule? Dat is een rode vlag.

Niemand sluit een contract met de bedoeling om te vertrekken. Juist daarom test een goede exit hoe evenwichtig de afspraak is.

Vier punten om na te lopen

Let op deze punten:

• Opzegtermijn: hoe lang van tevoren je moet opzeggen, en of je niet onbedoeld stilzwijgend voor een lange periode verlengt.
• Overdracht: krijg je alle bestanden, code, content en toegangen netjes overgedragen, en in welke vorm?
• Medewerking bij migratie: helpt het bureau bij de overstap naar een andere partij, en tegen welk tarief?
• Geen gijzeling: er mogen geen technische of contractuele constructies zijn die je site of data achterhouden tot je betaalt.

Waarom het telt: een nette exit beschermt je tegen een partij die niet meer levert. Een bureau dat zeker is van zijn werk, maakt vertrekken makkelijk.

Veelgestelde vragen

Wat is het verschil tussen een onderhoudscontract en een SLA?

Het onderhoudscontract beschrijft wat er gebeurt: updates, back-ups, security en kleine aanpassingen.

De SLA legt vast hoe snel en hoe goed: reactietijden, oplostijden en uptime. Meestal zit de SLA als bijlage bij het contract.

Welk uptimepercentage is normaal voor een zakelijke site?

Rond de 99,9 procent. Dat is ongeveer 8,8 uur downtime per jaar.

Een hogere garantie kost meer en loont alleen voor een bedrijfskritische site.

Hoe snel moeten kritieke beveiligingsupdates gebeuren?

Zo snel mogelijk. Patchstack zag dat ongeveer de helft van de zware WordPress-kwetsbaarheden binnen 24 uur werd misbruikt, dus wachten tot de maandelijkse update is te traag.

Heb ik een verwerkersovereenkomst nodig met mijn onderhoudspartij?

Ja, als die partij toegang heeft tot persoonsgegevens, zoals formulierinzendingen of klantdata in back-ups. De AVG verplicht dan een contract volgens artikel 28.

De korte samenvatting

Een sterk website-onderhoudscontract dekt scope, een concrete SLA, helder eigenaarschap en een eerlijke exit.

De valkuilen zitten in drie punten:

• vage urenbundels
• onduidelijk eigendom
• een ontbrekende exit-clausule

Stem het support-niveau af op hoe bedrijfskritisch je site is. Laat alles wat mondeling beloofd wordt op papier zetten.

Zo blijft je site draaien, veilig en van jou, en blijft hij leads opleveren in plaats van problemen.

Wil je dat je site na de lancering blijft presteren? Bekijk ons webdesign bureau of ons website-onderhoud, of neem contact op en we bekijken samen wat past bij jouw situatie.