IaaS, PaaS en SaaS zijn drie manieren om iets uit de cloud af te nemen, en het verschil zit in wie wat beheert. Bij IaaS huur je een virtuele server en beheer je het besturingssysteem en de programma's zelf. Bij PaaS zet je alleen je eigen toepassing neer en regelt de aanbieder de server eronder. Bij SaaS gebruik je een kant-en-klaar programma in je browser of app, zoals Microsoft 365. Voor een klein bedrijf is het meeste wat je afneemt SaaS.
Waar de termen vandaan komen
De indeling staat in de definitie van cloud computing die het Amerikaanse NIST in september 2011 publiceerde (NIST SP 800-145). Die noemt vijf kenmerken, drie servicemodellen en vier deploymentmodellen. De drie servicemodellen zijn SaaS, PaaS en IaaS. Aanbieders gebruiken ze nog steeds, ook al staan veel diensten op de grens van twee modellen.
Wanneer iets echt cloud is
NIST noemt vijf kenmerken: je regelt zelf en zonder tussenkomst van een medewerker van de aanbieder wat je afneemt (on-demand self-service), je bereikt de dienst via het netwerk met gewone apparaten (broad network access), de aanbieder deelt zijn capaciteit over meerdere klanten (resource pooling), je kunt snel opschalen en afschalen (rapid elasticity) en het gebruik wordt gemeten en in rekening gebracht (measured service). Een pakket dat je jaren vooraf afneemt en alleen na een telefoontje kunt wijzigen, voldoet daar maar half aan, ook als de verkoper het cloud noemt.
De drie modellen naast elkaar
| Model | Je krijgt | Voorbeeld volgens Microsoft | Jij beheert |
|---|---|---|---|
| IaaS | Virtuele machines, opslag, netwerk | Azure Virtual Machines | Besturingssysteem, programma's, beveiliging |
| PaaS | Een omgeving waarin je een toepassing draait | Azure App Service, Azure SQL Database | De toepassing en de instellingen |
| SaaS | Een kant-en-klaar programma | Microsoft 365 | Gebruikers, rechten, gegevens |
De voorbeelden komen van de pagina over gedeelde verantwoordelijkheid in de cloud van Microsoft Learn, bijgewerkt op 24 augustus 2026. Andere aanbieders bieden vergelijkbare diensten onder andere namen aan.
Wie is waarvoor verantwoordelijk
Dat is het deel dat voor je bedrijf telt. Microsoft zet het in een tabel, en die geldt in grote lijnen voor elke aanbieder:
| Onderdeel | Eigen server | IaaS | PaaS | SaaS |
|---|---|---|---|---|
| Je gegevens | Jij | Jij | Jij | Jij |
| Gebruikers en toegang | Jij | Jij | Jij | Jij |
| Apparaten van je personeel | Jij | Jij | Jij | Gedeeld |
| Programma's | Jij | Jij | Gedeeld | Gedeeld |
| Netwerkbeveiliging | Jij | Jij | Gedeeld | De aanbieder |
| Besturingssysteem | Jij | Jij | De aanbieder | De aanbieder |
| Servers, netwerk en datacenter | Jij | De aanbieder | De aanbieder | De aanbieder |
Eén regel in die tabel verandert nooit. Bij elk model blijf je zelf verantwoordelijk voor je gegevens, voor je accounts en voor de apparaten waarmee je erbij komt. Microsoft schrijft dat je altijd je data, endpoints, accounts en toegangsbeheer behoudt, inclusief meerfactorauthenticatie. Een aanbieder die je mail host, repareert dus geen lek dat ontstaat doordat een medewerker zijn wachtwoord op een phishingpagina invult.
Wat dit betekent voor een klein bedrijf
De meeste diensten die je zelf afneemt, zijn SaaS: je mail, je boekhoudpakket, je bestanden in de cloud, je videobellen. Daar hoef je niets te patchen, maar je moet wel de rechten, de twee-factor-inlog en het afsluiten van oude accounts regelen. Wie een webshop of bedrijfsapplicatie laat bouwen, krijgt vaak PaaS of IaaS onder de motorkap, ook als de bouwer het niet zo noemt. Dan is de vraag wie de updates doet.
Een voorbeeld. Je huurt een virtuele server voor een klein programma van je boekhouder. Bij IaaS is het besturingssysteem van jou, en dat betekent dat jij of je IT-partner beveiligingsupdates installeert. Zet je hetzelfde programma bij een PaaS-aanbieder, dan doet die aanbieder de updates van de server en van het platform, en houd jij de eigen code, de instellingen en de rechten. Werkt er een IT-partner voor je, dan hoort in de afspraken te staan wie de updates doet en wie gebruikersaccounts aanmaakt en verwijdert. Kies SaaS als het kan, PaaS als je zelf iets laat bouwen en IaaS als je een reden hebt om controle over de server te willen.
Vragen om te stellen voordat je tekent
- Welk model is het, en welke taken liggen dan bij jou? Laat de aanbieder dit schriftelijk benoemen.
- Wie maakt de back-up van jouw gegevens, en hoe lang blijven die bewaard? Hoe lang je een verwijderd bestand kunt terughalen, verschilt per dienst. Dropbox noemt bij zijn Plus-abonnement 30 dagen (Dropbox).
- Wie krijgt toegang, en is meerfactorauthenticatie voor alle accounts aan? Microsoft rekent dat tot jouw taken, bij elk model.
- Wat belooft het contract bij een storing, en hoe snel moet de aanbieder herstellen?
- Waar staan je gegevens, en welk recht is van toepassing? Een Amerikaanse aanbieder met een datacenter in Europa blijft een Amerikaans bedrijf.
- Hoe stap je weer over? Vraag of je alles in een standaardformaat kunt exporteren.
De vier deploymentmodellen
NIST onderscheidt naast de service ook vier manieren waarop een cloud is ingericht. Een publieke cloud staat open voor iedereen die betaalt, zoals Microsoft Azure, een private cloud draait voor één organisatie, een community cloud voor een groep organisaties met dezelfde eisen, en een hybride cloud combineert er twee. Een klein bedrijf komt vrijwel alleen de publieke tegen.
Waar je het in de praktijk tegenkomt
Je bestanden delen in de cloud is SaaS. Hoeveel dat kost en welke aanbieder past, lees je in de vergelijking van cloudopslag.
Maak als eerste stap een lijst van alle diensten die je afneemt, zet erbij of het SaaS, PaaS of IaaS is, en noteer bij elke dienst wie de back-up maakt en wie de gebruikersaccounts beheert.