Zenarmor vs Sophos: het alternatief voor Sophos XGS en Sophos UTM na end of life

Kort antwoord: kies Zenarmor als u per gebruiker wilt betalen, thuiswerkers met agents wilt beschermen, geen nieuwe firewallhardware wilt kopen en rapportage lokaal of in een Nederlandse of Duitse cloudregio wilt houden. Blijf bij Sophos als u Sophos Endpoint, MDR en Sophos Central al intensief gebruikt en Synchronized Security voor u zwaar weegt. Draait u nog Sophos UTM 9? Die is sinds 30 juni 2026 end of life. U moet dus hoe dan ook migreren, en dat is het moment om eerlijk te vergelijken.

Secrotec is onafhankelijk ISO 27001 Lead Auditor én officiële Zenarmor-partner in Nederland (vermeld op de partnerlijst van Zenarmor). We leveren Zenarmor-licenties en -projecten in heel Europa en hebben tevreden Zenarmor-klanten in de hele Europese Unie. In dit artikel vergelijken we Zenarmor met Sophos Firewall (XGS) en geven we een concreet migratieplan voor wie nog op Sophos UTM draait. Prijzen zijn indicatief (status oktober 2026, excl. btw, resellerprijzen variëren) en gelinkt aan een bron.

Sophos UTM end of life: wat betekent 30 juni 2026 voor u?

Sophos heeft de levenscyclus van Sophos UTM en de SG-appliances afgesloten met een end-of-life-datum van 30 juni 2026. Dat geldt voor UTM op SG-hardware, als software-installatie op hardware van derden, in virtuele omgevingen en voor de Home Edition. Na die datum komen er geen beveiligingsupdates, patches of nieuwe threat-signatures meer, en is er geen technische support (Avanet).

Sophos bood UTM-klanten die vóór 30 juni 2026 een vervangende Sophos Firewall bestelden maximaal zes maanden extra termijn. Volgens Sophos zelf kan na 31 december 2026 in geen enkel geval nog support worden geleverd, en houden beveiligingsfuncties op te werken zodra de bijbehorende licentie verloopt. Wie vandaag nog een UTM aan de rand van het netwerk heeft, draait dus op een systeem zonder updates, of hooguit tot eind 2026 met een verlengde termijn.

Uw opties op een rij:

• Overstappen naar Sophos Firewall op XGS-hardware. Sophos biedt daarvoor migratiepromoties, meestal gekoppeld aan een abonnement van minimaal drie jaar. Een logische route als u diep in het Sophos-ecosysteem zit.
• Overstappen naar Zenarmor op OPNsense. Draaide uw UTM als software- of virtuele installatie, dan kunt u vaak dezelfde server of hypervisor hergebruiken. U betaalt per gebruiker en beschermt thuiswerkers met agents.
• Niets doen. Geen optie: een firewall zonder updates is een bekende kwetsbaarheid en een directe bevinding bij een ISO 27001-audit of een NIS2/Cbw-toets.

Verderop vindt u een migratieplan in zes stappen. Wilt u eerst weten of u onder de Cyberbeveiligingswet valt? Doe de zelftoets.

Zenarmor vs Sophos in één oogopslag

Zenarmor is een beveiligingsengine (NGFW, secure web gateway, SSE en ZTNA) die als software draait op OPNsense, pfSense CE, Linux of Docker en als agent op Windows, macOS, Linux, Android en iOS, centraal beheerd in Zenconsole. Sophos Firewall draait op XGS-appliances of als software-/virtuele appliance en wordt beheerd via de lokale interface of Sophos Central, met licenties per apparaat.

Criterium	Zenarmor	Sophos Firewall (XGS)
Architectuur	Software op eigen x86-hardware, VM (Proxmox, Hyper-V, VMware), cloud of Deciso-appliance, plus endpoint-agents	XGS-appliances met Xstream-architectuur; ook software-/virtuele appliance, gelicentieerd per cores en RAM
Licentiemodel	Per gebruiker per maand (min. 10); eerste locatie inbegrepen, extra locatie +$50/maand	Per appliance: Standard of Xstream Protection; Sophos ZTNA per gebruiker
Applicatiecontrole	5.000+ applicaties, dynamische app-database	Applicatiefilter (Web Protection-module)
Webfiltering	300+ miljoen websites in 120+ categorieën, Safe Search en YouTube Restricted Mode	Webbeleid (Web Protection-module)
TLS-inspectie	Lichtgewicht en volledig; add-on bij Unified Secure, inbegrepen in Unified Secure Plus	TLS/HTTPS-inspectie op de appliance
Threat protection	IPS, DNS deep inspection, cloud threat intelligence, Essential- en Advanced-securityregels	IPS (Network Protection), machine learning en sandbox (Zero-day Protection), MDR-threatfeeds in Xstream
Thuiswerkers / ZTNA	Endpoint-agents, versleutelde mesh-VPN, ZTNA met device posture checks	Remote-access-VPN met Sophos Connect; Sophos ZTNA per gebruiker via Sophos Central
Integratie met endpoint	Eigen agents; samen te gebruiken met elke endpointbeveiliging	Synchronized Security met Sophos Endpoint (sterk punt)
Centraal beheer	Zenconsole: cloud, multi-tenant, policy-import, audit trail	Sophos Central: één console voor firewall, endpoint, e-mail en meer
Rapportage en data residency	Lokaal (Elasticsearch/SQLite), SIEM/Syslog of cloudrapportage met regio Nederland of Duitsland; 15/30 dagen retentie in de plannen	Rapporten op de appliance; Central Firewall Reporting 7 dagen gratis, tot 1 jaar met CFR Advanced
E-mail en WAF	Niet inbegrepen (apart te regelen)	Email Protection- en Webserver Protection-modules beschikbaar
Licentie verlopen	OPNsense-firewall, routing en VPN blijven werken (open source); betaalde Zenarmor-functies vereisen een geldige licentie	IPS- en applicatiebeleid niet meer toegepast, webbeleid en HTTPS-decryptie (proxymodus) stoppen, zero-day protection uit
Hardware lock-in	Geen: licentie per gebruiker, platform vrij te wisselen	XGS-abonnementen zijn hardwaregebonden
SD-WAN	Grotendeels roadmap	Beschikbaar, met orkestratie via Sophos Central
Prijsontwikkeling 2026	Nieuw, openbaar prijsmodel sinds 30 september 2026	+10% per 1 juli en +10% per 1 november 2026 op XGS-hardware en hardwaregebonden abonnementen
Indicatieve prijs	Vanaf $5,00 per gebruiker/maand (Unified Secure), $9,00 (Unified Secure Plus)	XGS 88 €817, XGS 108 €1.249, XGS 118 €1.811 incl. 1 jaar Xstream; verlenging XGS 108 ≈ €536/jaar

Bronnen: Zenarmor-abonnementen; Sophos-prijzen via Software Express (appliances en verlengingen); licentiegedrag volgens de Sophos-documentatie; virtuele licenties per core en RAM. Status oktober 2026.

Beveiligingsfuncties vergeleken

Applicatiecontrole, webfilter en TLS-inspectie

Beide oplossingen herkennen applicaties, filteren websites op categorie en kunnen TLS-verkeer inspecteren. Zenarmor noemt meer dan 5.000 applicaties en ruim 300 miljoen gecategoriseerde websites, met profielen (Permissive, Moderate, High), afdwinging van Safe Search en een bypasslijst van 80+ uitzonderingen voor gevoelige categorieën. Beleid is te koppelen aan interface, VLAN, apparaatcategorie, gebruiker, groep en tijdschema, met identiteit uit Entra ID, Google Workspace, Okta of SAML 2.0. Sophos biedt vergelijkbare web- en applicatiefilters in de Web Protection-module. Meer lezen: applicatiecontrole, webfilter en TLS-inspectie en de AVG.

Threat protection

Sophos is hier sterk: Xstream Protection combineert IPS, zero-day protection met machine learning en sandboxing, en threatfeeds uit het eigen MDR-team. Zenarmor werkt met cloud threat intelligence, IPS, DNS deep inspection tegen tunneling en securityregels voor onder meer malware, phishing, botnet-C&C, gecompromitteerde sites en nieuw geregistreerde domeinen. Realtime bestandsscanning zit in de SSE-plannen en hoger. Voor de meeste mkb-omgevingen is het beschermingsniveau vergelijkbaar; wie MDR van Sophos afneemt, haalt meer uit de Sophos-integratie.

Thuiswerkers en ZTNA

Bij Sophos regelt u remote access met Sophos Connect (VPN) of met Sophos ZTNA, dat per gebruiker wordt gelicentieerd en via Sophos Central wordt beheerd. Zenarmor zet het beleid op het apparaat zelf: agents voor Windows, macOS, Linux, Android en iOS passen hetzelfde web-, app- en securitybeleid toe op kantoor, thuis en onderweg. Unified Secure bevat 5 endpoint- en 5 mesh-agents; Unified Secure Plus 2 agents per gebruiker en mesh-VPN tot 20 locaties.

Synchronized Security: het eerlijke verhaal

Synchronized Security is een echte troef van Sophos. Sophos Firewall en Sophos Endpoint delen hun gezondheidsstatus, zodat een besmet apparaat automatisch kan worden geïsoleerd. Gebruikt u Sophos Endpoint en eventueel MDR intensief, dan verliest u die integratie als u de firewall vervangt. Zenarmor heeft geen equivalente koppeling met Sophos Endpoint; u kunt uw endpointbeveiliging wel gewoon blijven gebruiken.

Beheer, rapportage en data residency

Sophos Central is een sterke console voor wie meerdere Sophos-producten gebruikt. Voor firewallrapportage geldt: Central Firewall Reporting biedt gratis maximaal 7 dagen retentie; met CFR Advanced koopt u opslag bij tot maximaal één jaar (Sophos CFR FAQ).

Zenarmor beheert u via Zenconsole: één cloudportaal voor gateways en agents, multi-tenant voor MSP's, met policy-import, back-up en audit trail. Retentie is 15 dagen (Unified Secure) of 30 dagen (Unified Secure Plus). Rapportage kan volledig lokaal blijven (Elasticsearch of SQLite), naar uw SIEM worden gestreamd of in de Zenarmor-cloud worden opgeslagen met een regio naar keuze, waaronder Nederland en Duitsland (release notes 2.7). Zie ook Zenconsole centraal beheer.

Licenties, prijsstijgingen 2026 en kosten over drie jaar

Sophos verhoogt in 2026 twee keer de prijzen: +10% per 1 juli 2026 en nogmaals +10% per 1 november 2026 voor XGS-hardware en hardwaregebonden XGS-abonnementen; voor MSP-aanbod geldt de tweede verhoging vanaf 1 januari 2027. Samen is dat circa 21% (Avanet). Controleer dus of uw verlengingsofferte al op de nieuwe prijslijst is gebaseerd.

Zenarmor rekent per gebruiker per maand; één gebruikerslicentie dekt twee actief gebruikte apparaten, en printers, camera's en IoT tellen niet mee. Daarbij komt het platform: OPNsense Community Edition is gratis, de Business Edition kost €149 per jaar, en Deciso-appliances beginnen bij €978 (DEC740), of u hergebruikt bestaande hardware of een VM (OPNsense-shop).

Zenarmor-plan	10–49 gebr.	50–99 gebr.	100–150 gebr.	Belangrijkste inhoud
Unified Secure	$5,00	$4,50	$4,00	NGFW, IPS, app- en webfilter, DNS deep inspection, 5 endpoint- + 5 mesh-agents, gateway-HA, 15 dagen retentie; TLS-add-on $3 per gebruiker/maand
Unified Secure Plus	$9,00	$8,50	$8,00	Alles van Unified Secure + volledige TLS-inspectie, 2 agents per gebruiker, mesh-VPN tot 20 locaties, 30 dagen retentie
SSE / ZTNA / SASE	Op aanvraag			CASB, posture checks, 90 dagen retentie, data residency op maat

Zenarmor-lijstprijzen in USD per gebruiker per maand, excl. btw, status oktober 2026, onder voorbehoud. Vooruitbetalingskorting van Zenarmor: −15% (1 jaar), −25% (3 jaar), −35% (5 jaar). Extra locatie: $50 per maand (tot 20 locaties).

Voorbeeld 1: circa 25 gebruikers, één locatie

Kostenpost (3 jaar)	Zenarmor Unified Secure	Sophos XGS 108 + Xstream
Licenties / abonnement	25 × $5,00 × 36 = $4.500; met 3-jaars vooruitbetaling $3.375	Jaar 1 incl. hardware €1.249 + 2 × verlenging ≈ €536 = ca. €2.321
Hardware	€0 (bestaande hardware of VM) of DEC740 €978	Inbegrepen in jaar 1
Platform	OPNsense CE €0 of Business Edition 3 × €149 = €447	—
Thuiswerkers	5 endpoint- + 5 mesh-agents inbegrepen	Sophos Connect-VPN; Sophos ZTNA per gebruiker (prijs op aanvraag)
Rapportageretentie	15 dagen inbegrepen	7 dagen gratis; langer via CFR Advanced

Eerlijk is eerlijk: voor één kleine locatie zonder thuiswerkers is de Sophos-bundel op lijstprijs goedkoper, en verlengingen na 1 november 2026 kunnen circa 10% hoger uitvallen dan oudere offertes. Zenarmor wordt aantrekkelijker zodra u bestaande hardware hergebruikt, thuiswerkers met agents wilt beschermen (Unified Secure Plus: 25 × $9,00 × 36 = $8.100, met vooruitbetaling $6.075, inclusief volledige TLS-inspectie en 30 dagen retentie) of de partnerkorting via Secrotec meeneemt.

Voorbeeld 2: circa 100 gebruikers, drie locaties, hybride werken

Kostenpost (3 jaar)	Zenarmor	Sophos
Abonnement en hardware	Unified Secure: (100 × $4,00 + 2 × $50) × 36 = $18.000, met vooruitbetaling ca. $13.500. Unified Secure Plus: $32.400, met vooruitbetaling ca. $24.300. Hardware €0 (hergebruik/VM) of DEC850 + 2 × DEC740 = €3.604	Hoofdkantoor XGS 118: €1.811 + 2 × €901 = €3.613; twee filialen XGS 108: 2 × €2.321 = €4.642; samen ca. €8.255. Bij meer doorvoer een XGS 128/138 (€2.532/€3.552 in jaar 1)
HA hoofdkantoor	Tweede gateway (hardware of VM); HA zit in de licentie	Tweede appliance; HA-licentievoorwaarden via uw reseller
Thuiswerkers / ZTNA	Plus: 2 agents per gebruiker en mesh-VPN inbegrepen	Sophos ZTNA voor ca. 100 gebruikers (prijs op aanvraag)
Rapportageretentie	15 of 30 dagen inbegrepen; lokaal of SIEM mogelijk	7 dagen gratis; CFR Advanced voor langere retentie

Op puur hardware- en bundelprijs is de Sophos-opstelling in dit voorbeeld goedkoper dan Zenarmor Unified Secure Plus op lijstprijs. Het verschil krimpt als u ZTNA voor 100 gebruikers, langere rapportageretentie en een groter model op het hoofdkantoor meerekent, en als de prijsverhogingen van 2026 in uw verlengingen doorwerken. Laat u thuiswerkers via een VPN naar kantoor werken (OPNsense ondersteunt WireGuard, IPsec en OpenVPN zonder meerprijs), dan volstaat vaak Unified Secure. Een offerte via Secrotec bevat daarnaast partnerkorting. De vooruitbetalingsbedragen gaan ervan uit dat de Zenarmor-korting op het hele abonnement geldt.

Wat gebeurt er als de licentie verloopt?

Volgens de Sophos-documentatie worden bij een verlopen Network Protection-licentie geen IPS-signatures meer geladen en geen IPS-beleid meer toegepast. Bij Web Protection worden applicatiesignatures en applicatiefilterbeleid niet meer toegepast, en in proxymodus stoppen webbeleid en HTTPS-decryptie. Zero-day protection gaat uit en Central Firewall Reporting valt terug naar 7 dagen. Bij Zenarmor blijven de open-source OPNsense-firewall, routing en VPN draaien; de betaalde Zenarmor-functies vereisen een actieve licentie.

Compliance: bewijs voor ISO 27001, NIS2/Cbw en TISAX

Een firewall maakt u niet compliant; hij levert bewijs. Sophos en Zenarmor kunnen allebei maatregelen uit ISO 27001:2022 Annex A ondersteunen, zoals A.8.20 (netwerkbeveiliging), A.8.22 (scheiding van netwerken), A.8.23 (webfiltering), A.8.15 (logging) en A.8.16 (monitoring), en de zorgplicht uit NIS2 artikel 21 en de Cyberbeveiligingswet (van kracht sinds 15 augustus 2026). Een end-of-life UTM levert bij een audit daarentegen vrijwel zeker een bevinding op onder A.8.8 (beheer van technische kwetsbaarheden).

Secrotec is auditor én implementeerder: we richten Zenarmor zo in dat beleid, segmentatie, logging en rapporten aansluiten op uw Statement of Applicability. Voor automotive-toeleveranciers ondersteunen we de voorbereiding op TISAX® (gap-review tegen VDA ISA, self-assessment, implementatie); het assessment zelf doet een door ENX erkende auditprovider. Lees meer over rapportage als bewijs, TISAX en netwerkbeveiliging of een ISO 27001-gap-analyse.

Wanneer is Sophos de betere keuze?

• U gebruikt Sophos Endpoint en eventueel Sophos MDR, en Synchronized Security is voor u een belangrijke beheersmaatregel.
• U wilt firewall, endpoint en e-mail in één leveranciersconsole (Sophos Central).
• U hebt de e-mailbescherming of Webserver Protection (WAF) van de firewall echt nodig.
• SD-WAN met centrale orkestratie over veel locaties is kernfunctionaliteit.
• U kunt gebruikmaken van een Sophos-migratiepromotie met een scherpe driejaarsprijs, of hebt al een meerjarig Xstream-abonnement.

Wanneer is Zenarmor de betere keuze?

• Uw UTM is end of life en u wilt niet opnieuw investeren in hardwaregebonden abonnementen; u hergebruikt liever uw server of hypervisor.
• U wilt voorspelbare kosten per gebruiker, los van hardwarecycli en de prijsverhogingen van 2026.
• Medewerkers werken hybride en u wilt hetzelfde beleid op kantoor, thuis en onderweg via agents.
• U wilt rapportage lokaal of in een Nederlandse of Duitse cloudregio houden.
• U beheert meerdere locaties of klanten (MSP) vanuit één multi-tenant console.
• U wilt cloudacties beheersen, zoals uploads naar WeTransfer blokkeren; zie SSE, CASB en DLP.

Meer over het product: Zenarmor als next-generation firewall en verder dan NGFW met SSE, ZTNA en CASB.

Partnerkorting via Secrotec: stuur uw Sophos-verlengingsofferte

Als officiële Zenarmor-partner in Nederland leveren wij licenties op basis van de lijstprijzen hierboven, mét partnerkorting. In Zenarmor-projecten is de prijs altijd bespreekbaar. Hebt u een Sophos-verlengingsofferte of een XGS-migratieofferte voor uw UTM ontvangen? Stuur hem ons. We maken een eerlijke vergelijking naast elkaar: dezelfde gebruikers, locaties, thuiswerkers en retentie, met een heldere 3-jaars TCO. Is Sophos voor uw situatie de betere keuze, dan zeggen we dat ook.

Vraag een offerte met partnerkorting aan, bekijk de volledige Zenarmor-prijsvergelijking of lees Zenarmor vs Fortinet FortiGate. Liever volledig uit handen? Onze managed firewall-dienst combineert Zenarmor met beheer en monitoring.

Sophos, Sophos Firewall, Sophos UTM, Sophos Central, Xstream en Synchronized Security zijn handelsmerken van Sophos Ltd. Zenarmor is een handelsmerk van Sunny Valley Cyber Security Inc. OPNsense is een handelsmerk van Deciso B.V. Alle prijzen zijn indicatief, status oktober 2026, excl. btw; resellerprijzen en wisselkoersen variëren. Deze vergelijking is gebaseerd op openbare bronnen die in de tekst zijn gelinkt en is geen verklaring van Sophos of Zenarmor.