Beste Europese SIEM & securitymonitoring

#1 Logpoint

Kopenhagen, Denemarken Licentie per node of per apparaat Demo op aanvraag

Het meest geschikt voor: Europese bedrijven en overheidsinstellingen die Splunk of QRadar vervangen

• Achterliggend bedrijf. Logpoint
• Jurisdictie. EU (Denemarken)
• Broncode. Closed source
• Vervangt. Splunk, Microsoft Sentinel, IBM QRadar

Logpoint is een Deense SIEM-leverancier, gebouwd voor Europese organisaties die securitymonitoring willen zonder een Amerikaans platform eronder. De suite dekt logverzameling en correlatie, gedrags- en entiteitsanalyse van gebruikers en automatische respons in één product.

Het meest genoemde voordeel is commercieel: licentiëring per node in plaats van per datavolume. SIEM-projecten mislukken op kosten wanneer de vraag of je een logbron opneemt een budgetkwestie wordt, en volumeprijzen maken dat elke keer zo. Licentiëring per node haalt die beslissing weg.

Logpoint heeft zijn hoofdkantoor in Kopenhagen, met Europese implementatieopties en EU-beveiligingscertificeringen. Het is beschikbaar als software, appliance of SaaS, met compliance-rapportage voor NIS2, de AVG en ISO 27001. Beveiligingslogs zijn de gevoeligste telemetrie die een organisatie produceert, wat voor overheidsinstellingen de jurisdictie van de leverancier tot een nationale veiligheidskwestie maakt.

Opvallende functie. Licentiëring per node, zodat het toevoegen van nog één logbron nooit een budgetbeslissing is.

#2 SEKOIA.IO

Parijs, Frankrijk SaaS-abonnement Demo op aanvraag

Het meest geschikt voor: SOC-teams en MSSP's die detectie-inhoud willen die voor hen wordt onderhouden

• Achterliggend bedrijf. SEKOIA.IO
• Jurisdictie. EU (Frankrijk)
• Broncode. Closed source
• Vervangt. Microsoft Sentinel, Splunk, CrowdStrike Falcon LogScale

SEKOIA.IO is een SOC-platform uit Parijs dat SIEM-achtige detectie combineert met eigen cyberdreigingsinformatie. De detectieregels zijn gebaseerd op het volgen van actieve dreigingsactoren door het inlichtingenteam, in plaats van dat elke klant ze zelf vanaf nul schrijft.

Dat richt zich op de plek waar SIEM-implementaties in de praktijk mislukken. Verzamelen is opgelost, inhoud niet, en niemand heeft de tijd om detectieregels te schrijven en te onderhouden tegen het zich ontwikkelende gedrag van aanvallers. SEKOIA levert continu bijgewerkte detectie die is gekoppeld aan MITRE ATT&CK, en publiceert een groot deel daarvan openlijk.

SEKOIA.IO heeft zijn hoofdkantoor in Parijs en biedt hosting in Frankrijk. Het positioneert zichzelf nadrukkelijk als een soeverein alternatief voor Europese SOC's. Voor organisaties die onder NIS2 vallen, maakt de herkomst van zowel het platform als de informatie steeds vaker deel uit van de beoordeling.

Opvallende functie. Detectieregels die worden onderhouden op basis van bijgehouden aanvallers, in plaats van een lege correlatiemotor.

#3 Graylog

Hamburg, Duitsland (met Amerikaanse activiteiten in Houston) Open source + zakelijke licentie Demo op aanvraag

Het meest geschikt voor: Teams die logbeheer zelf willen hosten en er beveiliging bovenop willen toevoegen

• Achterliggend bedrijf. Graylog
• Jurisdictie. EU (Duitsland)
• Broncode. Closed source
• Vervangt. Splunk, Elastic Security, Sumo Logic

Graylog begon in Hamburg als open-source project voor logbeheer en is uitgegroeid tot een beveiligingsplatform: gecentraliseerde logverzameling en zoeken, met SIEM-detectie en anomalieanalyse op dezelfde data.

De open-source-kern regelt logcentralisatie op je eigen hardware zonder kosten, en beveiligingsdetectie kun je later toevoegen op data die je al verzamelt. Je hoeft dus niet eerst een platformkeuze en een budgetronde te regelen voordat de eerste log binnenkomt.

Wees precies op één punt: de engineeringwortels van Graylog en een substantieel deel van het bedrijf liggen in Hamburg, maar het heeft substantiële Amerikaanse activiteiten in Houston. Daardoor is het niet puur Europees, anders dan de rest van deze lijst, en is het de moeite waard om na te gaan welke entiteit het contract aangaat. Zelf de open-source-kern hosten maakt die vraag overbodig, omdat de data je infrastructuur nooit verlaat.

Opvallende functie. Begin met gratis zelf gehoste logcentralisatie en voeg later beveiligingsdetectie toe aan dezelfde data.

#4 TEHTRIS

Parijs, Frankrijk Opgericht in 2010 Enterprise-prijzen op aanvraag Demo op aanvraag

Het meest geschikt voor: Organisaties die XDR en soevereine hosting willen van één Franse leverancier

• Achterliggend bedrijf. TEHTRI-Security SAS (RCS Paris 521 474 445)
• Jurisdictie. EU (Frankrijk)
• Waar de data staat. Frankrijk
• Broncode. Closed source
• Vervangt. CrowdStrike, SentinelOne, Palo Alto Cortex

TEHTRIS is een Frans XDR-platform dat endpointdetectie en -respons, mobiele dreigingsverdediging, deception en geautomatiseerde respons combineert. Het wordt verkocht met soevereine Franse hosting.

Het benadert hetzelfde probleem vanuit het tegenovergestelde uiteinde van een SIEM. In plaats van logs van alles te verzamelen en te correleren, begint het bij de telemetrie die de eigen agents op endpoints en mobiele apparaten produceren, en detecteert het daar, met ingebouwde geautomatiseerde neutralisatie.

TEHTRIS heeft zijn hoofdkantoor in Bordeaux en wordt hier ook getoond, maar de eigen pagina staat bij Endpoint Protection. De categorieën naderen elkaar. Voor veel Europese organisaties is de praktische vraag welke combinatie van XDR en SIEM hun omgeving dekt, en niet welke afkorting je moet kopen.

Opvallende functie. XDR met geautomatiseerde neutralisatie, soeverein gehost in Frankrijk.

#5 HarfangLab

Parijs, Frankrijk Per endpoint, per jaar Demo op aanvraag

Het meest geschikt voor: Organisaties die endpointtelemetrie onder Franse of EU-controle willen houden

• Achterliggend bedrijf. HarfangLab
• Jurisdictie. EU (Frankrijk)
• Broncode. Closed source
• Vervangt. CrowdStrike, SentinelOne, Microsoft Defender for Endpoint

HarfangLab is een Parijse leverancier van endpointdetectie en -respons, en een van de weinige EDR-producten die zijn gecertificeerd door ANSSI, het Franse nationale cyberbeveiligingsagentschap. Die kwalificatie hebben de Amerikaanse gevestigde spelers niet.

EDR is de meest ingrijpende software die een organisatie installeert: een agent met kerneltoegang op elke machine die procestelemetrie naar de leverancier streamt. HarfangLab kan volledig on-premises worden uitgerold, met detectieregels die je kunt lezen en aanpassen, in YARA en Sigma in plaats van in een gesloten engine. Daarmee verschuift de relatie van vertrouwen naar controleerbaarheid.

Het product draait on-premises of op SecNumCloud-gekwalificeerde infrastructuur, en integreert in SIEM- en SOC-tooling in plaats van die te willen vervangen. Voor een aanbieder van essentiële diensten onder NIS2 is die combinatie vaak de eis en niet de voorkeur.

Opvallende functie. Endpointtelemetrie die je infrastructuur nooit hoeft te verlaten, met regels die je kunt controleren.

#6 CrowdSec

Montrouge, Frankrijk Opgericht in 2020 Gratis en open source / betaalde abonnementen voor de dreigingsfeed Demo op aanvraag

Het meest geschikt voor: Teams die gedragsgebaseerd blokkeren met crowdsourcing willen, gratis en open source

• Achterliggend bedrijf. CrowdSec SAS (RCS 880 140 496)
• Jurisdictie. EU (Frankrijk)
• Waar de data staan. Europese Unie
• Broncode. Open source
• Vervangt. Cloudflare-botmanagement, Fail2ban op schaal

CrowdSec is een Franse open-source beveiligingsengine die vijandig gedrag in logs detecteert en de resulterende signalen deelt met zijn gebruikersgemeenschap. Een IP-adres dat één deelnemer aanvalt, kan daardoor door alle deelnemers worden geblokkeerd.

Het is smaller dan een SIEM en moet ook zo worden gezien: gedragsgebaseerde detectie en blokkering aan de rand, niet correlatie over een hele onderneming. Wat het wel biedt, is een dreigingssignaal dat uit een grote gemeenschap komt, in plaats van een reputatiefeed die je koopt.

CrowdSec is gevestigd in Parijs. De agent is open source en gratis, met betaalde varianten erboven. Het staat hier ook vermeld, maar de eigen pagina staat bij Endpoint Protection. Voor een team dat nu fail2ban draait, is het een flinke stap vooruit zonder licentiekosten.

Opvallende functie. Een dreigingsfeed die door de eigen gebruikers wordt gegenereerd, en niet bij een leverancier wordt gekocht.

#7 LogSentinel

Sofia, Bulgarije Per datavolume of per asset Demo op aanvraag

Het meest geschikt voor: Gereguleerde middelgrote organisaties die logintegriteit moeten aantonen

• Achterliggend bedrijf. LogSentinel
• Jurisdictie. EU (Bulgarije)
• Broncode. Closed source
• Vervangt. Splunk, IBM QRadar, LogRhythm

LogSentinel is een SIEM uit Sofia met een onderscheidend kenmerk: integriteit. Logitems worden gehasht in een manipulatiebestendige keten, zodat een organisatie kan aantonen dat haar auditspoor achteraf niet is bewerkt.

Detectie is wat een SIEM verkoopt. Aantoonbare integriteit is wat een auditor vraagt. Zodra logs cryptografisch zijn verzegeld, kan een insider met databasetoegang zijn eigen spoor niet stilletjes verwijderen. Dat is het scenario waartegen een compliancekader is geschreven, en het is precies het soort probleem waarop de meeste SIEM's met een beleid reageren in plaats van met wiskunde. Verzamelen, correlatie, gedragsdetectie en incidentworkflow liggen eromheen.

LogSentinel is gevestigd in Sofia met EU-hosting, en de rapportage is gekoppeld aan AVG, ISO 27001, PCI DSS en NIS2. Een SIEM ontvangt het volledige dossier van wat er binnen een organisatie gebeurt. Daardoor is het een van de systemen waarbij de jurisdictie van de leverancier het minst onderhandelbaar is.

Opvallende functie. Een auditspoor waarvan de integriteit wordt aangetoond, niet beloofd.

#8 Logmanager

Praag, Tsjechië Licentie per appliance op basis van volume Demo op aanvraag

Het meest geschikt voor: IT-teams die een SIEM draaien zonder eigen SOC

• Achterliggend bedrijf. Logmanager
• Jurisdictie. EU (Tsjechië)
• Broncode. Closed source
• Vervangt. Splunk, IBM QRadar, Microsoft Sentinel

Logmanager is een Tsjechische appliance voor logbeheer en SIEM, gebouwd op een uitgangspunt dat de meeste leveranciers in deze categorie negeren: de organisatie die het uitrolt heeft geen SOC om het te draaien.

Eenvoud is de productkeuze. Parsing, dashboards en detectie komen kant-en-klaar geconfigureerd voor de systemen die de meeste organisaties daadwerkelijk draaien. Een IT-team van twee personen krijgt daardoor binnen enkele dagen bruikbare alerts, in plaats van eerst een eigen querypraktijk op te bouwen. Dat is ook de reden waarom een SIEM zonder personeel zo vaak verwordt tot een dure logarchief. Verzamelen, zoeken, correlatie en compliance-rapportage zitten allemaal in de appliance.

Logmanager is gevestigd in Praag met een team in Brno, en bedient vooral klanten in Centraal-Europa. Het werd in 2026 onderdeel van de Europese Guardsix-groep. De appliance draait op je eigen infrastructuur, virtueel of fysiek, dus de logs verlaten de appliance nooit.

Opvallende functie. Een SIEM dat bruikbare alerts levert zonder dat er een team is aangenomen om het te beheren.

#9 Exeon Analytics

Zürich, Zwitserland Maatwerkofferte op basis van netwerkomvang; geen gepubliceerde prijslijst, demo op aanvraag Demo op aanvraag

Het meest geschikt voor: Netwerkdetectie waar agents niet kunnen draaien

• Achterliggend bedrijf. Exeon Analytics AG
• Jurisdictie. Zwitserland (adequaatheidsbesluit, buiten de EER)
• Broncode. Closed source
• Vervangt. Darktrace, Vectra AI, ExtraHop

Exeon Analytics is een platform voor netwerkdetectie en -respons uit Zürich. Het bouwt gedragsbaselines op uit netwerkmetadata in plaats van volledige packet capture. Daardoor blijft gevoelige payload-inhoud buiten de analysepijplijn, terwijl lateral movement, command-and-controlverkeer en ransomwaregedrag worden gesignaleerd in on-premises, private-cloud- en publieke-cloudomgevingen.

Het bedrijf begon als spin-off van ETH Zürich. Het platform legt gebruikers- en entiteitsgedragsanalyse bovenop dezelfde metadatastroom, in plaats van een tweede, aparte gegevensverzameling te vereisen om ernaast te draaien.

Waar de SIEM- en EDR-producten in deze categorie detecteren op basis van logs en endpointagents, detecteert Exeon vanuit het netwerk zelf. Dat is van belang wanneer een gecompromitteerd systeem niet betrouwbaar over zichzelf kan rapporteren, of helemaal geen agent kan draaien. OT-apparatuur en niet-beheerde apparaten zijn de voor de hand liggende gevallen.

Het is daarmee een aanvulling op een SIEM en geen vervanging ervan. Het wordt ook zo geprijsd en verkocht: op basis van een offerte per implementatie in plaats van een gepubliceerde variant.

Exeon publiceert geen prijzen. Elke samenwerking begint met een demo en een offerte op maat voor de netwerkomvang, in plaats van een abonnementsvergelijking. Dat past beter bij een enterprise-verkoopproces dan bij zelfbediening. Hosting en verwerking blijven in Zwitserland, dat buiten de EU ligt maar wordt beschouwd als land met een adequaat beschermingsniveau. Dat is de moeite waard om te noteren voor organisaties voor wie het lidmaatschap van de EU zelf, en niet alleen adequaatheid, de echte eis is.

Opvallende functie. Detecteert op basis van alleen netwerkmetadata, zodat apparaten die te oud of te afgeschermd zijn om een agent te draaien, toch gedekt zijn.

#10 Gatewatcher

Parijs, Frankrijk Maatwerkofferte op basis van sensoren en omvang van de implementatie; geen gepubliceerde prijslijst Demo op aanvraag

Het meest geschikt voor: Enterprise-NDR die door Gartner als Visionary is erkend

• Achterliggend bedrijf. Gatewatcher
• Jurisdictie. EU (Frankrijk)
• Broncode. Closed source
• Vervangt. Darktrace, Corelight, Vectra AI

Gatewatcher is een NDR-leverancier uit Parijs, gebouwd rond drie componenten: een Sensor die netwerkverkeer vastlegt, een Detection Center dat bedreigingen over protocollen en bestanden identificeert, en een Decision Center dat de daaruit voortvloeiende alerts terugbrengt tot wat een SOC daadwerkelijk kan oppakken.

Gartner noemde het bedrijf een Visionary in zijn Magic Quadrant voor Network Detection and Response van 2025 en 2026. Dat is een zeldzame onafhankelijke erkenning voor een Europese leverancier in een categorie die de grote Amerikaanse platforms anders bijna volledig domineren.

Het voordeel dat het product zelf noemt, is triage in plaats van ruwe detectievolumes. Gatewatcher claimt ongeveer 95% minder alertruis en een tien keer snellere triage. Het pakt daarmee hetzelfde probleem aan als CrowdSec en Logpoint, vanuit andere hoeken: een analyseteam dat niet alles kan nakijken wat een sensor signaleert. Deep packet inspection staat naast AI-gebaseerde anomaliedetectie, en dekt zowel bekende handtekeningen als gedrag dat nog nooit is gezien.

Gatewatcher is geregistreerd in Parijs. Net als TEHTRIS en HarfangLab elders in deze lijst presenteert het zich nadrukkelijk als in Frankrijk gebouwde beveiligingsinfrastructuur, en niet als een Amerikaans platform met een Europees verkoopkantoor. Er worden geen prijzen gepubliceerd. Implementaties worden afgestemd op het aantal sensoren en de netwerkomvang en per geval in een offerte uitgewerkt. Dat is gebruikelijk voor enterprise-NDR, maar je hebt dus een verkoopgesprek nodig om je budget te bepalen voordat een shortlist kan worden ingekort.

Opvallende functie. Door Gartner gepositioneerd als Visionary in NDR, een erkenning die weinig Europese beveiligingsleveranciers zelfstandig hebben verdiend.

#11 ITrust

Toulouse, Frankrijk Maatwerkofferte (devis); licentie on-premises of als SaaS, geen gepubliceerde prijslijst Demo op aanvraag

Het meest geschikt voor: SIEM en een beheerde SOC van één leverancier

• Achterliggend bedrijf. ITRUST SA
• Jurisdictie. EU (Frankrijk)
• Broncode. Closed source
• Vervangt. Splunk, IBM QRadar, LogRhythm

ITrust is een cybersecuritybedrijf uit Toulouse. Het vlaggenschipproduct, Reveelium, combineert SIEM, XDR, gebruikersgedragsanalyse en SOAR-gestuurde herstelacties in één platform. Het wordt verkocht naast een apart kwetsbaarheidsbeheerproduct, IKare, en een beheerde SOC-dienst die 24/7 of tijdens werkuren draait, afhankelijk van het contract.

Het bedrijf werkt volgens eigen zeggen al bijna twintig jaar aan cybersecurity. Dat is langer dan de meeste nieuwere, door durfkapitaal gefinancierde toetreders in deze categorie.

De positionering van Reveelium ligt dicht bij die van Logpoint: SIEM, gedragsanalyse en orkestratie samen. ITrust zet echter sterker in op de beheerde dienst. De SOC samen met het platform kopen is hier een gewoon pad en geen bijzaak. Dat past bij organisaties die detectie willen laten onderhouden, zoals de klanten van SEKOIA.IO, maar dan geleverd als een bemande dienst in plaats van een inhoudsfeed.

ITrust positioneert de hosting, on-premises of als SaaS, dedicated of gedeeld, nadrukkelijk als buiten het bereik van de Amerikaanse CLOUD Act en Patriot Act. Die claim berust op het feit dat ITRUST SA een Franse onderneming is die in Toulouse is ingeschreven, niet op een onafhankelijke audit die deze review heeft gezien. Er worden geen prijzen gepubliceerd. Elke samenwerking begint met een offerteaanvraag, 'je demande un devis', in plaats van een abonnementspagina.

Opvallende functie. Verkoopt de SIEM en de SOC die hem draait als één relatie, en niet als een platform dat je zelf bemant.

#12 EclecticIQ

Amsterdam, Nederland Maatwerkofferte; geen gepubliceerde prijslijst, neem contact op met de verkoop Demo op aanvraag

Het meest geschikt voor: Gestructureerde dreigingsinformatie in plaats van logcorrelatie

• Achterliggend bedrijf. EclecticIQ B.V.
• Jurisdictie. EU (Nederland)
• Broncode. Closed source
• Vervangt. Recorded Future, Anomali, ThreatQuotient

EclecticIQ is een platform voor dreigingsinformatie uit Amsterdam. Het is een TIP en geen SIEM: het beheert de volledige levenscyclus van dreigingsinformatie (verzamelen, verwerken, analyseren en verspreiden) op basis van de STIX 2.1-standaard en de eigen formaten. Met AI-ondersteunde extractie van entiteiten en een integratie met een malwaresandbox worden ruwe feeds omgezet in iets waar een analist mee kan werken.

Het staat hier als beveiligingsplatform naast de XDR- en EDR-tools die al in deze categorie vermeld staan, en niet als directe SIEM-concurrent van Logpoint of Graylog.

Waar SEKOIA.IO zijn eigen dreigingsinformatie in een detectieplatform bundelt, doet EclecticIQ juist het omgekeerde: het draait om informatie en is gebouwd om naast elke SIEM- of SOC-tooling te werken die een organisatie al heeft. Het heeft mapping naar de frameworks MITRE ATT&CK en DISARM en een browserextensie, Threat Scout, voor analisten die indicatoren buiten het platform zelf onderzoeken. Dat maakt het geschikt voor teams die al detectie hebben, maar gestructureerde, bruikbare informatie missen om die te prioriteren.

EclecticIQ heeft zijn hoofdkantoor in Amsterdam onder EclecticIQ B.V., met extra kantoren in de VS, het VK en Singapore. Het is de moeite waard om de contracterende entiteit voor een Europese klant te bevestigen. De Nederlandse moedermaatschappij geeft het wel een duidelijker EU-anker dan een leverancier zonder enige Europese vestiging. Op de site wordt geen prijs gepubliceerd. Opdrachten worden per geval in een offerte uitgewerkt en niet verkocht via een prijslijst.

Opvallende functie. Gericht op intelligence in plaats van op detectie: gebouwd om de SIEM of SOC die een team al gebruikt scherper te maken.

#13 SecureVisio

Rzeszow, Polen (Duits kantoor in Kakenstorf) Opgericht in 2018 Geen openbare prijslijst. De blog van de leverancier (28 oktober 2026) zegt dat SecureVisio een licentiemodel op basis van gemonitorde assets hanteert: de licentie is gebaseerd op actief gemonitorde hosts, vooral servers en werkstations, en niet op datavolume, eventdoorvoer of het aantal operators. Assets kunnen zonder licentie als informatief in de assetkaart blijven staan. Prijs op aanvraag via het demoformulier. Demo op aanvraag

Het meest geschikt voor: SOC-teams die een SIEM willen met context over assets en risico's

• Exploitatievennootschap. Esecure Sp. z o.o.
• Jurisdictie. EU (Polen)
• Waar de gegevens staan. Cloud en on-premise worden aangeboden (SIEM-pagina); volgens de blog van de leverancier wordt het meestal on-premises ingezet. Voor de cloudversie is geen hostingregio genoemd.
• Onafhankelijke controles. Op de site staat een ISO 27001-badge (scope en certificaat niet geverifieerd)
• Broncode. Closed source
• Vervangt. Splunk, IBM QRadar

SecureVisio is een Pools platform waarvan de SIEM meldingen correleert met een ingebouwde CMDB, business impact analyse en risicoscores.

Elke melding wordt verrijkt met asset-criticiteit, systeemeigenaar, netwerklocatie en gerelateerde bedrijfsprocessen, en het platform genereert een aanvalspad dat laat zien hoe een indringer kritieke assets zou kunnen bereiken. Gegevens worden ingelezen via syslog, API's, ingebouwde XDR-agents en connectors, en de leverancier noemt meer dan 500 detectieregels met MITRE ATT&CK-mapping en een SQL-achtige querytaal voor zoeken en threat hunting.

Hetzelfde platform bevat ook SOAR, UEBA, vulnerability management en risicobeheer, waardoor het qua omvang in de buurt van Logpoint komt, terwijl de prioritering op basis van de CMDB een eigen insteek is. Een AI-assistent helpt bij triage, parsing en het schrijven van regels.

De licentie is per gemonitorde host (vooral servers en werkstations) in plaats van per gigabyte of per analist, wat kan passen bij teams met grote logvolumes maar minder machines. De uitrol kan in de cloud of on-premises, en de leverancier zegt dat on-premises het meest gebruikelijk is.

Het contracterende bedrijf is Esecure Sp. z o.o. in Rzeszow, Polen (KRS 0000350718), met een Duits kantoor in Kakenstorf. Zwakkere punten vergeleken met wat al op deze pagina staat: geen openbare prijzen, geen genoemde cloud-hostingregio, alleen een ISO 27001-badge zonder scope, en een veel kleinere omvang dan Logpoint of SEKOIA.IO. Klantaantallen zijn de eigen cijfers van de leverancier, en de referentiebasis bestaat vooral uit Midden-Europese klanten.

Opvallende functie. SecureVisio is de enige SIEM hier die elke melding koppelt aan een ingebouwde assetinventaris, business impact analyse en een gegenereerd aanvalspad.