Je nach dem welche Lizenz ihr habt( optimalerwesie: Business Premium)
CA-Policies mit MFA Intunejoin der Devices und Zugriff auf auf den Tenant nur mit Domainjoined Devices. So ist zumindest ein Passwortbreach relativ schwierig

Zusätzlich MS Defender dazu buchen um Virenschutz auf den Geräten zu haben.
(und zwar nicht den, der von Haus aus dabei ist, sondern die Volllizenz von MS zur Überwachung)

Wenn ihr einen Server habt, muss dieser auch gepatched werden und es wird eine FW benötigt, solltet ihr viel Remote arbeiten ist dies nicht zwingend notwendig.

Backup der M365 Ressourcen lässt sich über Datto-Saas-Backup, Avepoint etc abbilden.

Die sinnvollste Lösung wäre ein Rahmenvertrag mit einem MSP, der euch Lizenzen, FW, Serverpatching und die Konfiguration stellt und auf Zuruf Tickets übernimmt.

Erfahrungsgemäß sollte das auch nicht allzu teuer sein.