Vendor lock-in bij hyperscalers beschrijft de situatie waarin een organisatie feitelijk gevangen zit bij één cloudleverancier, omdat de technische, contractuele en financiële kosten van uittreding zo hoog zijn dat rationele migratie onmogelijk lijkt. Voor compliance officers en IT-beslissers in de publieke sector, de rechtspraktijk en gereguleerde sectoren is het berekenen van die werkelijke exitkosten niet alleen een financiële oefening, het is een soevereiniteitsvraagstuk.
Waarom de werkelijke exitkosten structureel worden onderschat
De zichtbare kosten van een cloudcontract zijn abonnements- en licentiekosten. Wat organisaties stelselmatig onderschatten, zijn de lagen die zich pas openbaren op het moment dat ze willen vertrekken.
Egress-kosten vormen de meest directe barrière. Hyperscalers rekenen per gigabyte die de eigen omgeving verlaat richting een concurrent of on-premise infrastructuur. Volgens de ENISA Cloud Security Guidelines (2023) kunnen deze kosten oplopen tot 8 tot 9 procent van de totale cloud-uitgaven van een organisatie bij een volledige migratie. Bij een organisatie met een jaarlijkse cloudrekening van een miljoen euro betekent dat een migratietoeslag van tachtig tot negentig duizend euro, puur voor datatransport.
Daarboven komen de indirecte kosten: herschrijven of vervangen van applicaties die zijn gebouwd op propriëtaire API’s (zoals AWS Lambda, Azure Cognitive Services of Google BigQuery), hertraining van personeel, juridische kosten voor contractheronderhandeling, en operationele downtime. Een exittraject dat intern wordt begroot op drie maanden, duurt in de praktijk vaak anderhalf tot twee jaar.
Technische lock-in mechanismen die uittreding blokkeren
Vendor lock-in is zelden het gevolg van één beslissing; het ontstaat door een opeenstapeling van technische keuzes die elk afzonderlijk logisch lijken.
Propriëtaire API’s en dataformaten
Wanneer een organisatie haar applicatielaag bouwt op hyperscaler-specifieke diensten, Azure Active Directory voor identiteitsbeheer, AWS S3-specifieke storageclasses of Google Workspace-bestandsformaten, raakt elke applicatie verweven met de onderliggende infrastructuur. Overstappen vereist dan niet alleen datamobiliteit maar ook architecturele herontwikkeling. De ENISA Cloud Security Guidelines waarschuwen expliciet voor het gebruik van propriëtaire orkestratie- en beheerdiensten zonder open standaard als tussenlaag.
Contractuele en commerciële mechanismen
Committed Use Discounts en Reserved Instances zijn kortingsregelingen die organisaties aanmoedigen meerjarige verbruiksverplichtingen aan te gaan. Wie vroeg wil uittreden, verliest niet alleen de korting maar betaalt soms ook boetes. Tegelijk ontbreken in de meeste standaard-cloudcontracten expliciete exitclausules die de leverancier verplichten data in een open formaat terug te leveren binnen een redelijke termijn.
EU Data Act artikelen 23–29: recht op switching en de grenzen daarvan
De EU Data Act (Verordening (EU) 2023/2854) introduceert in artikelen 23 tot en met 29 voor het eerst bindende Europese regels voor het switchen tussen cloudaanbieders. Aanbieders zijn verplicht om switchprocessen technisch te faciliteren, mogen geen contractuele belemmeringen opwerpen en moeten egress-kosten gefaseerd naar nul afbouwen: maximaal drie jaar na inwerkingtreding van de verordening.
De Europese Commissie formuleerde het als volgt in de wetgevende toelichting: “Klanten moeten de vrijheid hebben om van cloudaanbieder te wisselen zonder buitensporige technische of financiële belemmeringen; dat is een fundamenteel beginsel van een goed functionerende digitale interne markt.”
De beperkingen van dit instrument zijn echter reëel. De term “functionele gelijkwaardigheid” bij data-export is in de verordening niet nader gespecificeerd, waardoor leveranciers ruimte hebben in de interpretatie. Handhaving is bovendien gedelegeerd aan nationale toezichthouders, die in capaciteit en prioritering van elkaar verschillen. De bepalingen gelden ook pas volledig voor nieuwe contracten; bestaande langlopende contracten kennen overgangsbepalingen.
Complementair hieraan bevat het Digital Markets Act (DMA, Verordening (EU) 2022/1925) in artikel 6 lid 11 interoperabiliteitsverplichtingen voor zogenoemde gatekeepers. Hoewel de DMA primair op platformmarkten is gericht, raakt dit aan de cloudmarkt voor aanbieders die als gatekeeper zijn aangemerkt.
Lessen uit de CADA-analyse: marktconcentratie als systeemrisico
De CADA COM(2026) 502 impactanalyse, en meer specifiek artikel 34 over federatie en portabiliteit binnen de publieke sector, bevestigt wat het OECD-rapport over mededinging in clouddiensten (2023) al signaleerde: drie Amerikaanse hyperscalers (AWS, Microsoft Azure en Google Cloud) controleren samen meer dan 65 procent van de Europese cloudmarkt.
De OECD stelde hierover: “Marktconcentratie in de cloudmarkt creëert structurele afhankelijkheden die de mededinging belemmeren en publieke organisaties blootstellen aan eenzijdige prijsverhogingen en voorwaardenverzwaring.”
Voor Europese publieke organisaties is de beleidsles tweeledig. Ten eerste is afhankelijkheid van één leverancier een systeemrisico, niet alleen een inkooprisico. Ten tweede vereist CADA artikel 34 dat nieuwe aanbestedingen voor overheidsclouddiensten technisch toetsen of een aanbieder federatieprotocollen ondersteunt, zodat interoperabiliteit met andere overheidsclouds of on-premise omgevingen gegarandeerd is. Dat is een aanbestedingscriterium dat in de praktijk nog zelden expliciet wordt gesteld.
Contractuele minimumvereisten voor compliance officers
Een compliance officer die vandaag een cloudcontract onderhandelt of verlengt, moet ten minste vier categorieën clausules afdwingen.
| Clausulesoort | Minimuminhoud | Risico bij ontbreken |
|---|---|---|
| Exitclausule | Tijdslijn voor datateruggave (maximaal 30 dagen), formaat (open standaard), verantwoordelijkheidsverdeling migratiekosten | Data blijft feitelijk ontoegankelijk of wordt vernietigd bij opzegging |
| Interoperabiliteitsvereiste | Verplichting om open API-standaarden te ondersteunen, geen vendor-specifieke exportformaten als enige optie | Technische afhankelijkheid neemt toe met elk geïntegreerd dienst |
| Egress-kostenbegrenzing | Maximum aan datatransportkosten bij contractbeëindiging, bij voorkeur nul conform EU Data Act-fasering | Migratiekosten worden prohibitief hoog |
| Auditrecht en datalocatie | Recht om op elk moment de geografische locatie en verwerkingsketens van data te verifiëren, inclusief subverwerkers | GDPR-naleving en jurisdictierisico (CLOUD Act) kan niet worden aangetoond |
Lock-in-graad meten met CADA-criteria en SEAL-niveaus
De Cloud III DPS SEAL-scoremethodiek biedt een praktisch zelfdiagnose-instrument. SEAL-niveaus (oplopend van 1 tot 4) beoordelen een cloudoplossing op domeinen als jurisdictie van de aanbieder, encryptieniveau en sleutelbeheer, toegangsbeheer, contractuele exitbaarheid en technische interoperabiliteit.
Een organisatie die haar huidige hyperscaler-relatie langs deze criteria legt, kan per domein een score toekennen. Een lage SEAL-score op “exitbaarheid” in combinatie met een hoge score op “propriëtair API-gebruik” signaleert een hoog lock-in-risico dat prioriteit verdient in de volgende contractonderhandelingscyclus.
De CADA-soevereiniteitscriteria voegen hier een jurisdictioneel perspectief aan toe: ook een technisch goed exporteerbare dataset is problematisch als de aanbieder onder de reikwijdte van de US CLOUD Act valt, waarbij Amerikaanse autoriteiten toegang kunnen afdwingen ongeacht de fysieke datalocatie. Organisaties die actief zijn in de rechts- of overheidssector moeten jurisdictie dan ook als zelfstandig SEAL-criterium wegen, los van de technische exitbaarheid.
Van diagnose naar strategie: praktische prioritering
De combinatie van SEAL-scores en contractuele analyse levert een prioriteringsmatrix op. Diensten met hoge afhankelijkheid én hoog jurisdictierisico (bijvoorbeeld identiteitsbeheer via Azure AD of e-mail via Microsoft 365) verdienen de eerste aandacht. Diensten met hoge afhankelijkheid maar laag jurisdictierisico (een Europese SaaS-aanbieder met GDPR-conforme verwerking) kunnen in een tweede fase worden aangepakt.
Migratie van Microsoft 365 naar een soevereine Nextcloud-werkomgeving is een voorbeeld waarbij de SEAL-methodiek direct toepasbaar is: de score op jurisdictie verbetert sterk bij een Europese of on-premise hosting, maar de score op “technische exitbaarheid” van bestaande SharePoint-structuren en Teams-data vereist een gedetailleerd migratieplan dat de propriëtaire bestandsstructuren adresseert.
Wie de ENISA Cloud Security Guidelines als raamwerk gebruikt, vindt daarin concrete aanbevelingen voor het opnemen van exitmanagement in het bredere cloudgovernancebeleid, inclusief periodieke toetsing of de exitstrategie nog uitvoerbaar is naarmate de dienstverlening evolueert.
Veelgestelde vragen
Wat zijn de grootste verborgen kosten bij het verlaten van een hyperscaler?
Naast de zichtbare licentie- en abonnementskosten zijn de grootste verborgen posten: egress-kosten voor dataoverdracht, hertekening van applicaties die afhankelijk zijn van propriëtaire API’s, hertraining van personeel en operationele downtime tijdens migratie. Deze posten samen overtreffen vrijwel altijd de initieel begrote migratiekosten.
Wat verandert de EU Data Act concreet voor organisaties die willen overstappen?
Artikelen 23 tot en met 29 van de EU Data Act verplichten cloudaanbieders om switchprocessen technisch te faciliteren, egress-kosten gefaseerd naar nul te brengen en functioneel gelijkwaardige data-export te garanderen. De beperkingen zijn dat “functionele gelijkwaardigheid” niet exact is gedefinieerd en dat handhaving afhankelijk is van nationale toezichthouders.
Wat is het SEAL-niveau in de Cloud III DPS-methodiek en hoe gebruik ik het als zelfdiagnose?
De Cloud III DPS-methodiek hanteert SEAL-niveaus (van 1 tot 4) om de mate van soevereiniteit van een cloudoplossing te scoren op domeinen als jurisdictie, encryptie, toegangsbeheer en exitbaarheid. Een organisatie kan haar huidige leveranciersrelatie langs deze criteria leggen om te bepalen welke domeinen het hoogste afhankelijkheidsrisico opleveren en waar contractuele aanpassingen prioriteit hebben.
Welke contractuele minimumvereisten moet ik als compliance officer afdwingen bij een hyperscaler?
Minimaal moet een contract bevatten: een gedetailleerde exitclausule met tijdslijn en formaat voor datateruggave, een interoperabiliteitsvereiste die open standaarden voorschrijft, een bepaling die egress-kosten maximeert of uitsluit bij contractbeëindiging, en een auditrecht waarmee de organisatie op elk moment de locatie en verwerking van data kan verifiëren.
Hoe relevant is CADA COM(2026) 502 artikel 34 voor overheidsorganisaties?
CADA COM(2026) 502 artikel 34 richt zich specifiek op federatie en portabiliteit binnen de publieke sector en introduceert verplichtingen voor interoperabiliteit tussen overheidscloudomgevingen. Voor overheidsorganisaties betekent dit dat toekomstige aanbestedingen technisch moeten toetsen of een aanbieder federatieprotocollen ondersteunt die overstap naar een andere overheidscloud of on-premise omgeving mogelijk maken.
