Een vendor lock-in exitstrategie is het geheel van technische, contractuele en organisatorische maatregelen waarmee een organisatie haar afhankelijkheid van één specifieke cloudleverancier systematisch afbouwt en overstap naar alternatieve of soevereine infrastructuur mogelijk maakt. Voor Europese organisaties in gereguleerde sectoren is dit geen theoretisch vraagstuk: de combinatie van jurisdictionele risico’s, toezichtsvereisten en bewust ontworpen technische drempels maakt hyperscaler-ontkoppeling tot een van de complexere IT-governancevraagstukken van dit decennium.
Hoe hyperscalers technische afhankelijkheid opbouwen
De diepste lock-in zit niet in de contracten maar in de technologie zelf. Wie AWS, Microsoft Azure of Google Cloud structureel gebruikt, raakt verstrengeld via drie lagen die samen de exitdrempel bepalen.
De eerste laag zijn propriëtaire API’s. Diensten als Azure Active Directory, AWS Lambda of Google BigQuery werken via interfaces die geen equivalent hebben bij andere aanbieders. Applicaties die direct op deze API’s zijn gebouwd, vereisen herbouw, niet alleen herconfiguratie. De tweede laag zijn propriëtaire dataformaten en opslagstructuren: databases zoals Amazon Aurora of Google Spanner slaan data op in formaten die niet rechtstreeks naar standaard SQL exporteren zonder dataverlies of structuurverlies. De derde laag zijn licentiestructuren, waarbij Microsoft-licenties voor Office 365 of Azure-diensten gekoppeld zijn aan gebruikersaccounts die via Entra ID (voorheen Azure AD) worden beheerd. Wie vertrekt, verliest niet alleen de dienst maar ook de identiteitsinfrastructuur.
Een afhankelijkheidsaudit begint met het in kaart brengen van alle gebruikte cloudservices per categorie (compute, opslag, identiteit, communicatie, analytics), gevolgd door het identificeren welke services op open API’s draaien en welke op propriëtaire interfaces. Tools als open source Nextcloud Migration Tools kunnen helpen bij het inventariseren van bestands- en communicatiedata, maar de API-audit vereist handmatige analyse van applicatiecode en integratiedocumentatie.
Wat EU-wetgeving u nu al geeft: Data Act, DORA en DMA
Europese organisaties beschikken over een sterker juridisch exitrecht dan veel compliance officers beseffen. Drie instrumenten zijn direct relevant.
De EU Data Act (Verordening 2023/2854), met name artikelen 23 tot en met 31, verplicht cloudaanbieders vanaf september 2025 tot concrete overstapfacilitering: gestandaardiseerde exportformaten, maximale egress-tarieven (die richting nul moeten gaan), en de verplichting om de technische overstap binnen een redelijke termijn te ondersteunen. Dit is geen vrijwillige code of conduct maar afdwingbaar recht.
DORA artikel 28 (Verordening 2022/2554) richt zich specifiek op financiële entiteiten en verplicht hen te documenteren hoe zij concentratierisico bij ICT-toeleveranciers beheersen. De Europese Bankautoriteit stelde hierover: “Concentratie bij één ICT-leverancier is een systemisch risico. Financiële entiteiten moeten kunnen aantonen dat zij ook bij uitval of beëindiging van een kritieke dienst de bedrijfsvoering kunnen continueren.” Dit betekent dat een exitplan geen optie is maar een toezichtseis.
De Digital Markets Act, artikel 6 lid 9 (Verordening 2022/1925), verplicht aangewezen gatekeepers, waaronder de grote cloudplatforms, tot interoperabiliteit. Dit versterkt de positie van organisaties die technische samenwerking eisen tussen hun bestaande hyperscaler-omgeving en een nieuw soeverein platform tijdens de overgangsperiode. Aanvullend stelt het EUCS (European Union Cybersecurity Certification Scheme for Cloud Services) portability- en interoperabiliteitsvereisten als voorwaarde voor certificering op het hoogste niveau, wat overheidsinkopers kunnen opnemen als selectiecriterium.
Contractuele valkuilen en hoe je ze neutraliseert
Hyperscaler-overeenkomsten bevatten standaard een aantal clausules die exit structureel bemoeilijken. De meest schadelijke zijn: automatische verlenging zonder opzegtermijn van meer dan 30 dagen, licentiebepalingen die data als “platformgebonden” classificeren, en SLA’s die geen equivalente prestatiegaranties bieden gedurende een migratieperiode.
Bij het sluiten van nieuwe inkoopcontracten, of bij heronderhandeling bij verlenging, moeten organisaties minimaal de volgende exitclausules bedingen: een gegarandeerde exportperiode van minimaal 90 dagen na opzegging, neutrale data-eigendomsverklaringen, een vastgelegde maximale egress-vergoeding, en de verplichting tot levering van data in open formaten. Verwijzing naar de EU Data Act artikelen 23-31 geeft hierbij een wettelijke grondslag die aanbieders niet kunnen negeren.
Gefaseerde migratiearchitectuur: continuïteit als ontwerpregel
Een exitstrategie die de bedrijfsvoering niet onderbreekt, werkt in fasen. De volgorde is niet willekeurig: ze volgt de combinatie van gevoeligheid van data en vervangbaarheid van de dienst.
| Fase | Diensten | Aanpak | Tijdshorizon |
|---|---|---|---|
| 1. Datastabilisatie | Bestandsopslag, e-mail, agenda | Migratie naar soevereine opslag (bijv. Nextcloud op eigen infra of Zwitserse hosting); IMAP-export voor e-mail, CalDAV/CardDAV voor agenda en contacten | 0 tot 3 maanden |
| 2. Communicatie en samenwerking | Videovergaderen, documentbewerking, chat | Overstap naar open alternatieven met ODF-ondersteuning; parallelle werking gedurende twee tot vier weken | 3 tot 6 maanden |
| 3. Identiteit en toegangsbeheer | Entra ID, SSO, MFA | Implementatie van open identity provider (bijv. Keycloak) met federatie naar resterende hyperscaler-diensten | 6 tot 12 maanden |
| 4. Legacy en specialistische werklasten | Branchespecifieke SaaS, custom applicaties op propriëtaire runtimes | Gefaseerde herbouw of geaccepteerde resterende afhankelijkheid met risicomitigatie | 12 tot 24 maanden |
Fase 4 leidt onvermijdelijk tot hybride scenario’s. Het is realistisch en verantwoord om legacy-applicaties tijdelijk op een hyperscaler te laten draaien terwijl gevoelige data al is verplaatst. De voorwaarde is een strikte data-isolatiearchitectuur: de legacy-applicatie krijgt uitsluitend toegang tot gede-identificeerde of minder gevoelige data, terwijl vertrouwelijke informatie exclusief op de soevereine infrastructuur staat. API-gateways en data-mesh-architecturen kunnen de koppeling tussen beide omgevingen beheren zonder dat data naar de hyperscaler terugstroomt.
Open standaarden als structurele exitverzekering
De meest duurzame maatregel tegen vendor lock-in is geen contractuele clausule maar een architectuurkeuze: ontwerp uitsluitend op open standaarden. Margrethe Vestager, voormalig Eurocommissaris voor Mededinging en Digitaal Beleid, verwoordde dit bij de lancering van de EU Data Act als volgt: “Overstapkosten zijn geen technisch gegeven maar een ontwerpkeuze. Aanbieders die hun klanten niet willen laten gaan, bouwen die drempels bewust in via propriëtaire formaten en API-silo’s.”
Vier open standaarden verlagen de overstapkosten structureel. OpenDocument Format (ODF) maakt kantoordocumenten uitwisselbaar tussen LibreOffice, Nextcloud Office, OnlyOffice en andere suites, zonder dat bestanden opnieuw opgemaakt hoeven te worden. CalDAV en CardDAV zijn open protocollen voor agenda- en contactsynchronisatie, ondersteund door vrijwel alle soevereine alternatieven. IMAP maakt e-mailmigratie mogelijk zonder dataverlies, ongeacht het doelplatform. Organisaties die deze standaarden als inkoopeis stellen, behouden op elk moment de vrijheid om van leverancier te wisselen zonder herstructurering van hun data.
Ruim 69 procent van de Europese ondernemingen die cloudservices gebruiken, is afhankelijk van één enkele aanbieder voor meer dan de helft van hun clouduitgaven, aldus een studie van de Europese Commissie uit 2023. Dat cijfer illustreert niet alleen het risico maar ook de omvang van de veranderopgave. Tegelijkertijd blijkt uit ENISA-data dat meer dan 40 procent van de cyberincidenten bij Europese overheidsinstanties terug te voeren is op kwetsbaarheden in gedeelde cloudinfrastructuur van derden, wat een aanvullende urgentie geeft aan diversificatie en soevereine opslag.
Een vendor lock-in exitstrategie is daarmee geen eenmalig migratieproject maar een permanente architectuurhygiëne: het consequent kiezen voor open interfaces, open dataformaten en contractuele flexibiliteit, zodat de organisatie te allen tijde de regie behoudt over haar eigen digitale infrastructuur.
FAQ: vendor lock-in exitstrategie en hyperscaler ontkoppeling
Wat is vendor lock-in bij hyperscalers en waarom is het een probleem voor Europese organisaties?
Vendor lock-in ontstaat wanneer een organisatie zo afhankelijk is van de propriëtaire technologie, dataformaten of contractvoorwaarden van één aanbieder dat overstappen technisch complex en financieel kostbaar wordt. Voor Europese organisaties speelt daarboven het jurisdictionele risico: data op servers van Amerikaanse hyperscalers kan via de CLOUD Act worden gevorderd door Amerikaanse autoriteiten, ongeacht waar de servers zich fysiek bevinden.
Welke rechten geeft de EU Data Act bij het overstappen van cloudleverancier?
De EU Data Act (Verordening 2023/2854), artikelen 23 tot en met 31, verplicht cloudaanbieders tot technische en procedurele ondersteuning bij de overstap. Dit omvat gestandaardiseerde exportformaten, het verbod op disproportionele egress-kosten en de verplichting om overstap binnen een redelijke termijn mogelijk te maken. Vanaf september 2025 moeten aanbieders aan deze eisen voldoen.
Hoe ga je om met legacy-applicaties die nog niet migreerbaar zijn?
Legacy-applicaties die voorlopig op een hyperscaler moeten blijven draaien, worden geïsoleerd van gevoelige data via strikte toegangscontrole en API-gateways. Vertrouwelijke data wordt exclusief op soevereine infrastructuur opgeslagen en alleen gede-identificeerde of minder gevoelige data wordt beschikbaar gesteld aan de resterende hyperscaler-omgeving. Dit hybride scenario is tijdelijk en wordt gedocumenteerd als restrisico in het risicoregister, conform de vereisten van DORA artikel 28.
Welke contractuele eisen moet je stellen bij nieuwe cloudinkoop?
Stel minimaal de volgende eisen: een gegarandeerde exportperiode van minimaal 90 dagen na opzegging, neutrale data-eigendomsverklaringen, een vastgelegde maximale egress-vergoeding conform de EU Data Act, en de levering van data in open en gedocumenteerde formaten. Verwijs expliciet naar de EU Data Act artikelen 23-31 als wettelijke grondslag, zodat de aanbieder deze verplichtingen niet als onderhandelbaar kan behandelen.
Wat is het verband tussen EUCS-certificering en vendor lock-in?
Het European Union Cybersecurity Certification Scheme for Cloud Services (EUCS) stelt op het hoogste beveiligingsniveau eisen aan portabiliteit en interoperabiliteit. Overheidsinkopers en gereguleerde organisaties kunnen EUCS-certificering als selectiecriterium hanteren. Aanbieders die EUCS-gecertificeerd willen zijn, moeten aantoonbaar voldoen aan open standaarden en overstapfacilitering, wat de structurele lock-in bij die aanbieders verlaagt.
