Stel: je bedrijf wil overstappen naar een andere cloudaanbieder. De nieuwe omgeving lijkt beter bij je plannen te passen. Je verwacht vooral bestanden en toepassingen te verplaatsen. Tijdens de voorbereiding blijkt dat een koppeling opnieuw gebouwd moet worden, je contract nog doorloopt en niemand precies weet hoe de huidige omgeving is ingericht.
Dit is een voorbeeldsituatie, geen klantcase. Het laat zien hoe een overstap meer werk en kosten kan vragen dan je vooraf verwacht. Hoe herken je zulke afhankelijkheid? En wanneer is blijven bij je aanbieder een bewuste, verstandige keuze?
In dit artikel bespreken we zeven onderschatte risico’s van public cloud security. Niet alleen technisch, maar vooral vanuit beheer en continuïteit.In dit artikel lees je
Wat betekent vendor lock-in bij public cloud?
Bij public cloud gebruik je IT-voorzieningen van een cloudprovider, zoals servers, opslag of databases. Vendor lock-in betekent dat je afhankelijk bent van een leverancier op een manier die overstappen moeilijker, duurder of risicovoller maakt. Je kunt technisch misschien vertrekken, maar de gevolgen maken die keuze lastig.[1] Denk aan een toepassing die alleen goed werkt met een specifieke clouddienst. Of aan gegevens die je kunt downloaden, maar die een ander systeem niet direct kan gebruiken. De afhankelijkheid zit dan in wat je hebt opgebouwd rond het platform.[2] Dat merk je vaak pas wanneer je iets wilt veranderen. Bijvoorbeeld als je bedrijf groeit, je een andere IT-partner zoekt of de dienstverlening niet meer aansluit. Overstappen vraagt bijna altijd voorbereiding. De vraag is of je weet hoeveel ruimte je werkelijk hebt.Waar kan de afhankelijkheid zitten?
Je contract en financiële afspraken
Een lager tarief kan samengaan met een langere looptijd of een afgesproken minimumafname. Dat kan een passende keuze zijn, zolang je begrijpt wat je toezegt. Controleer de looptijd, opzegtermijn en afspraken over voortijdige beëindiging. Vraag ook welke ondersteuning je krijgt bij vertrek en welke kosten daarbij horen.[3] Maak onderscheid tussen je cloudprovider en je IT-dienstverlener. Naar een andere beheerpartner gaan kan betekenen dat je hetzelfde cloudplatform blijft gebruiken. Naar een ander platform gaan kan gevolgen hebben voor toepassingen en koppelingen. Vraag daarom eerst: wat willen we precies veranderen?Specifieke diensten van het cloudplatform
Een beheerde database is een database waarbij de leverancier bepaalde beheertaken uitvoert. Dat kan je eigen team werk besparen. Gebruikt je toepassing functies die specifiek bij die dienst horen, dan kan een ander platform aanpassingen vereisen. Ook koppelingen en automatische processen kunnen aan een platform vastzitten.[2] Vraag je IT-verantwoordelijke welke onderdelen afhankelijk zijn van zulke diensten. Je hoeft daarvoor geen technische tekeningen te kunnen lezen. Je wilt weten welke bedrijfsprocessen geraakt worden en of aanpassingen nodig zijn om elders door te werken.De verplaatsbaarheid van data en toepassingen
Dataportabiliteit betekent dat je gegevens van de ene omgeving naar de andere kunt verplaatsen. Een exportknop is daarvoor een begin. Je moet ook nagaan welke gegevens je krijgt en of de nieuwe omgeving ze kan gebruiken.[1] Neem als voorbeeldsituatie een bedrijf dat klantgegevens exporteert. De namen en adressen komen mee, maar bijlagen en relaties tussen dossiers vragen een aparte overdracht. Het bestand bevat dan nog niet alles wat medewerkers voor hun werk nodig hebben. Ook een toepassing zelf moet op de nieuwe omgeving kunnen werken. Gegevens meenemen betekent niet automatisch dat je processen, instellingen en koppelingen meeverhuizen. Vraag dus zowel naar de export als naar de bruikbaarheid na de overstap.[2]Kennis binnen je bedrijf
Afhankelijkheid kan ook in kennis zitten. Misschien weet één medewerker hoe alles samenwerkt, of bewaart alleen je IT-partner de documentatie. Als die kennis niet beschikbaar is, wordt beoordelen en veranderen lastiger.[1] Controleer of je een actueel overzicht hebt van toepassingen, koppelingen, beheerders en afspraken. Weet je wie de omgeving beheert en wie toegang kan regelen? Je hoeft het beheer niet zelf uit te voeren, maar je moet wel kunnen achterhalen hoe je bedrijf doorwerkt als de samenwerking verandert.Bewust kiezen is iets anders dan ongemerkt vastzitten
Een specifieke clouddienst kan waarde toevoegen. Je team kan minder beheerwerk hebben of sneller nieuwe functies gebruiken. Volledige onafhankelijkheid is daarom niet automatisch het beste uitgangspunt. Ook voorzieningen die makkelijker verplaatsbaar zijn, kunnen extra werk vragen.[3] Een bewuste keuze betekent dat je de voordelen én de gevolgen van vertrek kent. Je accepteert bijvoorbeeld dat een overstap aanpassingen vraagt, omdat de huidige dienst voldoende oplevert. Ongemerkt vastzitten ontstaat wanneer je die afweging niet kunt maken: niemand weet wat vertrek inhoudt. Leg bij nieuwe keuzes kort vast waarom je een dienst gebruikt, welke afhankelijkheid je accepteert en wanneer je die opnieuw beoordeelt. Zo krijgt ook een toekomstige IT-verantwoordelijke zicht op de redenen achter je inrichting.Welke signalen verdienen aandacht?
De volgende signalen zijn aanleiding om door te vragen. Ze bewijzen op zichzelf niet dat je moet overstappen.- Niemand weet wat een export bevat. Welke gegevens, bijlagen en instellingen kunnen we meenemen, en in welk formaat?
- Overstappen klinkt eenvoudig, maar niemand heeft het beoordeeld. Welke toepassingen en koppelingen vragen aanpassingen?
- De kosten van vertrek zijn onbekend. Welke contractverplichtingen, ondersteuning en eigen werkzaamheden moeten we meenemen?
- De kennis zit bij één persoon of partij. Wie heeft de documentatie en wie kan een overdracht begeleiden?
- Beëindiging is niet uitgewerkt. Hoelang blijven onze gegevens toegankelijk, wanneer stopt de dienst en wat gebeurt er met achtergebleven data?
Wat verandert de Europese Data Act?
De Europese Data Act bevat regels om overstappen tussen clouddiensten makkelijker te maken. Aanbieders moeten onder meer duidelijkheid geven over de overstapprocedure en contractvoorwaarden. Vanaf 12 januari 2027 mogen zij voor diensten die onder deze regels vallen geen overstapkosten meer rekenen. Tot die datum mogen zulke kosten niet hoger zijn dan de rechtstreeks met de overstap samenhangende kosten.[4][5] Dat betekent niet dat een volledige migratie voor je bedrijf kosteloos wordt. Aanpassingen aan toepassingen, testen en de inzet van je eigen medewerkers kunnen nog steeds tijd en geld vragen. Laat daarom afzonderlijk toelichten welke kosten de aanbieder rekent en welk werk je organisatie zelf moet organiseren.Van ontwikkeling naar werkbare IT
Begin met je eigen overstapmogelijkheden
Kies één toepassing waarvan je medewerkers dagelijks afhankelijk zijn. Bespreek de vragen hierboven met je IT-verantwoordelijke of beheerpartner en leg de antwoorden vast. Zo zie je waar je keuzevrijheid hebt en waar je meer duidelijkheid nodig hebt.
Wil je beter begrijpen welke omgeving bij je toepassingen past? Lees dan wanneer je kiest voor public cloud of private cloud. Dat helpt je om je huidige inrichting bewuster te beoordelen.
Veelgestelde vragen over public cloud security
Heb je vendor lock-in als je maar één cloudprovider gebruikt?
Niet automatisch. Het aantal aanbieders zegt niet hoeveel moeite overstappen kost. Kijk naar je contracten, specifieke diensten, gegevens en beschikbare kennis.
Voorkomt een back-up dat je vastzit aan een cloudleverancier?
Een back-up helpt je gegevens te bewaren en te herstellen. Controleer wel waar je die kopie kunt gebruiken. Een back-up maakt toepassingen en koppelingen niet vanzelf geschikt voor een ander platform.
Moet je meerdere cloudproviders gebruiken om afhankelijkheid te beperken?
Dat hoeft niet. Meerdere aanbieders kunnen mogelijkheden bieden, maar vragen ook beheer en afstemming. Begin met het beoordelen van je bestaande afhankelijkheden voordat je extra platforms toevoegt.
Kun je bij een andere IT-partner hetzelfde cloudplatform houden?
Dat kan, afhankelijk van je inrichting en afspraken. Controleer wie de omgeving beheert, hoe toegang en facturatie zijn geregeld en wat nodig is voor een overdracht.
Bronnen en referenties
- Nationaal Cyber Security Centrum.
Dataportabiliteit in de wolken . Geraadpleegd op . - Cloudflare.
What is vendor lock-in? . Geraadpleegd op . - Amazon Web Services.
Six lock-in considerations . Onderdeel van Unpicking Vendor Lock-in. Geraadpleegd op . - Autoriteit Consument & Markt. Clouddiensten .G eraadpleegd op .
- Europese Commissie.
Data Act explained .
Onderdeel: Chapter VI — Switching between data processing services. Geraadpleegd op .
