De exitstrategie onder DORA: hoe u van een leverancier af komt

Voor diensten die een kritieke of belangrijke functie ondersteunen vraagt DORA een uitgewerkte exitstrategie: hoe stapt u over of haalt u de dienst terug zonder dat uw dienstverlening stilvalt. Het is het onderdeel waar de meeste plannen het dunst zijn, omdat de eerlijke uitkomst vaak ongemakkelijk is.

Waarom dit erin staat

Een leverancier kan wegvallen om redenen die niets met u te maken hebben: een faillissement, een overname, een besluit om een product te beëindigen, een sanctie, of een storing die zo lang duurt dat u niet kunt wachten.

Als u dan pas gaat nadenken over migratie, bent u te laat. Het uitzoeken van gegevensformaten, het vinden van een alternatief en het onderhandelen over een overgangsperiode kost weken, en die weken heeft u niet.

Er is een tweede reden, die zelden wordt genoemd: een exitstrategie geeft onderhandelingspositie. Een leverancier die weet dat u kunt vertrekken, gedraagt zich anders dan een leverancier die weet dat u vastzit.

Wat er in hoort

• De aanleidingen. Bij welke gebeurtenissen treedt het plan in werking, en wie besluit daarover
• Het alternatief. Is er een andere leverancier, kan het terug naar binnen, of is er een tussenoplossing
• De gegevens. In welk formaat krijgt u ze terug, hoe compleet, en hoe lang duurt de overdracht
• De overgangsperiode. Hoe lang blijft de oude leverancier leveren terwijl u migreert, en tegen welke voorwaarden
• De afhankelijkheden. Welke koppelingen met andere systemen moeten mee, en wie heeft daar last van
• De kosten en de doorlooptijd, bij benadering maar onderbouwd
• Wat u nu al regelt om later te kunnen vertrekken: exportmogelijkheden, standaardformaten, eigen back-ups

Als er geen alternatief is

Bij sommige clouddiensten en marktinfrastructuur bestaat geen reëel alternatief op korte termijn. Dat is een gegeven, geen tekortkoming. Wat DORA vraagt is dat u het bewust vaststelt, de gevolgen benoemt en compenserende maatregelen treft.

Denk aan eigen back-ups buiten de leverancier, afspraken over een langere overgangsperiode, escrow voor broncode of configuratie, of een uitgewerkt scenario waarin u tijdelijk op een lager serviceniveau draait.

Een eerlijk opgeschreven risico dat het bestuur heeft geaccepteerd is verdedigbaar. Een exitplan dat een migratie in twee weken belooft die technisch niet kan, is dat niet: dat is een papieren zekerheid die bij de eerste echte gebeurtenis verdampt.

Testen hoort erbij

Een exitstrategie die nooit is beproefd, is een aanname. U hoeft niet daadwerkelijk te migreren om iets te leren.

• Vraag een volledige gegevensexport op en meet hoe lang die duurt
• Controleer of het formaat bruikbaar is: kunt u het inlezen zonder de leverancier
• Loop met de betrokken teams een tafeloefening door: wie doet wat, in welke volgorde
• Toets of het alternatief uw volume en uw koppelingen aankan

In de praktijk levert dit bijna altijd een verrassing op, en dat is precies de bedoeling. Zie ook weerbaarheidstests.

Wat u in het contract regelt

De exitstrategie staat of valt bij wat er contractueel is afgesproken: medewerking bij migratie, teruggave van gegevens in een bruikbaar formaat, een overgangsperiode met een vastgelegde duur, en de voorwaarden waaronder de dienst na opzegging nog doorloopt. Zie contractbepalingen.

Veelgestelde vragen

Moet ik voor elke leverancier een exitstrategie hebben?

Voor diensten die een kritieke of belangrijke functie ondersteunen wel. Voor de rest volstaat een lichtere beoordeling, maar het onderscheid moet u kunnen onderbouwen.

Wat als de leverancier weigert mee te werken aan de exit?

Dan ontbreekt een verplichte contractbepaling. Leg vast dat dit zo is, beoordeel het risico en breng het bij het bestuur.

Telt een tweede leverancier als exitstrategie?

Dat helpt, maar alleen als u er ook echt naartoe kunt. Een tweede leverancier die uw gegevensformaat niet aankan of die maanden nodig heeft om op te starten, is op papier een alternatief en in de praktijk niet.

Hoe vaak actualiseren we het plan?

Jaarlijks, en bij elke wezenlijke wijziging in de dienst, het volume of de contractvoorwaarden. Een exitplan dat drie jaar oud is, beschrijft een situatie die niet meer bestaat.