Vanaf 12 januari 2027 mogen cloudaanbieders geen kosten meer rekenen als een klant naar een andere aanbieder overstapt. De ACM heeft op een rij gezet wat de Europese Data Act concreet betekent voor clouddiensten. Tot die datum mogen aanbieders alleen kosten doorberekenen die direct met de overstap samenhangen, zoals dataverkeer en technische ondersteuning.
Dat klinkt als een juridisch detail, maar het raakt een probleem waar veel organisaties mee worstelen: de afhankelijkheid van één leverancier, ook wel vendor lock-in genoemd. Wie zijn IT-contracten de komende maanden kritisch bekijkt, kan de nieuwe regels gebruiken om zijn positie te versterken.
Wat de Data Act regelt voor cloudklanten
De Data Act is sinds 12 september 2025 van toepassing in de hele EU, ook voor aanbieders van buiten Europa. Volgens de uitleg van de ACM over clouddiensten moeten aanbieders klanten laten overstappen zonder technische drempels, zoals het tijdelijk stilleggen van processen of het vertragen van een dataoverdracht. Tijdens de overstap moeten ze technische hulp bieden en zorgen dat de overdracht veilig verloopt.
Klanten mogen diensten van meerdere aanbieders naast elkaar gebruiken en daartussen gegevens uitwisselen. Aanbieders mogen dat niet weigeren. Voor die uitwisseling mogen ze ook na januari 2027 alleen de werkelijk gemaakte kosten rekenen. Vóór het tekenen van een contract moeten aanbieders duidelijke informatie geven over onder meer de overstapprocedure, de maximale opzegtermijn, de locatie van de servers en de beveiligingsmaatregelen. De afspraken over overstappen moeten in het contract zelf staan.
De ACM houdt toezicht op aanbieders met een (Europees) hoofdkantoor in Nederland. Nederlandse afnemers kunnen er een klacht indienen. Klachten over aanbieders in andere landen stuurt de ACM door naar de Europese collega-toezichthouders.
Waarom dit voor managers en ondernemers ertoe doet
De cloudmarkt is sterk geconcentreerd: de drie grootste aanbieders bedienen samen ongeveer driekwart van de markt. Dat geeft hen een sterke onderhandelingspositie. Kosten voor het ophalen van data, eigen technische standaarden en lange contracten maakten overstappen in de praktijk duur en riskant. Veel organisaties bleven daarom zitten waar ze zaten, ook als prijs of kwaliteit tegenviel.
Als die drempels lager worden, verschuift de verhouding. In het vijfkrachtenmodel van Porter heet dit de onderhandelingsmacht van leveranciers, en die neemt af wanneer afnemers makkelijker kunnen wisselen. Dat betekent niet dat iedere organisatie nu moet verhuizen. Een overstap blijft werk, met risico’s voor de continuïteit en met kosten voor migratie, testen en opleiding die de Data Act niet wegneemt. Wel wordt de mogelijkheid om over te stappen geloofwaardiger, en in een onderhandeling is dat vaak al genoeg.
Zo gebruik je de nieuwe regels in je IT-contracten
Begin met een overzicht van alle clouddiensten die de organisatie afneemt, ook de diensten die afdelingen zelf hebben afgesloten. Noteer per dienst de looptijd, de opzegtermijn en waar de data staat. Zo’n overzicht ontbreekt in veel organisaties, terwijl het de basis is voor elke afweging.
Kijk daarna welke contracten de komende jaren aflopen. Een verlenging is het moment om te controleren of de overstapafspraken in het contract staan, zoals de wet vraagt, en of de aanbieder je data in een bruikbaar, open formaat kan overdragen. Vraag ook na welke overstapkosten er tot 12 januari 2027 nog gelden, zodat je een eventuele verhuizing slim kunt plannen.
Denk ook na over een exitstrategie voordat je die nodig hebt. Welke systemen zijn zo kritiek dat je een tweede aanbieder achter de hand wilt hebben, en welke kun je zonder veel moeite verhuizen? Een multicloudopzet, waarbij je diensten over meerdere aanbieders verdeelt, verkleint de afhankelijkheid maar maakt het beheer complexer. Voor organisaties die onder de Cyberbeveiligingswet vallen, is die afweging ook onderdeel van het beheersen van ketenrisico’s. In een eerder artikel lees je waarom digitale veiligheid nu een bestuurstaak is.
Aansluitende managementmodellen
Met het vijfkrachtenmodel van Michael Porter analyseer je de krachtsverhoudingen in een markt, onder meer aan de hand van de macht van leveranciers en afnemers. De Data Act verlaagt de overstapdrempels en verschuift daarmee macht van de cloudaanbieder naar de klant. Wie het model als onderdeel van een externe analyse op de eigen IT-inkoop toepast, ziet sneller waar ruimte voor onderhandeling ligt.
De Kraljic-matrix deelt ingekochte producten en diensten in naar hun financiële impact en het leveringsrisico. Kritieke clouddiensten vielen door lock-in vaak in het kwadrant van strategische of knelpuntproducten, waar je weinig keuze hebt. Lagere overstapdrempels kunnen een dienst richting de hefboomproducten schuiven, waar je de concurrentie tussen leveranciers juist kunt benutten.
Een make-or-buy-analyse helpt bij de vraag welke IT-functies je zelf in huis houdt en welke je uitbesteedt. Als overstappen goedkoper wordt, is uitbesteden minder definitief. Dat maakt het makkelijker om eerst kleinschalig voor een clouddienst te kiezen en die keuze later te herzien.
Aanleiding voor dit artikel is nieuws van Techzine.
