Will Switch · dossier leveranciersafhankelijkheid

Gemeente Ravensmeer: afhankelijkheid van ICT-leveranciers

Uitwerking van de gratis scan, voor de risicoanalyse van de leveranciersketen.

OrganisatieGemeente Ravensmeer (fictief), 48.000 inwoners DoelRisicoanalyse leveranciersketen, Cyberbeveiligingswet BronnenScan door uitvoering en bestuur, aanvullende vragenlijst per systeem Datum1 oktober 2026 StatusConcept. Niets in dit dossier is gecontroleerd aan de hand van documenten.

Wat speelt er gemeld

Als het zaaksysteem een week uitvalt, ligt het werk bij vergunningen en het sociaal domein volgens de uitvoering stil. Van twee van de vier belangrijkste systemen is niet bekend wanneer het contract afloopt. Het contract voor Microsoft Azure loopt op 30 juni 2027 af. Bestuur en uitvoering antwoorden op vier van de vijf organisatievragen verschillend.

Welk besluit is nodig voorgesteld

Wijs iemand in de leiding aan die verantwoordelijk is voor de afhankelijkheid van leveranciers, met mandaat om een heronderhandeling of overstap voor te bereiden. Besluit uiterlijk 26 november 2026 of het Azure-contract wordt verlengd met afspraken over overstappen, of opnieuw wordt uitgevraagd.

Wat je in dit dossier krijgt

AandachtspuntenZes punten, elk met het antwoord, het mogelijke gevolg en een eerste actie.
Overzicht per systeemWat ervan afhangt, hoe lastig vervangen is en wat er geregeld is. Met de contractmomenten op een tijdlijn.
Gespreksagenda voor bestuur en uitvoeringDe vier vragen waarop jullie verschillend antwoorden.
Concepttekst voor de risicoanalyseOver te nemen in je eigen analyse, met per onderdeel wat gemeld, gecontroleerd of voorgesteld is.
Concept-beslisnotitieVoor directie of bestuur, met vier voorgestelde besluiten.
ActielijstMet voorgestelde verantwoordelijken, termijnen en bewijsstukken.
Vragen voor leveranciers en aandachtspunten voor inkoopVoor het gesprek met Microsoft en de hostingpartij, en voor een verlenging of nieuwe uitvraag.

De concepttekst, de beslisnotitie, de actielijst en de vragen staan ook in een bewerkbaar werkdocument.

Werkdocument (Word)Werkdocument (ODT)Dit dossier als PDF

gemeldZo opgegeven in de scan of de vragenlijst. Niet gecontroleerd. nog onbekendHier ontbreekt informatie. Er staat een vraag in plaats van een aanname. gecontroleerdGezien in een contract, document of test. Dat label zet je zelf in het werkdocument, met het bewijsstuk erbij. voorgesteldEen voorstel dat nog moet worden besloten.

1Aandachtspunten

Op volgorde van wat voor de risicoanalyse het meest telt. De eerste drie staan ook in de gratis uitslag, de andere drie komen uit de aanvullende vragenlijst en de tweede meting door het bestuur.

1Wat als het zaaksysteem een week uitvalt?

gemeld

Het antwoord: Als het zaaksysteem een week niet werkt, ligt het werk volgens de uitvoering stil bij vergunningen en het sociaal domein. Scenario's voor het wegvallen van een leverancier zijn er in het algemeen niet.
Mogelijk gevolg: Bij een storing, een faillissement van de hostingpartij of een gedwongen overstap moet Ravensmeer improviseren, terwijl inwoners en ondernemers wachten op een besluit of een uitkering.
Eerste actie: Leg voor het zaaksysteem op één A4 vast wat er stilvalt, hoe het werk tijdelijk doorgaat en wie welk besluit neemt. Actie 4.

2Wanneer lopen de contracten af?

nog onbekend

Het antwoord: Van Microsoft 365 en het zaaksysteem weet de uitvoering niet wanneer het contract afloopt. Wat de contracten in het algemeen zeggen over opzeggen en verlengen, weet de uitvoering ook niet.
Mogelijk gevolg: Zonder einddatum is de opzegtermijn makkelijk gemist. Dan wordt een contract vaak vanzelf verlengd, en is het moment om te onderhandelen voorbij.
Eerste actie: Inkoop zoekt van beide contracten de einddatum, de opzegtermijn en de verlengingsregeling op. Actie 1.

3Het contract voor Azure loopt op 30 juni 2027 af

gemeld

Het antwoord: Het contract voor Microsoft Azure loopt volgens de uitvoering op 30 juni 2027 af. Of het automatisch wordt verlengd, is niet bekend. Twee EU-aanbieders zijn in beeld, maar er is niet mee gesproken.
Mogelijk gevolg: Wie laat begint, kan alleen nog verlengen, op de voorwaarden van de leverancier. Volgens de opgave ligt de contractwaarde boven de Europese drempel, en een Europese aanbesteding kost al snel maanden.
Eerste actie: Besluit uiterlijk 26 november 2026 of je verlengt met afspraken over overstappen, of opnieuw uitvraagt. Vanaf 12 januari 2027 mag een cloudleverancier geen overstapkosten meer rekenen. Actie 6.

4Waar zit de kennis over contracten?

nog onbekend

Het antwoord: Op drie vragen antwoordde de uitvoering "weet ik niet", alle drie over contracten. Op de vraag of bekend is wat de contracten zeggen over opzeggen, verlengen en overstappen, antwoordde het bestuur "ja".
Mogelijk gevolg: Dat zegt weinig over hoe goed het geregeld is. Het zegt wel dat de kennis over contracten niet bij de uitvoering ligt, of niet wordt gedeeld.
Eerste actie: Bespreek de verschillen tussen bestuur en uitvoering in één overleg, met de gespreksagenda in hoofdstuk 3.

5Krijg je je gegevens terug?

gemeld

Het antwoord: Bestuur en uitvoering geven allebei aan dat nooit is getest of gegevens echt terug te halen zijn.
Mogelijk gevolg: Of een overstap kan, blijkt dan pas als het moet. Welke gegevens je terugkrijgt, in welk formaat en tegen welke kosten, is nu niet bekend.
Eerste actie: Haal bij het zaaksysteem een volledige export terug in een testomgeving en noteer wat ontbreekt. Actie 3.

6Wie is verantwoordelijk?

gemeld

Het antwoord: Volgens de uitvoering is er iemand verantwoordelijk, maar zonder duidelijk mandaat. Het bestuur antwoordde "ja".
Mogelijk gevolg: Dan blijven acties liggen bij wie toevallig tijd heeft, en komt het besluit over Azure te laat op tafel.
Eerste actie: Leg vast wie dit onderwerp in de leiding draagt, met mandaat. Besluit 1 in de beslisnotitie.

2Overzicht per systeem

De eerste kolommen komen uit de scan. Wat eronder per systeem staat, komt uit de aanvullende vragenlijst. Alles is gemeld door de uitvoering, tenzij er iets anders staat.

Systeem	Leverancier	Contract	Werk dat ervan afhangt	Een week zonder
Microsoft 365 kantoorsuite, mail en documenten	Amerikaanse leverancier	weet ik niet	Interne bedrijfsvoering; dienstverlening aan inwoners	Beperkt, met handwerk
Microsoft Azure website en klantcontactsysteem	Amerikaanse leverancier	Loopt binnen een jaar af	Dienstverlening aan inwoners; interne bedrijfsvoering	Beperkt, met handwerk
Zaaksysteem Open Zaak	Nederlandse leverancier	weet ik niet	Vergunningen en handhaving; sociaal domein	Nee, het werk ligt stil
Geo-informatie QGIS en GeoServer	Eigen beheer	Geen contract	Openbare ruimte; vergunningen en handhaving	Ja, grotendeels

Contractmomenten

Het besluit over Azure is een voorstel. Na 26 november blijft weinig tijd over voor een Europese aanbesteding voordat het contract op 30 juni 2027 afloopt.

Microsoft 365Kantoorsuite, mail en documenten

Gevolg voor het werk

Werk dat ervan afhangt	Interne bedrijfsvoering, en mail en documenten in het contact met inwoners	gemeld
Een week zonder	Het werk kan beperkt door, met handwerk	gemeld

Hoe lastig is vervangen

Leverancier	Microsoft, Verenigde Staten. Publieke cloud.	gemeld
Contract	Einddatum onbekend.Vraag: wie heeft de licentieovereenkomst, en wanneer loopt die af? Antwoord: ……	nog onbekend
Gegevens terughalen	Technisch mogelijk volgens de opgave. Formaat en volledigheid zijn nooit getest.	gemeld
Open source	Nee. Bij een overstap ben je aangewezen op de export die de leverancier biedt.	gemeld
Alternatief	Open source werkplekken zoals openDesk zijn bekend. Er is niet mee gesproken.	gemeld
Aanbesteding	Hangt af van de contractwaarde, en die is nog niet bekend.	nog onbekend

Wat is er geregeld

Verantwoordelijke	Niet benoemd.Voorstel: naam en functie, vast te stellen in de beslisnotitie. ……	gemeld
Wegvalscenario	Niet vastgelegd	gemeld

Wat de regels hierover zeggen. Onder de Data Act mag je als afnemer van een clouddienst overstappen, en vanaf 12 januari 2027 zonder overstapkosten. Dat recht gebruik je pas als je weet wat het contract zegt. Het rijksbreed cloudbeleid raadt de publieke cloud af voor e-mail en documentbeheer. Het is verplicht voor het Rijk, niet voor gemeenten; andere overheidsorganisaties wordt aangeraden het te volgen.

Microsoft AzureCloud en hosting, met de website en het klantcontactsysteem

Gevolg voor het werk

Werk dat ervan afhangt	Dienstverlening aan inwoners en interne bedrijfsvoering	gemeld
Een week zonder	Het werk kan beperkt door, met handwerk	gemeld

Hoe lastig is vervangen

Leverancier	Microsoft, Verenigde Staten. IaaS.	gemeld
Contract	Loopt af op 30 juni 2027, volgens de uitvoering. Het bestuur kende de datum niet.	gemeld
Verlenging	Onbekend.Vraag: verlengt het contract automatisch, en zo ja, met welke termijn? Antwoord: ……	nog onbekend
Gegevens terughalen	Volgens de opgave contractueel geregeld, met kosten voor het uitgaande dataverkeer tot 12 januari 2027. Niet getest.	gemeld
Open source	Het platform niet. De applicaties draaien op Linux en PostgreSQL. Dat maakt verhuizen makkelijker, maar het is niet getest.	gemeld
Alternatief	OVHcloud en STACKIT zijn in beeld. Er is niet mee gesproken.	gemeld
Aanbesteding	De contractwaarde ligt volgens de opgave boven de Europese drempel.	gemeld

Wat is er geregeld

Verantwoordelijke	Informatiemanager, zonder formeel mandaat	gemeld
Wegvalscenario	Niet vastgelegd	gemeld

Wat de regels hierover zeggen. De Data Act verplicht aanbieders van clouddiensten om een overstap binnen dertig dagen na de opzegtermijn mogelijk te maken, en aanbieders van IaaS om mee te werken aan functionele gelijkwaardigheid bij de nieuwe aanbieder. Overstapkosten vervallen vanaf 12 januari 2027. Microsoft 365 en Azure komen van dezelfde leverancier: een storing, prijsverhoging of geschil raakt beide.

ZaaksysteemOpen Zaak, gehost en beheerd door een Nederlandse partij

Gevolg voor het werk

Werk dat ervan afhangt	Vergunningen en handhaving, en het sociaal domein	gemeld
Een week zonder	Het werk ligt stil	gemeld

Hoe lastig is vervangen

Leverancier	Nederlandse hostingpartij. De software zelf is open source.	gemeld
Contract	Einddatum onbekend.Vraag: wanneer loopt het hostingcontract af, en wat staat erin over overdracht aan een andere partij? Antwoord: ……	nog onbekend
Gegevens terughalen	Via open standaarden (ZGW-API's). Het exportpad is volgens de opgave beschreven, maar niet getest.	gemeld
Open source	Ja. Een andere partij kan hosting en beheer overnemen zonder dat de software verandert.	gemeld
Alternatief	Drie andere hostingpartijen zijn bekend	gemeld
Aanbesteding	Alleen voor hosting en beheer. De software hoef je niet aan te besteden.	gemeld

Wat is er geregeld

Verantwoordelijke	Niet benoemd.Voorstel: naam en functie, vast te stellen in de beslisnotitie. ……	gemeld
Wegvalscenario	Niet vastgelegd	gemeld

Let op. Dat het zaaksysteem open source is, maakt wisselen van hostingpartij mogelijk. Het verandert niets aan het gevolg van uitval: valt de huidige partij een week weg, dan ligt het werk volgens de opgave stil. Vervangbaar is iets anders dan zonder gevolgen.

Geo-informatieQGIS en GeoServer, met open data van PDOK, in eigen beheer

Gevolg voor het werk

Werk dat ervan afhangt	Openbare ruimte, en vergunningen en handhaving	gemeld
Een week zonder	Het werk kan grotendeels door	gemeld

Hoe lastig is vervangen

Leverancier	Geen: eigen beheer	gemeld
Gegevens terughalen	Volgens de opgave gaat er maandelijks een volledige export naar GeoPackage. Dat die export terug te zetten is, is niet aangetoond.Vraag: wanneer is de export voor het laatst teruggezet, en waar staat het verslag? Antwoord: ……	nog onbekend
Open source	Ja	gemeld

Wat is er geregeld

Verantwoordelijke	Teamleider geo	gemeld
Kennis	Bij twee beheerders	gemeld
Wegvalscenario	Niet vastgelegd	gemeld

Let op. Hier zit de afhankelijkheid niet in een leverancier maar in twee mensen. Wat er gebeurt als zij allebei vertrekken, hoort ook in het wegvalscenario.

3Gespreksagenda voor bestuur en uitvoering

Bestuur en uitvoering deden de scan los van elkaar. Op vier van de vijf organisatievragen liepen de antwoorden uiteen. Dat is geen oordeel over wie gelijk heeft, maar een agenda voor één overleg. Gelijk beantwoord: of een export ooit is getest (beide nee).

Is er iemand in de leiding verantwoordelijk, met mandaat?Bestuur: jaUitvoering: deelsVraag voor het gesprek: wie is volgens ieder van jullie de eigenaar, en heeft die ook mandaat?

Is per belangrijke leverancier vastgelegd wat er gebeurt als die stopt?Bestuur: deelsUitvoering: neeVraag voor het gesprek: waar liggen die scenario's, en voor welke leveranciers?

Is bekend wat de contracten zeggen over opzeggen, verlengen en overstappen?Bestuur: jaUitvoering: weet ik nietVraag voor het gesprek: wie heeft de contracten hierop gelezen, en waar staat dat?

Is voor een belangrijk systeem ooit een alternatief verkend?Bestuur: deelsUitvoering: neeVraag voor het gesprek: met welke partij is gesproken, en staat dat ergens?

4Concepttekst voor de risicoanalyse

Over te nemen in je risicoanalyse voor de leveranciersketen. Elk onderdeel zegt zelf of het gemeld, gecontroleerd of voorgesteld is, zodat ook een los overgenomen stuk klopt.

Afhankelijkheid van ICT-leveranciers

Concept, stand 1 oktober 2026. Nog niet vastgesteld. Gemeld betekent: opgegeven in de scan of de aanvullende vragenlijst, niet getoetst aan documenten. Gecontroleerd betekent: gezien in een contract, document of test. Voorgesteld betekent: moet nog worden besloten.

Belangrijkste systemen gemeld

De organisatie heeft vier systemen benoemd die het belangrijkst zijn voor het werk: Microsoft 365, Microsoft Azure, het zaaksysteem (Open Zaak) en de geo-informatie (QGIS en GeoServer). Microsoft 365 en Azure komen van één leverancier buiten de EU/EER; een verstoring bij die leverancier raakt beide.

Gevolg van een week uitval gemeld

Zaaksysteem: het werk bij vergunningen en handhaving en in het sociaal domein ligt stil.
Microsoft 365 en Azure: het werk kan beperkt door, met handwerk.
Geo-informatie: het werk kan grotendeels door.

Contracten gemeld

Azure: loopt af op 30 juni 2027. De verlengingsregeling is niet bekend.
Microsoft 365 en zaaksysteem: de einddatum is niet bekend bij de uitvoering.
Geo-informatie: geen contract, eigen beheer.

Gecontroleerd

Nog niets. Geen van de punten hierboven is getoetst aan een contract of een uitgevoerde test.

Ontbrekende informatie nog onbekend

Einddatum, opzegtermijn en verlengingsregeling van de contracten voor Microsoft 365, Azure en het zaaksysteem.
Of gegevens uit de belangrijkste systemen volledig terug te halen zijn.
Of de lopende cloudcontracten de overstapbepalingen van de Data Act (Verordening (EU) 2023/2854) bevatten.

Maatregelen voorgesteld

Een verantwoordelijke in de leiding aanwijzen voor de afhankelijkheid van leveranciers, met mandaat.
Contracteindes, opzegtermijnen en verlengingsregelingen vastleggen in het contractregister.
Een export van het zaaksysteem testen en het resultaat vastleggen.
Per belangrijk systeem een wegvalscenario opstellen, te beginnen met het zaaksysteem.
Uiterlijk 26 november 2026 besluiten over het Azure-contract.
Deze analyse jaarlijks herhalen.

Deze tekst is een concept, opgesteld als input voor de risicoanalyse van de leveranciersketen onder de Cyberbeveiligingswet. Het is geen conformiteitsoordeel.

5Concept-beslisnotitie

Voor directie of bestuur. De voorgestelde besluiten zijn een begin; pas ze aan aan hoe besluitvorming bij jullie loopt.

Beslisnotitie: afhankelijkheid van ICT-leveranciers

Aandirectie of college ……Van……Datum……

Aanleiding gemeld

Ravensmeer heeft in kaart gebracht van welke ICT-leveranciers het werk afhangt. Als het zaaksysteem een week uitvalt, ligt het werk bij vergunningen en het sociaal domein stil. Van twee belangrijke systemen is de einddatum van het contract niet bekend, en het contract voor Microsoft Azure loopt op 30 juni 2027 af. Bestuur en uitvoering hebben op vier van de vijf vragen een verschillend beeld.

Voorgestelde besluiten voorgesteld

Een verantwoordelijke in de leiding aanwijzen voor de afhankelijkheid van leveranciers, met mandaat om een heronderhandeling of overstap voor te bereiden en het budget daarvoor aan te vragen.
Opdracht geven om binnen zestig dagen per belangrijk systeem een wegvalscenario op te stellen, te beginnen met het zaaksysteem.
Uiterlijk 26 november 2026 besluiten of het Azure-contract wordt verlengd met afspraken over overstappen, of opnieuw wordt uitgevraagd.
Deze analyse jaarlijks herhalen.

Overwegingen

Onder de Cyberbeveiligingswet moet het college de beveiligingsmaatregelen goedkeuren, ook die voor de leveranciersketen (art. 24 Cbw).
Een Europese aanbesteding kost al snel maanden. Wie na november besluit, heeft weinig ruimte voordat het Azure-contract afloopt.
Vanaf 12 januari 2027 mag een cloudleverancier geen overstapkosten meer rekenen. Dat versterkt de positie bij een verlenging.

Gevolgen

Financieel……Capaciteit……Risico als niet wordt beslotenHet Azure-contract wordt verlengd op de voorwaarden van de leverancier, en uitval van het zaaksysteem blijft onvoorbereid.

6Actielijst

Alle acties zijn voorstellen. Een actie is pas afgerond als het bewijsstuk er is. In het werkdocument houd je de status bij.

#	Actie	Voorgestelde verantwoordelijke	Termijn	Bewijsstuk	Status
1	Einddatum, opzegtermijn en verlengingsregeling van alle vier systemen ophalen	Inkoop	15 okt 2026	Bijgewerkt contractregister	Open
2	Verantwoordelijke in de leiding aanwijzen	Gemeentesecretaris	29 okt 2026	Besluit	Open
3	Export van het zaaksysteem testen in een testomgeving	Informatiemanager, met de beheerder	12 nov 2026	Testverslag, met wat ontbrak	Open
4	Wegvalscenario zaaksysteem op één A4	Teamleiders vergunningen en sociaal domein, met de informatiemanager	12 nov 2026	Vastgesteld scenario	Open
5	Contracten voor Microsoft 365 en Azure naast de afspraken in hoofdstuk 7 leggen	Inkoopjurist	19 nov 2026	Notitie met de verschillen	Open
6	Besluit over Azure: verlengen met afspraken of opnieuw uitvragen	Directie, voorbereid door inkoop	26 nov 2026	Besluit	Open
7	Scan opnieuw doen, bestuur en uitvoering apart	Informatiemanager	7 jan 2027	Nieuwe uitkomst	Open

7Vragen voor leveranciers en aandachtspunten voor inkoop

Vragen voor Microsoft, over Microsoft 365 en Azure

Wanneer lopen onze overeenkomsten af, wat is de opzegtermijn en verlengen ze automatisch?
Welke gegevens en configuraties kunnen we bij een overstap exporteren, in welk formaat en binnen welke termijn?
Welke kosten rekent u tot 12 januari 2027 voor een overstap, en hoe zijn die opgebouwd?
Wat gebeurt er na beëindiging met onze gegevens, en hoe lang bewaart u ze?

Vragen voor de hostingpartij van het zaaksysteem

Wanneer loopt het hostingcontract af, en wat is de opzegtermijn?
Hoe verloopt een overdracht aan een andere hostingpartij, en wat levert u daarbij op?
Welke hersteltijd geldt bij uitval, en wat gebeurt er bij uw faillissement?

Aandachtspunten voor een verlenging of nieuwe uitvraag

Niet juridisch gevalideerd en niet zonder toetsing bruikbaar als contracttekst. Bij elk punt staat of het uit de wet volgt of een eigen voorstel is.

OverstaptermijnenOpzegtermijn van hooguit twee maanden. Na opzegging rondt de leverancier de overstap binnen dertig dagen af, tenzij dat technisch aantoonbaar onmogelijk is.Volgt uit: Data Act, art. 25 (clouddiensten)

Exporteerbare gegevensHet contract beschrijft welke categorieën gegevens en digitale activa bij een overstap mee kunnen. Bij export krijg je ze in een gestructureerd, algemeen gebruikt en machineleesbaar formaat.Volgt uit: Data Act, art. 25 lid 2 en art. 30 lid 5 (clouddiensten)

Geen overstapkostenGeen kosten voor het overstappen. Tot 12 januari 2027 hooguit de directe kosten, zonder marge.Volgt uit: Data Act, art. 29 (clouddiensten)

Faillissement of overnameBinnen tien werkdagen een volledige export, en toegang tot de dienst tijdens de overgang. Broncode-escrow voor maatwerk.Eigen voorstel. Aanknopingspunt: de RDI adviseert afspraken over wat er met gegevens en middelen gebeurt bij contracteinde, faillissement of overname. De termijn en de escrow volgen niet uit de wet.

Open standaarden en open sourceOpen standaarden van de lijst 'pas toe of leg uit'. Bij gelijke geschiktheid de voorkeur voor open source, en maatwerk onder een open licentie.Eigen voorstel. Aanknopingspunt: de lijst 'pas toe of leg uit' van het Forum Standaardisatie.

8Hoe dit dossier is gemaakt

Automatisch gemaakt uit de scan van uitvoering en bestuur en een aanvullende vragenlijst van ongeveer een kwartier. De teksten volgen vaste regels: elk aandachtspunt komt voort uit een of meer antwoorden, en wat alleen voor de organisatie als geheel is gevraagd, staat niet als feit bij een systeem.

Niet gecontroleerd. Niemand heeft contracten, plannen of testverslagen bekeken. Een inhoudelijke controle hoort niet bij dit dossier. Wat jullie zelf nakijken, zetten jullie in het werkdocument op gecontroleerd, met het bewijsstuk erbij.

Geen oordeel over naleving van de Cyberbeveiligingswet, de Data Act of andere regels, en geen juridisch advies.

Bijlage: wettelijke onderbouwing en bronnen

Cyberbeveiligingswet, van kracht sinds 15 augustus 2026. Geldt voor onder meer gemeenten, provincies en waterschappen (art. 8). De zorgplicht omvat de beveiliging van de toeleveringsketen (art. 21 lid 3 onder d). Het Cyberbeveiligingsbesluit vraagt daarvoor vastgesteld beleid over afhankelijkheden van leveranciers, en periodieke toetsing van rechtstreekse leveranciers (art. 10). Het bestuur, bij een gemeente het college, moet de maatregelen goedkeuren. Bestuursleden moeten aantoonbaar voldoende kennis hebben, met een certificaat van een training; voor die kennis geldt een termijn van twee jaar (art. 24). Toezicht: de RDI voor het Rijk, gemeenten en provincies, de ILT voor waterschappen.

RDI over de toeleveringsketen. De toezichthouder adviseert per leverancier te bepalen wat het betekent als die wegvalt, en met belangrijke leveranciers af te spreken wat er met gegevens en middelen gebeurt bij contracteinde, faillissement of overname. Dat is een advies, geen wettekst.

Data Act (Verordening (EU) 2023/2854), van toepassing sinds 12 september 2025 (art. 50). Afnemers van clouddiensten hebben recht op overstap: opzegtermijn van hooguit twee maanden, daarna een overgang van hooguit dertig dagen (art. 25). Overstapkosten vervallen vanaf 12 januari 2027; tot dan alleen de directe kosten (art. 29).

Rijksbreed cloudbeleid, vastgesteld 3 juli 2026. Verplicht voor de rijksoverheid, met een overgangstermijn van vier jaar. Andere overheidsorganisaties wordt aangeraden het te volgen; het kabinet wil met de medeoverheden naar overheidsbreed cloudbeleid.

Bronnen: Cyberbeveiligingswet, Stb. 2026, 187; Cyberbeveiligingsbesluit, Stb. 2026, 189; RDI, Toeleveringsketen en cyberbeveiliging; Verordening (EU) 2023/2854; Kamerbrief Herziening Rijksbreed Cloudbeleid 2026, Kamerstuk 26 643, nr. 1541. Gecontroleerd op 9 oktober 2026.