Een concrete exit-strategie voor de cloud: "Heb ‘m op de plank liggen, getest en wel"

Het rommelt in de cloud-omgeving. De liefelijke blauwe lucht met zachte horizon heeft plaatsgemaakt voor een gure Amerikaanse wind met donkere wolken boven Europa. 

Dat betekent dat het belangrijk is voor bedrijven om hun cloudbeleid onder de loep te nemen. Mijn advies: zorg dat je een concrete exit-strategie op de plank hebt liggen, getest en wel.

Mogelijke prijsstijgingen en data-inzage door de Amerikaanse overheid

Er zijn twee belangrijke redenen waarom de cloud momenteel onder druk staat. Ten eerste zien we een protectionistisch beleid onder Trump, wat hier en daar al leidt tot handelsconflicten en hogere importtarieven. Dit zou de kosten voor Amerikaanse clouddiensten in Europa flink kunnen verhogen. Bedrijven maken zich zorgen over de financiële stabiliteit en betrouwbaarheid van deze providers, vooral door de onvoorspelbare koers van de Amerikaanse overheid.

Verder is er de bezorgdheid dat de Amerikaanse overheid toegang kan krijgen tot de data van Europese bedrijven die gebruikmaken van Amerikaanse clouddiensten. Dit kan de vertrouwelijkheid en integriteit van bedrijfsdata in gevaar brengen. Voor bedrijven die werken met gevoelige informatie of staatsgeheimen, is dit een serieuze zorg.

En daarnaast is er in extreme gevallen de angst voor het platleggen van diensten door de Amerikaanse overheid. In principe kunnen zij met één druk op de knop al onze processen en data stilleggen. Het is onwaarschijnlijk, maar in theorie kan het.

Kom maar op met dat exit-scenario

Wat betekent dit concreet? In ieder geval niet dat je in paniek overal je data weg moet halen. Maar het is wél belangrijk dat je organisatie continu een exit-scenario klaar heeft liggen. Zo kun je snel schakelen naar een alternatieve cloudprovider als het nodig is.

Een exit-scenario is veel meer dan alleen een document; het moet getest en werkbaar zijn. Met een exit-scenario ben je voorbereid op onverwachte veranderingen in kosten, beschikbaarheid of integriteit van clouddiensten. Met een goed doordacht en getest plan kun je continuïteit garanderen en risico’s beheersbaar houden.

Zo’n scenario zou trouwens niets nieuws moeten zijn. In sectoren zoals de financiële dienstverlening is het al standaardpraktijk bij cloudmigraties. Ook binnen de Nederlandse overheid speelde dit al langer, maar nu is hier hernieuwde aandacht voor: er wordt opnieuw gekeken naar de risico’s van het onderbrengen van bepaalde diensten bij Amerikaanse cloudproviders.

Het stappenplan voor een solide cloud-exitstrategie

1. Identificeren van risico's

Start met het in kaart brengen van de zaken in je omgeving en de mogelijke risico’s die je organisatie daarmee loopt bij Amerikaanse cloudproviders. Denk aan technische, financiële en juridische risico’s.

Voorbeelden van risico’s:

• Kostenstijgingen door nieuwe importtarieven en protectionistische maatregelen.
• Data-soevereiniteit: de Amerikaanse overheid kan met de Cloud Act toegang eisen tot data van Europese bedrijven, en burgers. Dit heeft impact op de privacy en de vertrouwelijkheid van de data.
• Beschikbaarheid van diensten: De Amerikaanse overheid kan cloudproviders verplichten om bepaalde diensten te beperken. Dit gebeurde eerder bijvoorbeeld bij de Amsterdam Trade Bank, een Nederlandse dochter van een Russische bank. Vanwege Amerikaanse sancties blokkeerde Microsoft de toegang tot essentiële softwaresystemen, waardoor de bank uiteindelijk failliet ging. In dit geval was er een valide reden, maar wat als die ontbreekt?

2. Evaluatie van kans en impact

Het vervolg van je risicoanalyse bestaat uit twee onderdelen: je bekijkt welke kans er is dat een risico zich voordoet en wat de impact daarvan zou zijn op je bedrijfsvoering. Per risico bepaal je wat de beste manier is om hier mee om te gaan: vermijden, verminderen, overdragen of accepteren.

• Vermijden: Je richt je processen zo in dat het risico niet meer speelt. Bijvoorbeeld door geen gebruik te maken van Amerikaanse clouddiensten en te kiezen voor een Europese of lokale provider. Let op: dit is niet altijd haalbaar, omdat er niet voor alle diensten een volwaardig alternatief is. Bovendien ruil je bekende risico’s in voor nieuwe, zoals mogelijk verminderde functionaliteit.
• Verminderen: Je verlaagt de impact of de kans op een risico. Denk aan het gedeeltelijk opslaan van data in de Amerikaanse cloud, het maken van langetermijn-prijsafspraken om kostenstijgingen te beperken, of extra encryptie toepassen om datasoevereiniteit te waarborgen. Maar ook hier schuilen risico’s: encryptie kan bijvoorbeeld foutgevoelig zijn—wat als je de sleutel kwijtraakt?
• Overdragen: Je verlegt het risico door bijvoorbeeld je clouddiensten via een lokale Managed Services Provider (MSP) af te nemen. Deze MSP kan afspraken maken over prijsstijgingen en datasoevereiniteit. Als er dan problemen ontstaan bij de achterliggende cloudleverancier, is de MSP verantwoordelijk voor het beheer van deze risico’s.
• Accepteren: Soms is vermijden of verminderen geen optie en moet je de risico’s accepteren. Dit betekent dat je voorbereid bent op de gevolgen, bijvoorbeeld door financiële reserves aan te houden voor een kostenstijging of een alternatief achter de hand te hebben bij een storing.

Een goed uitgewerkte risicoafweging helpt je organisatie te bepalen welke maatregelen je moet nemen om het risico te beheersen. En welke risico’s de meeste aandacht en middelen vereisen.

3. Alternatieven verkennen

Kijk naar andere cloudproviders en beoordeel deze op functionaliteit, betrouwbaarheid, kosten en compliance. Bij IaaS is migratie relatief eenvoudig. Maar bij PaaS en SaaS heb je eerder te maken met een vendor lock-in, doordat je afhankelijk bent van specifieke technologieën van de provider. Dat maakt overstappen complexer.

Breng daarom vooraf je afhankelijkheden in kaart en test exit-strategieën om onaangename verrassingen te voorkomen.

Er zijn veel goede Europese alternatieven. Maar om de beste match te vinden, is grondig onderzoek nodig. Er zijn maar weinig bedrijven die complete dienstenpakketten aanbieden, zoals we dat gewend zijn van Microsoft, AWS en Google.

Voorlopig gaat het dus om het vinden van passende deeloplossingen voor specifieke taken en bedrijfsprocessen. We doen hier bij OGD zelf uitgebreid onderzoek naar en testen verschillende opties, samen met onze klanten.

Gebruiksvriendelijkheid van de Europese providers

De grote Amerikaanse cloudproviders staan bekend om hun gebruiksvriendelijkheid. Veel mensen vragen zich af of dat ook geldt voor Europese providers.

Mijn indruk: De gebruiksvriendelijkheid is in veel gevallen minimaal voldoende. En mensen zijn flexibele wezens: als het nodig is passen we ons gaandeweg aan nieuwe interfaces en besturingssystemen aan. Zoals we dat nu doen met Windows, Mac en Linux, en allerlei nieuwe software.

Bovendien zal de gebruiksvriendelijkheid van Europese alternatieven zich snel ontwikkelen, zeker als er meer investeringen in de Europese cloudmarkt komen. Maar wat wel belangrijk is: een goed uitgedacht adoptietraject, om medewerkers op maat mee te nemen in de nieuwe manier van werken.

Extra tip: bekijk hier een lijst met 100% Europese cloudaanbieders.

4. Testen van alternatieven

Een alternatieve provider kiezen is niet genoeg, je moet ook testen of deze voldoet aan de eisen.

Zo'n test houdt in dat je een pilot doet voor een bepaald bedrijfsonderdeel of –proces, om te kijken of het ook echt werkt zoals ‘in de folder stond’. Dat begint met een analyse op de volgende onderdelen:

• Kostenanalyse: Is de overstap financieel haalbaar?
• Contractuele evaluatie: Wat zijn de juridische en financiële gevolgen van overstappen?
• Functioneel testen: Werken alle benodigde applicaties en services?
• Technische integratie: Zijn databases en applicaties compatibel?
• Continuïteit en beschikbaarheid: Is de nieuwe provider net zo betrouwbaar als de huidige?

Een pilot of Proof-of-Concept (PoC) is nodig om te kunnen zien of de nieuwe oplossing in de praktijk ook echt werkt zoals verwacht. En met een gecontroleerde pilot houd je de scope klein en beheersbaar. Mocht het toch niet voldoen, dan is er geen man overboord. Je kunt eenvoudig bijsturen of een alternatieve aanpak kiezen, zonder dat dit grote gevolgen heeft voor de organisatie.

5. Impact op bedrijfsprocessen beoordelen

Mocht een eerste test geslaagd zijn, dan is het tijd om te bekijken hoe de nieuwe cloudomgeving impact heeft op de bedrijfsprocessen.

Belangrijke aandachtspunten zijn:

• Kritieke applicaties en services identificeren: Welke systemen moeten altijd beschikbaar blijven?
• Performance en compatibiliteit testen: Werken applicaties net zo snel en stabiel?
• Compliance en security: Voldoet de nieuwe provider aan GDPR, NIS2 en andere regelgeving?
• Schaalbaarheid en flexibiliteit: Kan de provider meegroeien met de organisatie?

6. Exit-scenario uitwerken

Op basis van de testresultaten stel je een gedetailleerd exitplan op.

Per organisatie en type migratie verschilt dit, maar een aantal basisonderdelen zijn altijd nodig:

• welke stappen nodig zijn voor een soepele migratie;
• hoe je data en applicaties overzet;
• welke downtime of verstoringen er mogelijk optreden.

Met een goed exit-scenario hoef je geen paniekvoetbal te spelen als er echt iets verandert.

7. Exit-scenario testen

Een plan op papier is niet genoeg; het moet ook in de praktijk getest worden. De functionaliteit van cloud- en SaaS-aanbieders ontwikkelt zich continu, dat betekent dat het scenario dat je vorig jaar uitgewerkt en getest had, nu misschien niet meer volledig werkt.

• Test een (gedeelte van de) overstap naar een andere cloudprovider.
• Oefen met de infra- en applicatieteams zodat iedereen weet wat te doen bij een overstap naar een andere cloudprovider.
• Doe dit samen met een kleine groep van je gebruikers, zodat je niet de hele organisatie ermee belast.

Dat betekent in de praktijk niet dat je elk jaar een volledige cloud-exit uitvoert, het gaat erom dat de exit-strategie daadwerkelijk haalbaar en uitvoerbaar blijft, door deze periodiek te testen.

8. Continu monitoren en bijwerken

Een exit-strategie is dan ook geen eenmalig document, maar een levend plan dat je regelmatig evalueert en bijwerkt.

• Blijf marktontwikkelingen volgen: Nieuwe providers en technologieën kunnen betere alternatieven bieden, en het aanbod van huidige providers ontwikkelt zich continu.
• Houd rekening met veranderende wetgeving: Compliance-eisen veranderen constant, onder andere als gevolg van (geo)politieke ontwikkelingen. Dit proces duurt normaal gesproken jaren voordat een Europese verordening wordt omgezet in een Nederlandse wet en van kracht wordt, maar de afgelopen tijd is dit aanzienlijk versneld door de toegenomen urgentie.
• Voer periodiek risicoanalyses en tests uit: Zorg dat het een levend plan is, dat recent getest is en actueel blijft. Een grote valkuil is de illusie van zekerheid: denken dat je een eenmaal opgesteld exitplan nooit meer hoeft bij te werken. Dus hou het plan up-to-date en test het regelmatig.

Een kans voor innovatie en vernieuwing in Europese ict-markt 

Het is geen optie meer om weg te kijken van de wolken boven ons hoofd: die exit-strategie moet je hebben. Maar laten we vooral niet pessimistisch zijn. De huidige geopolitieke situatie biedt ook een kans voor innovatie en vernieuwing in de Europese ict-markt.

Dit zal nieuwe spelers en startups opleveren om innovatieve producten en diensten te ontwikkelen. Ik geloof dat deze dynamiek uiteindelijk zal leiden tot een breder aanbod van cloudoplossingen, wat de concurrentie bevordert en de kwaliteit van de dienstverlening verbetert.

De exit-formule: zo maak je je cloudstrategie klaar voor de toekomst

Een exit-strategie ontwikkelen betekent niet alleen bescherming tegen risico’s, maar ook voorbereid zijn op de toekomst. Door zorgvuldig risico’s te identificeren, alternatieven te verkennen en een goed getest exit-scenario op te stellen, zorg je ervoor dat je organisatie altijd wendbaar blijft.

Meer weten over de cloud?

• De compleet Europese werkplek - "Het kan wel, begin gewoon" 
• Wolken boven Europa: zo maak je je cloudstrategie stormbestendig
• De 5 belangrijkste vragen beantwoord over de sovereign cloud

Wil je meer weten over hoe je jouw cloudstrategie verder kunt versterken? Neem contact op met ons voor een adviesgesprek.