Een concrete exit-strategie voor de cloud: "Heb ‘m op de plank liggen, getest en wel"

Het rommelt in de cloud-omgeving. De liefelijke blauwe lucht met zachte horizon heeft plaatsgemaakt voor een gure Amerikaanse wind met donkere wolken boven Europa. En dat betekent dat sinds Trump aan de macht is in Amerika, het belangrijk is voor bedrijven om hun cloudbeleid onder de loep te nemen. Rik van Berendonk, technisch directeur van OGD: “Zorg dat je een concrete exit-strategie op de plank hebt liggen, getest en wel.”

Mogelijke prijsstijgingen en data-inzage door de Amerikaanse overheid

Volgens Rik zijn er twee belangrijke redenen waarom de cloud momenteel onder druk staat, afhankelijk van hoe een organisatie ermee omgaat. "Ten eerste zien we een protectionistisch beleid onder Trump, wat kan leiden tot handelsconflicten en hogere importtarieven. Dit zou de kosten voor Amerikaanse clouddiensten in Europa flink kunnen verhogen. Bedrijven maken zich zorgen over de financiële stabiliteit en betrouwbaarheid van deze providers, vooral door de onvoorspelbare koers van de Amerikaanse overheid."

Verder is er de bezorgdheid dat de Amerikaanse overheid toegang kan krijgen tot de data van Europese bedrijven die gebruikmaken van Amerikaanse clouddiensten. Rik zegt: “Dit kan de vertrouwelijkheid en integriteit van bedrijfsdata in gevaar brengen. Voor bedrijven die werken met gevoelige informatie of staatsgeheimen, is dit een serieuze zorg."

En daarnaast is er in extreme gevallen de angst voor het platleggen van diensten door de Amerikaanse overheid. Rik: “In principe kan Trump met één druk op de knop al onze processen en data stilleggen. Het lijkt mij onwaarschijnlijk, maar in theorie kan het.”

Kom maar op met dat exit-scenario

Wat betekent dit concreet? “In ieder geval niet in paniek je spullen weghalen,” zegt Rik. “Maar het is wél onvermijdelijk dat je organisatie altijd een exit-scenario klaar heeft liggen. Zo kun je snel schakelen naar een alternatieve cloudprovider als het nodig is.”

Een exit-scenario is veel meer dan alleen een document; het moet getest en werkbaar zijn. Rik: “Door een exit-scenario ben je voorbereid op onverwachte veranderingen in kosten, beschikbaarheid of integriteit van clouddiensten. Met een goed doordacht en getest plan kun je continuïteit garanderen en risico’s beheersbaar houden.”

Zo’n scenario zou trouwens niets nieuws moeten zijn. In sectoren zoals de financiële dienstverlening is het al standaardpraktijk bij cloudmigraties. Ook binnen de Nederlandse overheid speelde dit al langer, maar nu is hier hernieuwde aandacht voor: er wordt opnieuw gekeken naar de risico’s van het onderbrengen van bepaalde diensten bij Amerikaanse cloudproviders.

Het stappenplan voor een solide cloud-exitstrategie

1. Identificeren van risico's

Start met het in kaart brengen van de zaken in je omgeving en de mogelijke risico’s die je organisatie daarmee loopt bij Amerikaanse cloudproviders. Denk aan technische, financiële en juridische risico’s.

Voorbeelden van risico’s:

• Kostenstijgingen door nieuwe importtarieven en protectionistische maatregelen.
• Data-soevereiniteit: de Amerikaanse overheid kan met de Cloud Act toegang eisen tot data van Europese bedrijven, en burgers. Dit heeft daarmee, naast de vertrouwelijkheid van de data ook impact op de privacy.
• Beschikbaarheid van diensten: De Amerikaanse overheid kan cloudproviders verplichten om bepaalde diensten te beperken. Dit gebeurde bijvoorbeeld bij de Amsterdam Trade Bank, een Nederlandse dochter van een Russische bank. Vanwege Amerikaanse sancties blokkeerde Microsoft de toegang tot essentiële softwaresystemen, waardoor de bank uiteindelijk failliet ging. Rik: “In dit geval was er een valide reden, maar wat als die ontbreekt?”

2. Evaluatie van kans en impact

Een risicoanalyse bestaat uit twee onderdelen: de kans dat het risico zich voordoet en de impact ervan op je bedrijfsvoering. Er zijn vier manieren om hier gestructureerd mee om te gaan, in de volgende volgorde: vermijden, verminderen, overdragen en accepteren.

• Vermijden: Je richt je processen zo in dat het risico niet meer speelt. Rik: “Bijvoorbeeld door geen gebruik te maken van Amerikaanse clouddiensten en te kiezen voor een Europese of lokale provider. Let op: dit is niet altijd haalbaar, omdat er niet voor alle diensten een volwaardig alternatief is. Bovendien ruil je bekende risico’s in voor nieuwe, zoals mogelijk verminderde functionaliteit.”
• Verminderen: Je verlaagt de impact of de kans op een risico. “Denk aan het gedeeltelijk opslaan van data in de Amerikaanse cloud, het maken van langetermijn-prijsafspraken om kostenstijgingen te beperken, of extra encryptie toepassen om datasoevereiniteit te waarborgen. Maar ook hier schuilen risico’s: encryptie kan bijvoorbeeld foutgevoelig zijn—wat als je de sleutel kwijtraakt?”
• Overdragen: Je verlegt het risico door bijvoorbeeld je clouddiensten via een lokale Managed Services Provider (MSP) af te nemen. Rik: “Deze MSP kan afspraken maken over prijsstijgingen en datasoevereiniteit. Als er dan problemen ontstaan bij de achterliggende cloudleverancier, is de MSP verantwoordelijk voor het beheer van deze risico’s.”
• Accepteren: Soms is vermijden of verminderen geen optie en moet je de risico’s accepteren. “Dit betekent dat je voorbereid bent op de gevolgen, bijvoorbeeld door financiële reserves aan te houden voor een kostenstijging of een alternatief achter de hand te hebben bij een storing. ”

“Een goed uitgewerkte risicoafweging helpt je organisatie te bepalen welke maatregelen je moet nemen om het risico te beheersen. En welke risico’s de meeste aandacht en middelen vereisen”, zegt Rik.

3. Alternatieven verkennen

Kijk naar andere cloudproviders en beoordeel deze op functionaliteit, betrouwbaarheid, kosten en compliance. Rik: “Bij IaaS is migratie relatief eenvoudig, maar bij PaaS en SaaS wordt het lastiger omdat je afhankelijk bent van specifieke technologieën van de provider.” Vendor lock-in is een uitdaging bij PaaS- en SaaS-diensten, wat overstappen complexer maakt. Bedrijven moeten vooraf hun afhankelijkheden in kaart brengen en exit-strategieën testen om onaangename verrassingen te voorkomen.

"Er zijn veel goede Europese alternatieven," zegt Rik. "Maar om de beste match te vinden, is grondig onderzoek nodig. Er zijn maar weinig bedrijven die complete dienstenpakketten aanbieden, zoals we dat gewend zijn van Microsoft, AWS en Google. Voorlopig gaat het dus om het vinden van passende deeloplossingen voor specifieke taken en bedrijfsprocessen. We doen hier bij OGD zelf uitgebreid onderzoek naar en testen verschillende opties. Dit doen we graag samen met onze klanten."

De grote Amerikaanse cloudproviders staan bekend om hun gebruiksvriendelijkheid. Wordt dat nog een probleem als organisaties overstappen naar Europese providers?

Rik verwacht van niet. “Mensen zijn uiteindelijk toch flexibele wezens”, zegt hij. “We passen ons gaandeweg aan nieuwe interfaces en besturingssystemen aan, zoals we dat al doen met Windows, Mac en Linux. Bovendien zal gebruiksvriendelijkheid zich snel ontwikkelen, zeker als er meer investeringen in de Europese cloudmarkt komen. Een grondig adoptietraject is hier wel belangrijk bij, om mensen mee te nemen in nieuwe manieren van werken.”

Extra tip: bekijk hier een lijst met 100% Europese cloudaanbieders.

4. Testen van alternatieven

Een alternatieve provider kiezen is niet genoeg, je moet ook testen of deze voldoet aan de eisen.

Zo'n test houdt dan in dat je een pilot doet voor een bepaald bedrijfsonderdeel of –proces, om te kijken of het ook echt werkt zoals ‘in de folder stond’. Dat begint met een analyse op de volgende onderdelen:

• Kostenanalyse: Is de overstap financieel haalbaar?
• Contractuele evaluatie: Wat zijn de juridische en financiële gevolgen van overstappen?
• Functioneel testen: Werken alle benodigde applicaties en services?
• Technische integratie: Zijn databases en applicaties compatibel?
• Continuïteit en beschikbaarheid: Is de nieuwe provider net zo betrouwbaar als de huidige?

Rik: “Een pilot of Proof-of-Concept (PoC) is nodig om te kunnen zien of de nieuwe oplossing in de praktijk ook echt werkt zoals verwacht. En met een gecontroleerde pilot houd je de scope klein en beheersbaar. Mocht het toch niet voldoen, dan is er geen man overboord. Je kunt eenvoudig bijsturen of een alternatieve aanpak kiezen, zonder dat dit grote gevolgen heeft voor de organisatie.”

5. Impact op bedrijfsprocessen beoordelen

Mocht een eerste test geslaagd zijn, dan is het tijd om te bekijken hoe de nieuwe cloudomgeving impact heeft op de bedrijfsprocessen.

Belangrijke aandachtspunten zijn:

• Kritieke applicaties en services identificeren: Welke systemen moeten altijd beschikbaar blijven?
• Performance en compatibiliteit testen: Werken applicaties net zo snel en stabiel?
• Compliance en security: Voldoet de nieuwe provider aan GDPR, NIS2 en andere regelgeving?
• Schaalbaarheid en flexibiliteit: Kan de provider meegroeien met de organisatie?

6. Exit-scenario uitwerken

Op basis van de testresultaten stel je een gedetailleerd exitplan op.

Per organisatie en type migratie verschilt dit, maar een aantal basisonderdelen zijn altijd nodig:

• welke stappen nodig zijn voor een soepele migratie;
• hoe je data en applicaties overzet;
• welke downtime of verstoringen er mogelijk optreden.

Rik: “Met een goed exit-scenario hoef je geen paniekvoetbal te spelen als er echt iets verandert.”

7. Exit-scenario testen

Een plan op papier is niet genoeg; het moet ook in de praktijk getest worden. Rik: “De functionaliteit van cloud- en SaaS-aanbieders ontwikkelt zich continu, dat betekent dat het scenario dat je vorig jaar uitgewerkt en getest had, nu misschien niet meer volledig werkt.”

• Test een (gedeelte van de) overstap naar een andere cloudprovider.
• Oefen met de infra- en applicatieteams zodat iedereen weet wat te doen bij een overstap naar een andere cloudprovider.
• Doe dit samen met een kleine groep van je gebruikers, zodat je niet de hele organisatie ermee belast.

Dat betekent in de praktijk niet dat je elk jaar een volledige cloud-exit uitvoert, het gaat erom dat de exit-strategie daadwerkelijk haalbaar en uitvoerbaar blijft, door deze periodiek te testen.

8. Continu monitoren en bijwerken

Een exit-strategie is dan ook geen eenmalig document, maar een levend plan dat je regelmatig evalueert en bijwerkt.

• Blijf marktontwikkelingen volgen: Nieuwe providers en technologieën kunnen betere alternatieven bieden, en het aanbod van huidige providers ontwikkelt zich continu.
• Houd rekening met veranderende wetgeving: Compliance-eisen veranderen constant, onder andere als gevolg van (geo)politieke ontwikkelingen. Dit proces duurt normaal gesproken jaren voordat een Europese verordening wordt omgezet in een Nederlandse wet en van kracht wordt, maar de afgelopen twee maanden is dit aanzienlijk versneld door de toegenomen urgentie.
• Voer periodiek risicoanalyses en tests uit: Zorg dat het een levend plan is, dat recent getest is en actueel blijft. Een grote valkuil is de illusie van zekerheid: denken dat je een eenmaal opgesteld exitplan nooit meer hoeft bij te werken. Dus hou het plan up-to-date en test het regelmatig.

Het is heus niet alleen maar kommer en kwel 

Door de veranderende geopolitieke situatie is het geen optie om weg te kijken van de wolken. “Die exit-strategie is wat je moet hebben”, zegt Rik stellig. “Maar”, zegt hij ook, “Laten we vooral niet pessimistisch zijn. De huidige geopolitieke situatie biedt ook een kans voor innovatie en vernieuwing in de Europese ict-markt.”

“De situatie zal ook nieuwe spelers en startups opleveren om innovatieve producten en diensten te ontwikkelen”, zegt hij nuchter. En dan stellig: “Ik geloof dat deze dynamiek uiteindelijk zal leiden tot een breder aanbod van cloudoplossingen, wat de concurrentie bevordert en de kwaliteit van de dienstverlening verbetert.”

De exit-formule: zo maak je je cloudstrategie klaar voor de toekomst

Een exit-strategie ontwikkelen betekent niet alleen bescherming tegen risico’s, maar ook voorbereid zijn op de toekomst. Door zorgvuldig risico’s te identificeren, alternatieven te verkennen en een goed getest exit-scenario op te stellen, zorg je ervoor dat je organisatie altijd wendbaar blijft.

Meer weten over de cloud?

• Wolken boven Europa: zo maak je je cloudstrategie stormbestendig
• De 5 belangrijkste vragen beantwoord over de sovereign cloud

Wil je meer weten over hoe je jouw cloudstrategie verder kunt versterken? Neem contact op met ons voor een adviesgesprek.