Vendor lock-in en exitstrategie

Vendor lock-in betekent dat overstappen naar een andere leverancier meer kost of meer risico geeft dan de organisatie kan dragen. Het zit zelden op één plek. Bij gemeentelijke software gaat het in de praktijk om vier lagen.

• Data. De gegevens staan in een eigen opslagmodel en zijn alleen via de applicatie leesbaar, of de export laat relaties, geometrie of bijlagen weg.
• Functionaliteit. Processen, rapporten en formulieren zijn in een gesloten omgeving ingericht en bestaan nergens anders.
• Kennis en licenties. Alleen de leverancier kan de software beheren, of de licentie staat overdracht aan een gemeenschappelijke regeling niet toe.
• Contract en prijs. Lange looptijden, stilzwijgende verlenging of kosten voor het ophalen van uw eigen gegevens maken weggaan duur.

Lock-in is dus geen eigenschap van een bepaald type software. Open source is geen garantie, want een open-sourcepakket met een eigen datamodel zonder documentatie bindt ook. Omgekeerd kan gesloten software goed te verlaten zijn als het contract de uitgang regelt. Daarom is de eerste vraag niet welk product, maar wat er bij beëindiging moet kunnen.

Deze pagina gaat over die uitgang. De eisen voor één categorie software staan uitgewerkt op de pagina over de aanbesteding van een GIS-viewer; de afweging tussen pakket en bouwen staat bij maatwerk of standaard software.

Een gemeente die de Gemeentelijke Inkoopvoorwaarden bij IT (GIBIT) 2025 van de VNG gebruikt, heeft de exit al geregeld in artikel 29, "Exit-plan, overstap, beperkte voortzetting, overdracht en verlengd gebruik". De kern van de overstapbepaling luidt:

Leverancier doet bij het, op welke grond ook, beëindigen van de Overeenkomst(en) op eerste verzoek van Opdrachtgever datgene wat redelijkerwijs noodzakelijk is om ervoor te zorgen dat een nieuwe leverancier of Opdrachtgever zelf zonder belemmeringen een soortgelijke ICT Prestatie ten behoeve van Opdrachtgever kan verrichten (zulks met uitzondering van de afgifte van de broncode van de Programmatuur).

Bron: GIBIT 2025, artikel 29 lid 5 (VNG, pdf met de artikelen). De uitzondering voor de broncode is belangrijk: de GIBIT geeft u bij gesloten software een recht op medewerking en gegevens, geen recht op de code. Wilt u dat laatste, dan moet het contract het apart regelen.

De GIBIT is geen kant-en-klaar contract. Wie een eigen inkoopvoorwaarde gebruikt, moet deze onderdelen zelf opnemen. Controleer ook of de leverancier de GIBIT-bepalingen onverkort accepteert, want afwijkingen in de offerte of in een bijlage gaan vaak ten koste van precies deze artikelen.

De Data Act (Verordening (EU) 2023/2854) geldt sinds 12 september 2025 (artikel 50) en bevat in hoofdstuk VI regels voor het overstappen tussen dataverwerkingsdiensten. Dat zijn cloud-, platform- en softwarediensten die op afstand worden geleverd. Voor een gemeente die een SaaS-viewer of cloudhosting afneemt, is dit een wettelijke ondergrens onder het contract.

Artikel 25 verplicht de aanbieder om de rechten bij overstappen schriftelijk vast te leggen. Lid 1 luidt:

"De rechten van de klant en de verplichtingen van de aanbieder van dataverwerkingsdiensten met betrekking tot het overstappen naar andere aanbieders van dergelijke diensten of, indien van toepassing, naar een on-premises-ICT-infrastructuur worden duidelijk vastgelegd in een schriftelijk contract."

Bron: Verordening (EU) 2023/2854, artikel 25 lid 1, Nederlandse tekst in het Publicatieblad, gelezen op 11 oktober 2026. Het contract bevat minimaal de onderstaande elementen.

Over de kosten bepaalt artikel 29 dat aanbieders vanaf 12 januari 2027 geen overstapkosten meer in rekening mogen brengen. Tot die datum mogen verlaagde kosten, maximaal gelijk aan de kosten die de aanbieder direct maakt voor die overstap. Standaard servicevergoedingen en boetes voor vroegtijdige beëindiging vallen volgens de definitie niet onder "overstapkosten", dus ook na januari 2027 kan een looptijdclausule u geld kosten. Let daarom op de looptijd en de opzegvoorwaarden naast de overstapregeling.

Dataportabiliteit gaat over twee vragen: welke gegevens krijgt u mee en in welke vorm. De Data Act spreekt van "exporteerbare data": invoer- en uitvoerdata, inclusief metadata, die door uw gebruik van de dienst zijn gegenereerd, met uitzondering van gegevens die door intellectuele eigendomsrechten of een bedrijfsgeheim van de aanbieder of derden zijn beschermd. De aanbieder mag categorieën data die specifiek zijn voor de interne werking van de dienst uitzonderen, mits dat de overstap niet belemmert en in het contract staat.

De GIBIT is op dit punt concreter over de vorm: een algemeen leesbaar elektronisch bestandsformaat, plus documentatie die de datamodellen juist, volledig en gedetailleerd beschrijft. Voor geo-informatie is "algemeen leesbaar" te vertalen naar open standaarden. Een kaartlaag exporteert u bijvoorbeeld als GeoPackage, een service ontsluit u via WFS of OGC API Features, en metadata beschrijft u volgens ISO 19115 of DCAT-AP-NL.

Controleer drie dingen die in een export vaak ontbreken: relaties tussen tabellen (zoals koppelingen tussen meldingen en objecten), bijlagen en documenten, en de herkomst of historie van wijzigingen. Een export die alleen de laatste stand geeft, bewaart niet wat u wettelijk moet kunnen aantonen. Zet daarom in de exit-eisen niet alleen "export in open formaat", maar ook een lijst van de entiteiten, velden en bijlagen die erin zitten.

Een exitplan dat nooit is beproefd, is een aanname. Artikel 29 lid 3 van de GIBIT noemt de mogelijkheid zelf: partijen kunnen het plan evalueren door de werkzaamheden geheel of gedeeltelijk te simuleren of daadwerkelijk uit te voeren. Een praktische proef bestaat uit de volgende stappen.

1. Leg vast welke data en configuratie de exit moet omvatten, per systeem en per koppeling.
2. Vraag een volledige export aan bij de leverancier, op het moment dat het contract dat toestaat.
3. Laad die export in een lege testomgeving, bijvoorbeeld een PostGIS-database of een ander open systeem, en controleer aantallen, geometrie en relaties.
4. Meet hoe lang het duurde en wat handwerk vroeg, en vergelijk dat met de termijnen in het exitplan.
5. Noteer de afwijkingen, laat de leverancier ze herstellen of bevestigen, en plan de volgende test, bijvoorbeeld jaarlijks bij het bijwerken van het plan.

Zo'n proef levert ook inzicht voor de volgende uitvraag: u weet dan wat een realistische overstaptijd is en welke eisen niet haalbaar bleken. Bij een wissel van GIS-software is dit de basis van een migratieplan; zie ook ArcGIS naar open source voor de technische kant daarvan.

Welke maatregel zwaar weegt, hangt af van hoe de software wordt geleverd.

Twee kanttekeningen. Ten eerste: artikel 31 lid 1 van de Data Act ontheft diensten die grotendeels op maat voor één klant zijn gebouwd en niet op grote commerciële schaal worden aangeboden van artikel 23 onder d, artikel 29 en artikel 30 leden 1 en 3, zodat voor echt maatwerk de wettelijke overstapregels deels niet gelden; de aanbieder moet dat vóór het contract melden (lid 3). Voor maatwerk is het contract dus de enige bescherming. Ten tweede: de Europese Commissie diende op 19 november 2025 het voorstel Omnibus Digitaal in (COM(2025)837), dat de Data Act wijzigt. In het verslag van de rapporteurs van de Eerste Kamer (Kamerstuk 36 890, Y, vastgesteld 18 mei 2026) waarschuwt de ACM dat cloudaanbieders zich "mogelijk vaker op maatwerkafspraken beroepen" en dat langlopende contracten door overgangs- of uitzonderingsbepalingen buiten verplichtingen kunnen vallen. Het voorstel was op 11 oktober 2026 niet vastgesteld; behandel die wijzigingen als voorlopig en controleer de actuele tekst.

Open source verlaagt de lock-in op code, niet automatisch op kennis en data. Hoe de overheid daar mee omgaat, staat op de pagina over open source bij de overheid en de EUPL. Over de locatie van de data en de zeggenschap daarover gaat EU-cloud voor overheidsdata.

Een onafhankelijke review van contract en architectuur kan de exit-eisen toetsbaar maken: welke data, welk formaat, welke termijn, welke test. Dat is wat technologie- en softwareadvies bij TechinFlow omvat, en de afspraken over wat er bij maatwerk software wordt opgeleverd, want daar hangt de exit af van code en documentatie. Belangenverklaring: TechinFlow levert zelf software en advies, met de focus op overheden, en kan dus belang hebben bij een overstap naar een eigen oplossing. Daarom staan de bronnen hierboven vrij toegankelijk en zijn de eisen zo geformuleerd dat elke leverancier ze kan beantwoorden.

Deze pagina is geen juridisch advies. Voor de uitleg van GIBIT-artikelen in een concreet contract en voor de toepassing van de Data Act op uw leverancier hoort een jurist of inkoopadviseur mee te kijken. Meer over de gemeentelijke context staat op de sectorpagina gemeenten.