Er is geen alternatief. Wat betekent dat voor uw regie?
Bij een kernsysteem zonder reëel alternatief verschuift regie van vertrekken naar vastleggen, beheersen en accepteren.
Regie betekent niet alleen kunnen vertrekken. Bij sommige kernsystemen, zoals een dominant EPD, ECD, identity-platform of hostingpartij, is een alternatief binnen een zinvolle termijn niet realistisch. Overstappen kost jaren of alternatieven bieden simpelweg niet dezelfde kwaliteit. Regie verschuift dan naar drie andere zaken: vastleggen wat wel afdwingbaar is, formeel accepteren wat u niet kunt wegnemen, en investeren in continuïteit die niet van medewerking van de leverancier afhangt.
Praktijkvoorbeelden
De leverancier vertrekt, niet de klant
Leverancier PinkRoccade Healthcare haalt MijnCaress uit de markt. In de gehandicaptenzorg is het al volledig verdwenen uit de grootste organisaties, in de ouderenzorg gebruiken nog zes van de honderd grootste instellingen het systeem als cliëntdossier, en ook daar loopt een heroriëntatie. Organisaties die in deze situatie zitten kozen niet zelf het moment van vertrek, maar worden gedwongen tot een migratie.
76 procent van de ziekenhuizen op één EPD
ChipSoft levert HiX aan 76% van de Nederlandse ziekenhuizen, tegen 71% twee jaar eerder; Epic volgt met 16%, Nexus met 8%. SAP/Cerner is volledig uit de markt verdwenen. Dat ChipSoft Nederlands is, verandert niets aan het risico: concentratie bepaalt de onderhandelingspositie, niet de vestigingsplaats.
Verder dan de norm
De norm eist continuïteit, geen exitgarantie
NEN 7510-2 verplicht beveiliging in leveranciersrelaties en continuïteitsafspraken (maatregelen 5.19 en 5.30), maar niet dat u een geoefend, tijdig uitvoerbaar alternatief achter de hand heeft. U kunt dus volledig voldoen aan de norm en toch geen praktische route naar een andere leverancier hebben binnen een zinvolle termijn.
De Data Act helpt, maar niet overal
Sinds 12 september 2025 verplicht hoofdstuk VI van de Data Act een opzegtermijn van maximaal 2 maanden, gevolgd door een overgangsperiode. Deze periode is in beginsel maximaal 30 dagen, met overstapkosten die tot nul aflopen vanaf 12 januari 2027 (art. 25 en 29 Data Act). Die 30 dagen zijn verlengbaar wanneer de overstap technisch niet binnen die termijn haalbaar is, en ook op verzoek van de klant. Reken er dus niet mee als harde planningsdatum. De bepalingen gelden voor clouddiensten. Voor een volledig op maat toegewezen of op locatie geïnstalleerd systeem geldt dit doorgaans niet. Vraag dit per systeem na, ga er niet van uit.
Het vertrek van de leverancier zelf valt buiten het toezicht
Dezelfde continuïteitseis regelt uw bedrijfscontinuïteit, niet die van de leverancier. Staakt een leverancier zelf een product, dan is dat geen beveiligingsincident en dus ook geen auditbevinding, ook niet bij een marktleider.
Veelvoorkomende misvattingen
Risico accepteren is hetzelfde als het negeren.
Formele acceptatie heeft een eigenaar, een scenario en een hersteldatum; negeren heeft geen van drieën.
Onze exitparagraaf regelt dit al.
Een opzegtermijn zegt niets over dataformaat, sleutelbeheer of wie de migratie betaalt.
We zijn strategisch partner van deze leverancier, dus wij krijgen voorrang.
Bij schaarste, een prijsherziening of een productbeëindiging bepaalt uw contract wat u krijgt, niet de relatie met uw accountmanager.
Aan de slag
Aanbevelingen
- Identificeer wanneer u de sterkste positie heeft, zoals contractverlenging of een nieuwe module, en bewaar uw eisen tot dat moment. Buiten deze momenten kost onderhandelen vooral inspanning zonder resultaat.
- Test uw exportrecht jaarlijks door daadwerkelijk een gestructureerd, machineleesbaar bestand op te vragen en te openen, niet alleen op papier vast te leggen.
- Leg formele risicoacceptatie vast voor wat u niet kunt beheersen: eigenaar, scenario, hersteltermijn en een vaste herzieningsdatum.
- Verschuif budget dat u zou besteden aan de voorbereidingen voor een overstap naar geoefende noodprocedures en een actuele, ontkoppelde datakopie: dat werkt ook als vertrek geen optie is.
- Gebruik samenwerkingsverbanden met andere zorginstellingen: individueel bent u klein, gezamenlijk bent u een blok waar een dominante leverancier rekening mee houdt.
Vragen aan uw leverancier
- In welk gestructureerd, machineleesbaar formaat kunnen wij onze data opvragen, ongeacht of we vandaag overstappen? Een verwijzing naar een PDF- of schermexport is geen bruikbaar antwoord.
- Valt onze dienst onder de overstapbepalingen van de Data Act, en zo nee, welke vergelijkbare afspraak legt u dan contractueel vast?
- Beheren wij de encryptiesleutels, of ligt dat bij u? Geen concreet antwoord betekent dat sleutelbeheer nu bij u ligt, met alle gevolgen bij een geschil.
- Welke aankondigingstermijn hanteert u als u dit product beëindigt of vervangt, en welke overgangsondersteuning krijgen wij dan?
Klaar om dit voor uw organisatie te vertalen naar actie?
Krijg binnen 2 á 3 minuten uw eerste inzichten in de digitale soevereiniteitrisico's van uw organisatie middels onze gratis Quick Scan. Of neem contact op voor een vrijblijvend gesprek over uw specifieke situatie.