Uw DORA-exitplan was begroot, niet gepland. De prijs verdwijnt in januari.

Over vijf maanden wordt de factuur die cloudexit ondenkbaar maakte bij wet op nul gezet, en daarmee verdwijnt het meest duurzame excuus in het beheer van derdenrisico. DORA vereist exitstrategieën voor ICT-diensten die kritieke of belangrijke functies ondersteunen sinds de verordening van toepassing werd. De meeste banken schreven ze. Veel minder begrootten ze, en nog minder oefenden ze, want het eerlijke antwoord op "wat zou het kosten om te vertrekken?" bevatte een egress-rekening die niemand voor een kostencommissie wilde leggen. Vanaf 12 januari 2027 schaft de EU-dataverordening overstapkosten volledig af, data-egress inbegrepen. Dat maakt migratie niet gemakkelijk. Het verwijdert het ene obstakel dat onoverkomelijk genoemd kon worden zonder dat iemand hoefde te toetsen of het dat was — en zodra de commerciële barrière weg is, blijft er een technische vraag over waarop een toezichthouder antwoord mag verlangen.

Managementsamenvatting

Een datum, geen richting. Overstapkosten eindigen op 12 januari 2027. Het wettelijke recht om over te stappen, en op technische bijstand daarbij, geldt sinds 12 september 2025.

Het excuus wordt ingetrokken, niet de moeilijkheid. Egress-tarieven waren nooit de enige reden waarom exitplannen theoretisch bleven. Het was de reden die niemand dwong een architectuurprobleem toe te geven.

DORA vroeg al om meer dan een document. Artikel 28, lid 8, vereist exitstrategieën die alomvattend, gedocumenteerd, voldoende getest en periodiek herzien zijn.

De toezichtvraag verandert van vorm. Niet langer "heeft u een exitplan?" maar "u vertelde ons dat kosten de beperking waren — die zijn weg, laat de oefening zien."

Wat er op 12 januari 2027 werkelijk verandert

De EU-dataverordening is Verordening (EU) 2023/2854. Haar overstapbepalingen zijn gefaseerd gekomen, en het loont die fasering precies te benoemen omdat de eindtoestand ongewoon onomwonden is.

Sinds 12 september 2025 hebben klanten van betrokken gegevensverwerkingsdiensten een wettelijk recht om van aanbieder te wisselen, en aanbieders zijn technische medewerking verschuldigd zodat overdracht werkt — niet louter het in beginsel toestaan ervan.

Sinds de inwerkingtreding heeft een overgangsregeling begrensd wat aanbieders in rekening mogen brengen. In dat venster mochten overstap- en egress-kosten de daadwerkelijk door de aanbieder gemaakte kosten die rechtstreeks samenhangen met de betrokken overstap niet overschrijden. Geen marge, geen strategische bepricing.

Vanaf 12 januari 2027 zijn overstapkosten op grond van de bepaling over geleidelijke afschaffing in artikel 29 volledig verboden. Dat omvat kosten voor data-egress — de bepricing per gigabyte die het meeste werk deed om het doorrekenen van een exit prohibitief te laten lijken.

Daaruit volgen onmiddellijk drie gevolgen, en slechts één gaat over geld.

Het commerciële argument om te blijven verliest een post die vaak veel retorisch werk verrichtte. Contractbepalingen die rond een verdwijnend tariefregime zijn geschreven moeten worden herzien. En de analytische vraag verschuift van wat zou dit kosten naar wat zou dit vergen, een vraag die veel moeilijker onbeantwoord te laten is in een stuk voor de raad van bestuur.

Waarom exitplannen op papier bleven

Het is eerlijk dit te erkennen. Exitplannen werden niet verwaarloosd omdat iemand ze onbelangrijk vond. Ze bleven theoretisch omdat een echte test duur was op een manier die makkelijk te becijferen en moeilijk te rechtvaardigen viel.

Een betekenisvolle workload uit een hyperscaler halen betekende betalen om de data te verplaatsen, parallelle capaciteit opzetten en de kosten dragen van twee omgevingen tijdens een omschakeling. De egress-regel was de regel die een CFO zag, en het was steevast de regel die het gesprek beëindigde. Dat maakte het een ongewoon comfortabel obstakel: het stelde het programma uit zonder dat iemand hoefde te zeggen dat de architectuur het probleem was.

Daaronder deden drie hardere beperkingen het echte werk, en geen ervan wordt door de verordening geraakt.

Managed services zijn van nature niet portabel. Een workload gebouwd op de managed database van een aanbieder, zijn identiteitsmodel, zijn event bus en zijn serverless runtime is geen workload die verhuist. Het is een workload die herschreven wordt. Portabiliteit is bewust ingeruild, meestal om goede redenen van snelheid en operationele kosten, en de rekening van die ruil luidt in engineeringkwartalen, niet in euro's per gigabyte.

Datazwaartekracht overleeft de dataoverdracht. Het analytische landschap, de feature stores, de auditarchieven en alles wat eromheen is gegroeid verhuizen niet netjes, ook niet wanneer de bytes gratis reizen.

Niemand heeft het geoefend. Een plan dat nooit is uitgevoerd is een hypothese. De opstellers van DORA begrepen dat duidelijk, en daarom stopt artikel 28, lid 8, niet bij het eisen van een plan.

Tabel 1: wat de verordening wel en niet wegneemt

Obstakel voor exit	Weggenomen op 12 januari 2027?
Egress- en overstapkosten	Ja — volledig verboden
Contractbepalingen rond die kosten	Nee — die moeten heronderhandeld worden
Koppeling aan managed services	Nee — herarchitectuur, geen overdracht
Datazwaartekracht in het analytische landschap	Nee
Ontbreken van een geoefende omschakeling	Nee — dat is het werk

De rechterkolom is het punt. Eén regel verandert, en het is de regel die voor alle andere in de plaats stond.

Wat DORA werkelijk vereist

De hier blootgelegde verplichting is niet nieuw, en zij is veeleisender dan zij doorgaans wordt behandeld.

Artikel 28, lid 8, verplicht financiële entiteiten exitstrategieën op te stellen voor ICT-diensten die kritieke of belangrijke functies ondersteunen. Die strategieën moeten rekening houden met falen van de aanbieder, verslechtering van de dienstkwaliteit, bedrijfsverstoring door ontoereikende dienstverlening en materiële risico's voor de continue inzet van de dienst. De plannen moeten alomvattend en gedocumenteerd zijn en — de zinsnede die telt — voldoende getest en periodiek herzien.

"Voldoende getest" was altijd de harde bepaling. Een document dat een migratie beschrijft is geen bewijs dat de migratie binnen een aanvaardbaar venster mogelijk is. De toezichtverwachting richt zich op het vermogen, niet op het artefact.

Twee jaar lang waren kosten de reden waarom de testbepaling in de praktijk onvervuld bleef. Het was een reden die een toezichthouder kon aanhoren zonder meteen te escaleren, omdat zij waar en becijferbaar was. Vanaf januari houdt zij op beschikbaar te zijn, en wat resteert is het antwoord op een vraag die er nooit een goed had: hoe lang zou dit werkelijk duren, en hoe weet u dat?

Het contractwerk dat niemand heeft ingepland

De oplevering op korte termijn is ondankbaar en afgebakend in tijd, een zeldzame combinatie in dit vakgebied.

Cloudovereenkomsten van de afgelopen jaren bevatten overstap- en egress-economie die het onrechtmatig zal zijn in rekening te brengen. Sommige bevatten opzegtermijnen, bijstandsverplichtingen en dataretourbepalingen die zijn afgestemd op een wereld waarin de klant geacht werd voor dat voorrecht te betalen. Die bepalingen corrigeren zichzelf niet op 12 januari 2027; ze worden simpelweg bepalingen die zoals geschreven niet afdwingbaar zijn, ingebed in overeenkomsten die al het overige nog steeds beheersen.

Dat levert een afgebakend stuk werk op met een natuurlijke deadline: de betrokken overeenkomsten identificeren, vaststellen welke bepalingen zijn verdrongen, en de correcties in de eerstvolgende verlenging verwerken in plaats van de discrepantie tijdens een incident te ontdekken.

Tabel 2: wat vóór de verlengingscyclus vast moet staan

Vraag	Wat zij bepaalt in uw blootstelling
Welke contracten beprijzen overstap of egress?	Die bepalingen worden onafdwingbaar; de rest van het contract niet
Tot welke bijstand is de aanbieder werkelijk verplicht?	De wettelijke plicht geldt sinds september 2025
Wat is per kritieke of belangrijke functie het beoogde exitvenster?	"Voldoende getest" heeft een getal nodig om tegen te toetsen
Is er ooit end-to-end een exit geoefend, al is het op verkleinde schaal?	Een plan dat nooit is uitgevoerd is een hypothese
Wat zou herschreven moeten worden in plaats van verplaatst?	Scheidt een overdrachtsprobleem van een architectuurprobleem
Wie is eigenaar van het exitvermogen tussen tests door?	Exitgereedheid vervalt geruisloos naarmate het landschap evolueert

De vraag die dit blootlegt

Er is een ongemakkelijke mogelijkheid die benoemd moet worden, want de januaridatum dwingt haar naar buiten.

Als overstappen gratis is en exit nog steeds niet geloofwaardig, dan waren kosten nooit de bindende beperking. De bindende beperking was concentratie — een kritieke functie op een aanbieder die zij praktisch niet kan verlaten, precies de toestand die het derdenregime van DORA moet blootleggen, en de reden dat kritieke ICT-derdedienstverleners worden aangewezen en onder toezicht gesteld.

Dit is geen pleidooi om workloads terug te halen. Cloud blijft het juiste antwoord voor het meeste dat banken draaien, en een slecht uitgevoerde exit is erger dan een goed beheerde afhankelijkheid. Het is een pleidooi om te weten in welke van beide situaties u zit, en dat te kunnen aantonen. De instelling die kan zeggen "we hebben een gedeeltelijke exit van deze dienst getest, het duurde elf weken, dit ging stuk" voert een wezenlijk ander toezichtgesprek dan die welke een document van veertig pagina's en een schatting produceert.

De verordening heeft het excuus weggenomen. Het probleem heeft zij niet weggenomen, en dat zou zij ook nooit doen.

Het operationele draaiboek

Vijf stappen, en de eerste is geen contractreview.

Kies één kritieke of belangrijke functie en begroot de exit eerlijk — nu, tegen de oude prijzen. U wilt het getal zolang egress nog een prijs heeft, want het vertelt u hoeveel van uw terughoudendheid ooit financieel was. Vaak luidt het antwoord: minder dan iedereen aannam.
Oefen een gedeeltelijke exit. Niet het hele landschap. Eén dienst, één afhankelijkheid, één herstel bij een tweede aanbieder of op eigen infrastructuur, met de klok lopend. De uitkomst is een doorlooptijd en een gebrekenlijst, en dat is wat "voldoende getest" vraagt.
Inventariseer de bepalingen die in januari sterven. Overstapkosten, egress-tarieven, daarop afgestemde bijstandsverplichtingen. Verwerk correcties in de verlengingscyclus in plaats van onafdwingbare bepalingen uit traagheid van kracht te laten.
Scheid overdracht van herschrijven, per workload. Twee kolommen. Wat zou kunnen verhuizen bij gratis egress, en wat herbouwd zou moeten worden. De tweede kolom is uw werkelijke exithorizon, en het getal dat de raad nooit heeft gekregen.
Wijs het vermogen tussen tests door een eigenaar toe. Exitgereedheid is een eigenschap van de huidige architectuur, geen document met een herzieningsdatum. Zonder benoemde eigenaar verslechtert zij stilletjes met elke sprint die een managed afhankelijkheid toevoegt.

Regulatoire verlichting komt meestal als iets dat wordt weggenomen. Deze neemt een getal weg dat voor een argument in de plaats stond. De instellingen die er in 2027 het slechtst voorstaan zijn niet die welke nog bij één aanbieder zitten — de meeste zullen dat zijn. Het zijn die welke twee jaar lang toezichthouders vertelden dat kosten het obstakel waren, en in januari niets te zeggen hebben wanneer dat niet meer zo is.

Veelgestelde vragen

Betekent dit dat cloudexit gemakkelijk wordt?
Nee. Het wordt vrij van overstapkosten, wat iets anders is. De verordening neemt de overdrachtskosten weg; zij maakt een op managed services gebouwde workload niet portabel. Dat blijft herarchitectuur, en die wordt gemeten in engineeringkwartalen, niet in euro's.

Wat is er precies verboden vanaf 12 januari 2027?
Overstapkosten, inclusief kosten voor data-egress. Tijdens de overgangsperiode mochten aanbieders alleen de kosten verhalen die rechtstreeks samenhangen met het overstapproces, zonder opslag; vanaf die datum mogen zij niets in rekening brengen.

Geldt er al iets?
Ja. Sinds 12 september 2025 hebben klanten een wettelijk recht om van aanbieder te wisselen en op technische medewerking bij het overdragen van hun data. De januaridatum sluit specifiek de tariefvraag.

Waar komt DORA erbij?
Artikel 28, lid 8, vereist exitstrategieën voor ICT-diensten die kritieke of belangrijke functies ondersteunen, en verlangt dat zij alomvattend, gedocumenteerd, voldoende getest en periodiek herzien zijn. Kosten waren de praktische reden waarom het testonderdeel onvervuld bleef. Die reden vervalt.

Wij zitten bij één hyperscaler en blijven daar. Raakt dit ons?
Ja, en waarschijnlijk sterker. De verplichting is een getest exitvermogen te hebben, niet het uit te oefenen. Blijven is een besluit; niet kunnen vertrekken is een concentratierisico, en na januari kunt u dat tweede niet meer aan de egress-prijs toeschrijven.

Wat is dit kwartaal het nuttigst om te doen?
Een gedeeltelijke exit van één kritieke of belangrijke functie oefenen en vastleggen hoe lang het duurde en wat er faalde. Dat artefact beantwoordt de toezichtvraag, geeft het echte probleem een maat, en is meer waard dan nog zoveel aanvullende planning.

Bronnen

Europees Parlement en Raad van de Europese Unie, 2023. Verordening (EU) 2023/2854 betreffende geharmoniseerde regels inzake eerlijke toegang tot en eerlijk gebruik van data (dataverordening). Brussel: Publicatieblad van de Europese Unie. Beschikbaar op: Europees Parlement en Raad van de Europese Unie, 2023..
Europese Commissie, 2026. De dataverordening uitgelegd. Brussel: Directoraat-generaal Communicatienetwerken, Inhoud en Technologie. Beschikbaar op: Europese Commissie, 2026..
Europees Parlement en Raad van de Europese Unie, 2022. Verordening (EU) 2022/2554 betreffende digitale operationele weerbaarheid voor de financiële sector (DORA). Brussel: Publicatieblad van de Europese Unie. Beschikbaar op: Europees Parlement en Raad van de Europese Unie, 2022..
Europese Bankautoriteit, 2025. Richtsnoeren inzake uitbestedingsovereenkomsten. Parijs: Europese Bankautoriteit. Beschikbaar op: Europese Bankautoriteit, 2025..

Laatst herzien 2026-08-18.

Dit artikel herpubliceren

Uw DORA-exitplan was begroot, niet gepland. De prijs verdwijnt in januari. — Sebastien Rousseau

Vanaf 12 januari 2027 vervallen overstapkosten voor de cloud, egress inbegrepen. Daarmee vervalt het kostenargument dat exitplannen theoretisch hield.

Dit artikel valt onder de licentie Creative Commons Attribution 4.0 International. Herpublicatie vereist attributie aan de canonieke URL.

Uw DORA-exitplan was begroot, niet gepland. De prijs verdwijnt in januari. — Sebastien Rousseau

Vanaf 12 januari 2027 vervallen overstapkosten voor de cloud, egress inbegrepen. Daarmee vervalt het kostenargument dat exitplannen theoretisch hield.

Originally published at https://sebastienrousseau.com/nl/2026-08-04-data-act-cloud-switching-dora-exit-strategies-2026/ by Sebastien Rousseau.
Licensed under CC-BY-4.0.

SEBASTIEN ROUSSEAU FOUNDER · ENGINEER