In gesprekken over continuïteit worden de escrow-agent en de serviceprovider vaak door elkaar gehaald. Toch gaat het om twee verschillende rollen met een verschillende positie in de keten. De escrow-agent is een neutrale derde partij met een juridische bewaartaak. Een hosting- of cloudserviceprovider is een uitvoerende partij die de dienst zelf levert.
Dat onderscheid is belangrijk, omdat een serviceprovider de continuïteitsrisico's die met de leverancier samenhangen niet kan afdekken. Hij maakt namelijk zelf deel uit van diezelfde keten.
De escrow-agent: neutrale derde partij met een juridische rol
De escrow-agent is contractueel geen partij bij de licentie- of dienstverleningsovereenkomst tussen leverancier en afnemer. Zijn taak is beperkt en juist daardoor betrouwbaar: materiaal in ontvangst nemen, veilig bewaren, controleren of het depot compleet en bruikbaar is, en het uitsluitend vrijgeven wanneer vooraf vastgelegde releasevoorwaarden zijn vervuld.
De escrow-agent heeft geen belang bij de uitkomst, verkrijgt geen eigendom van de broncode en levert geen diensten die afhankelijk zijn van de leverancier. De rol is die van bewaarder en beoordelaar, niet die van uitvoerder. Om die reden wordt de beoordeling van een releaseverzoek als objectief gezien, ook door een curator of een rechter.
De serviceprovider: uitvoerende partij binnen de keten
Een hosting- of cloudserviceprovider levert infrastructuur, beheer, back-ups en beschikbaarheid. Hij zorgt dat een applicatie draait, dat gegevens worden opgeslagen en dat storingen worden opgelost. Dat is operationele continuïteit en die is onmisbaar.
Wat een serviceprovider niet doet, is een onafhankelijk oordeel vellen over de relatie tussen leverancier en afnemer. Hij handelt op instructie van zijn opdrachtgever, meestal de softwareleverancier. Stopt die leverancier met betalen, dan kan de provider de omgeving beëindigen. Gaat de leverancier failliet, dan vallen de contracten van de provider binnen dezelfde afwikkeling.
Ook back-ups lossen dit niet op. Een back-up bevat data, maar zelden de broncode, de buildinstructies, de configuratie en het gebruiksrecht dat nodig is om de applicatie elders zelfstandig verder te gebruiken.
Waarom u beide nodig heeft, en niet het een in plaats van het ander
De serviceprovider dekt technische verstoringen af: uitval van hardware, netwerkproblemen, dataverlies of een incident in de omgeving. De escrow-agent dekt relationele en juridische verstoringen af: faillissement van de leverancier, het staken van onderhoud, een overname waarna het product wordt uitgefaseerd, of structurele wanprestatie.
Die risico's overlappen niet. Een perfect ingerichte hostingomgeving helpt niet als niemand het recht en het materiaal heeft om de software te onderhouden. Een goed depot helpt niet als er geen omgeving is om de software te draaien. Bij SaaS worden beide daarom vaak gecombineerd in een continuïteitsregeling waarin naast broncode ook data-export, cloudconfiguratie en herstelprocedures zijn vastgelegd.
Praktisch betekent dit: leg in het contract met de serviceprovider vast wat er met data en omgeving gebeurt bij beëindiging, en leg in de escrowovereenkomst vast welk materiaal in depot komt en onder welke voorwaarden het vrijkomt.
Veelgestelde vragen
Kan mijn cloudprovider als escrow-agent optreden?
Dat is onwenselijk. De provider heeft een commerciële relatie met de leverancier of met u en mist daarmee de onafhankelijke positie die bij een releasebeoordeling nodig is.
Is een back-up bij de hostingpartij voldoende?
Nee. Een back-up geeft toegang tot data, maar meestal niet tot broncode, documentatie en het gebruiksrecht dat nodig is om de software zelfstandig voort te zetten.
Wie beoordeelt of vrijgave mag plaatsvinden?
De escrow-agent, op basis van de releasevoorwaarden in de escrowovereenkomst en het aangeleverde bewijs.
Heb ik escrow nodig als mijn leverancier een grote partij is?
Omvang verkleint het risico, maar neemt het niet weg. Ook grote partijen faseren producten uit of worden overgenomen. De afweging hangt af van hoe kritisch de software voor uw processen is.
Een escrow-agent en een serviceprovider vullen elkaar aan. De provider houdt de dienst draaiende, de escrow-agent zorgt dat er een uitweg is wanneer de leverancier wegvalt.
