Software escrow is een regeling waarbij een onafhankelijke derde partij softwaremateriaal bewaart. Deze derde partij wordt vaak escrow-agent genoemd. De leverancier levert het afgesproken materiaal aan. De escrow-agent bewaart dit materiaal en geeft het alleen vrij als de afgesproken voorwaarden zijn vervuld.
Software escrow is relevant voor softwaregebruikers, leveranciers, legal, risk, procurement en IT-management. De regeling kan helpen bij het beperken van continuïteitsrisico's als een leverancier niet meer kan leveren of ondersteunen.
Welke kosten kunnen onderdeel zijn van software escrow?
De kosten kunnen uit verschillende onderdelen bestaan.
Setupkosten zijn kosten voor het opzetten van de regeling. Daarbij worden partijen geregistreerd, afspraken vastgelegd en de inhoud van het depot bepaald.
Jaarlijkse kosten zijn kosten voor opslag, administratie, certificaten, ondersteuning en beheer van updates.
Depotkosten hangen samen met het materiaal dat wordt aangeleverd. Dat kan broncode zijn, maar ook documentatie, scripts, configuratiebestanden, build-instructies of data.
Verificatiekosten zijn kosten voor controle van het materiaal. De controle kan eenvoudig zijn, maar ook uitgebreid. Bij een uitgebreide controle wordt bijvoorbeeld gekeken of de software kan worden gebouwd of gedeployed.
SaaS-continuïteitskosten kunnen ontstaan als de regeling niet alleen broncode betreft, maar ook hosting, data, cloudconfiguratie, toegang en herstelprocedures.
Releasekosten kunnen gelden als de escrow-agent het materiaal moet vrijgeven op basis van de afgesproken releasevoorwaarden.
Depot, verificatie en continuïteit
Bij software escrow is het belangrijk om drie onderdelen uit elkaar te houden.
Depot betekent: wat wordt opgeslagen. Dit kan broncode zijn, maar ook aanvullende documentatie of operationele informatie.
Verificatie betekent: controleren of het depot compleet en bruikbaar is. Zonder verificatie bestaat het risico dat het materiaal wel is opgeslagen, maar later niet goed bruikbaar blijkt.
Continuïteit betekent: wat er praktisch moet gebeuren bij verstoring. Bij SaaS kan dit gaan over toegang tot data, cloudinrichting, deployment en operationele procedures.
Deze drie onderdelen bepalen samen hoe uitgebreid een regeling moet zijn.
Waarom SaaS escrow vaak anders is
Bij traditionele software draait de klant de software soms zelf. Dan kan broncode met build-instructies voldoende zijn. Bij SaaS gebruikt de klant meestal een online dienst die door de leverancier wordt beheerd.
Daarom is bij SaaS vaak meer informatie nodig. Denk aan:
- Beschrijf hoe de cloudomgeving is ingericht.
- Leg vast hoe data kan worden geëxporteerd.
- Documenteer welke configuratie nodig is.
- Beschrijf welke externe diensten worden gebruikt.
- Leg vast welke herstel- of fallbackprocedure geldt.
- Controleer of de documentatie actueel is.
Hierdoor kan SaaS escrow duurder zijn dan eenvoudige broncode escrow.
Individuele en collectieve escrow
Bij individuele escrow is één softwaregebruiker begunstigde. De regeling is dan specifiek ingericht voor die partij.
Bij collectieve escrow kunnen meerdere softwaregebruikers deelnemen aan één regeling. Dat kan praktisch zijn bij software die door meerdere klanten wordt gebruikt. Wel moet duidelijk zijn welke rechten elke begunstigde heeft en wanneer release mogelijk is.
Ook dit kan invloed hebben op de kosten.
Hoe beoordeel je software escrow kosten?
Kijk niet alleen naar de laagste prijs. Kijk vooral naar wat de regeling bevat.
- Controleer welk materiaal in depot wordt geplaatst.
- Controleer hoe vaak het depot wordt bijgewerkt.
- Controleer of verificatie onderdeel is van de regeling.
- Controleer welk verificatieniveau wordt toegepast.
- Controleer of SaaS, data of infrastructuur onderdeel zijn van de regeling.
- Controleer wie begunstigde is.
- Controleer welke releasevoorwaarden gelden.
- Controleer of er kosten zijn bij release.
- Leg vast wie welke kosten betaalt.
- Vergelijk regelingen op inhoud en niet alleen op jaarlijkse fee.
Veelgestelde vragen
Wat kost software escrow?
Dat verschilt per regeling. De kosten hangen af van de software, het depot, de updatefrequentie, verificatie, SaaS-continuïteit en het aantal begunstigden.
Is software escrow alleen opslag van broncode?
Nee. Software escrow kan ook documentatie, scripts, configuratie, data en procedures omvatten. Bij SaaS is vaak meer nodig dan broncode.
Wat doet een escrow-agent?
Een escrow-agent bewaart het afgesproken materiaal als onafhankelijke derde partij. De escrow-agent beheert updates, voert verificatie uit als dat is afgesproken en verzorgt release volgens de afgesproken voorwaarden.
Waarom is verificatie belangrijk?
Verificatie helpt vaststellen of het depot compleet en bruikbaar is. Dat is vooral belangrijk bij software die bedrijfskritisch is.
Software escrow kosten worden bepaald door wat de regeling moet beschermen. Een eenvoudige regeling kan voldoende zijn bij beperkt risico. Bij bedrijfskritische software, SaaS of complexe afhankelijkheden is vaak meer aandacht nodig voor depot, verificatie en continuïteit.
