In het digitale tijdperk vormen software en data de ruggengraat van talloze processen. Dit geldt voor het dagelijkse leven en het bedrijfsleven maar natuurlijk ook voor de overheid. Discontinuïteit van overheidssoftware kan grote maatschappelijke gevolgen hebben. Het beheren en minimaliseren van continuïteitsrisico’s is dus van groot belang om het continu kunnen aanbieden van essentiële dienstverlening te waarborgen. In deze blog onderstrepen we het belang van escrow voor zelfstandige bestuursorganen (ZBO’s) in Nederland en hoe escrow bijdraagt aan een robuuste en veerkrachtige operationele IT-infrastructuur. Zodat software en data altijd toegankelijk zijn en geen onnodige risico’s worden genomen met de gegevens van burgers.
Voor steeds meer sectoren staat het realiseren van softwarecontinuïteit en het waarborgen van operationele veerkracht wat IT betreft hoger op de agenda. Zo ook voor ZBO’s. Dit is natuurlijk niet zo gek omdat ZBO’s allerlei essentiële overheidstaken voor de samenleving uitvoeren en daarbij veel data (gegevens van burgers) verwerken en opslaan. Het is dan noodzaak om de continuïteit van de IT-infrastructuur goed te borgen. Geen wonder dat er daarom steeds meer wet- en regelgeving aandacht hieraan besteedt.
Zo staat in de Inkoopvoorwaarden GIBIT 2023 opgenomen dat vanwege “de grote afhankelijkheid” (…) en “het continuïteitsrisico bij incidenten en calamiteiten” aanvullende afspraken inzake de borging van gebruikscontinuïteit gemaakt moeten worden. In de ISO 27002:2022-norm wordt aandacht besteedt aan het beheren van informatiebeveiligingsrisico’s die gepaard gaan met het gebruik van producten en/of diensten van derden.
Verder noemt de NIS2-richtlijn specifiek dat “appropriate and proportionate technical, operational and organizational measures” genomen moeten worden in het kader van risicomanagement bij uitbesteding van ICT-diensten aan derden (ook relevant voor gemeentes en bepaalde ZBO’s). En dan heb je natuurlijk ook nog de Algemene Rijksvoorwaarden bij IT-overeenkomsten (ARBIT) en de Baseline Informatiebeveiliging van de Overheid (BIO).
Escrow is een uitermate geschikt middel om aantoonbaar invulling te geven aan dergelijke wet- en regelgeving. Bij een calamiteit ben je als klant ervan verzekerd dat jouw kritieke dienstverleners hun diensten blijven leveren zodat de door jouw gebruikte software operationeel blijft en data beschikbaar blijft. De risico’s op schade op het moment van mogelijke discontinuïteit worden zo geminimaliseerd.
Verder garandeert de actuele kopie van de software (inclusief technische documentatie) je ervan dat de software ook op de lange termijn kan worden gebruikt, onderhouden en zo nodig doorontwikkeld. In combinatie met de juridische rugdekking van de escrow-overeenkomst heb je aantoonbare organisatorische, technische en juridische maatregelen getroffen, waardoor je compliant bent met velerlei wet- en regelgeving, inkoopvoorwaarden en normen.
Escrow is een overeenkomst waarin een aanbieder van software samen met de gebruiker van de software continuïteitsafspraken maakt zodat het gebruik van de software kan worden gecontinueerd als dit in het gedrang komt. Iin de klassieke vorm wordt een kopie van de broncode van de software door een onafhankelijke derde (trusted third party) bewaard, die deze kopie alleen in afgesproken gevallen mag afgeven aan de gebruiker van de software. Een escrow-regeling van vandaag de dag moet veel meer aspecten bevatten: grof gezegd een organisatorisch, een technisch én een juridisch gedeelte.
Software Borg is al decennia lang een bekende escrow agent in markt. Onze jarenlange ervaring en onze door de praktijk bewezen overeenkomsten samen met ons uitgebreide netwerk van juridische en technische experts zorgen ervoor dat een escrow-regeling tot stand komt die is toegesneden op de specifieke situatie van de klant, in lijn is met relevante wet- en regelgeving en voldoet aan de hoogste kwaliteitseisen.
Dit houdt in dat wij:
Bij een escrow-regeling van Software Borg is altijd een notaris betrokken. Dit heeft meerdere voordelen. Ten eerste is de onafhankelijkheid van de notaris wettelijk vastgelegd, waardoor de gedeponeerde software en technische documentatie bij een echte trusted third party is ondergebracht. Verder heeft een faillissement van de trusted third party geen gevolgen voor de continuïteitsregeling, omdat de zaken van een failliet notariskantoor verplicht overgenomen worden door collega-notarissen: geen enkel risico dus dat gedeponeerde software opeens onderdeel is van de failliete boedel van de trusted third party. Ook het overlijden of de schorsing van een notaris hebben geen gevolgen voor de escrow.
Ten slotte hebben de aktes van de notaris dwingende bewijskracht, waardoor de in aktes vastgelegde continuïteitsafspraken eenvoudiger te bewijzen zijn en dus ook moeilijker te ontkrachten. Door de notaris te betrekken bij escrow is ook het voortbestaan van de continuïteitsafspraken gewaarborgd.
De combinatie van organisatorische en juridische continuïteitsafspraken, technische continuïteitswaarborgen (software en relevante informatie) en een notarieel depot hiervan, zorgt ervoor dat de escrow van Software Borg recht doet aan de betrokken software, past bij de wensen en belangen van de betrokken partijen en in lijn is met relevante wet- en regelgeving. Neem contact met ons op voor een vrijblijvend voorstel voor een passende continuïteitsregeling!