Module 2 · 2.4
Nederlands
Aanbieders vergelijken zonder je te laten verleiden
Module 2: Wat is een Europese cloud echt? · Leestijd: 11 minuten
Leerdoel: Na deze les kun je met een eigen eisenlijst Europese aanbieders op inhoud vergelijken, keurmerken op hun waarde schatten en kiezen tussen een alles-in-één-dienst, losse diensten of zelf hosten.
Kernbegrippen: eisenlijst (moet, zou, mag), ISO/IEC 27001, toepassingsgebied (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, beschikbaarheid, supporttaal, proefperiode, referenties, alles-in-één, losse diensten, zelf hosten
Eerst je eisen, dan de aanbieders
Wie begint met websites van aanbieders bekijken, laat zich leiden door wat zij het mooist vinden: een groot getal opslag, een AI-knop, een strak logo. Begin daarom bij jezelf. Bakkerij De Korrel schreef eerst op wat ze echt nodig heeft, en pas daarna ging ze kijken.
Gebruik daarvoor drie niveaus:
- Moet: zonder dit valt de aanbieder af. Bijvoorbeeld: gegevens en back-ups in de EER, Europese eigenaar, verwerkersovereenkomst met subverwerkerslijst, mail op eigen domein, IMAP en CalDAV, tweestapsverificatie.
- Zou: belangrijk, maar je kunt er omheen. Bijvoorbeeld: online kantoorpakket in de browser, support in het Nederlands, telefoonapp voor foto's.
- Mag: leuk om te hebben. Bijvoorbeeld: videobellen, formulieren, AI-hulp.
Houd de moet-lijst kort. Een moet-lijst van dertig punten haalt niemand, en dan ga je toch op gevoel kiezen.
Drie soorten aanbod
Europese clouddiensten komen grofweg in drie vormen.
| Vorm | Wat het is | Voordelen | Let op |
|---|---|---|---|
| Alles-in-één | Eén aanbieder levert mail, opslag, agenda, documenten en chat samen, zoals de suites van grote Amerikaanse aanbieders | Eén contract, één login, alles werkt samen | Je zit weer bij één partij; check de exportmogelijkheden extra goed |
| Losse diensten | Mail bij de ene aanbieder, bestanden en agenda bij een andere, chat bij een derde | Per onderdeel de beste keus; minder afhankelijk | Meer contracten, meer logins, meer beheer |
| Zelf hosten | Je draait open source software (bijvoorbeeld Nextcloud) op een eigen server of een gehuurde server | Maximale controle | Jij doet updates, beveiliging en back-ups; dat kost kennis en tijd, elke week |
Veel kleine organisaties kiezen een middenweg: een beheerde dienst op open source software. Dan beheert een aanbieder de server, maar kun je met dezelfde software naar een andere aanbieder of naar zelf hosten als dat ooit nodig is. Zelf hosten is alleen een goed idee als iemand er structureel tijd voor heeft en weet wat hij doet. Een Nextcloud die een jaar geen updates krijgt, is minder veilig dan een goed beheerde dienst, Europees of niet.
Keurmerken: wat ze wel en niet zeggen
Aanbieders noemen graag certificeringen. Ze zijn nuttig, maar je moet weten wat ze betekenen.
| Keurmerk | Wat het zegt | Waar je op let |
|---|---|---|
| ISO/IEC 27001 | Het bedrijf heeft een managementsysteem voor informatiebeveiliging: risico's in kaart, maatregelen, jaarlijkse controle door een certificerende instelling | Het toepassingsgebied (scope): geldt het voor de dienst die jij afneemt, of alleen voor het datacenter of één afdeling? Is het certificaat geldig en van een geaccrediteerde instelling? |
| ISO/IEC 27701 | Uitbreiding van 27001 voor privacybeheer | Zelfde vragen over toepassingsgebied |
| NEN 7510 | Nederlandse norm voor informatiebeveiliging in de zorg | Alleen relevant als je zorggegevens verwerkt; dan vaak een eis |
| BSI C5 | Duitse eisencatalogus voor clouddiensten van het Bundesamt für Sicherheit in der Informationstechnik | Rapport met bevindingen, geen simpel "geslaagd" |
| SecNumCloud | Franse kwalificatie van ANSSI voor clouddiensten, met eisen tegen toegang door wetten van buiten de EU | Streng; zegt veel over juridische onafhankelijkheid |
| SOC 2 | Amerikaans auditrapport (AICPA) over beveiligingsmaatregelen | Geen certificaat maar een rapport; vraag het rapport, niet alleen het logo |
Twee valkuilen. Ten eerste: het datacenter is gecertificeerd, de aanbieder zelf niet. Dan zegt het certificaat iets over stroom, koeling en toegangspoortjes, maar niets over wie bij jouw gegevens kan. Ten tweede: een keurmerk is geen antwoord op de vijf vragen uit les 2.1. Een Amerikaanse dienst kan ISO 27001 hebben en toch onder de CLOUD Act vallen.
Kleine aanbieders hebben soms geen certificering, omdat die veel kost. Dat maakt ze niet onveilig. Vraag dan concreet welke maatregelen ze nemen: tweestapsverificatie voor beheerders, versleuteling, back-ups op een andere locatie, updatebeleid, een meldprocedure bij datalekken.
De SLA lezen
Een SLA (service level agreement) beschrijft wat een aanbieder belooft: beschikbaarheid, reactietijd van support, onderhoudsvensters en wat je krijgt als hij zijn belofte niet nakomt.
Reken beschikbaarheid altijd om naar tijd. 99,9% per maand klinkt bijna perfect, maar betekent dat de dienst ruim 43 minuten per maand onbereikbaar mag zijn. Bij 99% is dat ruim zeven uur. Kijk ook of gepland onderhoud meetelt, en wat de compensatie is: vaak een klein tegoed, geen vergoeding van je schade.
Lees ook wat er níet in staat. Belangrijke punten die in een SLA of in de voorwaarden thuishoren:
- hoe lang en waar back-ups worden bewaard, en of je zelf iets kunt terugzetten;
- hoe snel een beveiligingslek wordt verholpen;
- hoe je bij een storing wordt geïnformeerd (statuspagina, mail);
- wat er gebeurt met je gegevens na opzeggen (les 2.3 en 8.2).
Proberen, vragen, testen
Papier is geduldig. Vergelijk daarom niet alleen op de website:
- Neem een proefperiode of een klein pakket, en zet daar een echte testset in: een paar mailboxen, een agenda met herhaalde afspraken, een map met je lastigste documenten (les 6.5).
- Stel support een echte vraag, bijvoorbeeld "Hoe exporteer ik alles als ik vertrek?" Let op de snelheid, de taal en of het antwoord klopt.
- Vraag de documenten op: verwerkersovereenkomst, subverwerkerslijst, SLA, certificaten met toepassingsgebied.
- Vraag naar referenties van een organisatie die op jou lijkt, en bel die.
- Doe een exporttest voordat je tekent.
Een vergelijkingstabel die werkt
Zet de aanbieders in kolommen en je eisen in rijen. Vul per cel een feit in met de bron, geen indruk. Voorbeeld van een paar rijen voor de bakkerij:
| Eis | Niveau | Aanbieder A | Aanbieder B | Aanbieder C |
|---|---|---|---|---|
| Europese eigenaar | moet | ja (handelsregister) | nee (moeder in VS) | ja (jaarverslag) |
| Gegevens en back-ups in EER | moet | ja (VWO bijlage 1) | ja | ja, back-up in CH (adequaat) |
| IMAP, CalDAV, CardDAV | moet | ja (getest) | alleen eigen app | ja (getest) |
| Export van alles in standaardformaten | moet | ja (getest) | deels | ja |
| Online kantoorpakket | zou | ja | ja | nee |
| Support in het Nederlands | zou | ja | nee | ja |
Aanbieder B valt af op twee moet-eisen, hoe mooi de rest ook is. Tussen A en C beslis je op de zou-eisen.
In de praktijk: zo ziet het eruit bij een aanbieder
Een WebOké Nextcloud is een voorbeeld van een beheerde dienst op open source software: je kunt kiezen tussen een gedeelde omgeving en een eigen server per pakket, en de software is dezelfde Nextcloud die je ook bij andere aanbieders of zelf kunt draaien. Andere Europese aanbieders bieden vergelijkbare vormen: alles-in-één-diensten met mail, opslag en agenda (bijvoorbeeld mailbox.org, Infomaniak, Proton of IONOS), losse maildiensten (bijvoorbeeld Posteo of Tuta) en servers om zelf te hosten (bijvoorbeeld bij Hetzner, OVHcloud, Scaleway of STACKIT). Deze cursus kiest niet voor je: gebruik de eisenlijst.
Samenvatting
- Begin met je eigen eisen, verdeeld in moet, zou en mag. Houd de moet-lijst kort.
- Kies bewust tussen alles-in-één, losse diensten en zelf hosten; zelf hosten kost structureel kennis en tijd.
- Een keurmerk zegt vooral iets binnen zijn toepassingsgebied, en beantwoordt de eigenaarsvraag niet.
- Reken beschikbaarheid om naar tijd en lees wat er niet in de SLA staat.
- Test met een proefperiode, een echte supportvraag en een exporttest voordat je tekent.
Quiz
Opdracht
Opdracht E2.4: Je eigen eisenlijst en vergelijking. Maak een eisenlijst met minstens vijf moet-eisen en drie zou-eisen. Vergelijk daarmee twee of drie aanbieders in een tabel zoals hierboven, met per cel een feit en een bron. Leg in drie zinnen uit welke aanbieder je zou kiezen en waarom.
Opdracht E2.4: Je eigen eisenlijst en vergelijking
Stel een eisenlijst op en vergelijk twee of drie aanbieders (kolommen: eis, niveau moet/zou/mag, aanbieder 1, 2, 3).
Je vinkjes en aantekeningen blijven alleen in deze browser; we sturen ze nergens heen. Ben je aangemeld, dan bewaren we in Mijn cursussen alleen dat je de opdracht gedaan hebt.
Verder lezen
De stappen in deze artikelen gelden voor de diensten van WebOké; bij andere aanbieders werkt het vergelijkbaar.
- Nextcloud handleiding 1.4: Nextcloud Free, Personal, Family of Max: verschillen en overstappen
- WebOké handleiding 2.2: Een hostingpakket kiezen (webhosting, e-mailpakket, Nextcloud, AI Builder)
- Nextcloud handleiding 6.6: Back-ups bij WebOké: wat wij bewaren en wat je zelf kunt doen
- ISO/IEC 27001:2022, Information security management systems (iso.org, standaard 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html