Blog ·
The regulator says it out loud: don't hang everything on one IT providerDe toezichthouder zegt het hardop: hang niet alles aan één IT-partij
On 8 October the ACM, the Dutch competition regulator, published a guide on digital autonomy. The short version: businesses and governments should have real choice in the IT they use, keep control over their own data, and not depend on one dominant provider. It points to the tools that already exist for this: open standards, data portability, the Data Act's rules that make switching cloud providers easier, and the obligations that the Digital Markets Act puts on the biggest platforms.
I'm glad a regulator says this out loud. Not because a guide will change much on its own (the readers under the Security.NL article were sceptical, and I get why), but because it frames lock-in as a business risk instead of a nerd hobby.
Lock-in is a cost nobody puts on the invoice
When a small business picks a website builder, a shop platform or a cloud, the comparison is almost always about the monthly price and how pretty the templates are. Almost nobody asks the question that matters three years later: what does it cost me to leave?
That cost is real. Your products, orders and customer data sit in someone else's format. Your site only runs on their platform. Prices go up and you pay, because moving feels like starting over. The ACM calls this a lack of "freedom of choice and action". I'd call it a bill that arrives later.
What I do about it, in practice
I build and host sites for small businesses, and I made a few deliberate choices that are basically this guide in small:
- Everything runs on my own servers in the EU, at Hetzner in Germany, not on a US cloud. The data stays here, and if Hetzner ever stops working for me I can move: the whole setup is plain Kubernetes, described in code.
- Boring, open building blocks. Standard web tech, SQLite or Postgres, open-source tools. Nothing that only one vendor can run.
- Your content is yours. A client can get their pages, products and photos out in normal formats. If you want to take your site to another developer, that should be a handover, not a rescue mission.
- No trackers you didn't ask for. Analytics without cookies, on my own server, so your visitors' data doesn't feed someone else's ad business.
None of that is heroic. It just means thinking about the exit before you walk in.
Three questions for anyone choosing a platform
If you run a small business and you're picking a new website, shop or software package, ask these before you sign:
- Can I export everything — content, customers, orders — in a format another system can read?
- Where does my data live, and under which law?
- What happens if the price doubles? Is there a realistic way out, or am I stuck?
If the answer to any of them is vague, that's your answer.
Where I'm less sure
The ACM guide is mostly about large organisations and governments buying together and about what competition law allows. That's useful, but the hard part for a bakery or a stylist isn't the law, it's time and knowledge. They won't read a handreiking. They'll pick whatever their nephew or an ad recommends. Whether this guide reaches them, I doubt. That's partly on people like me: explain it simply, and build things that are easy to leave.
Op 8 oktober publiceerde de ACM een handreiking over digitale autonomie. Kort gezegd: bedrijven en overheden moeten echt kunnen kiezen welke IT ze gebruiken, de baas blijven over hun eigen data en niet afhankelijk worden van één dominante partij. De ACM wijst op wat er al is: open standaarden, dataportabiliteit, de regels in de Data Act die overstappen naar een andere cloud makkelijker maken, en de verplichtingen die de Digital Markets Act aan de grootste platforms oplegt.
Ik ben blij dat een toezichthouder dit hardop zegt. Niet omdat een handreiking op zichzelf veel verandert (de reacties onder het bericht op Security.NL waren sceptisch, en dat snap ik), maar omdat het lock-in neerzet als bedrijfsrisico in plaats van als nerdhobby.
Lock-in is een kostenpost die op geen enkele factuur staat
Als een klein bedrijf een websitebouwer, webshopplatform of cloud kiest, gaat de vergelijking bijna altijd over de maandprijs en hoe mooi de templates zijn. Bijna niemand stelt de vraag die drie jaar later telt: wat kost het me om weg te gaan?
Die kosten zijn echt. Je producten, bestellingen en klantgegevens staan in het formaat van een ander. Je site draait alleen op hun platform. De prijs gaat omhoog en je betaalt, omdat verhuizen voelt als opnieuw beginnen. De ACM noemt dat gebrek aan "keuze- en handelingsvrijheid". Ik noem het een rekening die later komt.
Wat ik er in de praktijk aan doe
Ik bouw en host sites voor kleine ondernemers, en ik heb een paar bewuste keuzes gemaakt die eigenlijk deze handreiking in het klein zijn:
- Alles draait op mijn eigen servers in de EU, bij Hetzner in Duitsland, niet bij een Amerikaanse cloud. De data blijft hier, en als Hetzner ooit niet meer bevalt, kan ik verhuizen: de hele opzet is gewone Kubernetes, vastgelegd in code.
- Saaie, open bouwstenen. Standaard webtechniek, SQLite of Postgres, open-source gereedschap. Niets wat maar één leverancier kan draaien.
- Jouw content is van jou. Een klant kan zijn pagina's, producten en foto's in gewone formaten meenemen. Wil je met je site naar een andere developer, dan hoort dat een overdracht te zijn, geen reddingsactie.
- Geen trackers waar je niet om vroeg. Bezoekersstatistieken zonder cookies, op mijn eigen server, zodat de gegevens van jouw bezoekers niet het advertentiebedrijf van een ander voeden.
Niets daarvan is heldhaftig. Het betekent alleen dat je aan de uitgang denkt voordat je naar binnen loopt.
Drie vragen voor wie een platform kiest
Heb je een klein bedrijf en kies je een nieuwe website, webshop of softwarepakket? Stel deze vragen voordat je tekent:
- Kan ik alles exporteren — content, klanten, bestellingen — in een formaat dat een ander systeem kan lezen?
- Waar staat mijn data, en onder welk recht?
- Wat gebeurt er als de prijs verdubbelt? Is er een realistische uitweg, of zit ik vast?
Is het antwoord op een van die vragen vaag, dan is dat je antwoord.
Waar ik minder zeker van ben
De handreiking gaat vooral over grote organisaties en overheden die samen inkopen, en over wat het mededingingsrecht toestaat. Nuttig, maar voor een bakker of een stylist is niet de wet het lastige deel, maar tijd en kennis. Zij lezen geen handreiking. Zij kiezen wat hun neef of een advertentie aanraadt. Of deze handreiking hen bereikt, betwijfel ik. Dat ligt deels bij mensen zoals ik: het simpel uitleggen, en dingen bouwen waar je makkelijk weer uit kunt.
SourceBron ACM publiceert handreiking over mogelijkheden om digitale autonomie te vergroten · ACM wijst op belang digitale autonomie (Security.NL)
Written with AI from my own views and notes, and checked by me before it went live.Geschreven met AI op basis van mijn eigen standpunten, en door mij nagelezen voordat hij online ging.