Wat gebeurt er als je SaaS-leverancier uitvalt?

Wat gebeurt er precies als een SaaS-platform offline gaat?

Je medewerkers kunnen de applicatie en de data erin niet openen, en je IT-team kan niets repareren. Je wacht op de leverancier, volgt de statuspagina en zoekt een omweg.

Het is een gewone woensdag. Om twaalf uur 's middags stopt Outlook met synchroniseren, vallen Teams-gesprekken weg en gaan OneDrive-bestanden niet meer open. Je netwerk is in orde. Het probleem zit ergens in het platform van je leverancier, en je helpdesk kan alleen zeggen dat mensen moeten wachten.

Dat leek sterk op wat op 29 oktober 2025 gebeurde. Volgens Petri verstoorde een onbedoelde configuratiewijziging in Azure Front Door meer dan acht uur lang Outlook, Teams, OneDrive en Intune in de VS, Europa en delen van Azië. Eerder dat jaar, op 12 juni, blijkt uit het incidentrapport van Google dat een foutieve beleidswijziging in het systeem Service Control meer dan 80 Google Cloud-producten raakte. Ook Gmail, Drive, Agenda, Meet en Docs waren verstoord.

In de meeste storingen is je data niet kwijt, maar alleen buiten bereik. De grotere risico's zijn wat je ondertussen niet kunt doen, en wat er gebeurt als de data echt weg is. Dat laatste dekt een onafhankelijke Backup as a Service.

Wat dekt een SaaS-SLA eigenlijk?

Een SLA belooft een bepaald niveau van uptime en betaalt servicecredits uit als de leverancier dat niet haalt. Hij dekt niet je gederfde omzet, overuren of gemiste deadlines, en zegt niets over het terughalen van data die je zelf hebt verwijderd.

Neem de SLA van Google Workspace. Die belooft minstens 99,9% uptime per maand. Haalt Google dat niet, dan krijg je 3, 7 of 15 dagen servicecredit, afhankelijk van hoe ver de uptime zakte, met 15 dagen als maandelijks maximum. Een doel van 99,9% staat in een maand van 30 dagen nog steeds ongeveer 43 minuten downtime toe.

Data is een aparte vraag. In de documentatie over gedeelde verantwoordelijkheid van Microsoft staat dat je bij elk type dienst, ook bij SaaS zoals Microsoft 365, zelf verantwoordelijk blijft voor je data, endpoints (laptops, desktops en mobiele apparaten), accounts en toegangsbeheer. De leverancier houdt het platform draaiend. Wat erin staat beschermen is jouw taak. Ons artikel over het model van gedeelde verantwoordelijkheid van Microsoft 365 gaat hier dieper op in.

Storing, dataverlies of vertrek van de leverancier: welk risico loop je?

"De SaaS-leverancier ligt eruit" kan drie verschillende situaties betekenen, en elke situatie vraagt om een ander antwoord.

Prullenbakken van de leverancier helpen bij kleine fouten, maar slechts voor beperkte tijd. De prullenbakken van Microsoft 365 bewaren verwijderde items bijvoorbeeld tot 93 dagen, zie Maakt Microsoft 365 een back-up van mijn data? Daarna, of nadat een beheerder ze heeft geleegd, kan de leverancier de data niet meer terugbrengen.

Voor het vertrek van een leverancier helpt Europese wetgeving nu. De Data Act, Verordening (EU) 2023/2854, is sinds 12 september 2025 van toepassing en bevat regels voor het overstappen tussen dataverwerkingsdiensten, SaaS inbegrepen. Volgens een analyse van Garrigues beperkt artikel 25 de opzegtermijn tot twee maanden, bepaalt het een overgangsperiode van 30 dagen en krijg je minstens 30 dagen om je data op te halen. De kosten voor overstappen vervallen vanaf 12 januari 2027. Die rechten helpen je vertrekken, maar houden je niet aan het werk tijdens een storing.

Hoe verkleint een onafhankelijke back-up je afhankelijkheid van SaaS?

Je bewaart een kopie van je SaaS-data buiten het platform en de beheerdersaccounts van de leverancier. Raak je data kwijt, dan zet je die zelf terug. Ga je weg, dan zit je niet in een race tegen een exportdeadline.

• Terugzetten op je eigen voorwaarden: herstel één mailbox, bestand of Teams-kanaal, of een hele site, zonder supportticket bij de leverancier.
• Problemen met accounts overleven: de kopie verdwijnt niet als je tenant is gecompromitteerd, opgeschort of gesloten.
• Terug in de tijd: met back-ups met versies ga je terug naar een moment vóór het verwijderen of versleutelen begon.
• Houd je data in de EU: we bewaren back-ups alleen in onze eigen Tier III-datacenters in Nederland en Duitsland, onder EU-recht en onafhankelijk van de grote Amerikaanse cloudaanbieders.

We maken een back-up van Microsoft 365 (Exchange, OneDrive, SharePoint en Teams) en Google Workspace (Gmail, Drive, Agenda en Contacten), met herstel van losse items en onveranderbare opslag. Zie Microsoft 365-back-up en Google Workspace-back-up.

Wees realistisch over wat een back-up doet bij een pure storing. Ligt het platform zelf plat, dan kun je er pas in terugzetten als het weer werkt. Daarom is het plan hieronder even belangrijk als de back-up.

Hoe bereid je je bedrijf voor op SaaS-uitval?

Bepaal vóór de storing wie wat doet, hoe mensen communiceren en welk werk kan doorgaan zonder het platform. Zorg daarna dat je data een tweede plek heeft.

1. Maak een lijst van je SaaS-tools: eigenaar, gebruikers, welke data erin staat en welke bedrijfsprocessen ervan afhangen.
2. Rangschik op impact: hoe lang kan elk proces stilliggen voordat klanten, cashflow of compliance eronder lijden? Dat is je RTO, de maximale hersteltijd. Onze gids over RTO en RPO legt uit hoe je die bepaalt.
3. Spreek een uitwijkkanaal af: hoe bereiken managers hun mensen als Teams en Outlook uitvallen? Een telefoonboom of een berichtengroep werkt.
4. Schrijf handmatige noodoplossingen uit: papieren formulieren, offline prijslijsten, een lokale kopie van de afspraken van vandaag.
5. Maak onafhankelijk een back-up van je data: met versies, onveranderbaar en buiten de leverancier.
6. Ken je exitroute: controleer in je contract en bij je rechten onder de Data Act wat er geldt voor export en overstappen.
7. Oefen één keer per jaar: een tabletop-oefening van een uur laat snel de gaten zien.

Storingen door leveranciers zijn niet ongewoon. In negen jaar monitoring bleek uit de analyse van Uptime Institute uit 2026 dat externe IT- en datacenteraanbieders, waaronder cloud- en internetgiganten, verantwoordelijk waren voor ongeveer twee derde van de openbaar gemelde storingen.

Wat verwachten NIS2 en de AVG van afhankelijkheid van SaaS?

Beide verwachten dat je blijft draaien en data kunt herstellen als een leverancier uitvalt. Vertrouwen op de uptimebelofte van een leverancier is niet hetzelfde als een continuïteitsplan.

NIS2-artikel 21(2) noemt bedrijfscontinuïteit, zoals back-upbeheer, disaster recovery (je systemen weer draaiend krijgen na een calamiteit) en crisisbeheer, onder punt (c) en ketenbeveiliging onder punt (d). Een kritieke SaaS-leverancier hoort bij die keten, zie onze gids over NIS2-ketenbeveiliging. AVG-artikel 32(1)(c) vraagt dat je bij een fysiek of technisch incident de beschikbaarheid van en de toegang tot persoonsgegevens tijdig kunt herstellen.

In de praktijk kijken auditors naar een leveranciersoverzicht met de kritiekheid per leverancier, een gedocumenteerd continuïteitsplan voor elke kritieke dienst en bewijs dat je de data kunt terugzetten. Lees meer op onze pagina over NIS2 Compliance.

Wat je nu kunt doen

SaaS-storingen blijven voorkomen en je kunt ze niet voorkomen. Wat je wel bepaalt, is hoe lang je bedrijf stilstaat en of je data van één leverancier afhangt. Een noodplan vangt de storing op. Een onafhankelijke back-up vangt dataverlies en het vertrek van de leverancier op.

Begin met de lijst: je vijf belangrijkste SaaS-tools, wie ze beheert en wat je zou doen als elk daarvan een dag verdween. Bekijk daarna hoe Backup as a Service je SaaS-data een tweede plek in de EU geeft.

Wil je een herstel van Microsoft 365 of Google Workspace zien? Plan een gratis demo van 15 minuten, met een mens, in het Nederlands, Duits of Engels.

Dit artikel is algemene informatie, geen juridisch advies.