IT-contracten

Ondersteuning: van implementatie tot exit.

Contract-txt_HR

Emtio stelt IT-contracten op en beoordeelt overeenkomsten, SLA’s en voorwaarden van leveranciers voor gemeenten, onderwijsinstellingen, zorgorganisaties en andere publieke organisaties. Onze adviseurs kennen de techniek, de aanbestedingspraktijk en het contractenrecht. Zo sluit uw contract aan op de dienst die u inkoopt, op de aanbesteding en op de risico’s die u wilt beheersen. Of het nu gaat om een aanbesteding, pakketselectie of een outsourcingstraject: we zorgen dat de afspraken ook in de praktijk werken, van implementatie tot exit.

Op deze pagina:

IT-contracten opstellen en beoordelen

Een eerste versie van een IT-contract is tegenwoordig snel gemaakt, met een modelovereenkomst, eerdere contracten of AI. De kwaliteit zit echter niet in de hoeveelheid bepalingen. Het contract moet aansluiten op de dienst die werkelijk wordt afgenomen, de gekozen aanbestedingsstrategie en prijsstructuur, de leveranciersketen en de risico’s die de opdrachtgever wil beheersen. Bij een SaaS-oplossing spelen andere onderwerpen dan bij outsourcing van infrastructuur en beheer. Een raamovereenkomst voor hardware vraagt weer om andere afspraken. Emtio verbindt daarom de juridische tekst steeds met de technische en organisatorische werkelijkheid van de opdracht.

Contracten van leveranciers laten beoordelen

Een leverancier legt regelmatig zijn eigen overeenkomst, SaaS-voorwaarden, SLA, verwerkersovereenkomst of licentievoorwaarden voor. Soms gaat het om één document, maar vaak blijkt de contractuele verhouding over verschillende documenten en online voorwaarden te zijn verspreid.

Bij de beoordeling kijken we wat de afspraken in de praktijk betekenen. Daarbij letten we bijvoorbeeld op:

  • de verantwoordelijkheid van de leverancier
  • afhankelijkheden van fabrikanten en subcontractors
  • prijswijzigingen
  • wijzigingen in de dienstverlening
  • aansprakelijkheid
  • security en data 
  • beëindiging

Soms moet daarvoor ook buiten het voorgelegde document worden gekeken. Bij een review voor gemeente Doetinchem kregen we bijvoorbeeld een Engelstalige verwerkersovereenkomst van een Amerikaanse softwareleverancier voorgelegd. Daarbij speelde niet alleen de verwerking buiten de EER en de regeling voor internationale doorgifte. Ook de verhouding met de hoofdovereenkomst bleek van belang, omdat daarin onder meer de aansprakelijkheid voor datalekken kon zijn geregeld. In het advies is daarom ook rekening gehouden met mogelijke contractonderhandelingen met de leverancier.

Dat is meestal hoe zo’n review verloopt. We geven aan waar risico’s zitten, welke bepalingen naar onze mening moeten worden aangepast en wat eventueel nader met de leverancier moet worden afgesproken.

Het contract hoort bij de aanbesteding

Bij een Europese IT-aanbesteding wachten we liever niet tot de winnaar bekend is voordat over het contract wordt nagedacht. De overeenkomst wordt al tijdens de voorbereiding opgebouwd. Daardoor kunnen bepalingen over bijvoorbeeld prijzen, acceptatie, wijzigingen, SLA, transitie en exit direct aansluiten op de wijze waarop de opdracht wordt uitgevraagd. Ook de verschillende aanbestedingsstukken moeten na gunning juridisch bij elkaar passen.

In een recente overeenkomst voor IT-infrastructuur- en beheerdiensten werden de volgende onderdelen vastgelegd: 

  • de GIBIT
  • SLA
  • Nota van Inlichtingen
  • Beschrijvend Document
  • Dossier Financiële Afspraken
  • de definitieve inschrijving
  • Afspraken over re-transitie en de wijzigingsprocedure 

Ook de rangorde tussen deze documenten is vastgelegd. Dat voorkomt veel discussie achteraf. Een toezegging in een inschrijving of een antwoord in een Nota van Inlichtingen moet niet na gunning ergens tussen de overige stukken verdwijnen.

Het IT-contract als onderdeel van de aanbesteding

Voor bedrijfsapplicaties gebruiken we bijvoorbeeld dienstverleningsovereenkomsten waarin de gebruiksrechten, implementatie, conversie, exploitatie en beëindiging bij elkaar worden gebracht. Zo is voor een eHRM-oplossing een dienstverleningsovereenkomst opgesteld op basis van ARBIT 2022. Daarin zijn ook de SLA, financiële afspraken, een escalatiemodel, wijzigingsprocedure en afspraken over re-transitie opgenomen.

Bij cloud- en infrastructuurdiensten kan een samenwerkingsovereenkomst beter passen. Voor DOWR (samenwerkingsverband tussen de gemeenten Deventer, Olst-Wijhe en Raalte) is zo’n overeenkomst gebruikt voor hybrid multi-cloud infrastructuurdiensten en verbindingen. Het Beschrijvend Document, de financiële afspraken, de inschrijving en het Dossier Afspraken en Procedures zijn daarbij onderdeel van dezelfde contractuele structuur.

Een andere constructie is toegepast bij de inkoop van standaardprogrammatuur via een reseller. Daar is rekening gehouden met nadere overeenkomsten waarbij naast opdrachtgever en reseller ook de rechthebbende of system integrator partij kan worden. Zo kan rechtstreeks worden geregeld welke verplichtingen bij de partij horen die de software daadwerkelijk levert, onderhoudt of implementeert.

We stellen daarnaast overeenkomsten van opdracht op voor specialistische IT-dienstverlening. Voor de implementatie van BIO2 bij gemeente Doetinchem is bijvoorbeeld een overeenkomst opgesteld waarin de uitvoering van de opdracht, inzet en vervanging van medewerkers, prijzen, intellectuele eigendom, geheimhouding, informatiebeveiliging en privacy zijn geregeld.

Er is dus geen Emtio-model dat overal overheen wordt gelegd. Eerdere contracten gebruiken we vanzelfsprekend als basis, maar de opdracht bepaalt wat uiteindelijk nodig is.

Werken met GIBIT 2025 en ARBIT 2022

Publieke opdrachtgevers werken veel met GIBIT en ARBIT. Dat zijn bruikbare algemene voorwaarden, maar daarmee is de contractering meestal nog niet klaar. We bekijken per opdracht welke bepalingen rechtstreeks kunnen worden toegepast en waar aanvulling of afwijking nodig is. Dat kan soms behoorlijk specifiek worden. In een recente raamovereenkomst voor ICT-hardware is bijvoorbeeld per onderdeel van GIBIT 2025 bekeken of de regeling past bij reguliere hardware-leveringen en aanvullende diensten. Bepalingen over implementatie, acceptatie, onderhoud, algoritmische toepassingen, data en Dienstverlening op Afstand zijn daar niet zonder meer integraal van toepassing verklaard.

Bij een SaaS-overeenkomst kan juist meer aanvullende regeling nodig zijn, bijvoorbeeld rond implementatie, conversie, beschikbaarheid, gegevens en exit.

Algemene inkoopvoorwaarden leveren het juridische fundament. Het concrete contract moet vervolgens zorgen dat dit fundament aansluit op de dienst die daadwerkelijk wordt geleverd.

Aandachtspunten in elk IT-contract

Een verwerkersovereenkomst beoordelen we bij voorkeur in samenhang met de IT-dienstverlening waarop zij betrekking heeft. Dat wordt vooral belangrijk als de leverancier of een deel van zijn leveranciersketen buiten de EER zit.

Bij de hiervoor genoemde overeenkomst van Recast speelde bijvoorbeeld verwerking buiten de EER. Het document bevat afspraken over subprocessors, internationale doorgifte, Standard Contractual Clauses, beveiliging, datalekken en aansprakelijkheid. De lijst van subprocessors laat bovendien zien waarom zo’n beoordeling verder gaat dan de naam van de hoofdleverancier. In dit geval worden verschillende andere ondernemingen gebruikt voor cloudinfrastructuur en ondersteunende diensten, waarvan een deel in de Verenigde Staten is gevestigd. Dan moet duidelijk zijn waar persoonsgegevens terecht kunnen komen, op welke grondslag dat gebeurt en welke afspraken gelden als de keten later verandert.

Wijzigingen tijdens de looptijd

IT-dienstverlening blijft zelden jarenlang hetzelfde. Volumes veranderen, systemen worden vervangen, functionaliteit wordt toegevoegd en leveranciers passen hun technische platform aan. Ook wetgeving en security-eisen kunnen aanleiding geven om iets te wijzigen. Dat moet een contract aankunnen.

We besteden daarom aandacht aan wijzigingsprocedures, prijsconsequenties en de manier waarop wijzigingen worden vastgelegd. Voor aanbestedende diensten speelt daarbij bovendien de vraag hoeveel ruimte de oorspronkelijke aanbesteding biedt om een contract gedurende de looptijd aan te passen.

Een wijzigingsprocedure voorkomt dat iedere aanpassing een vrijblijvende discussie wordt. Tegelijkertijd mag zo’n procedure geen blanco volmacht worden voor de leverancier om de dienstverlening of tarieven zelfstandig te wijzigen.

Data en toegang

Bij cloud- en beheerdiensten vinden we het belangrijk dat een opdrachtgever zelf toegang houdt tot informatie die voor zijn bedrijfsvoering en regie nodig is. In een recente outsourcingovereenkomst is bijvoorbeeld expliciet geregeld dat de opdrachtgever toegang kan krijgen tot data die door de ICT-prestatie wordt gegenereerd of verzameld. De leverancier moet die data beschikbaar kunnen stellen, downloadbaar maken of de technische mogelijkheden bieden om die zelf te ontsluiten. Dat onderwerp wordt vaak pas interessant wanneer een organisatie iets wil veranderen. Dan blijkt of gegevens, documentatie en configuraties daadwerkelijk kunnen worden gebruikt buiten de omgeving van de bestaande leverancier.

Exit en re-transitie

We besteden al bij het sluiten van een overeenkomst aandacht aan het moment waarop die overeenkomst ooit weer eindigt. Voor outsourcing hebben we bijvoorbeeld vastgelegd dat de bestaande leverancier actief moet meewerken aan de migratie naar een opvolgende dienstverlener. Hij moet daarvoor deskundig personeel beschikbaar stellen, met de nieuwe leverancier samenwerken en zijn dienstverlening zo nodig voortzetten totdat de opvolgende dienstverlening operationeel is.

Ook bij SaaS-contracten gebruiken we afspraken over re-transitie. Een voorbeeld daarvan is de Gedragscode Re-transitie die onderdeel is gemaakt van een eHRM-overeenkomst. Daarin staan samenwerking tussen vertrekkende en nieuwe leverancier, continuïteit en het beheersen van de risico’s van de overdracht centraal.

Een exitclausule alleen is overigens niet genoeg. De mogelijkheid om over te stappen moet technisch ook bestaan.

Digitale soevereiniteit en omkeerbaarheid

Dat laatste raakt direct aan digitale soevereiniteit. Een organisatie kan haar infrastructuur en beheer vergaand uitbesteden en toch voldoende keuzevrijheid behouden. Daarvoor moet wel duidelijk zijn welke afhankelijkheden ontstaan en of die later nog kunnen worden doorbroken.

In onze publicatie over digitale soevereiniteit gebruiken we daarvoor de term omkeerbare outsourcing. Architectuur, kennis, contractuele rechten en technische overdraagbaarheid moeten zo worden ingericht dat een andere technologische koers later mogelijk blijft.

Die gedachte heeft praktische gevolgen voor contracten. Het gaat bijvoorbeeld om toegang tot configuraties en beheerinterfaces, overdraagbaarheid van data, documentatie, intellectuele eigendom, subcontractors en de mogelijkheden om workloads of dienstverlening naar een andere omgeving te brengen.

Daarmee krijgt een exit-regeling een bredere betekenis dan alleen hulp bij het beëindigen van een contract.

Artificial Intelligence in IT-contracten

AI komt steeds vaker als functionaliteit terecht in bestaande bedrijfsapplicaties. Een organisatie hoeft dus helemaal geen afzonderlijke AI-oplossing in te kopen om ermee te maken te krijgen. Voor contracten levert dat nieuwe aandachtspunten op. Een leverancier kan tijdens de looptijd bijvoorbeeld het gebruikte AI-model vervangen, van AI-provider wisselen of aanpassingen doen in system prompts, guardrails of retrieval-augmented generation. Aan de buitenkant kan dezelfde applicatie zichtbaar blijven, terwijl de werking, gegevensverwerking of het risicoprofiel wel degelijk verandert.

Daarom kijken we bij relevante AI-functionaliteit onder meer naar gegevensstromen, leveranciersketens, beveiliging, kosten en wijzigingen tijdens de contractduur. Ook moet duidelijk zijn welke ruimte de leverancier heeft om de AI-functionaliteit zelfstandig te veranderen en wanneer een nieuwe beoordeling of acceptatie nodig is. In een recente overeenkomst zijn al specifieke bepalingen opgenomen over AI-systemen. Daarin komen onder meer nauwkeurigheid, robuustheid, cyberbeveiliging, menselijk toezicht, risicoclassificatie, logging en ondersteuning bij verplichtingen uit de AI-verordening terug. Voor AI hoeft daarom geen afzonderlijk standaardcontract te worden bedacht. Het onderwerp moet worden geregeld waar het zich voordoet: in de overeenkomst voor de applicatie of dienstverlening waarvan AI onderdeel is.

Second opinion op IT-contracten en contractsets

Heeft uw organisatie zelf een conceptovereenkomst, SLA, verwerkersovereenkomst of overeenkomstenset opgesteld of met AI voorbereid? Emtio kan deze onafhankelijk beoordelen. We kijken niet alleen naar afzonderlijke bepalingen, maar ook naar de onderlinge samenhang tussen de overeenkomst, aanbestedingsstukken, aanbieding, SLA, financiële afspraken, beveiliging, privacy, wijzigingsprocedure en exit.

De review maakt zichtbaar welke risico’s of inconsistenties nog bestaan, welke onderwerpen met de leverancier moeten worden besproken en welke bepalingen moeten worden aangepast voordat de overeenkomst wordt gesloten.

Een IT-contract laten opstellen of beoordelen?

Emtio ondersteunt publieke organisaties bij het opstellen, beoordelen en uitonderhandelen van IT-contracten. Dat varieert van SaaS- en dienstverleningsovereenkomsten tot outsourcingcontracten, samenwerkingsovereenkomsten, raamovereenkomsten voor hardware en software, overeenkomsten van opdracht en verwerkersovereenkomsten. Ook SLA’s, financiële afspraken, wijzigingsprocedures en regelingen voor exit en re-transitie kunnen onderdeel van onze werkzaamheden zijn. Bij een aanbesteding zorgen we ervoor dat het contract aansluit op de uitvraag en de uiteindelijke inschrijving. Krijgt u een contract van een leverancier voorgelegd, dan kunnen we dat beoordelen en waar nodig de onderhandelingen begeleiden.

Wilt u een IT-contract laten opstellen of een overeenkomst van een leverancier laten beoordelen? Neem contact op met Emtio.