Een nieuwe website laten bouwen is ook een keuze voor de partij die de website de komende jaren moet onderhouden. Dat werd concreet toen Malenco werd gevraagd een leveranciersvoorstel te beoordelen. Het aanbod omvatte een zelfontwikkeld contentmanagementsysteem, het beheersysteem waarmee de opdrachtgever de website zou kunnen bijwerken, met AI-ondersteuning en automatische vertaling. De gebruikte webtechnologie was modern en geschikt. Voor een verantwoorde keuze moest echter ook duidelijk worden hoe de organisatie de website kon blijven gebruiken, beheren en overdragen wanneer de samenwerking later zou veranderen.
Malenco beoordeelde het voorstel aan de hand van de aangeleverde informatie, voorbeeldsites en een openbare beveiligingstest. Het onderzoek was daarmee geen volledige controle van de aangeboden software: de beoordeling van het beheersysteem zelf berustte op de beschrijving van de leverancier. Wel maakte deze combinatie zichtbaar waar het aanbod nadere onderbouwing nodig had. Naast de afhankelijkheid van het eigen platform waren er tekortkomingen in de beveiligingsconfiguratie van de onderzochte sites en onbeantwoorde vragen over het toekomstige beheer. Het advies richtte zich daarom op de voorwaarden waaronder de opdrachtgever zich aan deze oplossing zou kunnen verbinden.
De website kunnen meenemen vraagt vooraf om afspraken
Het aangeboden beheersysteem was eigen software van de leverancier en alleen beschikbaar voor diens klanten. Daardoor zou de opdrachtgever voor onderhoud en verdere ontwikkeling sterk van die ene partij afhankelijk worden. Die afhankelijkheid wordt vaak aangeduid als vendor lock-in: overstappen is moeilijk of kostbaar doordat de gekozen oplossing niet zonder meer elders kan worden voortgezet. Als de dienstverlening verslechtert, de prijzen stijgen of de leverancier stopt, kan een nieuwe website nodig zijn terwijl de bestaande technisch nog voldoet. De aanschafprijs zegt dan weinig over de werkelijke kosten van de keuze.
Voor de opdrachtgever was vooral van belang wat bij een overstap daadwerkelijk beschikbaar zou komen. Eigendom van teksten en afbeeldingen geeft nog geen recht om ook de software te blijven gebruiken, terwijl toegang tot een exportbestand op zichzelf niet betekent dat een andere partij de website kan overnemen. Malenco adviseerde daarom om eigendom of blijvende gebruiksrechten op broncode, ontwerp en inhoud vast te leggen, naast een volledige export van content en media. In een exitregeling moest staan wat de opdrachtgever bij beëindiging zou ontvangen, binnen welke termijn en tegen welke kosten. Ook de domeinnaam en het beheer van de bijbehorende internetverwijzingen moesten onder zeggenschap van de opdrachtgever blijven.
Daarbij hoorde een voorziening voor de situatie waarin de leverancier zijn activiteiten beëindigt. Het advies noemde bijvoorbeeld het onder voorwaarden beschikbaar stellen van de broncode via een onafhankelijke bewaarder, of een licentie waarmee het beheersysteem bij het wegvallen van de leverancier kan worden voortgezet. Zulke afspraken moesten de continuïteit van het gebruik ondersteunen; zonder nadere uitwerking kon niet worden aangenomen dat overdracht ook praktisch geregeld was. Om de afweging breder te maken, adviseerde Malenco bovendien een vergelijkende offerte op basis van een gangbaar beheersysteem. Beide voorstellen konden dan worden beoordeeld op keuzevrijheid en totale kosten over drie tot vijf jaar, inclusief licenties, hosting, onderhoud en wijzigingen.
De onderzochte sites gaven aanleiding om verder te kijken
De leveranciersafhankelijkheid maakte de kwaliteit van het beheer extra relevant. Malenco onderzocht daarom de publiek bereikbare website van de leverancier en een voorbeeldsite van een klant. Op de eigen website werden nog verouderde versleutelingsinstellingen aangeboden. Bij beide sites ontbraken verschillende gangbare beveiligingsinstellingen, waaronder instructies waarmee browsers bepaalde vormen van misbruik kunnen beperken. Veel van deze punten betroffen de configuratie en waren volgens het advies met beperkte aanpassingen te verbeteren. Dat ze ook op de eigen website ontbraken, gaf aanleiding om de zorgvuldigheid van het beheer nader te bespreken.
De scans leverden geen bewijs van een acuut beveiligingslek. Evenmin kon uit de onderzochte instellingen worden afgeleid dat de aangeboden software was gehackt of dat de toekomstige website direct misbruikt kon worden. De bevindingen waren wel concreet genoeg om aantoonbare verbetering en duidelijke oplevereisen te verlangen. Daarbij bleef de reikwijdte van het onderzoek van belang: een openbare test laat slechts een deel van de beveiliging zien. Hoe de leverancier kwetsbaarheden verhelpt, toegang tot het beheersysteem beveiligt en externe softwareonderdelen controleert, was hiermee nog niet vastgesteld.
Het advies verbond de zichtbare tekortkomingen daarom aan eisen voor het minder zichtbare beheer. Malenco wilde onder meer inzage in een onafhankelijk beveiligingsonderzoek van het beheersysteem, aanvullende verificatie bij het inloggen, afgebakende gebruikersrechten en een registratie van beheerhandelingen. Voor kritieke beveiligingsupdates moest een concrete hersteltermijn worden afgesproken. Ook moest de beheeromgeving worden afgeschermd en de beveiligingsconfiguratie bij oplevering aantoonbaar op orde zijn. Dit waren voorwaarden voor een eventuele opdracht, geen maatregelen waarvan het onderzoek vaststelde dat ze al waren ingericht.
Ook hosting en AI moesten onderdeel van de overeenkomst worden
Bij het uitwerken van die voorwaarden bleek dat ook de dienstverlening rondom de website verduidelijking vroeg. De onderzochte sites gebruikten verschillende hostingomgevingen; waar de nieuwe website zou worden ondergebracht, was nog onbekend. Daardoor ontbrak ook voldoende inzicht in de back-ups en het herstel bij een storing. Malenco adviseerde hosting in de Europese Unie, met een beschreven en geteste herstelprocedure. Daarin moesten de aanvaardbare hersteltijd en het mogelijke gegevensverlies worden vastgelegd, zodat de opdrachtgever wist waarop hij bij uitval kon rekenen.
De AI-ondersteuning en automatische vertaling vroegen om vergelijkbare duidelijkheid. Uit de beschikbare informatie bleek niet welke externe AI-dienst werd gebruikt, welke gegevens daarheen zouden gaan en of die gegevens voor het trainen van modellen konden worden benut. Het advies was om deze gegevensstromen en de betrokken dienstverleners inzichtelijk te maken en de afspraken over gegevensverwerking vast te leggen, inclusief de ingeschakelde AI- en hostingpartijen. Daarnaast bleef menselijke controle van specialistische vertalingen nodig. Een functie die publicatiewerk kan vereenvoudigen, brengt immers ook verantwoordelijkheid mee voor de inhoud die uiteindelijk op de website verschijnt.
De uitkomst was een voorwaardelijk advies. De voorgestelde leverancier bleef een bruikbare optie als zowel de afspraken over overdraagbaarheid als de beveiligingseisen contractueel werden vastgelegd. Als de leverancier die voorwaarden niet wilde aanvaarden, raadde Malenco aan niet verder te gaan. Daarmee kreeg de opdrachtgever een onderbouwde basis voor het vervolggesprek en de vergelijking met een alternatief. De beschikbare stukken vermelden geen uiteindelijke leverancierskeuze en tonen evenmin aan dat de geadviseerde verbeteringen zijn uitgevoerd.
Door het voorstel vóór ondertekening te laten beoordelen, kreeg de opdrachtgever zicht op verplichtingen en afhankelijkheden die in een functionele demonstratie gemakkelijk buiten beeld blijven. De nieuwe website moest niet alleen geschikt zijn voor de eerste oplevering, maar ook beheersbaar blijven wanneer behoeften of omstandigheden veranderen. Het advies maakte concreet welke rechten, informatie en afspraken daarvoor nog nodig waren. Zo kon de organisatie haar keuze baseren op de gevolgen voor de komende jaren, naast de mogelijkheden die het platform op dat moment bood.
Deze geanonimiseerde praktijkcase is gebaseerd op een advies van 29 oktober 2026. De afbeelding is illustratief.
