Software-escrow: Hvornår har du brug for det, og hvordan konfigurerer du det?

Du har brug for softwaredeponering, når din virksomhed er afhængig af software, som kun én leverandør kan vedligeholde, og du ikke hurtigt kan erstatte den, hvis leverandøren går konkurs eller stopper med at understøtte den. Kildekoden, byggevejledningen og dokumentationen deponeres derefter hos en uafhængig deponeringsagent, som frigiver dem til dig på begivenheder, der er aftalt på forhånd. Deponering er af ringe nytte for standardsoftware, der er nem at erstatte, eller for SaaS uden en separat kontinuitetsordning.

To ting afgør, om det fungerer i praksis. Depositummet skal være fuldstændigt, aktuelt og verificeret, og frigivelsesbetingelserne skal være objektivt bestemmelige, fordi en escrow-agent ikke vil afgøre en tvist om, hvorvidt leverandøren reelt er i misligholdelse. Nedenfor forklarer vi, hvordan escrow fungerer under hollandsk lov, hvornår det er omkostningerne værd, hvordan konkurs påvirker det, og hvad man skal kontrollere som kunde og som leverandør.

Hvordan fungerer software-escrow?

Tre parter underskriver én aftale: leverandøren (depositor), kunden (licenshaver eller begunstiget) og escrow-agenten. Leverandøren deponerer materialet hos agenten, agenten holder det fortroligt, og agenten frigiver det kun, når en frigivelseshændelse i aftalen indtræffer.

I henhold til hollandsk lov er escrow-aftalen en kontrakt, der er underlagt bog 6 i den hollandske borgerlige lovbog (BW). Der er ingen specifik lov om escrow, så selve aftalen skal regulere, hvad der deponeres, hvor ofte det opdateres, hvordan det verificeres, hvornår det frigives, og hvad kunden kan gøre med det bagefter.

Et brugbart depositum indeholder mere end kildekode. Det bør indeholde byggescripts, en beskrivelse af udviklings- og byggemiljøet, tredjepartsbiblioteker og deres licenser, databaseskemaer og den tekniske dokumentation, som en kompetent udvikler har brug for til at kompilere og vedligeholde softwaren.

Hvornår er escrow nødvendigt?

Escrow er værd at overveje, når tre betingelser er opfyldt: softwaren understøtter en kritisk proces, den er specialfremstillet eller kraftigt tilpasset, og leverandøren er lille eller økonomisk sårbar. I den situation kan en konkurs hos leverandøren stoppe din drift inden for få uger.

Typiske eksempler er et skræddersyet ERP- eller planlægningssystem, software indlejret i maskiner, du sælger til dine egne kunder, og kernesystemer i regulerede sektorer. Finansielle enheder skal have exitstrategier for IKT-tjenester, der understøtter kritiske eller vigtige funktioner i henhold til artikel 28(8) i loven om digital operationel robusthed (DORA, forordning (EU) 2022/2554), som har været gældende siden 17. januar 2025; escrow kan være en del af denne strategi.

Escrow tilføjer ikke meget til standardsoftware hos alternative leverandører eller til open source-software, hvor koden allerede er offentlig. For SaaS hjælper kildekode alene ikke: du har også brug for hostingmiljøet, dine data og konfigurationen. I så fald skal du aftale en SaaS-kontinuitetsaftale, hvor agenten eller en tredjepart kan holde tjenesten kørende i en overgangsperiode, for eksempel seks til tolv måneder.

Hvilke udgivelsesbegivenheder skal aftalen indeholde?

De sædvanlige udløsningshændelser er leverandørens konkurs, betalingsstandsning, ophør af virksomheden og vedvarende manglende vedligeholdelse af softwaren efter skriftlig varsel. Jo snævrere og mere objektive hver hændelse er, desto hurtigere kan agenten handle.

Konkurs og betalingsstandsning er lette at fastslå, fordi de er offentliggjort i det centrale insolvensregister (Centraal Insolventieregister). "Manglende overholdelse" er ikke: beskriv det konkret, for eksempel som manglende afhjælpning af en prioritetshændelse inden for et bestemt antal arbejdsdage efter en skriftlig misligholdelsesmeddelelse.

Reguler også proceduren. En almindelig model er, at kunden indsender en anmodning om frigivelse med bilag, leverandøren kan gøre indsigelse inden for en kort periode, for eksempel ti arbejdsdage, og en tvist går til voldgift eller domstol. Uden en sådan procedure vil agenten tilbageholde depositummet, indtil parterne er enige, hvilket modvirker formålet.

Hvad sker der med escrow, hvis leverandøren går konkurs?

Fra datoen for konkurskendelsen mister leverandøren retten til at råde over sine aktiver, og bobestyreren (kuratoren) forvalter boet (artikel 23 i konkursloven, Faillissementswet). Enhver handling, som leverandøren stadig skal udføre efter denne dato, såsom at udstede en licens eller overdrage rettigheder, binder ikke længere boet.

Derfor bør licensen til at bruge kildekoden gives, når escrow-aftalen underskrives, kun underlagt frigivelsesbetingelsen. Selve frigivelsen bør derefter være en handling udført af escrow-agenten, ikke af leverandøren. En licens, som leverandøren lover at give senere, kan vise sig værdiløs, når en trustee er blevet udpeget.

Forvalteren kan også beslutte ikke at opfylde den løbende vedligeholdelsesaftale (artikel 37 i Faillissementswet). Escrow forhindrer ikke dette; det giver dig materialet til at arrangere vedligeholdelse andetsteds. Kontroller, om escrow-gebyrerne er forudbetalte, da ubetalte gebyrer kan give agenten en grund til at stoppe.

Hvilke rettigheder får man ved løsladelse?

Escrow overfører ikke ophavsret. Software er beskyttet af den hollandske ophavsretslov (Auteurswet), og en overførsel af ophavsret kræver en underskrevet aftale (artikel 2 i Auteurswet), hvilket en escrow-aftale normalt ikke indeholder.

Det, du får, er en licens, og dens omfang skal være skriftligt fastlagt. Typisk giver den dig, eller en udvikler, du ansætter, ret til at bruge, rette, vedligeholde og tilpasse kildekoden til din egen brug af softwaren. Den giver dig normalt ikke lov til at sælge softwaren til tredjeparter.

Uden en udtrykkelig licens ville du være afhængig af de begrænsede lovfæstede rettigheder, som en lovlig bruger har, såsom rettelse af fejl (artikel 45j i Auteurswet). Disse rettigheder dækker ikke videreudvikling, så du må ikke påberåbe dig dem.

Hvordan holder du depositummet brugbart?

Et depositum, der ikke opdateres med hver større udgivelse, mister hurtigt værdi. Aftal, at leverandøren deponerer en ny version inden for en fast periode efter hver udgivelse, for eksempel 30 dage, og mindst en eller to gange om året.

Escrow-agenter tilbyder forskellige niveauer af verifikation. En lagerkontrol bekræfter kun, at filer er blevet deponeret; en build-test bekræfter, at koden rent faktisk kan kompileres til den version, du bruger. For kritisk software er en fuld build-test i starten og efter større udgivelser prisen værd.

Aftal også, hvem der betaler agentens honorarer, hvad der sker, hvis de ikke betales, og at kunden må betale dem for at holde aftalen i gang. Registrer, hvilken version af softwaren der er i produktion, så du kan sammenligne den med depositummet.

Hvad skal du som kunde tjekke?

Som kunde er dit mål en indbetaling, du rent faktisk kan bruge inden for få dage efter en udgivelsesbegivenhed.

• Kontroller, at depositummet indeholder byggevejledninger, tredjepartskomponenter og dokumentation, ikke kun kildekode.
• Kontroller, at licensen ved udgivelse er udstedt ved underskrivelse og dækker vedligeholdelse og tilpasning foretaget af en tredjepart.
• Kontroller, at udløsningsbegivenhederne er objektive, og at en udløsningstvist har en fast procedure og frist.
• Aftal en buildtest i starten og en opdatering inden for en fast periode efter hver udgivelse.
• Tjek, at du selv må betale ubetalte escrow-gebyrer for at holde depositummet på plads.
• For SaaS skal der aftales en kontinuitetsaftale, der dækker hosting, data og konfiguration.

Hvad skal man som leverandør tjekke?

Som leverandør ønsker du at beskytte din kildekode og undgå en udgivelse på et omstridt grundlag.

• Begræns licensen ved udgivelse til kundens eget brug, med fortrolighedsforpligtelser og ingen ret til at sælge.
• Beskriv "manglende vedligeholdelse" præcist, og inkluder en opsigelsesfrist for at afhjælpe problemet.
• Forbeholder sig retten til at gøre indsigelse mod en anmodning om frigivelse inden for et bestemt antal arbejdsdage.
• Aftal, hvem der bærer omkostningerne ved escrow og verifikation, og hvor ofte I skal opdatere depositummet.
• Kontroller, at indbetalingen ikke indeholder en tredjepartskode, som du ikke må videregive.

Hvad kan vi gøre for dig med software-escrow?

Vores IT-advokater rådgiver kunder og leverandører om software deponering og licens- og vedligeholdelsesaftaler herom.

• Vi vurderer, om escrow eller en SaaS-kontinuitetsaftale passer til din software og risiko.
• Vi udarbejder eller gennemgår escrow-aftalen, herunder frigivelseshændelser, procedure og licens ved frigivelse.
• Vi tilpasser escrow-aftalen til dine licens-, vedligeholdelses- og DORA-krav.
• Vi indsender eller modsætter os en anmodning om frigivelse efter en konkurs eller vedligeholdelsessvigt.
• Vi forhandler med kuratoren om softwarens fortsættelse efter leverandørens konkurs.

Resumé

• Escrow beskytter dig, når kritisk, brugerdefineret software er afhængig af én leverandør, som kan gå konkurs eller stoppe med at vedligeholde den.
• Depositummet skal indeholde byggevejledninger og dokumentation og verificeres og opdateres efter hver udgivelse.
• Udgivelsesbegivenheder skal være objektive med en fast procedure for tvister.
• Udsted licensen ved underskrivelse med forbehold for frigivelse, da leverandøren ikke kan forpligte boet efter konkurs (artikel 23 i Faillissementswet).
• For SaaS er kildekode alene ikke nok; aftal en kontinuitetsaftale.

Ofte stillede spørgsmål