En exitstrategi er ikke et udtryk for mistillid til en leverandør. Det er basal risikostyring, på linje med at have en brandforsikring, man håber aldrig at få brug for. En GRC-rådgiver formulerede det nøgternt i Akademikerbladets kortlægning fra august 2025: en exitplan bør være en integreret del af enhver cloudservice, så man altid ved, hvad man gør i morgen, hvis løsningen falder væk.
En brugbar exitstrategi behøver ikke være en færdig reserveløsning, der står tændt. Den skal indeholde fire ting. At jeres data kan trækkes ud i et åbent format, så de kan læses uden leverandørens system. At der findes mindst ét alternativ, I faktisk har set på. Et realistisk tidsestimat for, hvad et skifte ville tage. Og en navngiven ansvarlig. Datatilsynet har peget på, at man bør kunne flytte en service væk fra en leverandør inden for omkring tredive dage, og det er en god øvelse at spørge sig selv, om man ville kunne det.
Kortlægningen fra august 2025 satte tal på, hvor langt de fleste er: fireoghalvfjerds af de otteoghalvfems danske kommuner havde ingen exitstrategi for deres amerikanske cloudtjenester. Det er ikke en anklage mod kommunerne, men et billede af, at det her er nyt for de fleste, og at man ikke er bagud, blot fordi man ikke er begyndt endnu.
For finansielle virksomheder er en exitplan ikke længere frivillig. DORA, der fik virkning fra januar 2025, stiller udtrykkeligt krav om, at man kan skifte eller undvære en kritisk it-leverandør. Men logikken er den samme for alle: jo mere en daglig rutine hviler på ét system, jo dyrere er det at skifte, og jo mere magt har den, der leverer det.