Gids
Hoe een cloud- of beheerde serviceprovider op te zetten in de VAE
Het korte antwoord
Een cloud- of managed-servicebedrijf begint meestal met een gewone commerciële licentie, en de vraag is welke autoriteiten nog iets te zeggen hebben. De te toetsen autoriteiten zijn de Telecommunications and Digital Government Regulatory Authority (TDRA), als enig deel van de dienst op telecommunicatie lijkt, en de UAE Cyber Security Council, voor verwachtingen op het gebied van cyberbeveiliging. Wetgeving op het gebied van gegevensbescherming geldt ongeacht wat de licentie zegt.
Wat het vaakst de route bepaalt, is de dienstgrens: of het bedrijf doorverkoopt, infrastructuur exploiteert of de eigen omgevingen van klanten beheert. Dat antwoord bepaalt de contracten, verzekeringen, mensen en goedkeuringen. Het bepaalt ook of de telecomvraag een formele toetsing waard is.
Kies het servicemodel vóór de licentie
De meeste oprichters beschrijven vier modellen. Elk legt andere verplichtingen op aan het bedrijf:
- Doorverkoop van een hyperscaler onder een partnerovereenkomst.
- Het exploiteren van private of publieke cloudinfrastructuur.
- Het beheren van bedrijfsvoering over omgevingen die eigendom zijn van de klant.
- Het combineren van hosting, backup, beveiliging en ondersteuning.
Een wederverkoper draagt verplichtingen voor partneraccreditatie, facturering en ondersteuning. Een exploitant draagt hardware, faciliteiten, beschikbaarheid en herstel. Een beheerde-dienstenbedrijf draagt bevoorrechte toegang tot de systemen van een ander. Een bundel draagt dat alles tegelijk. Een aanbieder die factuurgegevens tussen bedrijven vervoert, is een ander geval, behandeld in de gids voor aanbieders van e-facturatie.
Als meer dan één model van toepassing is, is een groep eerder te verwachten dan één enkel bedrijf. Een eigenaar van activa, een exploitant en een entiteit die contracten met klanten sluit, zijn vaak gescheiden. Kredietverstrekkers en ankerklanten dringen vaak op die splitsing aan. Eén bedrijf dat hardware, schulden en klantrisico draagt, is moeilijker te financieren.
Waar de toezichtperimeter ligt
Het risico is een dienst die ongemerkt over een grens heen schuift, daarom wordt het standpunt bevestigd bij de autoriteiten in plaats van aangenomen. Toets deze punten in een vroeg stadium:
- Of enig deel van de dienst een telecommunicatieactiviteit is in plaats van een IT-dienst. Dat is een vraag voor TDRA.
- Welke cyberbeveiligingsnormen de sector van de klant van zijn leveranciers verwacht, en wat de UAE Cyber Security Council heeft gepubliceerd dat relevant is voor de dienst.
- Of het bedrijf een verwerkingsverantwoordelijke of een verwerker is voor elke gegevensset waarmee het in aanraking komt.
- Waar subverwerkers zich bevinden, en of gegevens een grens overschrijden.
- Wat de overeenkomst met de upstream-leverancier toestaat, aangezien een partnerovereenkomst met een hyperscaler doorverkoop en white-labelling kan beperken.
Een toets die een probleem aan het licht brengt, betekent niet dat een vergunning vereist is. Het betekent dat het standpunt een feitelijke controle bij de betrokken autoriteit nodig heeft. Een bedrijf een technologieplatform noemen, plaatst het niet buiten de regelgeving als het klanttraject een gereguleerde functie vervult.
Leg het standpunt vast: wat het bedrijf bouwt en exploiteert, wat het niet doet, welke functies bij goedgekeurde partners liggen, en welke uitbreidingsstappen het antwoord zouden veranderen. Verhuurders, kredietverstrekkers en banken vragen hier allemaal om, net als zakelijke klanten tijdens inkoopprocessen.
Structuurkeuzes die het antwoord veranderen
- Waar de infrastructuur eigendom van is en welke regio's zij bedient.
- Of het bedrijf contracteert als principaal, agent of doorverkoper.
- Wie verantwoordelijk is voor backup, herstel en beveiligingsbeheer.
- Hoe klantgegevens gescheiden worden gehouden en wie bevoorrechte toegang heeft.
- Hoe servicekredieten, aansprakelijkheidslimieten en cyberverzekering op elkaar aansluiten.
De entiteit die klantcontracten ondertekent, moet de mensen, systemen en het risico hebben die nodig zijn om deze te leveren. Een vehikel dat activa bezit, een IP-bedrijf of een buitenlandse moedermaatschappij kan elders in de groep zitten, maar elk onderdeel heeft een echte rol nodig. Een structuur die is opgezet om een lage opstartprijs te promoten, komt vaak terug in de vorm van vragen van de bank en extra werk. Voor rekenintensieve modellen die afhankelijk zijn van stroom en hardware behandelt de gids voor AI-rekenkracht de extra laag.
Functies, mensen en substance
Een managed-serviceprovider bestaat uit zijn mensen. Engineers hebben beheerdersrechten over de systemen van klanten, dus het bedrijf heeft voor elk van de volgende een met naam genoemde eigenaar nodig:
- Beveiligingsoperaties en incidentescalatie.
- Gegevensbescherming, inclusief de verwerkersvoorwaarden die klanten zullen eisen.
- Dienstverlening ten opzichte van de contractueel vastgelegde hersteldoelstellingen.
- Financiën en contractbeheer.
Elke persoon heeft een verblijfs- en werkstatus nodig voordat hij of zij in aanraking komt met klantomgevingen. Bedrijfsruimte is ook van belang, maar minder voor een doorverkoper dan voor een exploitant met hardware in racks. Klanten lezen de teampagina en het organigram als bewijs van substantie, en banken doen dat ook.
Hoe het geld stroomt en waar een bank op let
Omzet in deze sector is terugkerend: maandelijkse facturen, verbruiksfacturering, partnerkortingen en soms doorberekende kosten. Kosten worden vaak in het buitenland betaald aan hyperscalers en hardwareleveranciers, in vreemde valuta. Een bank kijkt naar wie de klanten zijn, waar de leveranciers zich bevinden, en of de contracten de geldstromen verklaren.
Zorg dat u het volgende kunt laten zien:
- Leveranciers- en datacenterovereenkomsten.
- Een dienstencatalogus en een verantwoordelijkheidsmatrix.
- Informatiebeveiligingsbeleid.
- Bewijs van bedrijfscontinuïteit en disaster recovery.
- Supportdekking en incidentescalatie.
Het doel is dat de presentatie, het financiële model, de contracten en het bankdossier één verhaal vertellen. Daar is gereedheid voor een zakelijke bankrekening op gebouwd, en het businessplan en de documentatie wordt meestal het referentiedocument. Consistentie voorkomt vermijdbare vragen. Het garandeert geen rekening, financiering of goedkeuring.
Wat er vaak misgaat
- Het kopiëren van de service-level-voorwaarden van een hyperscaler zonder de operationele capaciteit om deze waar te maken.
- Het niet vermelden van de locaties van subverwerkers in klantcontracten.
- Het verkopen van hosting aan gereguleerde sectoren voordat aan de controlevereisten van de klant is voldaan.
- Het combineren van telecomachtige connectiviteit met IT-diensten zonder de grens hiervan te toetsen.
- Het ondertekenen van een klantcontract vanuit een entiteit die niet over de leveringscapaciteit beschikt.
- Het vergelijken van oprichtingskosten in plaats van volledige routes, inclusief verlengingskosten, personeelsbezetting en de kosten van herstructurering nadat contracten zijn ondertekend.
Kosten
De kosten zijn opgebouwd in lagen, en het honorarium van het kantoor wordt gespecificeerd in de opdrachtbevestiging; hoe Velarozone werkt beschrijft de aanpak. Voor een operator worden de kosten van de licentie vooral bepaald door panden, hardware en personeel. Voor een reseller zijn dat partneraccreditatie en ingenieurs. Er is geen regelgevende richtwaarde die voor de hele sector geldt, dus wordt hier geen bedrag genoemd.
