Checklista: 7 saker du måste kräva av din IT-leverantör vid outsourcing
Att outsourca IT-driften är ett av de mest strategiska besluten ett företag kan ta. Felaktig leverantör låser in er i flera år och kan bli direkt skadligt vid en säkerhetsincident. Här är de sju kraven som varje seriös upphandling bör innehålla.
Vill ni inte lösa det här själva? Vi levererar det som en opererad tjänst — med drift, övervakning och ansvar hos oss.
IT drift för företag1. Tydlig SLA med ekonomiska konsekvenser
Ett SLA utan vite är en intention, inte ett avtal. Kräv dokumenterad svarstid, åtgärdstid och tillgänglighet — och ekonomiska konsekvenser om de inte hålls. Gradera krav efter prioritet: P1 (kritiskt stopp) ska ha betydligt hårdare svarstid än P3 (mindre fel).
2. Säkerhetsoperationer som ingår, inte som tillägg
Modern IT-drift utan SOC-funktion är som en byggnad utan brandlarm. Kräv minst central loggning, hotdetektion och dokumenterad incidentprocess som standard. Lösningar där säkerhet säljs som dyrt tillägg är inte byggda för dagens hotbild.
3. Dokumenterad sub-processor-lista
Vilka tredjepartsleverantörer använder er IT-leverantör? Var lagras data? Vem har teknisk åtkomst? GDPR och NIS2 kräver att ni kan svara på det. En leverantör som inte kan ge en uppdaterad lista är inte mogen.
4. Exit-plan och dataägarskap
Vad händer den dag ni vill byta leverantör? Kräv skriftligt åtagande om hur data lämnas över, i vilket format och på vilken tid. Skriv in maxkostnad för exit i avtalet. Utan exit-plan är ni de facto inlåsta.
5. Förändringshantering och dokumentation
En IT-miljö som inte är dokumenterad är en risk. Kräv att leverantören för aktuell dokumentation av arkitektur, konfiguration och förändringar. Be att få se ett exempel innan ni skriver under.
6. Tydlig ansvarsfördelning vid incident
Vem rapporterar till NCSC? Vem kommunicerar med era kunder? Vem ringer ledningen mitt i natten? En tydlig matris över vem som gör vad i en incident — i förväg, inte i stundens hetta — är avgörande för att klara NIS2:s tidsfönster.
7. Regelbundna säkerhetstester av leverantörens egen miljö
Er leverantörs egen säkerhet är en del av er attackyta. Kräv att de genomför årliga pentest och kan visa upp ISO 27001-certifiering eller motsvarande granskning. En leverantör som inte testar sig själv testar er istället.
Frågor och svar
Vill ni ha det här hanterat åt er?
Vi går igenom er nuvarande miljö, visar vad som saknas och vad det skulle kosta att driva det som en opererad tjänst. Genomgången är kostnadsfri och utan åtaganden.