Vad kostar en SOC-tjänst i Sverige 2026?

Sammanfattning – vad som påverkar kostnaden

För svenska små och medelstora företag (5–500 anställda) finns i grova drag tre nivåer: lättviktig MDR, standard SOC och full SOC med dedikerad incidentrespons. För större bolag med komplex miljö växer kostnaden med antal datakällor och lagringskrav.

Spannet är brett eftersom innehållet skiljer sig dramatiskt. En offert som ser låg ut kan i praktiken bli betydligt dyrare när alla datakällor, incidentrespons och loggar lagrats korrekt.

Vanliga prismodeller

Det finns tre prismodeller som dominerar marknaden för SOC-tjänster.

• Per användare och månad – vanligast för SOC as a Service. Fast pris för definierad täckning.
• Per datakälla / per GB logg – mer vanlig hos renodlade SIEM-leverantörer. Kan bli oförutsägbart.
• Hybrid – grundpris per användare plus tillägg per extra datakälla eller incidentrespons.

Vad driver kostnaden

Två SOC-offerter med samma antal användare kan skilja sig 3–5x i pris. Det beror nästan alltid på följande faktorer:

• Bemanning – 24/7 mänsklig bemanning vs automation utanför kontorstid
• Antal datakällor – endpoints, nätverk, identitet, moln, e-post, applikationer
• SLA – MTTD/MTTR på 15 minuter är dyrare än 4 timmar
• Incidentrespons – ingår eller debiteras per timme när larmet går?
• Threat hunting och forensik – sällsynt i lågprissegment
• Logglagring – 90 dagar vs 12 månader 'hot' lagring påverkar priset markant
• Compliance-rapportering – NIS2, DORA, GDPR-stöd är specialistarbete

Tre nivåer – vad du faktiskt får

För att göra spannet konkret: så här ser tjänsteinnehållet typiskt ut i de tre vanligaste nivåerna.

• MDR: endpoint-fokus, EDR, automatiserad respons, mänsklig backup kontorstid
• Standard SOC: flera datakällor, 24/7 tier 1, eskalering till tier 2, månadsrapport
• Full SOC: alla tiers 24/7, dedikerad IR, threat hunting, forensik, NIS2-rapportering

Exempel – företag med 50 anställda

Ett SME med 50 anställda klarar sig ofta med standard SOC. Omfattas verksamheten av NIS2 eller DORA, eller hanteras känslig data, är full SOC med dedikerad incidentrespons ofta rätt nivå.

Jämför det med att bygga motsvarande internt: en intern SOC kräver 8–12 säkerhetsanalytiker, SIEM-licens och processer. Brytpunkten där intern SOC blir ekonomiskt försvarbar ligger normalt över 1000 anställda, och då bara med säkerhetstung verksamhet.

Engångskostnader och dolda poster

Månadspriset är sällan hela bilden. Vid uppstart eller leverantörsbyte tillkommer engångskostnader.

• Onboarding och anslutning av datakällor
• Logg-forwarders och agentlicenser
• Extra logglagring vid höga volymer
• Incidentrespons utanför SLA – tilläggsdebitering om inte ingår
• Forensik och bevissäkring vid allvarliga incidenter
• Penetrationstester och red team som ofta säljs separat

Så jämför du SOC-offerter rättvist

Det enskilt vanligaste misstaget vid SOC-val är att jämföra månadspris istället för totalkostnad och innehåll. Begär följande från varje leverantör innan ni jämför.

• Bemanningsplan per skift och tid på dygnet – egna analytiker eller automation?
• Konkreta MTTD/MTTR-SLA per incidentklass
• Pris för incidentrespons – ingår eller debiteras per timme?
• Lista över ingående datakällor – och pris för extra källor
• Logglagringstid och kostnad för utökad lagring
• Engångskostnader för onboarding och anslutningar
• Exit-villkor och dataportabilitet
• Referenser från liknande verksamheter (storlek och bransch)

Så ingår SOC i ProjAlphas leverans

ProjAlpha levererar SOC som ett integrerat lager i den opererade IT- och säkerhetsleveransen. Eftersom arbetsplatser, nätverk, identitet och fysisk säkerhet redan hanteras i samma plattform finns inga extra licenskostnader per datakälla – och korrelationen mellan digitala och fysiska händelser ingår.

Automatisk övervakning och larm dygnet runt. Bemannad larmhantering och support vardagar 08–17. Leveransen kan byggas på med SLA Standard: 4 timmars svarstid vid kritiska ärenden, vardagar 07–19.