IT-outsourcing och extern IT-avdelning: för- och nackdelar

IT-outsourcing säljs ofta som ett sätt att slippa tänka på IT. Det är halva sanningen. Du slipper jobbet, men inte ansvaret, och den här sidan handlar om hur du lämnar över det ena utan att tappa det andra. Den ingår i guiden om IT-drift och managed services. Nod säljer själv outsourcad IT, så läs med det i bakhuvudet.

Vad är en extern IT-avdelning?

En extern IT-avdelning är en leverantör som tar löpande ansvar för din IT: support till kollegorna, drift och uppdateringar, övervakning, backup och säkerhet. Det skiljer sig från att ringa en tekniker när något gått sönder, så kallad break/fix, där ingen har ansvar mellan samtalen. Leverantören kallas ofta MSP, managed service provider.

Det finns två huvudvarianter. Vid hel outsourcing tar leverantören allt. Vid delad drift, ibland kallad co-managed, behåller du en intern IT-person och köper det hen inte hinner eller inte ska behöva kunna, till exempel jour, säkerhetsövervakning eller helpdesk.

Vilka är fördelarna?

Den största fördelen är att IT inte längre hänger på en person. En extern IT-avdelning har flera tekniker, någon som täcker vid semester och dokumentation som inte försvinner när någon slutar.

• Bredd. Nätverk, Microsoft 365, säkerhet och backup kräver olika kunskap. Få företag kan anställa alla.
• Det tråkiga blir gjort. Patchning, kontroll av backup och uppföljning av larm är det som glöms bort när den interna IT-personen släcker bränder. Hos en leverantör är det rutin.
• Förutsägbar kostnad. En fast avgift är lättare att budgetera än oplanerade timmar, så länge det är tydligt vad den täcker.
• Skala. Företaget kan växa eller krympa utan att IT-avdelningen måste nyanställa eller säga upp.

Vilka är nackdelarna och riskerna?

De flesta nackdelar står i avtalet redan från början, de märks bara senare. Här är det som oftast skaver:

• Inlåsning. Lång bindningstid, automatisk förlängning, och att Microsoft 365, domännamn, licenser eller administratörskonton ligger i leverantörens namn. Då är det dyrt och krångligt att gå.
• Fel mått. Avtalet lovar svarstid, inte åtgärdstid. Det går att hålla varje svarstid och ändå låta dig vänta i dagar på en lösning. Mer om det i vad ett SLA ska innehålla.
• Det som faktureras extra. Ny medarbetare, ny dator, flytt, "projekt" och allt som definieras som utanför avtalet. Be om en lista i klartext.
• Avstånd till verksamheten. En leverantör känner inte dina processer lika bra som en kollega. Det går att bygga upp, men bara om någon hos dig håller i kontakten.
• Ansvaret glider. När IT är någon annans jobb slutar ledningen ofta att ställa frågor. Ansvaret för informationssäkerheten ligger kvar hos dig, och omfattas du av cybersäkerhetslagen är det uttryckligen ledningens ansvar.

När passar det?

Extern IT-avdelning passar när du behöver mer bredd eller mer uthållighet än du kan anställa. Tabellen är ett stöd för beslutet, inte ett facit.

Din situation	Det som oftast passar
Ingen IT-person, IT sköts av den som kan mest	Extern IT-avdelning, hel outsourcing
En intern IT-person som är ensam och saknar ersättare	Delad drift: behåll personen, köp jour, säkerhet och helpdesk
Egen IT-avdelning som fungerar, men saknar säkerhetsövervakning eller jour	Köp in just det som saknas
Specialsystem i produktion som kräver kunskap på plats	Intern kompetens för systemen, extern för grunddriften
Stabil miljö, få användare, sällan problem	Kanske ingenting löpande. Ett avtal för backup och uppdateringar kan räcka

Den sista raden är värd att ta på allvar. Alla företag behöver inte en extern IT-avdelning, och en leverantör som inte kan säga det är värd att vara försiktig med.

Vad ska du behålla internt?

Du ska behålla ägarskapet, även när du lämnar över jobbet. Konkret betyder det här:

• En intern ansvarig. En person som beställer, prioriterar och följer upp leverantören. Det är sällan en heltidsroll, men den ska finnas.
• Beslut om risk och behörigheter. Vem som får tillgång till vad, och vilka risker företaget accepterar, är verksamhetens beslut.
• Konton och avtal i eget namn. Microsoft 365-miljön, domännamnen, licensavtalen och övriga molntjänster ska stå på företaget. Leverantören ska arbeta med behörigheter som du kan dra tillbaka, i Microsoft-världen via GDAP, se CSP och GDAP.
• Ett nödkonto. Minst ett administratörskonto som företaget självt kontrollerar och som inte används i vardagen.
• En egen kopia av dokumentationen. Nätverk, system, lösenordsvalv och rutiner. Det som bara finns hos leverantören är inte ditt i praktiken.

Så väljer du partner

Välj partner på hur de hanterar ansvar och avslut, inte bara på pris. Ställ de här frågorna till varje leverantör och jämför svaren skriftligt:

1. Vad ingår i den fasta avgiften, och vad faktureras extra? Be om en lista.
2. Vilka svarstider och åtgärdstider gäller per prioritet, och vad händer om de inte hålls?
3. Hur lång är bindningstiden, uppsägningstiden och eventuell automatisk förlängning?
4. I vems namn ligger miljön, licenserna och domänerna?
5. Hur ser ett byte ut? Be dem beskriva vad du får med dig och hur lång tid överlämningen tar.
6. Hur arbetar de med säkerhet hos sig själva, och hur får du veta om de drabbas av en incident?
7. Vilken rapport får du, och hur ofta går de igenom den med dig?
8. Vem är din kontaktperson, och vem tar över när hen är borta?

Fler krav att ställa, särskilt om du omfattas av NIS2, finns i säkerhet i leverantörskedjan.

Hur byter du leverantör och tar med dig din data?

Du byter leverantör genom att säga upp enligt avtalet, ta tillbaka det som är ditt och ha en överlämning där gammal och ny leverantör är igång samtidigt en kort tid. Det går smidigast om du förberett det redan när avtalet skrevs.

1. Läs avtalet. Uppsägningstid, avgifter vid förtida uppsägning och vad leverantören ska lämna över.
2. Inventera vad som är ditt. Microsoft 365-miljön, domäner, licenser, backuper, brandväggar och annan utrustning. Mallen i vad är en IT-miljö hjälper.
3. Begär dokumentation och behörigheter. Administratörskonton, lösenordsvalv, nätverksritningar och konfigurationer ska lämnas över innan avtalet löper ut.
4. Flytta licenser och behörigheter. Köper du Microsoft-licenser via leverantören kan de flyttas till en ny partner mitt i löptiden, med samma pris och återstående bindningstid. Det är den nya partnern som begär flytten och den gamla som godkänner den. Den nya leverantören får egna GDAP-behörigheter och den gamla leverantörens tas bort.
5. Kräv radering. Enligt GDPR ska ett personuppgiftsbiträde, efter ditt val, radera eller lämna tillbaka personuppgifterna när tjänsten upphör, och radera befintliga kopior. Be om en skriftlig bekräftelse.

För molntjänster finns sedan 12 september 2025 också EU:s dataförordning, Data Act. Den kräver att leverantörer av molntjänster, som IaaS, PaaS och SaaS, gör det möjligt att byta leverantör utan att förlora data, och från 12 januari 2027 får de inte ta ut avgifter för själva bytet. Förordningen gäller molntjänsterna, inte nödvändigtvis avtalet med din IT-partner. [VERIFIERA MOT KÄLLA: om och hur Data Act kapitel VI omfattar managed services-avtal]

Den bästa leverantören är en du kan lämna

En extern IT-avdelning kan göra IT både tryggare och billigare än att ha allt själv. Men du köper jobbet, inte ansvaret, och en leverantör som är svår att lämna är svår att ställa krav på. Behåll ägarskapet, skriv in avslutet i avtalet från början och läs det som står om uppsägning lika noga som det som står om support.

Så hjälper Nod till

Nod tar över drift, support och säkerhet för företag som vill ha en extern IT-avdelning, eller kompletterar den interna IT-personen. [FYLL I: bekräfta att miljön, licenserna och domänerna står i kundens namn och att Nod arbetar med behörigheter som kunden kan ta tillbaka, via GDAP] [FYLL I: vad som ingår i Nods avtal, bindningstid, uppsägningstid och hur överlämning vid avslut går till] I en kostnadsfri rådgivning går vi igenom din situation och säger ärligt om du behöver en extern IT-avdelning eller inte. Läs mer om managed services hos Nod.