IT serviceaftaler SMV: Årligt eftersyn der lukker huller

IT serviceaftaler SMV er for mange danske SMV’er forskellen på stabil drift og dyr brandslukning.

IT serviceaftaler for SMV’er er kontrakter, der fastlægger hvilke ydelser, svartider, ansvar og priser jeres IT-leverandør er forpligtet på – og de forældes hurtigere, end de fleste tror. NIS2-loven trådte i kraft i Danmark 1. juli 2025 og stiller indirekte krav til jeres leverandøraftaler, som mange kontrakter fra før 2025 slet ikke adresserer. Hændelsesrapportering, underleverandører og revisionsret mangler typisk helt. Med et årligt eftersyn kan I genforhandle aftalen på 4-8 uger og lukke hullerne, før de bliver dyre.

Det vigtigste at vide:

• Aftaler fra før 2025 mangler ofte klausuler om hændelsesrapportering og underleverandører – auditér jeres aftale mod NIS2-kravene nu.
• Incident response, compliance-arbejde og 24/7-overvågning faktureres ofte separat – kortlæg hvad jeres fastpris reelt dækker.
• Kræv exit-klausul med ejerskab til tenant, backup og logs – ellers betaler I dyrt den dag, I skifter leverandør.
• Sæt en fast årlig review-dato i kalenderen og dokumentér ændringer – det er også jeres NIS2-dokumentation.

Hvorfor jeres IT serviceaftale fra før 2025 sandsynligvis er forældet

NIS2-loven trådte i kraft i Danmark 1. juli 2025 (ITNU, 2025), og aftaler skrevet før den dato dækker sjældent de nye leverandørkrav. Selv hvis I ligger under grænsen på 50 ansatte og 10 mio. EUR, rammes mange SMV’er indirekte via kundernes krav (Digitaliseringsstyrelsen, 2026).

Tre typiske huller i ældre IT serviceaftaler for SMV: ingen frister for hændelsesrapportering, ingen indsigt i underleverandører, og et SLA der matcher jeres størrelse for tre år siden. Er I vokset fra 20 til 60 medarbejdere, holder svartiderne næppe.

Sammenlign jeres IT serviceaftale indhold med tjeklisten til MSP-kontrakter, før I går videre.

NIS2 leverandørkrav oversat til konkrete kontraktklausuler

Jeres serviceaftale IT-leverandør skal dække fire områder: sikkerhedskrav, hændelsesrapportering, underleverandører og dokumentation (Digitaliseringsstyrelsen, 2026). Oversæt dem til klausuler I kan tage med til forhandlingsbordet:

• Hændelsesrapportering med frist: Før: ‘Leverandøren orienterer ved alvorlige hændelser’ → Efter: ‘Leverandøren varsler skriftligt inden for 24 timer og leverer fuld rapport inden 72 timer’.
• Underleverandører: kræv en opdateret liste og godkendelsesret ved udskiftning.
• Revisionsret: adgang til årlig audit eller uafhængig erklæring.
• Databehandleraftale IT-leverandør: skal være opdateret og henvise til samme underleverandørliste.

En Microsoft Solutions Partner kan lette NIS2-dokumentationen, hvis leverandøren allerede har processerne på plads.

Sådan gennemfører I det årlige serviceaftale-eftersyn trin for trin

Sæt eftersynet i kalenderen som et fast flow over 4-8 uger — det gør IT serviceaftaler SMV kan styre, ikke bare arkivere:

1. Kortlæg ydelser (uge 1): Log alle ydelser i jeres managed services aftale og markér, hvad I faktisk bruger.
2. Auditér mod krav (uge 2-3): Hold aftalen op mod NIS2, jeres SLA krav SMV og kundernes leverandørkrav.
3. Prioriter ændringer (uge 4): Beslutningsregel — sikkerhedshuller først, dernæst svartider, til sidst pris.
4. Genforhandl (uge 5-7): Mød op med konkrete formuleringer, ikke ønsker. Se hvilke SLA-krav der beskytter driften.
5. Dokumentér (uge 8): Underskriv tillæg, opdatér databehandleraftalen og notér næste eftersynsdato.

Afviser leverandøren rimelige krav, er det et signal om at overveje alternativer.

Fejl der koster: Hvad IT serviceaftaler for SMV’er sjældent dækker

Incident response, compliance-arbejde og 24/7-overvågning ligger ofte uden for fastprisen i IT serviceaftaler SMV typisk har liggende. Regningen kommer først, når skaden er sket. Auditér derfor aftalen én gang årligt mod jeres faktiske forbrug.

Kortlæg de skjulte poster sådan: Træk 12 måneders fakturaer, markér alt der ikke er fastpris, og bed leverandøren dokumentere timeprisen pr. kategori. NIS2-loven trådte i kraft i Danmark 1. juli 2025 (ITNU, 2025), og mange SMV’er rammes indirekte via NIS2 leverandørkrav om hændelsesrapportering og dokumentation (Digitaliseringsstyrelsen, 2026).

Før: ‘compliance efter medgået tid’. Efter: fast årlig pakke med rapporteringsfrister og dokumentation inkluderet. Se også vores tjekliste til MSP-kontrakten.

Tjekliste: Exit-klausul, dataejerskab og adgang til tenant, backup og logs

En exit-klausul IT-aftale skal sikre, at data, tenant og logs er jeres – ellers forhandler I fra en svag position ved ophør. Digitaliseringsstyrelsen (2026) peger på dataejerskab, databehandleraftale og revisionsret som centrale kontraktpunkter.

Håndhæv som minimum disse punkter i aftalen:

• Global admin-adgang til egen Microsoft-tenant – ikke kun via leverandøren
• Udlevering af backup og logs i standardformat inden for 10 arbejdsdage
• Skriftligt dataejerskab: alt data og konfigurationer tilhører jer
• Overdragelsesbistand til fast pris, typisk 4-8 uger
• Forbud mod sletning før bekræftet migrering

Mangler ét af punkterne, så prioriter det ved næste genforhandling – og læs vores krav til SLA’en først.

Hvordan vælger I mellem at genforhandle og at skifte leverandør?

Mål leverandøren på tre kriterier, før I vælger genforhandling IT-kontrakt frem for skifte: NIS2-modenhed, prisudvikling og faktiske svartider mod SLA’en. IT serviceaftaler SMV har haft i 3+ år uden revision skjuler ofte prisstigninger, der overstiger markedet.

Genforhandl, hvis leverandøren leverer på svartider og kan dokumentere hændelsesrapportering og styring af underleverandører (Digitaliseringsstyrelsen, 2026). Skift, hvis compliance-arbejdet faktureres løst oveni, eller hvis logs og tenant-adgang holdes som gidsel.

Regn på det: Et skifte er ofte billigere end at lappe, når merprisen for manglende NIS2-dækning overstiger migreringsomkostningen. Følg vores drejebog i 5 trin til skifte uden nedetid.

Ofte stillede spørgsmål

Hvad skal en IT serviceaftale indeholde for en SMV?

Aftalen skal som minimum dække omfang (hvilke systemer og brugere), responstider, backup og genetablering, sikkerhedsopdateringer, rapportering og en exit-klausul. Kortlæg jeres kritiske systemer først, og kræv at aftalen nævner dem ved navn. Står noget kun som ‘best effort’, så bed om konkrete frister. En god aftale fylder typisk 5-10 sider plus bilag – ikke to linjer i et tilbud.

Hvad koster en IT serviceaftale typisk om måneden?

Prisen afhænger af antal brugere, servere og serviceniveau, og de fleste leverandører prissætter pr. bruger pr. måned. Bed om en opdelt pris: drift, sikkerhed, backup og support hver for sig, så I kan sammenligne tilbud. Afvis samlepriser uden specifikation – de skjuler ofte, hvad der ikke er med. Indhent mindst 2-3 tilbud, før I skriver under.

Hvad er forskellen på en SLA og en serviceaftale?

Serviceaftalen beskriver hvad leverandøren leverer; SLA’en (Service Level Agreement) beskriver hvor godt – altså målbare krav som responstid, oppetid og løsningstid. En serviceaftale uden SLA er svær at håndhæve. Kræv konkrete tal, fx svar inden for 4 timer på kritiske sager, og aftal konsekvenser ved brud, typisk bod eller reduceret betaling.

Hvordan påvirker NIS2 vores IT serviceaftale?

NIS2-direktivet (vedtaget i EU i 2022) stiller krav om, at omfattede virksomheder også styrer risici i deres leverandørkæde – og det inkluderer jeres MSP. Er I omfattet, skal aftalen dokumentere leverandørens sikkerhedsniveau, hændelseshåndtering og rapporteringspligt. Auditér aftalen mod jeres NIS2-forpligtelser, og indskriv krav om varsling ved sikkerhedshændelser med en konkret frist.

Hvad er en exit-klausul, og hvorfor er den vigtig i managed services?

En exit-klausul sikrer, at I kan forlade jeres managed services-leverandør uden at miste data, adgange eller dokumentation. Uden den risikerer I at stå med systemer, kun leverandøren har adgang til. Kræv at klausulen dækker udlevering af data, passwords og dokumentation inden for en fast frist, fx 30 dage, samt bistand til overdragelse mod normal timepris.

Hvor ofte bør vi genforhandle aftalen med vores MSP?

Gennemgå aftalen én gang om året, og genforhandl mindst hvert andet år. Jeres behov ændrer sig med medarbejderantal, systemer og lovkrav som NIS2 – aftalen skal følge med. Sæt eftersynet i kalenderen 3 måneder før en eventuel bindingsperiode udløber, så I har tid til at indhente alternative tilbud og forhandle fra en stærk position.

Hvor lang tid tager det at skifte IT-leverandør?

Et typisk leverandørskifte tager 4-8 uger fra underskrift til fuld overdragelse, afhængigt af hvor godt jeres miljø er dokumenteret. Selve arbejdet ligger hos den nye leverandør – jeres opgave er at udpege en kontaktperson og sikre adgang til aftaler og systemer. Tjek jeres opsigelsesvarsel først; det er ofte 3-6 måneder og afgør den reelle tidsplan.

Er vi bundet, hvis vi bare vil have et eftersyn af vores nuværende aftale?

Nej. Et eftersyn af jeres eksisterende serviceaftale forpligter jer ikke til at skifte leverandør. I får en gennemgang af huller i dækning, responstider og exit-vilkår, som I kan bruge til at genforhandle med jeres nuværende MSP. Mange bruger netop eftersynet som forhandlingsgrundlag frem for som første skridt mod et skifte.

Sådan kommer I videre

1. Find jeres nuværende serviceaftale frem, og tjek om den nævner responstider, backup og exit-vilkår konkret.
2. Kortlæg jeres kritiske systemer, og sammenlign med hvad aftalen faktisk dækker.
3. Notér opsigelsesvarsel og bindingsperiode, og sæt en påmindelse 3 måneder før udløb.
4. Indhent 2-3 tilbud med opdelte priser, så I kan sammenligne på lige vilkår.
5. Genforhandl eller skift – men kræv en exit-klausul med fast frist, uanset hvem I vælger.