Skift af IT leverandør uden nedetid og lock-in

Hvis I er utilfreds med jeres IT leverandør, er det sjældent supporten alene, der er problemet. Det er manglende dokumentation, uklare KPI’er og adgange, I ikke kan redegøre for. Når skiftet endelig bliver nødvendigt, bliver risikoen nedetid, datatab og et dyrt “start forfra”-projekt. Her får I en praktisk plan til skift af IT leverandør, så Microsoft 365, Azure og compliance kan overdrages kontrolleret.

Key takeaways til skift af IT leverandør

• Stop lock-in på viden: Kræv udlevering af opsætningsdokumentation, runbooks og ændringslog – og læg dem i jeres eget SharePoint.
• Få styr på adgange: Auditér alle admin-roller, partner-adgange (DAP/GDAP) og break-glass konti, før I opsiger noget.
• Gør omkostningerne synlige: Kortlæg “out-of-scope” poster og licensspild (over-entitlement), før ny drift aftale prissættes.
• Sikr NIS2-kæden: I kan outsource drift, men ikke ansvaret for leverandørkæden; dokumentér kontroller og evidens løbende.
• Planlæg en parallel overgang: Kør ny overvågning, backup og patching side om side i en periode, så I kan måle stabilitet.

Hvorfor skift af IT leverandør ofte går galt

To ting går igen, når IT outsourcing problemer ender i panikskift: forventninger er ikke målbare, og opsætningen er ikke overdragelsesbar. RAAS Cloud/DemandSage (2026) peger på, at 20–25 % af IT-outsourcingaftaler fejler inden for de første to år, og at 55 % af fejlene skyldes uklare KPI’er og forventningsafstemning. Kilde: DemandSage (2026).

Vendor lock-in IT handler i praksis sjældent om, hvilken cloud I bruger. Gartner (2025) fremhæver, at lock-in i stigende grad opstår, når processer og dokumentation mangler, så et leverandørskifte bliver uforholdsmæssigt dyrt. Kilde: Gartner (2025) (overordnet vendor lock-in perspektiv).

3 tidlige tegn på at I bør planlægge et leverandørskift

• Reaktiv drift: I får svar, når noget er gået i stykker, men ingen månedlige ændringsrapporter, trend-data eller risikoliste.
• Configuration drift: Microsoft 365 og Azure “driver” over tid: forskellige standarder pr. tenant, MFA undtagelser, uklar Conditional Access, uens backup-politikker.
• Uigennemsigtige regninger: Mange små “out-of-scope” timer og uklare poster for licenser, onboarding, ændringer og rapportering.

Fejl der koster ved IT drift aftale opsigelse

Den farligste fejl er at opsige driften, før I kan drive minimumssikkerhed selv eller via en ny partner. ENISA (2025/2026) beskriver supply chain-angreb mod MSP’er som en væsentlig trusselsvej for SMB’er. Det betyder: jeres leverandør er en del af jeres angrebsflade. Kilde: ENISA Threat Landscape (seneste udgaver dækker MSP/supply chain som tema).

IBM (2025) estimerer gennemsnitsomkostningen ved et databrud til 4,45 mio. USD, og at tredjepartsangreb tager lang tid at opdage (233 dage i snit). Det er præcis derfor, logning, adgangsstyring og dokumenteret responsplan skal være på plads, før et skift. Kilde: IBM Cost of a Data Breach Report (2025).

Før → Efter #1 (adgange):
Før: Partneren har permanente globale admin-rettigheder, og I kan ikke forklare hvorfor.
Efter: GDAP med mindst mulige rettigheder, tidsbegrænsede elevationer og månedlig adgangsrapport. Resultat: færre “blinde” admin-adgange og hurtigere audit-svar.

Sådan undgår I skjulte omkostninger og licensspild ved leverandørskift

Skjulte omkostninger IT drift ligger ofte i gråzonen mellem “drift” og “ændringer”. Deloitte (2025) peger på, at virksomheder oplever, at langsigtede outsourcingaftaler bliver dyrere end forventet pga. skjulte gebyrer for out-of-scope opgaver. Brug det som et signal til at få scope ned på tjekliste-niveau, ikke kun i overskrifter. Kilde: Deloitte (Global outsourcing indsigter, 2025).

Praktiske kontroller i Microsoft 365 før I forhandler ny aftale

• Licensbaseline: Træk en rapport over tildelte licenser pr. bruger og match mod faktiske behov (fx P1/P2, Intune, E5 Security add-ons).
• Shared mailboxes og tidligere medarbejdere: Find konti der stadig har licenser, forwarding eller aktive tokens.
• “Hvem bestiller hvad?” Definér en enkel proces for godkendelse af nye licenser og ændringer, så IT ikke bliver en uformel indkøbsfunktion.

Før → Efter #2 (scope):
Før: “Support og drift” uden liste over standardændringer, svartider pr. type sag og hvem der ejer leverancer.
Efter: En servicekatalog-liste (fx 30–60 standardydelser) med fast pris eller fast timepulje pr. kategori. Resultat: færre out-of-scope overraskelser og bedre budgetstyring.

Tjekliste: IT leverandørskift tjekliste til Microsoft 365 og Azure

Brug denne tjekliste, før I opsiger, før I migrerer, og før I giver ny leverandør adgang. Den virker også som “valg af IT leverandør”-kravliste, fordi I kan se, hvem der kan levere dokumentation og evidens.

Område	Hvad I beder om	Hvad I kigger efter (beslutningsregel)
Dokumentation	Netværksdiagram, tenant-oversigt, runbooks, ændringslog sidste 6–12 mdr.	Hvis det kun findes “i hovedet” eller i leverandørens systemer, har I lock-in.
Adgange	Liste over admin-roller, GDAP/DAP, servicekonti, break-glass, PAM-proces	Hvis der er permanente højprivilegerede adgange uden formål, stop og ryd op først.
Logging & evidens	Hvor ligger logs (M365/Azure), retention, alarmer, incident-rapporter	Hvis I ikke kan få udtræk på 30 min, er I ikke audit-klare.
Backup & restore	Backup for M365-data + identitet (Entra ID), restore-test hver kvartal	Hvis der ikke findes restore-test, antag at restore ikke virker under pres.
Patch & sårbarheder	Patchvinduer, undtagelser, sårbarhedsrapport, endpoint-standard	Hvis undtagelser ikke har udløbsdato og ejer, bliver de permanente huller.
Copilot/AI-parathed	Rettighedsgennemgang i SharePoint/Teams, dataklassifikation, DLP-status	Hvis rettigheder ikke er segmenteret, skab orden før Copilot-projekter (undgå “integration debt”).
Exit	Plan for overdragelse, leverancepakke, tidsplan, adgangsoverførsel, DNS/PKI	Hvis exit ikke står i kontrakten, får I det på leverandørens præmisser.

Sådan håndterer I risikoen ved managed service provider risici

Når en MSP bliver kompromitteret, rammer det kunderne via administrative adgange og automatisering. CISA (2025) anbefaler, at kunder kræver transparens i leverandørens sikkerhedskontroller og adgangslogs for delegated admin privileges. Det er et konkret krav, I kan putte ind i jeres kontrakt og jeres månedlige governance-møde. Kilde: CISA (2025) – MSP risk considerations.

Kontraktkrav I kan formulere i almindeligt dansk

• Månedlig rapport over admin-adgange (hvem, hvornår, hvorfor) og ændringer i privilegier.
• Incident-notifikation med klare frister og hvad der leveres af logs/evidens.
• Dokumentationspakke opdateres ved hver større ændring (ikke “årligt”).
• Ret til at få udleveret konfiguration og runbooks ved opsigelse uden ekstra projektgebyr.

FAQ om skift af IT leverandør

Hvad er den typiske årsag til skift af IT leverandør?

Manglende proaktiv drift og uigennemsigtige omkostninger. En enkel tommelfingerregel: Hvis I ikke får en fast månedlig rapport med ændringer, risici og næste måneds plan, betaler I for reaktiv support.

Hvordan undgår vi vendor lock-in IT, når vi bruger Microsoft 365?

Kræv dokumentation og ejerskab af artefakter: tenant-oversigt, Conditional Access-politikker, device-baselines, backup-politik, runbooks og servicekatalog. Hvis det ligger i leverandørens portal alene, så få det kopieret til jeres eget miljø.

Kan vi opsige IT drift aftale opsigelse først og “tage den derfra”?

Undgå det. Beslutningsregel: Opsig først, når I har (1) verificeret adgang til alle administrative konti, (2) en testet restore-proces, og (3) en ny driftsplan for patching, overvågning og incident-håndtering i overgangsperioden.

Hvad skal vi kræve af logs og adgangssporing fra en MSP?

Minimum: log over privilegerede handlinger, adgang til audit-logudtræk, og en procedure for at godkende og tidsbegrænse elevation. Hvis leverandøren ikke kan levere en månedlig adgangsrapport, er I sårbare ved både angreb og revision.

Hvilke NIS2 krav til leverandører bør vi stille i praksis?

Stil krav til evidens, ikke hensigtserklæringer: sikkerhedspolitikker, kontrolbeskrivelser, incident-processer, adgangsstyring og leverandørkæde. NIST SP 800-161 understreger, at ansvaret for supply chain risk ikke kan outsources; brug det som ledelsesargument for faste kontroller og rapportering. Kilde: NIST SP 800-161.

Hvor lang tid tager et IT leverandørskift typisk?

Hvis dokumentation og adgange er i orden, kan mange SMB’er gennemføre overdragelse af drift på få uger. Hvis I først skal genskabe dokumentation, rydde op i adgange og få backup/restore testet, bliver det ofte 6–12 uger. Planlæg altid en parallel periode.

Hvad gør vi, hvis vi er utilfreds med IT leverandør, men er bange for nedetid?

Start med en audit uden at ændre drift: kortlæg adgange, dokumentation, backup og logs. Ret de største risici først (typisk admin-adgange og backup/restore), og planlæg derefter skiftet med parallel drift og klare milepæle.

Sådan kommer I i gang de næste 10 arbejdsdage

1. Dag 1–2: Træk en eksport af alle admin-roller, partner-adgange (DAP/GDAP) og servicekonti. Sæt en ejer pr. adgang.
2. Dag 2–3: Kræv dokumentationspakke fra nuværende leverandør: runbooks, ændringslog, servicekatalog, netværksdiagram og backup-beskrivelse.
3. Dag 3–5: Kør en licens- og konto-oprydning: inaktive brugere, shared mailboxes, forwarding, og licenser der ikke matcher jobfunktioner.
4. Dag 5–7: Test restore på mindst to scenarier (mail + SharePoint/Teams). Dokumentér tid til restore og afhængigheder.
5. Dag 7–10: Skriv en 1-sides exit-plan: hvem godkender, hvad skifter hvornår, og hvilke “stop-kriterier” der pauser skiftet.

Hvis I vil have en plan, der kan stå på mål i både drift og compliance, kan vi hjælpe med audit, overdragelse og løbende drift. Se vores ydelser inden for /drift og /compliance.