Mange danske SMV’er opdager først problemerne med deres IT-partner, når skaden er sket: en ransomware-hændelse uden klar ansvarsfordeling, en faktura med skjulte tillæg eller en opsigelse, der ender i måneders kamp om data. Et gennemtænkt valg af IT-partner sparer jer for den slags. Denne tjekliste giver jer 7 konkrete punkter at evaluere, så I træffer beslutningen på et oplyst grundlag.

Det vigtigste fra artiklen

• Kræv målbare SLA’er – fokusér på responstid og gendannelsestid, ikke kun oppetidsprocenter.
• Tjek partnerens egen sikkerhed – bed om dokumentation for ISO 27001 eller ISAE 3402, før de får adgang til jeres miljø.
• Brug NIS2 som filter – stil konkrete spørgsmål om forsyningskædesikkerhed, også selvom I ikke selv er direkte omfattet.
• Gennemskue prissætningen – kræv specificeret cloud-forbrug og licensoversigt, ikke en samlet “black box”-pris.
• Forhandl exit-klausuler fra dag ét – aftal dataudtræk, dokumentationsoverdragelse og opsigelsesvilkår, inden I skriver under.
• Test AI-paratheden – en god partner rådgiver om dataklassificering og adgangsstyring, før I ruller Copilot ud.

Hvorfor det traditionelle leverandørvalg ikke rækker

For fem år siden handlede valg af IT-leverandør primært om pris og tilgængelighed. Ring, når noget går ned. Få det fikset. Betal pr. time. Den model er forældet.

IT-partnere (MSP’er) klassificeres nu som kritisk infrastruktur under NIS2-direktivet (ENISA). Det betyder, at jeres leverandør skal kunne dokumentere egne sikkerhedsforanstaltninger og understøtte hændelsesrapportering inden for 24 timer. Samtidig viser Acronis’ MSP Trends 2026-rapport, at markedet bevæger sig mod proaktiv cyberresiliens og compliance – ikke reaktiv fejlretning.

Før: I ringer til jeres IT-leverandør, når printeren ikke virker. Ingen rapportering, ingen overblik over sikkerhedsniveau.
Efter: Jeres IT-partner leverer månedlig rapportering på Microsoft Secure Score, identificerer sårbarheder proaktivt og foreslår konkrete forbedringer.

Tjekliste: 7 krav til jeres næste IT-partner

Brug denne tjekliste, når I evaluerer tilbud. Hvert punkt har et konkret “hvad I kigger efter”.

#	Krav	Hvad I kigger efter
1	SLA’er med reelt indhold	Kræv defineret Time to Respond (maks 30 min ved kritisk hændelse), RTO (Recovery Time Objective) og RPO (Recovery Point Objective). “99,9 % oppetid” uden disse tal er meningsløst.
2	Dokumenteret egen sikkerhed	Bed om kopi af ISO 27001-certificering eller ISAE 3402-revisionserklæring. Ingen certificering? Bed om en skriftlig redegørelse for deres interne sikkerhedspolitik.
3	NIS2-parathed	Spørg direkte: “Hvordan understøtter I 24-timers hændelsesrapportering?” og “Hvilke foranstaltninger har I for jeres egen forsyningskæde?” Læs mere om compliance-krav her.
4	Gennemsigtig prissætning	Kræv specificeret oversigt over Azure-forbrug, M365-licenser og supporttimer. Afvis samlepriser, hvor I ikke kan se, hvad der driver omkostningen.
5	Proaktiv overvågning (MDR/XDR)	Kontinuerlig overvågning bør være standard – ikke et tilkøb. Spørg om de tilbyder Managed Detection and Response, og hvad den gennemsnitlige Time to Detect er.
6	AI-governance	Kan partneren hjælpe jer med dataklassificering, adgangsstyring og AI-risikostyring (NIST AI RMF) – eller sælger de kun Copilot-licenser? Forskellen afgør, om jeres data lækker via overdeling.
7	Exit-strategi og dataejerskab	Kontrakten skal specificere: Hvem ejer data? Hvordan udtrækkes det? Hvad sker med dokumentation og licenser ved opsigelse? Maks 30 dages overdragelsesperiode.

Sådan afslører I en “black box”-kontrakt

Et af de hyppigste problemer for danske SMV’er er uigennemskuelige IT-kontrakter. I betaler en fast månedspris, men aner ikke, hvad der dækker licenser, hvad der er support, og hvad der er skjulte tillæg for “ekstra” ydelser som MFA-opsætning eller backup.

Kræv en FinOps-tilgang: Jeres IT-partner skal give jer adgang til et dashboard, der viser faktisk cloud-forbrug i Azure og M365 – opdelt pr. tjeneste. Spørg specifikt: “Kan I vise os vores licensforbrug og ubrugte licenser på månedsbasis?”

Før: I betaler 47.000 kr./md. for “IT-drift” uden at vide, at 12.000 kr. går til ubrugte licenser og overprovisionerede Azure-ressourcer.
Efter: Jeres partner leverer månedlig FinOps-rapport, og I sparer de ubrugte licenser væk – typisk 15–25 % af licensbudgettet.

Hvorfor NIS2 er jeres bedste filter ved valg af IT-partner

Også selvom jeres virksomhed ikke er direkte omfattet af NIS2, er direktivet et stærkt evalueringsværktøj. Jeres IT-partner er sandsynligvis omfattet – og hvis de ikke kan svare klart på kravene, er det et rødt flag.

Stil disse tre spørgsmål på leverandørmødet:

1. “Hvordan håndterer I hændelsesrapportering inden for 24 timer?”
2. “Hvilke sikkerhedskrav stiller I til jeres egne underleverandører?”
3. “Kan I fremvise en risikovurdering af jeres egen infrastruktur?”

Kan de ikke svare konkret, er de ikke modne nok til at passe på jeres data. Læs mere om IT-sikkerhed og compliance.

Fejl der koster: Sikkerhed som “tilkøb”

MFA, Conditional Access og immutable backup er ikke premium-features. De er grundlæggende sikkerhed. Ifølge CISAs Zero Trust Maturity Model bør mindste rettigheds-princippet og multifaktor-godkendelse være standard i ethvert IT-miljø.

Hvis jeres IT-partner præsenterer MFA-opsætning eller backup-konfiguration som en separat post på tilbuddet, fortæller det jer noget om deres sikkerhedskultur. Disse ting skal være inkluderet fra dag ét i enhver driftsaftale.

Ofte stillede spørgsmål om valg af IT-partner

Hvad koster en managed service provider for en dansk SMV?

Prisen afhænger af antal brugere, kompleksitet og serviceniveau. For en virksomhed med 30–80 brugere ligger en typisk MSP-aftale mellem 300–800 kr. pr. bruger pr. måned. Kræv altid en specificeret prisopbygning, så I kan sammenligne reelt.

Hvordan ved jeg, om min IT-partner lever op til NIS2?

Bed om dokumentation: ISO 27001-certificering, ISAE 3402-erklæring eller en skriftlig sikkerhedspolitik. Spørg konkret til hændelsesrapportering og forsyningskædesikkerhed. Kan de ikke svare, er det et advarselstegn.

Skal jeg vælge fuld IT-outsourcing eller co-managed IT?

Har I ingen intern IT-ansvarlig, giver fuld outsourcing mest mening – men sørg for, at partneren tilbyder strategisk rådgivning (vCIO/vCISO), ikke kun helpdesk. Har I én intern IT-person, kan co-managed IT aflaste dem på sikkerhed og overvågning.

Hvad er de vigtigste SLA-metrikker at kræve?

Fokusér på tre ting: Time to Respond (hvor hurtigt de reagerer), RTO (hvor hurtigt I er oppe igen efter nedbrud) og RPO (hvor meget data I maksimalt mister). Oppetidsprocenter alene siger for lidt.

Hvordan undgår jeg vendor lock-in ved skift af IT-partner?

Forhandl exit-klausuler ind i kontrakten fra start. Aftal skriftligt: dataejerskab, format for dataudtræk, overdragelse af dokumentation og en maksimal overdragelsesperiode på 30 dage. Sørg for, at jeres licenser er registreret på jeres eget tenant.

Hvad skal en IT-partner kunne inden for AI og Copilot?

De skal kunne kortlægge jeres data, klassificere følsomme dokumenter og opsætte korrekt adgangsstyring, før I aktiverer Copilot. En partner, der kun sælger licensen uden governance, skaber en sikkerhedsrisiko.

Hvor ofte bør min IT-partner rapportere?

Minimum månedligt. Rapporten bør dække: Secure Score-udvikling, åbne sikkerhedshændelser, licensforbrug, SLA-overholdelse og anbefalede forbedringer. Kvartalsvise strategimøder bør supplere de månedlige rapporter.

Sådan kommer I videre: 5 konkrete skridt

1. Kortlæg jeres behov: Dokumentér antal brugere, systemer, cloud-tjenester og compliance-krav, inden I kontakter leverandører.
2. Brug tjeklisten ovenfor: Print de 7 krav og stil spørgsmålene direkte på leverandørmødet. Notér svarene.
3. Bed om referencer: Kontakt mindst to eksisterende kunder hos den potentielle partner – helst i jeres branche og størrelse.
4. Gennemgå kontrakten punkt for punkt: Fokusér på SLA-definitioner, prissætning, exit-klausuler og dataejerskab. Involvér en jurist, hvis kontrakten er uklar.
5. Aftal en 90-dages onboarding-plan: Kræv en skriftlig plan for de første tre måneder med milepæle for netværks-audit, sikkerhedsopsætning og dokumentation.