IT-outsourcing kan sänka kostnader och ge tillgång till expertis du inte har internt. Men när du lägger ut drift, säkerhet eller support på en extern part flyttar du inte ansvaret för regelefterlevnad. Här är vad nordiska företag behöver tänka på.

Vad är IT-outsourcing?

IT-outsourcing innebär att du låter en extern leverantör sköta hela eller delar av din IT-verksamhet. Det kan handla om allt från att driva servrar och nätverk till att bemanna en helpdesk eller ansvara för säkerhetsövervakning dygnet runt. Målet är oftast detsamma: få tillgång till rätt kompetens och kapacitet utan att bygga upp allt internt.

Vanliga former av outsourcing

  • Managed services. Löpande drift, underhåll och övervakning av din IT-miljö.
  • Moln och infrastruktur. Servrar, lagring och plattformar som körs hos en molnleverantör i stället för i egna serverrum.
  • Säkerhetsdrift. Ett externt säkerhetsteam (SOC) som upptäcker och hanterar incidenter åt dig.
  • Helpdesk och support. Första och andra linjens support för dina användare.
  • Utveckling och förvaltning. Extern utveckling och underhåll av system och applikationer.

Fördelarna

Rätt utförd frigör outsourcing tid och pengar. De vanligaste skälen nordiska företag anger är:

  • Lägre och mer förutsägbara kostnader än att anställa och utbilda själv.
  • Tillgång till specialistkompetens som är svår att rekrytera.
  • Skalbarhet när verksamheten växer eller kraven ändras.
  • Mer fokus internt på kärnverksamheten i stället för på IT-drift.

Riskerna du inte får missa

När din data och dina system hamnar hos en tredje part uppstår nya risker. Var lagras informationen? Vilka underleverantörer anlitar din leverantör? Hur snabbt får du veta om det sker ett intrång? Utan svar på de frågorna byter du bort intern kontroll mot en beroendeställning som kan slå tillbaka vid en incident eller en granskning.

Outsourcing tar inte bort ditt ansvar

Det här är den viktigaste poängen. Du kan lägga ut arbetet, men inte ansvaret. Flera regelverk gör det tydligt:

  • NIS2 lägger ett personligt ansvar på ledning och styrelse, även för verksamhet som drivs av en leverantör.
  • DORA kräver att finansiella aktörer har kontroll över sina ICT-tredjepartsleverantörer och för register över dem.
  • GDPR gör dig till personuppgiftsansvarig medan leverantören är biträde. Det kräver ett personuppgiftsbiträdesavtal och koll på underbiträden.

Så väljer du rätt leverantör

Gå igenom den här checklistan innan du skriver på:

  • Har leverantören relevanta certifieringar, till exempel ISO 27001?
  • Var lagras och behandlas din data, och stannar den inom EU och EES?
  • Finns ett personuppgiftsbiträdesavtal och en lista över underbiträden?
  • Hur ser rutinerna för incidentrapportering och svarstider (SLA) ut?
  • Finns en exit-plan så att du kan få tillbaka din data om ni skiljs åt?
  • Har du rätt att granska eller revidera leverantörens säkerhetsarbete?

Håll koll på dina leverantörer löpande

Leverantörsgranskning är inte en engångsövning vid avtalsstart. Riskerna förändras, nya underleverantörer tillkommer och certifieringar löper ut. Klassa dina leverantörer efter risk, samla in bevis på att kraven uppfylls och håll ett register uppdaterat. För företag som omfattas av DORA är ett aktuellt ICT-register dessutom ett formellt krav.

Så hjälper OptiTech

OptiTech gör leverantörsuppföljning och regelefterlevnad hanterbart. Du kartlägger vilka krav som gäller, samlar in bevis automatiskt från dina system och håller ett leverantörsregister som är redo för både NIS2 och DORA. Läs mer om vårt ramverksbibliotek eller vår incidentrapportering.

Vill du se hur det fungerar för just din verksamhet? Boka en gratis gap-analys.