IT-outsourcing
At overlade hele eller dele af IT-driften og -supporten til en ekstern leverandør efter en aftale – mens ansvaret for data og systemer bliver hos jer.
Kort svar
IT-outsourcing betyder, at en ekstern leverandør udfører IT-opgaver, som virksomheden ellers selv skulle løse – fra support til hele IT-driften. Det kan dække alt eller kun udvalgte dele, fx servere og sikkerhed. Det vigtigste at forstå er, at opgaverne kan outsources, men ansvaret kan ikke: Virksomheden er stadig ansvarlig for at beskytte sine data og systemer, og skal derfor stille krav til leverandøren og følge op på dem.
- PlanlægningHvad skal outsources, og hvad bliver hos jer?
- KravKrav til sikkerhed, svartider og dokumentation ud fra jeres risici.
- LeverandørvalgVurdér leverandørens samlede evne – ikke kun prisen.
- AftalenKlar rolle- og ansvarsfordeling, SLA og databehandleraftale.
- StyringLøbende opfølgning, rapporter og håndtering af ændringer.
- AfslutningOverdragelse af data, dokumentation og adgange ved ophør.
Tre almindelige modeller
For en virksomhed med 5–50 medarbejdere er fuld eller delvis outsourcing det mest almindelige, fordi det sjældent giver mening at ansætte en fuldtids IT-medarbejder – og fordi én person ikke kan dække både drift, sikkerhed, ferie og sygdom.
| Model | Hvad leverandøren typisk gør | Hvad I typisk beholder |
|---|---|---|
| Fuld outsourcing | Drift, support, sikkerhed og rådgivning | Beslutninger, prioritering og opfølgning |
| Delvis outsourcing | Fx servere, netværk og sikkerhed | Daglig brugerhjælp og udstyr |
| Supplement til egen IT | Specialopgaver, overvågning, ferieafløsning | Den løbende drift |
Ansvaret flytter ikke med
Den danske vejledning Cybersikkerhed i leverandørforhold fra CFCS og Digitaliseringsstyrelsen formulerer det klart: Kunden beholder altid ansvaret for at beskytte egne IT-systemer og informationer, selv om den daglige drift overdrages til en leverandør. Derfor anbefaler vejledningen, at kunden stiller sikkerhedskrav ud fra en risikovurdering, aftaler en klar rolle- og ansvarsfordeling og løbende følger op på, om kravene overholdes.
Det samme gælder persondata: Får leverandøren adgang til personoplysninger, er den databehandler, og der skal være en databehandleraftale. Datatilsynet understreger, at det ikke er nok at underskrive aftalen – den dataansvarlige skal også føre tilsyn med, at den overholdes.
Eksempel: En advokatvirksomhed har outsourcet al IT. Efter et phishingangreb spørger en klient, hvordan klientdata er beskyttet. Svaret kan ikke være »det tager vores IT-leverandør sig af« – virksomheden skal selv kunne redegøre for, hvilke krav den har stillet, og hvordan den har fulgt op.
Hvad aftalen bør beskrive
- Omfang: hvilke systemer, enheder og opgaver der er med – og hvilke der ikke er.
- Serviceniveau: åbningstider, svartider og prioritering af fejl, typisk i en SLA.
- Sikkerhed: hvordan leverandøren beskytter sine egne adgange til jeres systemer, fx med MFA og logning.
- Underleverandører: hvem leverandøren selv bruger, og hvordan I får besked om ændringer.
- Rapportering: hvad I får at vide om drift, hændelser og risici – og hvor ofte.
- Persondata: databehandleraftale med instruks, sikkerhed og underdatabehandlere.
- Ophør: overdragelse af data, backup, dokumentation og adgangskoder, og lukning af leverandørens adgange.
Exit – den del, man glemmer
Vejledningen fra CFCS og Digitaliseringsstyrelsen anbefaler, at ophørsbestemmelserne aftales allerede fra start. Den nævner blandt andet en komplet liste over kundens aktiver hos leverandøren (inklusive backup), procedurer for tilbagelevering eller sletning, fortsat tavshedspligt og leverandørens pligt til at bidrage til en smidig overgang med dokumentation og videnoverførsel. Ved ophør skal leverandørens fysiske og logiske adgange fjernes rettidigt.
Vores vurdering: Det mest almindelige problem ved skift af IT-leverandør er manglende dokumentation – især administratoradgange til domæne, Microsoft 365, firewall og backup. Sørg for, at de til enhver tid står i jeres navn eller er dokumenteret, så I ikke er afhængige af én leverandørs velvilje.
Typiske misforståelser
- »Vi har outsourcet, så vi har ikke noget at gøre.« I skal stadig prioritere, beslutte og følge op. Se IT-governance.
- »Alt er dækket af den faste pris.« De fleste aftaler skelner mellem drift, support og projekter. Læs, hvad der står.
- »Leverandøren tager sig af backup.« Måske – men af hvad, hvor ofte, og er gendannelse testet?
Spørgsmål I kan stille
- Hvilke opgaver ligger hos leverandøren, og hvilke ligger hos os – står det skrevet?
- Hvem har administratoradgang til vores systemer, og er adgangene beskyttet med MFA?
- Hvilke rapporter får vi, og hvem hos os læser dem?
- Har vi en databehandleraftale, og ved vi, hvilke underdatabehandlere leverandøren bruger?
- Hvad sker der med vores data, backup og dokumentation, hvis vi opsiger aftalen?
- Hvem hos os har ansvaret for at følge op på leverandøren?
Hvornår giver det mening at få hjælp?
Det giver mening at få hjælp, når I overvejer at outsource for første gang, når I vil skifte leverandør, eller når I er i tvivl om, hvad jeres nuværende aftale dækker. Furesø Data leverer outsourcet IT til mindre virksomheder; hvad aftalerne indeholder, står på siderne om IT-outsourcing og IT-serviceaftale.
Spørgsmål og svar
Mister vi kontrollen, når vi outsourcer IT?
Ikke hvis aftalen er tydelig. I mister den direkte kontrol med de enkelte opgaver, men bevarer styringen gennem krav, rapportering, adgang til dokumentation og ret til at følge op. Det kræver dog, at nogen hos jer faktisk bruger den ret.
Kan man outsource noget af IT'en og beholde resten?
Ja. Mange mindre virksomheder lader en medarbejder tage sig af det daglige og overlader servere, netværk, sikkerhed og overvågning til en leverandør. Det vigtige er, at grænsen er beskrevet, så ingen opgaver falder mellem to stole.
Hvordan skifter vi IT-leverandør uden nedetid?
Start med at sikre jer administratoradgange og dokumentation, før den gamle aftale ophører, og aftal en overgangsperiode, hvor begge leverandører er til rådighed. Tjek opsigelsesvarsler og ophørsbestemmelser i den nuværende aftale.
Forbehold: Opslaget beskriver generelle forhold ved IT-outsourcing. Det konkrete indhold af en aftale afhænger af leverandøren og bør læses grundigt; Furesø Datas egne vilkår fremgår af /it-serviceaftale/ og /priser/.
Kilder (tjekket 31. oktober 2026)