Har jeres driftsleverandør både konti, dokumentation og folk, skal planen sikre, at I selv ejer og kan nå det, der skal bruges, før nogen opsiger noget. Det vigtigste trin er det første: find ud af, hvad der er jeres, og hent en kopi af nøglerne ind i huset. En sådan outsourcing exit plan er en almindelig ordentlig praksis, og den kan laves i godt samarbejde.
For direktøren uden IT-afdeling er IT-leverandøren hele IT-funktionen. Det er en fornuftig måde at købe IT på, og leverandøren kan være fremragende. Spørgsmålet er kun, hvad der sker, hvis den leverandør ikke længere kan eller vil. Selve skiftet er emnet for skift af driftsleverandør, og valget af en ny for valg af ny IT-driftsleverandør. Her er det planen, før nogen har opsagt.
Hvad der er bundet
Bindingen er sjældent teknisk. Det er samlingen:
- Konti. Administratorkonti til Microsoft 365, firewall, domæne, backup og cloud står ofte i leverandørens navn.
- Dokumentation. Netværk, adgangskoder og procedurer ligger i leverandørens system, hvis de overhovedet er skrevet ned.
- Folk. Den tekniker, der kender jer, har viden, som ingen dokumentation rummer.
- Licenser. Abonnementer er ofte købt gennem leverandøren, se købt gennem en partner.
- Udstyr. Hvem ejer firewall, servere og switches? Er de lejet som en del af aftalen?
Hvad der kan komme ud
Svaret ligger i aftalen, for klassisk drift er ofte en tjeneste, hvor I ikke selv kan trykke på eksportknappen. CFCS og Digitaliseringsstyrelsens vejledning fra maj 2022, som er skrevet til myndigheder, kan bruges som model. Ifølge den bør aftalen sige, hvilke servicemål der gælder frem til ophøret, og hvilke sikkerhedskrav der gælder ved overdragelsen. Den bør også rumme en fuld aktivliste med backup, en fremgangsmåde for at give aktiver tilbage eller bortskaffe dem, tavshedspligt efter ophør og hjælp til overgangen, herunder dokumentation og viden. Vejledningen nævner desuden, at sikkerheden under afviklingen skal planlægges, og at leverandørens fysiske og logiske adgange skal fjernes i tide.
Spørg om Data Act (dataforordningen) gælder. Reglerne dækker cloudtjenester, og hvor langt de rækker ved outsourcet drift, afgøres konkret. Se kontrakter uden for Data Act. Gå ud fra aftalen, indtil I ved mere. Læs også ophørsbistand og kontrakten siger intet om exit.
Hvad der mangler
Det, der oftest mangler, er en liste. Mange ved ikke, hvad de har. Bed leverandøren om en aktivliste: systemer, konti, licenser, udstyr, domæner, certifikater og aftaler med tredjepart. Skriv ud for hver, hvem der ejer, og hvem der har adgang.
Viden mangler også. Hvilke særlige løsninger er der lavet for jer? Hvad er aftalt mundtligt? Se dokumentation og viden ved ophør. Glem heller ikke underleverandører, for jeres driftsleverandør bruger måske selv andre til backup eller overvågning.
Sådan tager I samtalen
Det kan føles som mistillid at spørge. Sådan behøver det ikke være. Mange kunder bliver i dag spurgt af forsikring, kunder og bestyrelse, og en god leverandør kender spørgsmålene. Sig, at I er ved at samle jeres overblik. Se spørg leverandøren om exit. Må leverandøren skrive planen for jer? Læs må IT-leverandøren skrive planen? først.
Hvad der skal testes
- Administratoradgang. Få en administratorkonto i virksomhedens navn til de vigtigste tjenester, og prøv at logge ind uden hjælp. Opbevar oplysningerne sikkert, og lad ledelsen vide hvor.
- Dokumentation. Lad en tredjepart læse dokumentationen, og sig, hvad der mangler for at overtage.
- Gendannelse. Bed om at se en gendannelse, og at der dokumenteres et resultat. Se gendannelse i SaaS.
- Skrivebordsøvelse. Leverandøren er væk i morgen. Hvem ringer I til? Hvad kan I selv?
Hvad planen skal rumme
Planen rummer aktivlisten, administratoradgang, opbevaring af adgangskoder, aftalens ophørsvilkår, hvem der gør hvad i en overgang, en reserveleverandør eller et navn på en, der kan hjælpe, og tid til overgangen. Skriv også, hvad der sker med leverandørens adgange ved ophør, og hvordan de fjernes. Sikkerhed under overgangen er vigtig, for den, der mister en kunde, sidder stadig med nøglerne.
Hvad det kræver, og hvad det koster at lade være
Listen tager leverandøren nogle timer, og aftaleforløbet tager en ledelsesperson et par møder. Administratoradgang er ofte en lille opgave. Spørg, om leverandøren tager betaling for arbejdet, og notér et lavt og et højt tidsskøn med dato. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Prisen for at vente er størst, hvis forholdet går i stykker, eller leverandøren forsvinder. Så står I uden adgang til egne systemer, netop når I har mest brug for den. Regn med jeres egne tal, hvad en dag uden IT koster, og hvor mange dage det tager at finde ud af, hvad I har. Arbejdet giver noget i dag: I ved, hvad I betaler for, I står stærkere ved fornyelse, og I kan svare kunder og forsikring.
Det skal I lade være med
- At vente til uenigheden opstår · så bliver samtalen en anden.
- At lade alle administratorkonti stå i leverandørens navn · de bør også findes i jeres.
- At opsige, før listen findes · I ved ikke, hvad I opsiger.
Det skal planen kunne vise
- ☐ En aktivliste med ejer og adgang.
- ☐ Administratoradgang i virksomhedens navn, testet med dato.
- ☐ Hvor adgangsoplysninger ligger, og hvem der kan nå dem.
- ☐ Hvad aftalen siger om ophør, bistand og overdragelse.
- ☐ Hvordan leverandørens adgange fjernes.
- ☐ En plan for de første dage uden leverandøren.
Kilder
- CFCS og Digitaliseringsstyrelsen: Cybersikkerhed i leverandørforhold, maj 2022: afsnit 6, s. 27 og 28. Skrevet til myndigheder, bruges her som model.
Senest gennemgået: november 2026.
Næste skridt
Bed leverandøren om en aktivliste i denne måned, og få en administratorkonto i virksomhedens navn. Tag listen med til ledelsen, når I skal afgøre, om I har brug for en samlet plan.
Læs også: Exit-plan uden IT-afdeling · Efter opsigelsen
→ Kontakt · Tlf. 70 13 63 23 · Exit-plan og exit-rådgivning hos Nielco IT
