Hvad gør du, når WiFi’et går ned midt i en travl dag, eller når en medarbejder klikker på et link, der lugter af ransomware? Disse it-udfordringer rammer mange virksomheder hårdt. For små og mellemstore virksomheder er it-løsninger blevet som strøm og vand, man lægger først mærke til det, når det ikke virker.
En ekstern IT afdeling er i praksis en aftale om, at en leverandør tager ansvar for (dele af) jeres IT-drift, support og sikkerhed, med klare mål for oppetid, svartider og afhjælpning. Det kan være hele jeres IT, eller bare de områder, hvor I har huller.
I denne guide får du en konkret, praksisnær måde at vurdere, om en ekstern løsning passer til jer, hvordan I styrer samarbejdet, og hvilke faldgruber I skal undgå.
Hvad en ekstern IT afdeling dækker, og hvad den ikke dækker
En ekstern IT afdeling kan ligne en intern IT funktion, men den virker bedst, når scope er tydeligt. Start med at skelne mellem daglig drift, udvikling og projekter.
Typiske opgaver i en ekstern IT afdeling, inklusive service desk og cloud-løsninger, kan være:
- it-support (pc, printer, Microsoft 365, adgang, mail)
- Proaktiv overvågning af servere, netværk og backup
- Softwareopdateringer (Windows, tredjepartssoftware, firmware)
- Enhedsstyring (MDM, disk-kryptering, standardopsætning)
- Cybersikkerhed (MFA, logning, antivirus/EDR, phishing-håndtering)
- Netværk og WiFi (segmentering, gæstenet, udstyr, fejlfinding)
Det, der ofte ikke automatisk er med, er nye systemprojekter, leverandørstyring af forretningssystemer, større netværksomlægninger og indkøb. Det kan godt være inkluderet, men det skal stå i aftalen.
Et konkret eksempel: En skole eller institution har ustabilt trådløst net. Brugerne oplever “det virker nogle gange”. Her kan en ekstern IT afdeling som it-partner både tage den daglige fejlfinding og sætte standarder for udstyr, kanaler og it-infrastruktur med segmentering. Nogle steder er en mobil backup-linje også relevant, så driften ikke står stille ved udfald. Til den type scenarie kan et robust hotspot som Robust 5G WiFi hotspot til netværk på farten fungere som midlertidig forbindelse, mens den faste løsning bliver rettet.
I 2026 bør “sikkerhed” ikke være en løs formulering. En ekstern IT afdeling bør arbejde efter principper som MFA som standard, mindst mulige rettigheder og gerne Zero Trust-tankegang (man stoler ikke på enheder bare fordi de er “indenfor” netværket). Det er ikke teori, det er daglig risiko.
Intern IT vs ekstern IT: en sammenligning, der giver mening i hverdagen
Mange ender i en “halv løsning”, hvor en medarbejder er IT-ansvarlig ved siden af andre opgaver, og det fungerer, lige indtil det ikke gør. Her giver det mening at sammenligne nøgternt.
| Område | intern it-afdeling | Ekstern IT afdeling |
|---|---|---|
| Dækning | Afhænger af én eller få personer | it-eksperter og backup ved sygdom/ferie |
| Svartider | Varierer, ofte afhængig af andre opgaver | Styres af SLA med mål for first response og resolve time |
| Sikkerhed i praksis | Kan blive ad hoc, hvis tiden mangler | Standarder for MFA, patching, logning og adgangsstyring |
| Økonomi | Løn, ferie, rekruttering, kurser | Forudsigelige omkostninger med fast månedlig pris plus aftalte tillæg og projekter |
| Netværk og WiFi | Ofte “sat op engang” | Overvågning, dokumentation og løbende forbedringer |
| Dokumentation | Risiko for personafhængighed | Bør være en leverance (netværk, konti, ændringer) |
| Skalerbarhed | Nye behov kræver ansættelse eller overarbejde | Kapacitet kan typisk skrues op og ned |
Det rigtige valg afhænger af størrelse, kompleksitet og hvor kritisk IT er for driften. En tommelfingerregel: Har I mange lokationer, mange enheder, eller krav om høj oppetid for at minimere tekniske problemer, så bliver struktur og måling vigtigere end “hvem der lige kan”.
Det betyder ikke, at intern IT er dårlig. Mange har stor værdi af en intern IT-ansvarlig, der kender forretningen, kombineret med en ekstern afdeling, der tager drift, overvågning og sikkerhed i en samlet it-strategi. Det er ofte en stabil model.
KPI’er, SLA og governance: sådan styrer I kvaliteten (uden at drukne i møder)
Hvis samarbejdet skal fungere, skal det kunne måles. KPI’er er ikke for at presse nogen, de er for at fjerne gætterier.
KPI’er, der er nemme at følge og svære at bortforklare
Her er KPI’er, som mange virksomheder kan bruge direkte i en SLA, fx for compliance og hosting:
- Oppetid: fx 99,9% pr. måned for internetforbindelse, firewall og kerne-WiFi (hvis udstyret er under leverandørens drift).
- First response time (første tilbagemelding): fx 15 min ved P1 (kritisk nedbrud), 1 time ved P2, 4 timer ved P3.
- Resolve time (afhjælpningstid): fx 4 timer ved P1 (workaround eller løsning), 1 arbejdsdag ved P2, 3 arbejdsdage ved P3.
- Patch compliance: fx 95% af enheder patchet indenfor 14 dage, kritiske patches indenfor 72 timer.
- Backup-strategi: fx 98% succes pr. uge, plus månedlig test-gendannelse.
- Sikkerhedshændelser: tid til isolering af en enhed, tid til nulstilling af konto, og rapport indenfor 24 timer.
Det er vigtigt at definere, hvad P1, P2 og P3 betyder hos jer. For en produktionsvirksomhed kan printeren være P3. For en klinik kan den være P1.
Roller og ansvar (så opgaver ikke falder mellem to stole)
Et simpelt setup virker ofte bedst:
- Kundens IT-ansvarlige: ejer prioriteringer, godkender ændringer, er bindeled til ledelsen.
- Leverandørens serviceansvarlige: følger KPI’er, planlægger forbedringer, laver rapportering.
- Leverandørens tekniske ansvarlige: håndterer drift og support, står for ændringer, dokumentation og standarder.
Governance med fast rytme
Hold det let, men konsekvent:
- Ugentlig kort status (15 min) ved mange sager eller opstart.
- Månedlig service review (30 til 60 min) med KPI-rapport, backlog, risici, teknisk rådgivning og faglig sparring.
- Kvartalsvis sikkerhedsgennemgang (adgange, MFA, backup-test, phishing-hændelser).
- Change-log: alle ændringer i netværk, firewall og admin-konti dokumenteres.
Leverandør-tjekliste (must-have vs nice-to-have) og de typiske faldgruber
En god aftale føles næsten kedelig, fordi alt står klart. Brug tjeklisten her, når du sammenligner tilbud og får scope på plads.
| Punkt | Must-have (vægt) | Nice-to-have (vægt) | Hvad du skal få skrevet ned |
|---|---|---|---|
| SLA på first response og resolve | 5 | Tider pr. prioritet, åbningstider, eskalering | |
| Dokumentation som leverance | 5 | Netværksdiagram, IP-plan, admin-konti, ændringslog | |
| Adgangsstyring med MFA (it-sikkerhed) | 5 | MFA på admin, fælles konti forbudt, “break glass” konto | |
| Backup og gendannelsestest | 5 | Frekvens, retention, testplan, ansvar ved restore | |
| Ransomware-beredskab mod ransomware-angreb | 5 | Isolering, genopretning, kommunikation, logning | |
| Prismodeller uden overraskelser | 4 | Hvad er inkluderet, timepris på projekter, kørsel | |
| Overvågning af netværk og WiFi | 4 | Alarmer, kapacitetsrapport, fejlårsag ved udfald | |
| Exit-plan (undgå lock-in) | 4 | Overdragelse af dokumentation, adgang, data, tidsplan | |
| Fast kontaktperson | 3 | 1 | Hvem ejer sagen fra start til slut |
| Onsite-besøg fra lokal it-partner ved behov | 3 | 2 | Reaktionstid, geografi, hvad udløser et besøg |
Når du scorer, så vægt “must-have” højest. Hvis en leverandør ikke kan levere på dokumentation, adgangsstyring og backup, så er resten mindre værd.
Faldgruber i it-outsourcing, der rammer ofte, og hvordan I undgår dem
Skjulte omkostninger dukker tit op som licenser, onboarding, ekstra betaling for aften og weekend i daglig support, eller “småting” som oprettelse af brugere. Bed om en tydelig prisliste og et eksempel på en måned med mange sager.
Scope creep sker, når alt pludselig er “en del af driften”. Løsningen er et klart scope, og en simpel proces for nye opgaver: er det drift, change eller projekt?
Lock-in handler sjældent om teknik, men om adgang og viden. Kræv, at I ejer jeres tenant, domæne, data og admin-konti, og at passwords ligger i en delt password manager, som I også har adgang til.
Adgangsstyring bliver tit for slap i praksis. Insistér på personlige konti, MFA, og at rettigheder gives tidsbegrænset, når det er muligt. Bed også om en kvartalsvis adgangsrevision.
Dokumentation må ikke være en eftertanke. Hvis netværket kun findes “i hovedet”, bliver fejlretning af it-udfordringer langsom, og I bliver afhængige af bestemte personer.
Til sidst: Sørg for at få aftalt, hvem der gør hvad ved en sikkerhedshændelse. Når det brænder på, er det for sent at diskutere ansvarsgrænser.
En ekstern IT afdeling med it-eksperter kan give ro i maven, men kun når scope, KPI’er og ansvar er skrevet klart ned. Vælg en model, hvor I kan måle oppetid, svartider og afhjælpningstid, og hvor dokumentation og adgangsstyring er en fast del af leverancen af it-løsninger. Tag tjeklisten med til næste møde, og spørg jer selv: Har vi styr på det vigtigste, før næste udfald eller næste phishing-mail rammer? Denne tilgang passer perfekt ind i jeres bredere it-strategi.
