IT-onboarding er det som skal være på plass før en ny ansatt møter opp: en PC som er satt opp, en telefon med abonnement, en konto i Microsoft 365 med riktig lisens og tilgang til de filene og systemene jobben krever. For at alt skal virke første dag, må det meste bestilles ut fra rollen minst to uker før oppstart. PC-en og telefonen bør kjøpes gjennom en forhandler som registrerer dem for automatisk oppsett, slik at de henter bedriftens innstillinger og programmer selv når den ansatte logger inn. Kontoen opprettes noen dager i forveien, og første pålogging skjer med et midlertidig tilgangspass som lar den ansatte registrere sin egen tofaktorpålogging.
Det som ødelegger første arbeidsdag, er sjelden teknikken. Oftere er det bestillingen som kom for sent, startpassordet som ble sendt på SMS, eller tilgangene som ble kopiert fra en kollega.
Av redaksjonen i Bedriftsabonnement.no. Artikkelen bygger på Microsofts dokumentasjon for Windows Autopilot, Microsoft Entra ID, Intune, Teams og lisensadministrasjon, Apples og Googles veiledninger for automatisk innrullering, NSMs grunnprinsipper for IKT-sikkerhet, Arbeidstilsynet og Datatilsynet. Alt er kontrollert 27. september 2026.
Kort fortalt
- Bestill ut fra rollen, ikke ut fra en kollega. Da følger det ikke med gamle tilganger ingen har ryddet bort.
- PC, telefon, lisens og tilgangskort bør bestilles minst to uker før oppstart. Kontoen opprettes tre til fem virkedager før.
- Utstyr som er registrert på bedriften ved kjøp, kan settes opp automatisk med Windows Autopilot, Apple Business eller Android zero-touch.
- Gi tilganger gjennom grupper. Da får den ansatte riktig lisens, team og fellesområder på én gang, og alt forsvinner igjen den dagen personen slutter.
- Bruk et midlertidig tilgangspass til første pålogging i stedet for et startpassord på SMS.
- Gå gjennom telefonpolicyen første dag, og fortell hva arbeidsgiveren kan og ikke kan se på jobbtelefonen.
Bestill ut fra rollen, ikke ut fra en kollega
Den vanligste snarveien er å be om at den nye selgeren får «det samme som Kari». Men Kari har gjerne samlet opp tilganger gjennom flere år, som en delt postboks fra da hun vikarierte eller administratorrettigheter ingen fjernet. Kopierer dere henne, kopierer dere også det som burde vært ryddet bort.
Bedre er det å definere noen få roller, for eksempel selger, økonomi, prosjektleder og lager, og beskrive hva hver av dem skal ha av utstyr, lisens, grupper, delte postbokser, fagsystemer og fysisk adgang. Lederen velger rollen og legger til eventuelle unntak. Nasjonal sikkerhetsmyndighet (NSM) anbefaler å kartlegge brukerkategorier og tilgangsbehov og å følge prinsippet om minste privilegium. NSM skriver også at alle kontoer, tilganger og rettigheter bør kunne spores til en ansvarlig rolle og en person som godkjente dem.
Rollene betaler seg også den dagen noen slutter. En tilgang som er gitt gjennom en gruppe, forsvinner når personen tas ut av gruppen. Den motsatte rutinen har vi samlet i sjekklisten for offboarding når en ansatt slutter.
Slik kan en rollepakke se ut
Tabellen er et eksempel, ikke en fasit. Poenget er at hver rolle beskrives én gang, slik at lederen bare trenger å krysse av for rollen og skrive inn unntakene.
| Rolle | Utstyr | Microsoft 365 | Fagsystemer og adgang |
|---|---|---|---|
| Selger | Bærbar PC, telefon med ubegrenset data | Lisens, salgsteamet i Teams, delt postboks for salg | CRM, tilgangskort |
| Økonomi | Bærbar PC, skjerm, telefon | Lisens, økonomiteamet, egen gruppe for lønnsmapper | Regnskapssystem, nettbank og Altinn med egne roller |
| Prosjektleder | Bærbar PC, telefon | Lisens, prosjektteamene | Prosjektverktøy, timeføring, tilgangskort |
| Lager | Delt nettbrett eller robust telefon | Lisens tilpasset rollen | Lagersystem, nøkkel og alarmkode |
Hva som bestilles, og når
Det er leveringstiden som styrer. PC-er kan være i restordre, tilgangskort bestilles ofte fra gårdeier eller vaktselskap, og enkelte fagsystemer har lisenser som bare systemleverandøren kan legge inn.
| Hva | Bestill senest | Merk |
|---|---|---|
| Microsoft 365-lisens | To uker før | Sjekk om dere har en ledig lisens. Business Premium koster 223,63 kroner per bruker per måned uten mva. med årsavtale og dekker det som trengs for automatisk oppsett. |
| PC | To uker før | Windows 11 Pro eller Mac, kjøpt gjennom en forhandler som kan registrere maskinen på bedriften. |
| Telefon og abonnement | To uker før | Kjøp gjennom en kanal som deltar i Apple Business eller Android zero-touch. Avklar om den ansatte får nytt nummer eller overtar et eksisterende. |
| eSIM | Uken før | Bestilles når dere vet hvilken telefon den skal på. Avtal hvem som aktiverer den. |
| Tilgangskort, nøkler og alarmkode | To uker før | Har ofte egen leverandør og egen leveringstid. |
| Fagsystemer | To uker før | Regnskap, CRM og bransjesystemer kan kreve egen lisens eller bestilling. |
| Brukerkonto, grupper og postboks | Tre til fem virkedager før | Gir tid til at postboks, lisens og medlemskap er på plass før noen logger inn. |
| Midlertidig tilgangspass | Dagen før | Kan settes til å gjelde fra første morgen. |
Lisenser kan kjøpes når som helst, men på et årsabonnement som er kjøpt direkte fra Microsoft på en MCA-konto, kan antallet bare reduseres i sju dager etter kjøp eller fornyelse. Har dere mange som begynner og slutter, lønner det seg å holde oversikt over ledige lisenser i stedet for å kjøpe en ny hver gang. Hva som skiller Business Premium fra de rimeligere pakkene, og hvilke roller som trenger den, står i gjennomgangen av Microsoft 365 Business Premium.
PC og telefon som setter seg opp selv
Med automatisk innrullering kan utstyret ligge uåpnet på pulten og hente innstillinger, sikkerhetskrav og programmer første gang det slås på. Forutsetningen er at enheten er knyttet til bedriften før den tas i bruk, og det avgjøres i stor grad av hvor den kjøpes.
Windows Autopilot
En PC må registreres i Windows Autopilot for å settes opp automatisk. Ifølge Microsoft gjøres det helst av produsenten, forhandleren eller distributøren ved salg, men IT kan også registrere maskinen i etterkant ved å laste opp maskinvare-ID-en. Autopilot støtter Pro-, Enterprise- og Education-utgavene av Windows, ikke Home. Bedriften trenger lisenser som dekker Microsoft Entra ID og Intune, for eksempel Microsoft 365 Business Premium, og Microsoft presiserer at lisensen må være tildelt brukeren for at enheten skal kunne meldes inn.
For Windows 11 finnes også en nyere variant, Windows Autopilot device preparation, der PC-en ikke trenger å være registrert på forhånd. Oppsettet er knyttet til en brukergruppe og starter når en bruker i gruppen logger inn under førstegangsoppsettet. Varianten finnes ikke for Windows 10. Hvordan enhetene styres etter at de er satt opp, står i artikkelen om Microsoft Intune for bedrifter.
Apple Business
Apple Business erstattet Apple Business Manager, Apple Business Essentials og Apple Business Connect 14. april 2026. iPhone, iPad og Mac som er kjøpt fra Apple eller fra en deltakende forhandler eller operatør, kan legges inn automatisk og få bedriftens oppsett ved første oppstart. Enheter kjøpt andre steder kan legges til med Apple Configurator, men da har brukeren 30 dager på seg til å frigi enheten fra bedriften. Apple Business kan også kobles til Microsoft Entra ID og opprette administrerte Apple-kontoer for nye ansatte automatisk. Apple opplyser at enkelte funksjoner bare er tilgjengelige i utvalgte land.
Android zero-touch
Googles ordning krever at telefonen er kjøpt fra en forhandler som deltar i zero-touch, ikke i en vanlig forbrukerbutikk. Forhandleren oppretter en zero-touch-konto for bedriften og registrerer telefonene der. Bedriften kobler kontoen til administrasjonsløsningen sin, og telefonen setter seg opp første gang den slås på og igjen etter en tilbakestilling. Google oppgir Android 9 eller nyere som krav for de fleste enheter.
Hvordan enhetsstyringen fungerer i praksis, og hva den koster, står på siden om enhetsstyring med Intune. Innkjøp og livsløp for PC-er er beskrevet under PC-er og IT-utstyr til bedrift, og forskjellene mellom Apple og Android for bedriftstelefoner er sammenlignet på søstersiden vår i artikkelen om Android Enterprise og Apple Business.
Brukerkontoen: lisens, grupper, Teams og SharePoint
I de fleste små bedrifter ligger brukerkontoen i Microsoft Entra ID, identitetstjenesten som Microsoft 365 bygger på. Tre ting bør være riktig fra start.
Lisens og plassering
Før en lisens kan tildeles, må brukeren ha en plassering, altså et land. Microsoft anbefaler å gjøre det til en fast del av opprettelsen. Med gruppebasert lisensiering får alle i gruppen for en rolle riktig lisens automatisk, og lisensen fjernes når personen tas ut av gruppen. Administrasjonssenteret lar dere også lagre valgene for en ny bruker som en mal, slik at neste selger opprettes på samme måte.
Grupper i stedet for enkelttilganger
Tilgang til filer, delte postbokser, distribusjonslister og fagsystemer bør gis gjennom grupper som speiler rollene. Mange fagsystemer kan kobles til Microsoft Entra ID med felles pålogging og styres av de samme gruppene. Da finnes det ett sted å se hvem som har tilgang til hva, og ett sted å fjerne den. Administratorrettigheter hører ikke hjemme i en vanlig brukerkonto. Skal den nye ansatte administrere noe, bør det skje med en egen konto, slik NSM anbefaler.
Teams og SharePoint
Hvert team i Teams er koblet til en Microsoft 365-gruppe og et SharePoint-område der filene i standardkanalene lagres. Blir den ansatte medlem av teamet, får vedkommende samtidig tilgang til filene, og Microsoft anbefaler å styre tilgangen gjennom Teams heller enn å dele området for seg. Private og delte kanaler har egne områder og egne medlemmer og må legges til separat. En liste per rolle over hvilke team den ansatte skal inn i, sparer mange spørsmål om manglende mapper den første uken.
Første pålogging: tofaktor med midlertidig tilgangspass
Mange bedrifter bruker sikkerhetsstandardene i Microsoft Entra ID eller egne regler for betinget tilgang. Med sikkerhetsstandardene må alle brukere registrere tofaktorpålogging, og Microsoft fjernet 29. juli 2024 fristen på 14 dager som tidligere gjaldt. Den nye ansatte blir derfor bedt om å registrere Microsoft Authenticator første gang kontoen brukes.
Det skaper et problem mange ikke tenker på. Den som logger inn først med startpassordet, bestemmer hvilken telefon kontoen knyttes til. Har en leder logget inn for å se at alt virker, er kontoen svakere enn den burde være før den ansatte har møtt opp.
Microsofts løsning er et midlertidig tilgangspass, på engelsk Temporary Access Pass. Det er en tidsbegrenset kode som en administrator lager, og som kan gjelde for én eller flere pålogginger. Den ansatte bruker koden til å logge inn og registrere sine egne metoder, som Microsoft Authenticator, en passnøkkel eller Windows Hello for Business under oppsettet av en ny Windows-PC. Levetiden kan settes fra ti minutter til 30 dager, og passet kan få et starttidspunkt. Dere kan altså lage det dagen før og la det gjelde fra klokken åtte første arbeidsdag.
Gi koden ansikt til ansikt eller på telefon etter at den ansatte har møtt opp, og sett den helst til engangsbruk. Med en lisens som gir betinget tilgang, for eksempel Business Premium, kan dere også lage en regel som styrer hvor og hvordan sikkerhetsinformasjon registreres. Microsoft skriver at tilgangspasset oppfyller kravet om tofaktor i slike regler.
Skal nye ansatte være klare fra første dag?
Vi hjelper bedrifter med rutiner for nyansatte, automatisk oppsett av PC-er og telefoner og tilgangsstyring i Microsoft 365 gjennom etablerte IT-partnere. Fortell kort hvor mange dere er og hvilke systemer dere bruker.
Få hjelp med rutinenTelefonen, policyen og hva arbeidsgiver kan se
Telefonen blir ofte glemt til siste liten, fordi abonnementet går gjennom en annen avtale enn PC-en. Avklar om den ansatte skal ha nytt nummer, overta nummeret til en som har sluttet, eller ta med sitt eget. Med eSIM aktiveres abonnementet digitalt. Ifølge Apple kan det skje med en QR-kode fra operatøren, gjennom operatørens egen aktivering eller ved hurtigoverføring fra en annen iPhone, avhengig av hva operatøren støtter. Hvilke operatører som tilbyr eSIM på bedriftsabonnement, står på siden om bedriftsabonnement med eSIM.
Første dag er også tidspunktet for reglene. En telefonpolicy sier hva telefonen kan brukes til privat, hvilke sikkerhetskrav som gjelder, hva den ansatte gjør ved tap, og hva som skjer når arbeidsforholdet tar slutt. Gå gjennom den sammen, og be om en signert eller digital bekreftelse på at den er mottatt og lest. Signaturen gir ikke arbeidsgiveren flere rettigheter, men den dokumenterer at informasjonen er gitt. Hva policyen bør inneholde, og hvordan privat bruk beskattes, står i oversikten over regler for firmatelefon.
Det er mer enn god skikk. Arbeidstilsynet skriver at nytilsatte skal få informasjon om hvilke kontrolltiltak som allerede finnes i virksomheten, og etter personvernforordningen har de ansatte rett til informasjon om hvilke personopplysninger som samles inn om dem. E-postforskriften forbyr arbeidsgiveren å overvåke de ansattes bruk av elektronisk utstyr, med unntak for administrasjon av virksomhetens datanettverk og for å avdekke eller oppklare sikkerhetsbrudd.
Hva ser IT når enheten er meldt inn i Intune? Ifølge Microsofts oversikt kan organisasjonen aldri se samtale- og nettleserhistorikk, e-post, tekstmeldinger, kontakter, kalender, passord, bilder eller innholdet i dokumenter brukeren har laget. Den kan alltid se eier, enhetsnavn, serienummer, modell, produsent, operativsystem og IMEI. På bedriftseide enheter ser den som hovedregel også installerte apper, hele telefonnummeret og posisjonen til en enhet som er meldt tapt. På bedriftseide Android-telefoner med arbeidsprofil vises bare appene i arbeidsprofilen og de fire siste sifrene i nummeret.
Tidslinjen fra to uker før til første uke
Rekkefølgen under passer for de fleste små og mellomstore bedrifter. Er leveringstiden på utstyret lang, flyttes starten fram, ikke slutten.
To uker før
Lederen bestiller ut fra rolle og startdato. Den som har IT-ansvaret, bestiller PC, telefon og abonnement gjennom en kanal som registrerer enhetene for automatisk oppsett, sjekker lisenser og bestiller tilgangskort og fagsystemer. Er leveringstiden for lang, er en tilbakestilt reservemaskin bedre enn at den ansatte bruker sin private PC.
Uken før
Kontoen opprettes med lisens, plassering og grupper, slik at postboks, Teams og SharePoint kommer på plass mens kontoen står ubrukt. Utstyret registreres på den ansatte i oversikten over bedriftens eiendeler, med serienummer og telefonnummer.
Dagen før
Tilgangspasset lages med start første morgen. PC og telefon ligger klare sammen med en kort lapp om hvordan man logger inn, hvem man kontakter ved problemer og hvor telefonpolicyen ligger. Tilgangskortet er testet i døra.
Første dag
Den ansatte logger inn med tilgangspasset, registrerer Authenticator eller en passnøkkel og setter opp Windows Hello. PC-en henter programmer og innstillinger, telefonen meldes inn og eSIM-en aktiveres. Deretter går lederen gjennom telefonpolicyen og hva arbeidsgiveren kan og ikke kan se.
Første uke
Etter noen dager bør noen spørre om Teams, fellesområder, skriver og fagsystemer virker. Det som mangler, legges inn i rollepakken, ikke bare på denne ene personen. Sjekk at tilgangspasset er utløpt, og at den ansatte har minst to påloggingsmetoder, slik at en mistet telefon ikke låser kontoen. Uken passer også til en kort gjennomgang av falske e-poster og svindelforsøk. Hva de ansatte bør se etter, står i guiden om phishing i bedriften.
Sjekkliste for ny ansatt
- Rolle, startdato og unntak er bestilt av nærmeste leder.
- Lisensen er ledig eller kjøpt, og brukeren har fått plassering.
- PC og telefon er kjøpt gjennom en kanal som registrerer dem for automatisk oppsett.
- Abonnement, nummer og eSIM er bestilt, og det er avklart hvem som aktiverer.
- Tilgangskort, nøkler og fagsystemer er bestilt.
- Kontoen er lagt i gruppene for rollen, også teamene i Teams.
- Tilgangspasset er laget med start første dag og gis ansikt til ansikt.
- Telefonpolicyen og informasjonen om hva arbeidsgiver kan se, er gjennomgått og bekreftet.
- Utstyret er registrert på den ansatte i eiendelsoversikten.
- En oppfølging etter første uke står i kalenderen.
Når det lønner seg å sette bort jobben
For en bedrift med fem ansatte og én nyansettelse i året er det ofte nok med en god sjekkliste og en fast person som eier den. Blir det flere oppstarter i året, eller bruker dere mange fagsystemer, er det gjerne her en IT-partner gjør mest nytte. Partneren kan sette opp rollepakkene, gruppene og den automatiske innrulleringen én gang, bestille utstyr gjennom kanaler som registrerer det på bedriften, og ta imot bestillingen fra lederen når neste person begynner.
Spør i så fall om to ting før dere signerer: om onboarding og offboarding er med i fastprisen eller faktureres per time, og om partneren leverer rollepakkene som dokumentasjon dere eier selv. Avtaleformene og prisnivåene er gjennomgått i guiden om IT-support for bedrift, og forskjellen på en konsulent og en fast partner står i artikkelen om IT-konsulent eller IT-partner.
Vil dere ha en fast rutine for ansatte som begynner og slutter?
Vi setter dere i kontakt med IT-partnere som kan sette opp rollepakker, automatisk innrullering og tilgangsstyring i Microsoft 365. Tilbudet viser hvem som leverer og hva det koster.
Få tilbud på IT-hjelpKilder
Kontrollert 27. september 2026.
- Microsoft Learn: Krav til Windows Autopilot: støttede Windows-utgaver (Pro, Enterprise og Education, ikke Home), lisenser som dekker Microsoft Entra ID og Intune, blant annet Microsoft 365 Business Premium, og at lisensen må være tildelt brukeren.
- Microsoft Learn: Registrering i Windows Autopilot: helst gjort av produsent, forhandler eller distributør, alternativt manuell opplasting av maskinvare-ID.
- Microsoft Learn: Windows Autopilot device preparation: ingen forhåndsregistrering, knyttet til en brukergruppe, bare Windows 11.
- Apple Newsroom: Apple Business (mars 2026): tilgjengelig fra 14. april, erstatter Apple Business Manager, Essentials og Connect, automatisk opprettelse av administrerte Apple-kontoer via blant annet Microsoft Entra ID.
- Apple: Legge til enheter i Apple Business: Apple Configurator og 30 dagers prøveperiode for brukeren.
- Google: Android zero-touch-registrering: kjøp fra forhandlerpartner, forhandleren oppretter kontoen, Android 9 eller nyere for de fleste enheter.
- Microsoft: Microsoft 365 Business Premium: 223,63 kroner per bruker per måned med årlig betaling, uten mva.
- Microsoft Learn: Kjøpe eller fjerne lisenser: på MCA-kontoer kan lisenser bare fjernes innen sju dager etter kjøp eller fornyelse.
- Microsoft Learn: Legge til brukere: brukerinnstillinger kan lagres som mal.
- Microsoft Learn: Gruppebasert lisensiering: plassering må være satt før en lisens kan tildeles, og bør settes ved opprettelse.
- Microsoft Learn: Teams og SharePoint: team, Microsoft 365-gruppe og SharePoint-område, egne områder for private og delte kanaler, tilgang styres helst gjennom Teams.
- Microsoft Learn: Sikkerhetsstandarder i Microsoft Entra ID: alle brukere må registrere tofaktor, fristen på 14 dager fjernet 29. juli 2024.
- Microsoft Learn: Midlertidig tilgangspass: levetid 10 minutter til 30 dager, engangsbruk, starttidspunkt, registrering av Authenticator, passnøkkel og Windows Hello for Business.
- Microsoft Learn: Betinget tilgang for registrering av sikkerhetsinformasjon: tilgangspasset oppfyller kravet om tofaktor.
- Microsoft Learn: Hva organisasjonen kan se i Intune: hva som aldri, alltid og bare på bedriftseide enheter er synlig.
- Apple: Konfigurere eSIM på iPhone: QR-kode, operatøraktivering og eSIM-hurtigoverføring.
- NSM: Kartlegg brukere og behov for tilgang (prinsipp 1.3): brukerkategorier og tilgangsbehov.
- NSM: Ha kontroll på identiteter og tilganger (prinsipp 2.6): formell prosess for hele livssyklusen, sporbarhet til rolle og person som godkjente, minste privilegium, egen konto for administrasjon.
- Arbeidstilsynet: Kontroll og overvåking: nytilsatte skal få informasjon om kontrolltiltak som allerede finnes.
- Datatilsynet: Sjekkliste for arbeidsgiveren om overvåking av elektronisk utstyr: forbudet og unntakene for administrasjon av datanettverket og sikkerhetsbrudd.
