En god IT-driftsavtale sier konkret hva leverandøren skal drifte, hva som er med i månedsprisen, hvor raskt feil skal håndteres, hvordan prisen kan endres og hva som skjer når avtalen avsluttes. Det som oftest faktureres i tillegg, er arbeid utenfor åpningstid, oppmøte, prosjekter, lisenser og hjelp med fagsystemer. Statens standardavtale for drift, SSA-D, er laget for offentlige kjøp, men den er en god sjekkliste også for en bedrift med ti eller femti ansatte.
Slik har vi jobbet. Gjennomgangen bygger på SSA-D med bilag (versjon 2018) fra Direktoratet for forvaltning og økonomistyring (DFØ), Nasjonal sikkerhetsmyndighets grunnprinsipper for IKT-sikkerhet, versjon 2.1, og kravene til databehandleravtale i personvernforordningen. Eksemplene på hva som er inkludert og ikke, er hentet fra vilkårene norske IT-leverandører publiserer. Alt er kontrollert 28. september 2026. Artikkelen er ikke juridisk rådgivning.
Hva «IT som tjeneste» egentlig betyr
Når IT-drift kjøpes som tjeneste, tar leverandøren ansvar for at en avgrenset del av IT-en virker, mot en fast pris per måned. Typisk gjelder det PC-ene, brukerkontoene, Microsoft 365, sikkerhetsverktøyene og brukerstøtten. Bedriften kjøper altså et resultat, ikke timer.
Det bedriften ikke kan sette bort, er ansvaret. NSM skriver det rett ut i sine grunnprinsipper: virksomheten må ta ansvar for egen sikkerhet også når tjenester settes ut, beholde nok kompetanse til å følge opp leverandøren og stille krav som kan kontrolleres (prinsipp 2.1.9). En driftsavtale er derfor ikke bare en bestilling. Den er verktøyet som gjør det mulig å følge med på at leverandøren gjør jobben.
Slik er en driftsavtale bygget opp
SSA-D består av en generell avtaletekst og ti bilag. De fleste små bedrifter får leverandørens egne vilkår og et tilbud, ikke SSA-D. Likevel er bilagene en nyttig huskeliste, fordi de viser hvilke spørsmål avtalen må svare på. Tabellen oversetter dem til hva det betyr for en bedrift uten egen IT-avdeling.
| Bilag i SSA-D | Hva det handler om | Dette bør en liten bedrift få skriftlig |
|---|---|---|
| 1. Kundens kravspesifikasjon | Hva bedriften trenger | Antall brukere og PC-er, åpningstid, viktige fagsystemer og krav til sikkerhet |
| 2. Leverandørens løsningsspesifikasjon | Hva leverandøren faktisk leverer | En liste over tjenestene i fastprisen, ikke bare pakkenavnet |
| 3. Beskrivelse av det som skal driftes | Utstyr, systemer og brukere | Oversikt over maskiner, lisenser og systemer ved oppstart |
| 4. Plan for etableringsfasen | Oppstart og overtakelse | Dato for oppstart, hvem som gjør hva, og hva oppstarten koster |
| 5. Tjenestenivå med kompensasjoner | Tilgjengelighet, reaksjonstid og kompensasjon ved brudd | Responstid per alvorlighetsgrad og hva dere får hvis den ikke holdes |
| 6. Administrative bestemmelser | Kontaktpersoner, møter og rapportering | Hvem dere ringer, og hvor ofte dere får rapport |
| 7. Pris og prisbestemmelser | Faste priser, timepriser og prisregulering | Timepris for arbeid utenfor avtalen og hvordan prisen justeres hvert år |
| 8. Endringer i avtaleteksten | Avvik fra standardvilkårene | Hvilke av leverandørens standardvilkår som gjelder, og hvilke som er endret |
| 9. Endringer etter avtaleinngåelsen | Logg over endringer | Endringer i omfang og pris skal avtales skriftlig |
| 10. Tredjepartsleveranser | Lisenser og tjenester fra andre | Hvilke vilkår som gjelder for Microsoft, backup og andre underleverandører |
Hva som er med i fastprisen, og hva som koster ekstra
Pakkenavn som «Standard» og «Premium» sier lite. To avtaler til samme pris kan dekke svært ulike ting. Tabellen viser hvordan grensene ofte går, basert på vilkårene norske leverandører selv publiserer. Bruk den som spørsmålsliste når tilbudet kommer.
| Tjeneste | Ofte i fastprisen | Ofte ekstra | Spør om |
|---|---|---|---|
| Brukerstøtte | Fjernhjelp i arbeidstiden | Kveld, helg og hastesaker | Åpningstid, og om det finnes vakttelefon for kritiske feil |
| Overvåking og oppdatering | Oppdatering av Windows og Office på PC-ene | Servere, nettverksutstyr og fagsystemer | Hvilke enheter som faktisk overvåkes |
| Sikkerhet | Endepunktbeskyttelse og tofaktorinnlogging | Overvåking hele døgnet, sikkerhetsanalyser og opplæring | Hvem som følger med på varslene, og når |
| Microsoft 365 | Administrasjon av brukere | Selve lisensene og backup av Microsoft 365 | Lisenspris per bruker sammenlignet med Microsofts listepris |
| Oppmøte | Sjelden inkludert | Besøk, reisetid og kjøring | Pris per besøk eller time, og om reisetid faktureres |
| Prosjekter | Nei | Flytting, nytt nettverk, kontorbytte og nye systemer | Fastpris eller estimat før arbeidet starter |
| Timebank | Et visst antall timer i noen pakker | Timer utover banken | Hvor mange timer, om de går ut, og hvordan de telles |
Noen detaljer i vilkårene er lette å overse. EnterNett fakturerer supportarbeid per påbegynt kvarter. ITkonsulent1 skriver at kveld, helg og hastejobber har tillegg etter avtale, og at oppmøte avtales på forhånd. Infografikk har brukerstøtte per time i det rimeligste nivået og brukerstøtte fra 08 til 16 først i nivået over. Ingen av delene er urimelig, men det må stå i avtalen, ellers blir den første fakturaen en overraskelse.
Vil dere ha et tilbud der alt dette står svart på hvitt? Beskriv hva dere trenger på siden om IT-drift for bedrifter, så går vi gjennom behovet med dere før dere får et tilbud. Det er gratis og uforpliktende.
Tjenestenivå: responstid, løsningstid og kompensasjon
Tjenestenivået er den delen av avtalen som sier hvor raskt leverandøren skal reagere, og hva som skjer hvis det ikke skjer. DFØ kaller det «et svært viktig bilag» i veiledningen til SSA-D. Tre begreper må holdes fra hverandre:
- Responstid er tiden fra dere melder en feil til leverandøren har bekreftet og begynt å se på den.
- Løsningstid er tiden til feilen er rettet eller har fått en midlertidig løsning. Veiledningen til SSA-D påpeker at det er uvanlig å love en løsningstid, men at leverandøren for alvorlige feil bør jobbe kontinuerlig til feilen er rettet.
- Tilgjengelighet er hvor stor del av avtalt driftstid en tjeneste har virket, regnet i prosent. Planlagt vedlikehold og feil leverandøren ikke svarer for, trekkes fra.
For en liten bedrift er det viktigste at feil deles inn i alvorlighetsgrader, og at hver grad har en responstid. «Ingen kan jobbe» skal behandles annerledes enn «en skriver virker ikke». Avtal også at tidene måles i leverandørens åpningstid eller døgnet rundt, og at dere får en enkel rapport. Kompensasjon ved brudd regnes gjerne som en prosentsats av månedsprisen. Beløpet er sjelden stort, men det gir leverandøren en grunn til å prioritere dere.
Pris, prisregulering og endringer
En fast månedspris er bare forutsigbar hvis det er klart hva som endrer den. Avtalen bør si om prisen er per bruker eller per enhet, hvor ofte antallet justeres, og hvordan prisen reguleres over tid. I SSA-D er utgangspunktet at prisene kan justeres hvert årsskifte i takt med konsumprisindeksen fra SSB. Mange private avtaler har tilsvarende klausuler, andre har egne prisjusteringer. Be om at reguleringen er knyttet til en indeks dere kan kontrollere.
Arbeid utenfor avtalen bør ha en fast timepris og helst en tjenestekatalog, altså en prisliste over vanlige tilleggsoppgaver som å sette opp en ny ansatt, et nytt møterom eller en ny skriver. Større endringer bør avtales skriftlig med et prisoverslag før arbeidet starter. Hos Infografikk kan antall enheter justeres opp og ned hvert kvartal. Spør hva som gjelder hos leverandøren dere vurderer, og om det koster noe å redusere.
Tilganger, dokumentasjon og personvern
Tre forhold avgjør om bedriften har kontroll over sin egen IT, eller om leverandøren har det:
- Administratortilgangene. Bedriften bør selv ha minst én administratorkonto i Microsoft 365 som ikke er knyttet til leverandøren. Microsoft anbefaler to slike nødtilganger med sterk pålogging. Leverandøren bør bruke personlige kontoer med tofaktor, ikke én felles konto.
- Dokumentasjonen. Avtalen bør si at oppsett, brukere, lisenser, nettverk og rutiner dokumenteres, at bedriften eier dokumentasjonen og kan få den utlevert når som helst.
- Databehandleravtalen. Når leverandøren har tilgang til e-post, filer og kundedata, behandler den personopplysninger på vegne av bedriften. Da kreves en databehandleravtale etter personvernforordningen artikkel 28. Den skal blant annet si at leverandøren bare behandler data etter bedriftens instruks, sørger for sikkerhet, bare bruker underleverandører bedriften har godkjent, og sletter eller leverer tilbake dataene når avtalen avsluttes.
NSM anbefaler i tillegg å undersøke leverandørens eget sikkerhetsarbeid før avtalen inngås: om den har et styringssystem for informasjonssikkerhet, gjerne sertifisert etter ISO/IEC 27001, hvordan den håndterer hendelser, hvordan data er skilt fra andre kunders, og hvordan data slettes eller flyttes ved avslutning (prinsipp 2.1.10). Mer om sikkerhetskravene står i guiden om IT-sikkerhet for bedrifter.
Varighet, oppsigelse og avslutning
Det er ved avslutningen dårlige avtaler blir dyre. SSA-D gir et nyttig sammenligningsgrunnlag, selv om private avtaler står fritt til å avtale noe annet:
- Avtalen varer i tre år fra oppstart og fornyes deretter automatisk ett år om gangen, med mindre kunden sier den opp med seks måneders varsel før fornyelsen.
- Kunden kan si opp driften med tre måneders varsel også i treårsperioden, men betaler da et avbestillingsgebyr på 4 prosent av årlig vederlag i tillegg til påløpte kostnader.
- Leverandøren skal bistå ved overgangen og legge til rette for at kundens data og sikkerhetskopier, lisenser, kontrakter, brukeroversikter og konfigurasjonsbeskrivelser overføres til kunden eller den nye leverandøren.
- Kunden har krav på oppfølgende bistand i 60 dager etter at driften er flyttet, og kan holde tilbake vederlaget for siste betalingstermin i inntil én måned etter at avtalen er slutt, slik at mangler ved avslutningen kan følges opp.
Til sammenligning er standard avtaletid hos Infografikk 36 måneder, og Microsoft-lisensene har sin egen binding på som regel ett år. Sjekk at bindingstidene henger sammen, slik at dere ikke må betale for lisenser eller drift etter at dere har byttet. Hvordan et bytte gjennomføres i praksis, står i guiden om å bytte IT-leverandør.
Sjekkliste før dere signerer
- Alle tjenestene i fastprisen er listet opp, ikke bare navnet på pakken.
- Det står hva som faktureres ekstra, med timepris og eventuell tjenestekatalog.
- Åpningstid, responstid per alvorlighetsgrad og kompensasjon ved brudd er beskrevet.
- Prisen er per bruker eller per enhet, og det står hvor ofte antallet kan justeres.
- Prisreguleringen er knyttet til en indeks, for eksempel konsumprisindeksen.
- Microsoft 365-lisensene er priset som egen linje, med binding og fornyelsesdato.
- Backup er beskrevet: hva som tas backup av, hvor ofte, hvor lenge og hvor kopiene lagres.
- Bedriften har egne administratortilganger, og leverandøren bruker personlige kontoer med tofaktor.
- Databehandleravtale er inngått, med liste over underleverandører.
- Oppstart og overtakelse har egen pris og plan.
- Bindingstid, oppsigelsestid og automatisk fornyelse er tydelige.
- Det står hva leverandøren skal levere tilbake ved avslutning, og hva det koster.
Røde flagg i et tilbud
Noen formuleringer bør få dere til å spørre mer før dere signerer. «Fra»-priser uten liste over hva som er inkludert. «Rimelig bruk» av brukerstøtte uten at grensen er definert. Automatisk fornyelse med lang oppsigelsestid som står langt bak i vilkårene. Leverandøren som eneste administrator i Microsoft 365. Og en avtale som ikke nevner avslutning i det hele tatt. Ingen av disse betyr at leverandøren er dårlig, men alle betyr at noe er uavklart.
Ofte stilte spørsmål
Må en liten bedrift bruke statens standardavtale?
Nei. SSA-D er laget for offentlige virksomheter og er ikke påkrevd for private. De fleste leverandører bruker egne vilkår. SSA-D er likevel nyttig som sjekkliste for hva avtalen bør dekke.
Trenger vi databehandleravtale med IT-leverandøren?
Ja, når leverandøren har tilgang til personopplysninger bedriften er ansvarlig for, for eksempel e-post, kundedata og ansattdata. Det gjelder nesten alltid ved IT-drift. Mange leverandører har en ferdig mal.
Hva er forskjellen på responstid og løsningstid?
Responstid er hvor raskt leverandøren begynner å jobbe med feilen. Løsningstid er hvor raskt den er rettet. De fleste avtaler lover responstid, færre lover løsningstid.
Kan vi si opp en IT-driftsavtale før bindingstiden er ute?
Det avhenger av avtalen. Noen tillater oppsigelse mot et gebyr, slik SSA-D gjør med 4 prosent av årlig vederlag, andre krever betaling for hele perioden. Sjekk dette før dere signerer, ikke når dere vil ut.
Kilder
- DFØ: Driftsavtalen (SSA-D), med generell avtaletekst 2018 og bilag 2018. Bilagsstruktur, tjenestenivå, prisregulering etter KPI, varighet, avbestilling og avslutning (punkt 4). Kontrollert 28.09.2026.
- NSM prinsipp 2.1: Ivareta sikkerhet i anskaffelses- og utviklingsprosesser. Ansvar ved tjenesteutsetting (2.1.9) og vurdering av leverandøren (2.1.10), versjon 2.1. Kontrollert 28.09.2026.
- Datatilsynet: Hvordan lage en databehandleravtale. Krav etter personvernforordningen artikkel 28. Kontrollert 28.09.2026.
- Microsoft Learn: Manage emergency access accounts. Anbefaling om minst to nødtilganger med global administratorrolle. Kontrollert 28.09.2026.
- Infografikk: IT-drift. Innhold per nivå, 36 måneders standard avtaletid og kvartalsvis justering av antall enheter. Kontrollert 28.09.2026.
- ITkonsulent1: Priser. Tillegg for kveld, helg og hastejobber, oppmøte etter avtale. Kontrollert 28.09.2026.
- EnterNett: Driftsavtale. Timepriser, timebank og fakturering per påbegynt kvarter. Kontrollert 28.09.2026.
- Trønder Data: Hva koster en IT-avtale for en liten bedrift? Innhold i TD Bruker Standard. Kontrollert 28.09.2026.
