IT- avtale for bedrift: Hva kreves for god cybersikkerhet?

Når cybersikkerhet diskuteres i norske virksomheter, havner samtalen ofte raskt på teknologi. Overvåkning. Systemer. Verktøy.

I praksis avgjøres imidlertid sikkerhetsnivået ofte tidligere og et helt annet sted:
i avtalene.

De fleste virksomheter har en sikkerhetsleverandør. Avtalen er signert, tjenesten er i drift, rapporter leveres. Likevel er det mange som mangler klare svar når de mest grunnleggende spørsmålene stilles:

• Hvem har ansvar når noe skjer?
• Hva er faktisk levert – og hva ligger utenfor avtalen?
• Når er leveransen operativ – og når er den rådgivende?

Dette er spørsmål mange kjenner på, men få har helt tydelige svar på. Og nettopp derfor blir de ofte utsatt. Ikke fordi de er kompliserte, men fordi de stiller krav til tydelighet i roller, ansvar og forventninger.

Det sentrale kontrollspørsmålet er enkelt, men ofte ubehagelig: Får virksomheten faktisk det den betaler for?

Avtaler som ikke holder tritt med virkeligheten

Mange cybersikkerhetsavtaler er inngått i en annen fase av virksomhetens utvikling enn dagens.
Over tid utvikler behovene seg, trusselbildet blir mer komplekst, og forventningene til samspill mellom IT, ledelse og leverandør øker.

Likevel forblir avtalen ofte uendret.

I arbeidet med BlueNord ble dette tydelig. Sikkerhetstjenester var på plass, men det var behov for større tydelighet rundt ansvar, samspill og innhold – særlig i skjæringspunktet mellom operativ drift og rådgivning.

Når sikkerhet reduseres til en tjeneste som «fungerer», blir det vanskelig å stille krav – og enda vanskeligere å stille de riktige.

Mer enn overvåkning og responstid

Sikkerhetsleveranser handler i økende grad om mer enn operativ drift. Virksomheter etterspør ikke bare overvåkning og hendelseshåndtering, men også løpende vurderinger, prioriteringer og råd som er relevante for egen forretning.

Det innebærer blant annet:

• støtte til ledelsen i forståelsen av risiko
• proaktive innspill, ikke bare etterkant‑rapporter
• tydelige rammer for hvordan samarbeid faktisk skal fungere i praksis

For BlueNord var det avgjørende å få nettopp dette tydeliggjort i avtalen: en formell SOC‑leveranse, kombinert med reell rådgivning og proaktivt samarbeid – også rettet mot virksomhetens ledelse.

Dette forutsetter avtaler som skiller klart mellom operativ leveranse og rådgivning, og som beskriver hvordan disse funksjonene skal supplere hverandre over tid.

Når målrettet forhandling gir mest verdi

Når eksisterende avtaler ikke lenger dekker behovene, blir bred konkurranse ofte sett på som eneste løsning. Det er ikke alltid riktig. I mange tilfeller kan en målrettet forhandling gi størst effekt – forutsatt at funksjonsområder, ansvar og økonomi ses i sammenheng.

I arbeidet med BlueNord ble det derfor lagt vekt på en målrettet forhandlingsprosess, med tydelig fokus på innhold fremfor volum. Spørsmålene som ble stilt var grunnleggende, men avgjørende:

• Hva skal leveransen faktisk inneholde – operativt og rådgivende?
• Hvordan skal samarbeidet fungere i praksis?
• Og hvilket kostnadsnivå er rimelig sett opp mot ansvar og omfang?

Resultatet var ikke mer sikkerhet “på papiret”, men en avtale som i større grad speiler virksomhetens faktiske behov i dag – og som gir bedre forutsetninger for styring, samspill og videre utvikling. Etter dette arbeidet gir det mening å vurdere veien videre. Først da vet man hva som eventuelt skal sammenlignes.

Sikkerhet starter før teknologien tas i bruk

Det er ikke alltid åpenbart når en sikkerhetsavtale bør gjennomgås på nytt. Ofte fungerer løsningene greit i hverdagen helt til de ikke gjør det.

En nyttig øvelse kan derfor være å stille seg noen enkle spørsmål:

• Vet du helt konkret hvor ansvaret ligger hvis noe faktisk skjer?
• Er det tydelig hva dere betaler for – og hva som faller utenfor avtalen?
• Vet dere når leveransen handler om drift, og når dere faktisk skal forvente råd og støtte?
• Har avtalen utviklet seg i takt med virksomheten, eller har den i praksis blitt liggende i flere år?
• Er dere trygge på at kostnadsnivået står i forhold til ansvaret leverandøren har?

Hvis du må tenke deg om, nøler på svarene – eller får ulike svar internt – er det ofte et tegn på at avtalen fortjener en nærmere gjennomgang.

Dette er krevende arbeid som tar tid og kapasitet i en allerede travel hverdag. Samtidig er det nettopp her grunnlaget legges for styring, forutsigbarhet og reell kontroll med risiko. Å ta tak i avtalen er sjelden det som haster mest der og da – men det er ofte det som betyr mest over tid.