SaaS-prenumerationer: så kan it-avdelningen få överblick och kontroll

SaaS-beroendet och risken för inlåsning

Många verksamheter har i dag många SaaS-tjänster. De införs ofta av olika team utan central överblick. Det gör det svårt för IT-avdelningen att veta var data lagras, vilka avtal som gäller och vilka risker som finns. Utan överblick ökar risken för inlåsning.

Inlåsning är inte i första hand ett teknikproblem. En artikel i European Journal of Law and Technology understryker att avtalen redan innan en SaaS-tjänst tas i bruk måste garantera digital kontroll och möjlighet att lämna tjänsten. Om avtalen inte reglerar dataexport, övergångsperioder och kostnader för utträde blir verksamheten beroende av leverantören.

IT-avdelningen behöver därför en aktuell förteckning över alla SaaS-prenumerationer: vem som äger dem och vilka avtalsvillkor som gäller. Det är första steget för att agera proaktivt och undvika inlåsning.

Många branscher har dessutom nischade programvaror som bara en eller ett par avdelningar använder. Vitec Software Group beskriver sin portfölj som programvaror för unika behov, med produkter för administration inom kyrklig verksamhet i Norge och informationshantering inom processindustri och energibolag. Varje sådan prenumeration ska in i samma förteckning som övriga.

Förteckningen bör ha fasta fält: tjänstens namn, avtalspart, ägare i den egna organisationen, förnyelsedatum, var data lagras, vilka underleverantörer som används och om utträde är reglerat i avtalet. Samma fält används vid upphandling, införande och förvaltning. Då går det att jämföra prenumerationer och se var kontrollen saknas.

Att samla it-frågorna i en gemensam funktion ger snabbare väg till digitalt oberoende. Ju fler prenumerationer som köps in av enskilda team, desto längre tid tar det innan en samlad bild finns.

Kartlägg vilka EU-krav som träffar varje tjänst

En genomgång av EU-regler för 2025 visar att flera regelverk kan bli aktuella för SaaS-tjänster. För att prioritera och undvika dubbelarbete bör IT-avdelningen koppla varje prenumeration till de krav som faktiskt berör den.

NIS2 skärper kraven på riskhantering, incidentrapportering och säkerhet i leverantörskedjor. AI Act reglerar transparens, säkerhet och etik, särskilt när tjänsten använder AI för automatiserade beslut eller kundhantering. CSRD innebär att medelstora företag måste rapportera hållbarhetsinformation och uppdatera webbplats och offentliga kanaler.

Data Act inför nya regler för datadelning mellan företag, datalagring och datahantering, med fokus på datasuveränitet och rättigheter kring datadelning. E-Privacy Regulation ställer strängare krav på cookies och spårning samt regler för e-kommunikation. European Accessibility Act ställer krav på tillgänglighet.

E-Privacy Regulation kompletterar GDPR och ställer strängare krav på cookies, spårning och e-kommunikation. Prenumerationer som samlar in uppgifter om kunder eller anställda behöver därför granskas mot både dataskyddsreglerna och de nya sekretessinställningarna.

Metoden är en matris per tjänst: Vilka regelverk aktiveras? En tjänst med cookies kan träffas av E-Privacy. En tjänst där stora mängder data samlas in eller används kan aktualisera Data Act. En tjänst med AI-funktioner kan träffas av AI Act.

En tjänst i kritisk infrastruktur kan träffas av NIS2. På så sätt kan IT-avdelningen samordna kraven och undvika att samma fråga hanteras i flera spår.

Tidsplanen är redan satt. NIS2 väntas ha full implementering och efterlevnadskontroller tidigt under 2025. AI Act väntas vara helt implementerad under första halvan av 2025, CSRD gäller från och med 2025 och Data Act träder i full kraft under 2025. Även E-Privacy Regulation väntas vara helt på plats under 2025.

NIS2 genomförs i Sverige genom cybersäkerhetslagen (CSL). MSB har lagt ett förslag till föreskrifter, och det finns en stor diskrepans mellan förslaget och NIS2 med dess genomförandeförordning. IT-avdelningen behöver hålla reda på båda nivåerna i matrisen.

Konsumentskyddsdirektivet uppdateras under 2025 och kan också träffa företag som levererar tjänster och produkter till andra företag. Det gäller särskilt när kunden är ett litet företag som kan betraktas som konsument. Webbplatsens villkor och återköpspolicyer behöver vara tydliga.

Digital Euro kan påverka betalningslösningar. EU väntas fortsätta pilotprojekten och en lansering kan komma. B2B-plattformar och fondbolag behöver överväga hur digital valuta integreras i betalningsinfrastrukturen och informera kunderna om hanteringen.

Matrisen byggs med en rad per prenumeration och en kolumn per regelverk: NIS2, AI Act, CSRD, Data Act, E-Privacy, GDPR och European Accessibility Act. Varje ruta fylls med ja, nej eller ej bedömt och en ansvarig person. Då syns det vilka tjänster som kräver åtgärder och vilka som kan lämnas ifred.

EU-regelverk som påverkar SaaS-tjänster (2025)

Svenska regelverk och EU-direktiv med tidsplan (2025)

Ställ krav nedåt i leverantörskedjan

En SaaS-tjänst bygger ofta på underleverantörer och molntjänster i flera led. IT-avdelningen bör därför använda leverantörskedjan som kontrollpunkt: Vilka underleverantörer används? Var lagras data? Hur rapporteras incidenter vidare?

Enligt genomgången av EU-regler innebär NIS2 striktare krav på säkerhet i leverantörskedjor. Även underleverantörer och molntjänster i flera led behöver omfattas av kontrollen. Det räcker inte att granska bara den direkta leverantören.

I praktiken innebär det att begära in och uppdatera information om underleverantörer, incidentrutiner och var data är lokaliserad. Det kopplar också till Data Acts krav på datasuveränitet. Genom att ställa krav nedåt i kedjan minskar IT-avdelningen risken för överraskningar och ser till att incidenter rapporteras vidare i tid.

Svaren dokumenteras i förteckningen och uppdateras vid varje avtalsförnyelse. Ett byte av underleverantör mitt i avtalsperioden ska rapporteras till IT-avdelningen, annars upphör kontrollen.

Granska avtalsvillkoren innan tjänsten tas i bruk

Kontrollen börjar före införandet. En artikel i European Journal of Law and Technology betonar att avtalsvillkoren redan innan en SaaS-tjänst börjar användas måste garantera digital kontroll och möjlighet att lämna tjänsten. Verksamheten ska kunna lämna tjänsten utan att förlora kontrollen.

Det är betydligt svårare att förhandla om villkoren i efterhand. När tjänsten är införd och verksamheten beroende av den har leverantören ett försprång. IT-avdelningen bör därför tillsammans med inköp och juridik granska avtalen innan tjänsten tas i bruk.

Före avtalstecknandet ska tre punkter vara reglerade: dataexport, övergångsperiod och kostnader för utträde. Exporten ska ske i ett format som verksamheten kan läsa vidare, övergångsperioden ska räcka för att flytta data, och kostnaderna för att lämna tjänsten ska vara kända i förväg. Punkterna skrivs in i förteckningen så att de kan följas upp.

Obligatoriska avtalsvillkor innan SaaS-införande

Inför nya system stegvis i stället för i ett svep

En fallstudie om ERP-implementeringar visar att införanden av ERP-system är mycket kostsamma och förknippade med hög risk för misslyckande. Samma logik går att tillämpa på SaaS-prenumerationer.

Ett beslut om en ny SaaS-tjänst kan snabbt få fäste i många team och bli svårt att backa från. IT-avdelningen bör därför införa nya system stegvis: börja med en pilot, avgränsa omfattningen och sätt tydliga avbrottspunkter för utvärdering.

Gången kan vara fast och numrerad: 1) avgränsa piloten till en avdelning, 2) sätt en avbrottspunkt med datum, 3) bestäm kriterier för fortsatt införande, 4) utse en ägare, 5) utvärdera och besluta. Först efter ett godkänt steg breddas tjänsten till fler team.

Vid avbrottspunkterna kan man stoppa eller justera. Det minskar risken för att en enskild prenumeration får för stor spridning innan avtalsvillkor, regelefterlevnad och integration är säkerställda. Det ger också möjlighet att lära innan nästa steg.

Varje steg behöver en utsedd ägare och en avbrottspunkt med i förväg bestämda kriterier. Utan ägare och kriterier går det inte att avgöra om steget ska fortsätta, justeras eller stoppas. Kriterierna dokumenteras i samma förteckning som prenumerationen.

Bygg intern kunskap och samsyn kring förvaltningen

För långsiktig kontroll behöver IT-avdelningen etablera en återkommande arbetsform. Ekonomi, inköp, juridik och verksamhet ska dela bilden av vilka prenumerationer som finns och varför. Det skapar samsyn kring ägande, kostnader, risker och regelefterlevnad.

Effekten, en podd om digitalisering, tipsar om att använda sina avsnitt som diskussionsunderlag på en workshop. Utgå från sådant material och ordna en workshop utan att bygga ett tungt ramverk.

Arbetsformen kan vara enkel: en gemensam förteckning över SaaS-prenumerationer, en regelbunden genomgång – till exempel kvartalsvis – och en tydlig process för hur nya tjänster utvärderas och godkänns. Då blir förvaltningen av SaaS en del av den ordinarie styrningen, inte en engångsinsats.

Arbetsformen behöver roller: en ägare per prenumeration, en samordnare på IT-avdelningen och en fast mötespunkt där ekonomi, inköp, juridik och verksamhet deltar. Samma dagordning varje gång gör genomgången snabb.

Tre saker avgör om kontrollen håller: en aktuell förteckning, en namngiven ägare per prenumeration och en återkommande genomgång. Saknas någon av dem går det inte att svara på vad verksamheten betalar för eller var data finns.