IT-säkerhet RFP-mall: upphandlingsunderlag för säkerhetstjänster

En välstrukturerad RFP är avgörande för att upphandla rätt IT-säkerhetstjänster. Enligt Gartner (2024) ökar globala utgifter för informationssäkerhet till 215 miljarder dollar under 2024, en ökning med 14,3 procent. Trots de stora investeringarna saknar många organisationer en strukturerad upphandlingsprocess.

Den här guiden ger dig en komplett RFP-mall för IT-säkerhetstjänster, anpassad till svenska förhållanden. Du får kravformuleringar, utvärderingskriterier och en poängmodell som du kan använda direkt i din upphandling.

Viktiga Slutsatser

• Globala säkerhetsutgifter når 215 miljarder dollar 2024 (Gartner, 2024).
• En strukturerad RFP ger jämförbara anbud och minskar risken för felval.
• Inkludera alltid krav på NIS2-efterlevnad, incidentrespons och SLA-nivåer.
• Utvärdera leverantörer med en viktad poängmodell, inte bara på pris.

Varför behöver ni en RFP för IT-säkerhetstjänster?

En RFP tvingar er att formulera era behov tydligt innan ni kontaktar leverantörer. Enligt Forrester Research (2024) misslyckas 42 procent av säkerhetsupphandlingar med att möta verksamhetens behov, oftast för att kraven var otydliga från början. En RFP eliminerar inte alla risker, men den minskar dem avsevärt.

Utan en standardiserad RFP får ni anbud som inte går att jämföra. En leverantör offererar SOC-tjänster, en annan fokuserar på penetrationstestning, och en tredje paketerar allt i en managed security-lösning. Resultatet blir att ni jämför äpplen med päron.

Med en RFP styr ni vilken information leverantörerna ska lämna. Det gör utvärderingen objektiv, transparent och spårbar, något som också underlättar vid intern revision eller myndighetsgranskning.

Citationskapsel: En strukturerad RFP för IT-säkerhetstjänster säkerställer jämförbara anbud och minskar risken för felval. Forrester (2024) visar att 42 procent av säkerhetsupphandlingar misslyckas med att möta verksamhetens behov, ofta på grund av otydliga krav.

Vilka avsnitt bör ingå i en säkerhets-RFP?

En komplett RFP för IT-säkerhet innehåller åtta kärnområden. Enligt ISACA (2024) bör upphandlingsdokument för säkerhetstjänster alltid inkludera krav på compliance, incidenthantering och löpande rapportering. Här är en mall ni kan anpassa.

1. Organisationsbeskrivning och bakgrund

Beskriv er verksamhet, bransch, storlek och nuvarande IT-miljö. Ange hur många anställda, kontor och system som omfattas. Ge en översikt av ert nuvarande säkerhetsarbete och vilka regulatoriska krav ni lyder under, exempelvis NIS2, GDPR eller branschspecifika regelverk.

2. Omfattning och tjänstebeskrivning

Specificera exakt vilka tjänster ni upphandlar. Vanliga tjänsteområden:

• Managed Detection and Response (MDR): Övervakning, hotdetektion och incidentrespons dygnet runt.
• Vulnerability Management: Regelbunden sårbarhetsskanning och rådgivning.
• Penetrationstestning: Periodiska tester av applikationer, nätverk och infrastruktur.
• Security Operations Center (SOC): Centraliserad säkerhetsövervakning.
• Compliance och rådgivning: Stöd med NIS2, ISO 27001 och GDPR.

3. Tekniska krav

Ange krav på integration med er befintliga miljö. Vilka SIEM-plattformar stöds? Vilka molnleverantörer använder ni? Kräv stöd för era operativsystem, nätverksutrustning och applikationer. Specificera krav på kryptering, logghantering och datalagring inom EU.

4. SLA-krav och servicenivåer

Definiera tydliga servicenivåer med mätbara gränsvärden:

• Incidentresponstid: Kritiska incidenter inom 15 minuter, höga inom 1 timme, normala inom 4 timmar.
• Tillgänglighet: SOC/MDR-tjänst: 99,9 procent uppetid.
• Rapportering: Månadsrapport inom 5 arbetsdagar, kvartalsgenomgång med er säkerhetsansvarig.
• Eskalering: Tydlig eskaleringskedja med namngivna kontakter.

5. Compliance- och regulatoriska krav

Kräv att leverantören kan visa efterlevnad av relevanta ramverk. Specificera krav på:

• ISO 27001-certifiering eller motsvarande
• Stöd för NIS2-efterlevnad
• GDPR-kompetens och databehandlaravtal
• SOC 2 Type II-rapport (om tillämpligt)
• Regelbunden tredjepartsrevision av leverantörens egna säkerhetsrutiner

6. Prissättningsmodell

Be om prisuppgifter i ett standardiserat format. Kräv att leverantören specificerar:

• Fast månadskostnad per tjänsteområde
• Kostnad per incident (om tillämpligt)
• Implementerings- och transitionskostnader
• Priseskalering vid avtalets förlängning
• Tilläggsarbete: timpris och takpris

I svenska upphandlingar ligger typisk månadskostnad för managed security-tjänster på 25 000-85 000 SEK per månad för företag med 50-200 anställda, beroende på tjänsteomfattning.

7. Leverantörskvalifikationer

Ställ krav på leverantörens erfarenhet och kapacitet:

• Minst 3 referenskunder i liknande bransch och storlek
• Dokumenterad erfarenhet av er typ av IT-miljö
• Personalens certifieringar (CISSP, CISM, CEH eller motsvarande)
• Svenskspråkig support och rådgivning
• Finansiell stabilitet (årsredovisning eller kreditbetyg)

8. Avtalsfrågor

Inkludera krav på avtalets utformning: uppsägningstid, exitplan, immaterialrätt, sekretess och ansvarsbegränsningar. Kräv att leverantören presenterar en exitplan som säkerställer överlämning av data och dokumentation vid avtalets slut.