Regneeksempler, tilbud og valg af leverandør
Sammenlign tilbud på administreret sikkerhed: kravliste og normalisering af priser
Sådan skriver I en kravliste til MSSP-tilbud, omregner tilbud med forskellige prismodeller til samme grundlag og opdager de huller, der gør et tilbud billigt.
Tilbud på administreret sikkerhed kan kun sammenlignes, hvis de dækker det samme og opgøres på samme måde. Gør det i tre trin: send samme kravliste og samme tal (enheder, brugere, servere, logkilder, lokationer) til alle leverandører, bed om priser opdelt pr. komponent, og omregn derefter hvert tilbud til samlet pris over bindingsperioden og kroner pr. medarbejder pr. måned – med et tillæg for det, der mangler. Det billigste tilbud er ofte billigst, fordi noget er udeladt.
Guiden hører under valg af leverandør trin for trin. Alle beløb er illustrative.
Kravlisten: struktur
En kravliste til en SMV kan have fem afsnit:
1. Om virksomheden (fakta, som alle leverandører får):
- antal medarbejdere, computere, servere (fysiske og i skyen), mobiltelefoner,
- e-mail- og samarbejdsplatform,
- forretningssystemer og hvor de kører,
- antal lokationer og firewalls,
- om I er omfattet af NIS2, og om kunder stiller sikkerhedskrav.
2. Ydelser: Hvilke byggesten I ønsker tilbud på (MDR, SOC, firewall, ekstern CISO, pentest, beredskab, awareness).
3. Skal-krav: Fx døgnbemandet respons, dækning af alle servere, forhåndsgodkendte handlinger, databehandling i EU/EØS, månedlig rapport.
4. Kan-krav: Fx dansktalende analytikere, integration med jeres ticketsystem, kvartalsmøde på stedet.
5. Spørgsmål: Svar, I vil have skriftligt – brug tjeklisten til leverandøren.
Prisskema, leverandørerne skal udfylde
| Komponent | Måleenhed | Antal | Pris pr. enhed pr. måned | I alt pr. måned |
|---|---|---|---|---|
| MDR/EDR – computere | Enhed | |||
| MDR/EDR – servere | Enhed | |||
| Beskyttelse af e-mail og identitet | Bruger | |||
| Logovervågning | GB/dag eller logkilde | |||
| Firewall | Stk. | |||
| Ekstern CISO | Timer | |||
| Faste gebyrer | Måned | |||
| Opstart | Engang | |||
| Timepris ud over aftalen | Time | |||
| Prisregulering | % eller indeks |
Når alle bruger samme skema, er det let at se, hvor de adskiller sig.
Regneeksempel: tre tilbud
Illustrativt eksempel. Virksomhed med 40 medarbejdere, 40 computere, 5 servere, 36 måneders binding.
| Tilbud A | Tilbud B | Tilbud C | |
|---|---|---|---|
| Månedspris | 9.500 kr. | 13.800 kr. | 16.200 kr. |
| Opstart | 0 kr. | 15.000 kr. | 10.000 kr. |
| Servere dækket | Nej | Ja | Ja |
| E-mail og identitet | Nej | Ja | Ja |
| Respons om natten | Kun underretning | Isolering og spærring | Isolering og spærring |
| Timer til hændelser inkl. | 0 | 10 pr. år | 20 pr. år |
| Timepris derefter | 1.900 kr. | 1.700 kr. | 1.600 kr. |
Trin 1 – samlet pris over 36 måneder:
- A: 9.500 × 36 = 342.000 kr.
- B: 13.800 × 36 + 15.000 = 511.800 kr.
- C: 16.200 × 36 + 10.000 = 593.200 kr.
Trin 2 – tillæg for det, der mangler (skøn på, hvad det koster at købe separat):
- A mangler servere: 5 × 300 kr. × 36 = 54.000 kr. og e-mail/identitet: 40 × 60 kr. × 36 = 86.400 kr. I alt 140.400 kr.
- Forventet brug: 25 timer hændelseshåndtering om året. A: 25 × 1.900 × 3 = 142.500 kr. B: (25 − 10) × 1.700 × 3 = 76.500 kr. C: (25 − 20) × 1.600 × 3 = 24.000 kr.
Trin 3 – sammenlignelig pris:
- A: 342.000 + 140.400 + 142.500 = 624.900 kr.
- B: 511.800 + 76.500 = 588.300 kr.
- C: 593.200 + 24.000 = 617.200 kr.
Pr. medarbejder pr. måned: A ca. 434 kr., B ca. 409 kr., C ca. 429 kr. Det billigste tilbud på papiret (A) er det dyreste, når hullerne er fyldt – og har stadig svagest respons om natten. Tallene er konstruerede, men mønsteret er typisk.
Huller, der gør et tilbud billigt
- Servere, cloudkonti eller Mac-computere er ikke med.
- "24/7" betyder automatisk overvågning, ikke mennesker.
- Ingen timer til hændelseshåndtering.
- Logopbevaring kortere end jeres behov.
- Høj prisregulering efter første år.
- Licenser til EDR skal købes separat af jer.
Kvalitative kriterier
Pris er kun én del. Vurder også:
| Kriterie | Hvordan I tester det |
|---|---|
| Respons | Bed om et anonymiseret eksempel på en hændelsesrapport |
| Kommunikation | Hvordan foregår eskalering – telefon, e-mail, portal? |
| Kendskab til jeres systemer | Har de erfaring med jeres ERP- eller produktionsmiljø? |
| Egen sikkerhed | Dokumentation, fx revisionserklæring eller certificering |
| Kontrakt | Exit, binding, prisregulering – se SLA og kontraktspørgsmål |
Bed om referencer, I selv kan ringe til – helst virksomheder af jeres størrelse og branche.
Ofte stillede spørgsmål
Skal vi bruge et udbud?
Private virksomheder har ingen pligt til at lave udbud. Offentlige myndigheder følger udbudsreglerne. For en SMV er en enkel kravliste og 2–4 tilbud nok.
Hvad hvis leverandøren ikke vil udfylde vores skema?
Så udfyld det selv ud fra deres tilbud, og send det til godkendelse. Uvilje mod at opdele prisen er i sig selv en oplysning.
Hvor længe gælder et tilbud?
Typisk 30–90 dage. Bed om tilbuddets dato og gyldighed på skrift.
Kilder
- SikkerDigital – råd om valg af it-leverandører
- Styrelsen for Samfundssikkerhed – vejledning om leverandørstyring under NIS2
- Datatilsynet – krav til databehandlere
