Vagtprisen

Priser, prisfaktorer og regler 2026

MDR og SOC som service: hvad får I, og hvordan prissættes det?

Forskellen på MDR, SOC som service og SIEM, hvad døgnovervågning reelt indeholder, og hvordan prisen regnes pr. enhed, bruger eller logvolumen.

Opdateret · 4 min. læsning

MDR og SOC som service: hvad får I, og hvordan prissættes det?

MDR (Managed Detection and Response) er en ydelse, hvor leverandøren overvåger jeres computere og servere – og ofte e-mail og identiteter – døgnet rundt og griber ind efter aftalte regler, fx ved at isolere en inficeret computer. SOC som service er en bredere overvågning, hvor logdata fra mange kilder (firewall, servere, cloud, forretningssystemer) samles i et SIEM og analyseres af et sikkerhedsteam. MDR prissættes typisk pr. enhed eller bruger pr. måned, SOC som service ofte efter logvolumen eller antal logkilder plus et platformgebyr. Det afgørende for prisen er ikke ordet på tilbuddet, men hvad der overvåges, hvem der reagerer, og hvad de må gøre.

Guiden hører under prisoverblikket. Alle beløb er illustrative.

Begreberne forklaret

BegrebHvad det erHvad det ikke er
EDRSoftware (agent) på enheden, der registrerer og kan stoppe skadelig adfærdEn ydelse med mennesker – det er et værktøj
MDREDR (eller XDR) plus analytikere, der overvåger og reagererNødvendigvis overvågning af firewall, cloud og forretningssystemer
XDREDR udvidet til flere kilder, fx e-mail, identitet og cloudEt fuldt SIEM med alle logkilder
SIEMPlatform, der samler og korrelerer logdataEn ydelse i sig selv – nogen skal se på alarmerne
SOCTeam og funktion, der overvåger og håndterer alarmerEt produkt, man installerer
SOC som serviceLeverandørens SOC overvåger jeres miljø, ofte via SIEMAutomatisk det samme som at leverandøren må gribe ind

MSSP er betegnelsen for leverandøren, der sælger ydelserne. NIS2-loven bruger betegnelsen "udbyder af administrerede sikkerhedstjenester" om en udbyder af administrerede tjenester, der udfører eller yder assistance til aktiviteter vedrørende styring af cybersikkerhedsrisici.

Hvad døgnovervågning reelt indeholder

Tre leverandører kan alle skrive "24/7" og mene noget forskelligt:

  1. Automatisk 24/7: Systemet registrerer og blokerer kendte trusler døgnet rundt, men et menneske ser først på resten i kontortiden.
  2. Bemandet 24/7 med underretning: En analytiker vurderer alarmen og ringer til jer – men I skal selv handle.
  3. Bemandet 24/7 med respons: Analytikeren vurderer og griber ind efter en aftalt "playbook" (isolere enhed, spærre konto, stoppe proces) og ringer bagefter.

Nummer 3 er den egentlige MDR-ydelse. Den kræver, at I på forhånd har aftalt skriftligt, hvad leverandøren må gøre, og hvornår de skal spørge. Se SLA og kontraktspørgsmål.

Hvad der typisk er med – og hvad der koster ekstra

Typisk inkluderetOfte ekstra
Agent og licens til EDRServere og cloudservere til højere pris
Overvågning og vurdering af alarmerOvervågning af firewall, netværk og forretningssystemer
Isolering af enhed efter aftaleHændelseshåndtering ud over et vist antal timer
Månedlig rapportForensics (dybdegående undersøgelse)
Kvartalsvist statusmødeTrusselsjagt (threat hunting) som særskilt ydelse
Opdatering af regler og signaturerIntegration af ekstra logkilder

Prismodeller for MDR og SOC

MDR pr. enhed: Illustrativt 100–350 kr. pr. enhed pr. måned. 40 enheder giver 4.000–14.000 kr. om måneden.

MDR pr. bruger: Hvis pakken også dækker e-mail og identitet (fx konti i Microsoft 365 eller Google Workspace), prissættes den ofte pr. bruger, illustrativt 150–450 kr. En bruger kan have flere enheder, så pr. bruger kan være billigst for virksomheder med mange enheder pr. medarbejder.

SOC som service efter logvolumen: Prisen bygges ofte af et platformgebyr plus et beløb pr. GB logdata pr. dag eller pr. logkilde. Illustrativt eksempel: platformgebyr 8.000 kr. + 5 GB pr. dag × 1.500 kr. = 15.500 kr. om måneden. Fordobles logmængden til 10 GB pr. dag, bliver det 8.000 + 15.000 = 23.000 kr.

Regneeksempel: MDR eller SOC som service?

Illustrativt eksempel for en virksomhed med 55 ansatte, 60 computere, 10 servere og et ERP-system i skyen:

Løsning A – MDR på endepunkter: 70 enheder × 220 kr. = 15.400 kr. pr. måned. Dækker computere og servere, ikke ERP-systemets log eller firewall.

Løsning B – SOC som service: Platform 8.000 kr. + 6 GB pr. dag × 1.500 kr. = 9.000 kr. + EDR-licens 70 × 80 kr. = 5.600 kr. I alt 22.600 kr. pr. måned. Dækker også firewall, ERP-log og cloudkonti.

Forskellen er 7.200 kr. om måneden eller 86.400 kr. om året. Om den er værd at betale, afhænger af, hvor meget af risikoen der ligger uden for endepunkterne – og om kunder eller NIS2 kræver bredere logning. Se flere eksempler i regneeksempler efter virksomhedsstørrelse.

Spørgsmål, der afslører forskellen

  • Hvor mange alarmer har en kunde af vores størrelse typisk om måneden, og hvor mange eskaleres til os?
  • Hvad er tiden fra alarm til menneskelig vurdering – og fra vurdering til handling?
  • Hvilke handlinger må I udføre uden at ringe først?
  • Hvilke logkilder er med, og hvordan tilføjes nye?
  • Hvor er jeres analytikere placeret, og hvem har adgang til vores data? Se GDPR og databehandleraftale.

Ofte stillede spørgsmål

Kan vi nøjes med MDR uden SIEM?

For mange SMV'er er MDR på endepunkter plus beskyttelse af e-mail og identitet et godt første skridt, fordi de fleste angreb går den vej. Et SIEM giver mere værdi, når I har mange systemer eller skal dokumentere logning over for kunder eller myndigheder.

Er Microsofts eller andre indbyggede sikkerhedsværktøjer det samme som MDR?

Værktøjet kan være det samme, men MDR er ydelsen ovenpå: mennesker, der overvåger og reagerer. Nogle leverandører bygger MDR på værktøjer, I allerede har licens til – så betaler I primært for overvågning og respons.

Hvad er en rimelig reaktionstid?

Det afhænger af risikoen. Mange aftaler skelner mellem kritiske alarmer (fx inden for 15–60 minutter) og lavere prioritet (fx næste hverdag). Tallene er eksempler – det vigtige er, at tiden måles til en menneskelig handling.

Kilder

Relaterede guides