Molntjänster för företag: avtal, säkerhet och kostnader

Molntjänster för företag: avtal, säkerhet och kostnader

Avtal, säkerhet och kostnader är inte tre separata spår. De styrs av molnmodellen och av vilken information ni lägger i molnet.

När ni väljer molntjänst behöver ni väga in både vilken information som ska hanteras och hur tjänsten ska användas. Börja med verksamhetens behov och risker, inte med en leverantörs prislista.

Modellen avgör var data får ligga och vem som kontrollerar den. Kontrollen avgör säkerhetskrav och dokumentation, och kraven avgör avtalsvillkor och kostnad. Börjar ni med prislistan innan datan är klassificerad blir både avtalet och kalkylen missvisande.

Tre områden behöver besvaras: ett personuppgiftsbiträdesavtal (PUB-avtal eller DPA) när leverantören behandlar personuppgifter, säkerhetskrav på separation, åtkomstkontroll och återställning samt kostnadsmodellen med månadslicenser och förbrukning. Kontrollera att PUB-avtalet gäller den tjänst ni väljer.

Jämför leverantörernas erbjudanden utifrån era egna krav på funktioner, avtalsvillkor och förbrukning. Ett prisexempel för en angiven miljö visar inte vad tjänsten kostar i just er verksamhet.

Prisbilden skiljer sig kraftigt mellan leverantörerna och beror på vilka tjänster och vilken kapacitet som används. Utgå från er egen förbrukningsprofil när ni jämför.

Azure, AWS och Google Cloud erbjuder lagring och datakraft i offentliga moln. För svenska företag som redan använder Microsoft 365, Dynamics 365 eller SQL Server kan Azure vara ett naturligt val; ingen leverantör passar alla företag.

Offentligt moln passar särskilt nya företag och snabbt växande företag. De kan ändra sina IT-resurser utan krångel och hålla nere kostnaderna.

Enligt Eurostat (2025) använder 57 procent av företagen inom EU molntjänster. Molnet är därmed normen i både avtals- och säkerhetsarbetet, inte ett undantag.

Offentligt, privat eller hybridmoln: utgå från data, kontroll och flexibilitet

I ett offentligt moln använder ni lagring och datakraft från leverantörer som Microsoft Azure, AWS eller Google Cloud. Ni delar infrastrukturen med andra, men er information hålls skyddad och separat. Modellen är smidig för att snabbt komma igång och lätt att anpassa när kapacitetsbehovet ändras.

Den passar företag som behöver starta snabbt, växa enkelt och hålla nere kostnaderna. Tjänsterna från Microsoft Azure, AWS och Google Cloud gör det lätt att anpassa sig efter behov och ger hög tillgänglighet.

Ett privat moln betyder att endast ert företag använder infrastrukturen. Ni äger och ansvarar för ert datacenter, som kan finnas på plats hos er eller hos en extern leverantör. Även om en partner sköter driften har ni alltid kontrollen, och ingen annan kan komma åt eller styra er IT-miljö.

Modellen passar företag och organisationer med höga krav på säkerhet, lagar och regler, till exempel finansbranschen och offentlig sektor.

Hybridmolnet blandar de två. Känslig information kan ligga i det privata molnet med hög kontroll och säkerhet, medan mindre känsliga tjänster körs i det offentliga molnet.

Hybridmoln passar när ni vill ha koll på data men ändå använda kraften och enkelheten i offentliga molntjänster. Ni får det bästa av två världar: känslig data i privat moln, mindre känsliga tjänster i offentligt.

I praktiken avgörs valet av tre frågor: hur känslig informationen är, hur mycket kontroll ni behöver över tekniken och hur snabbt ni måste kunna skala upp eller ned. Offentligt moln ger flexibilitet och låg tröskel, privat moln maximal kontroll och hybrid en kombination. Priset är att ni måste hantera och styra två miljöer i stället för en.

Kostnaden följer kontrollen. Offentligt moln bygger på delad infrastruktur och ger låg tröskel, medan privat moln innebär att ni äger och ansvarar för ert datacenter.

Jämför AWS, Azure och Google Cloud utifrån er egen förbrukningsprofil. Vilken som blir billigast beror på den.

Alla tre leverantörerna har regioner i eller nära Norden: AWS i Stockholm, Azure i Sweden Central och Google i europe-north1 i Finland, vilket gör latens och dataresidens till ett reellt val (Tech Insider).

För svenska företag kan leverantörens geografiska närvaro och hur väl tjänsterna passar befintliga system väga in i valet. Utgå från era egna krav på integration, datalagring och support.

Fördelar och nackdelar med offentligt, privat och hybridmoln

Säkerhet i molntjänster: GDPR, standarder och återställning

Första säkerhetsfrågan är var gränsen går mellan er data och andras. I ett offentligt moln delas den underliggande infrastrukturen med andra kunder, men er information hålls ändå skyddad och separat. I ett privat moln använder bara ert företag infrastrukturen, en miljö där ingen annan kan komma åt eller styra er IT-miljö. Skillnaden är teknisk och avtalsmässig: den avgör vilka garantier ni kan kräva och vilka ni själva måste upprätthålla.

Microsoft Azure är en molnplattform för att skapa, distribuera och hantera program via Microsofts datacenter. Där får företag snabb tillgång till virtuella servrar, lagring och andra komponenter för en komplett IT-lösning. Plattformen omfattar konfidentiell databehandling, hybridmoln och artificiell intelligens – namngivna funktioner att fråga efter när säkerhetskraven skrivs.

Bedöm säkerheten för varje tjänst ni köper och dokumentera vem som ansvarar för separation mellan kunders data, åtkomstkontroll och återställning. Be leverantören beskriva hur skyddet fungerar och vilka åtgärder ni själva behöver hantera.

Ställ kravlistan till alla tre: Microsoft Azure, AWS och Google Cloud. Separation, åtkomstkontroll och återställning ska besvaras skriftligt för var och en.

Åtkomstkontroll äger ni oftast själva. I en egen server, på plats eller i molnet, kan ni ha gemensamma mappar, begränsa tillgång per användare och arbeta via serverns fjärrskrivbord. Samma princip gäller i molntjänster: rättigheter sätts per användare och resurs, inte så att alla medarbetare får samma åtkomst.

Utgå inte från att lagring i molnet automatiskt innebär att ni har en fungerande backup. Ta reda på vilka data och system som omfattas, hur återställning går till och vem som ansvarar för att den fungerar.

Kontrollera om backuplösningen omfattar serverbackup, lokala filer och funktioner som Exchange och SharePoint. Be också om en tydlig beskrivning av lagringsutrymme, avgifter och återställning innan ni flyttar känslig information.

En fungerande backuplösning behöver beskrivas i detalj: vilka kopior som finns, var de lagras, hur de skyddas mot ändring eller radering och hur återställning går till per system. Testa återställning med jämna mellanrum och dokumentera resultat och förbättringsåtgärder.

Om molntjänsten behandlar personuppgifter bör ni kontrollera att leverantören har ett personuppgiftsbiträdesavtal (PUB-avtal/DPA). Kontrollera också hur leverantören hanterar behandlingen och vilka regler som gäller för er verksamhet.

Dataskyddsförordningen (GDPR) sätter konkreta tidsfrister. En personuppgiftsansvarig ska hantera en begäran om till exempel radering normalt inom en månad, och fristen kan i vissa fall förlängas med två månader, till sammanlagt tre månader (IMY). Misstänker ni att en leverantör inte följer reglerna kan ni lämna ett tips eller klagomål till IMY.

Standarder bör namnges i kravlistan. Be leverantören bekräfta vilka krav och certifieringar som gäller för den tjänst ni köper.

Motion 2023/24:461 vill att relevanta myndigheter får i uppdrag att ta fram tydligare säkerhetskrav och villkor för it-upphandlingar samt oberoende granskning, och att statliga molntjänster utreds. Motionen är ett politiskt förslag, inte gällande rätt – kontrollera vilka regler som gäller för er verksamhet i dag.

Beroende på verksamhet och sektor kan det finnas krav på dokumenterade rutiner för backup, återställning och kontinuitet. Kontrollera vilka regler som gäller för er, oavsett om kopiorna ligger hos er eller hos en leverantör.

Avtal för molntjänster: personuppgifter, SLA och utträde

Avtalet bör svara på vad som händer den dag ni vill byta leverantör eller flytta hem lösningen. Få skriftliga svar på hur era data exporteras och i vilka format, hur länge de finns kvar efter avtalets slut och när de raderas.

Få också svar på hur migreringen praktiskt stöds av leverantören, vilka tidsfrister och uppsägningstider som gäller och hur kostnaderna ser ut under en utflyttningsperiod. Det är vanliga avtalsfrågor oavsett leverantör, men de måste ställas innan ni byggt in er i en miljö, inte efteråt.

Avgifter för dataöverföring och datautflyttning ska regleras skriftligt. Jämför villkoren mellan leverantörer.

Kontrollera att leverantören har ett PUB-avtal (DPA) när tjänsten behandlar personuppgifter. Granska avtalsvillkoren mot verksamhetens behov innan ni väljer tjänst.

Kontrollera att avtalsunderlaget omfattar personuppgiftsbehandlingen och att ni har stöd för överföring till tredjeland när sådan sker.

Har leverantören internationell verksamhet behöver ni kontrollera vilka regler som gäller för data och vilka förutsättningar som följer av avtalet.

Strategierna mot inlåsning är namngivna: en arkitektur som motverkar inlåsning, multicloud, öppen källkodsteknik där det är möjligt och ett abstraktionslager. Leverantörsinlåsning bör beaktas redan från start, och en plan bör beskriva hur den övergripande arkitekturen kan utvecklas vid en flytt eller ett leverantörsbyte.

Planen ska i detalj beskriva hur inlåsning minimeras vid en flytt in i molnet eller vid ett byte av leverantör.

Leverantörernas erbjudanden för serverlösa funktioner ser rätt lika ut, men skiljer sig något. Skillnaderna kan hanteras i ett abstraktionslager, och ett koncepttest visar att det fungerar.

Charlie Turri, CIO på IT People Network, säger att många företag rör sig allt längre längs abstraktionsskalan och redan känner till virtuella maskiner och containrar. Man arbetar med kunder för att de ska gå så långt som möjligt på skalan eftersom det minimerar effekterna av inlåsning.

Samtidigt påpekar han att kostnaden för att bygga och underhålla ett extra abstraktionslager måste vägas mot kostnaden för inlåsning. Gör den avvägningen explicit i kalkylen i stället för att anta att fler lager alltid är bättre.

Flera molnleverantörer kan ge fler alternativ, men innebär också att ni behöver hålla reda på flera avtalsvillkor, säkerhetsupplägg och kostnadsmodeller. Väg den möjliga flexibiliteten mot arbetet med att styra och följa upp miljöerna.

För ett mindre företag är det sällan realistiskt att driva flera moln i full skala. Men även ett begränsat mått av leverantörsoberoende – standardformat, containrar, öppen källkod där det passar – minskar risken vid ett framtida byte.

Be varje leverantör beskriva villkoren för dataexport, radering, uppsägning och migreringsstöd. Jämför svaren mot den arkitektur ni planerar och se till att ansvar och eventuella kostnader vid utträde framgår skriftligt.

Avtalsvillkoren är starkast när de beskriver både inträde och utträde: dataexport, radering, uppsägningstider och migreringsstöd. Leverantörsoberoende i arkitekturen är ett komplement, inte en ersättning.

Begär SLA per tjänst, inte för hela leverantören. AWS, Azure och Google Cloud lämnar ingen gemensam tillgänglighetsgaranti, utan varje tjänst har eget SLA med egen mätmetod, egna undantag och egna kreditnivåer (Webalert). Nivåerna ligger typiskt kring 99,9 procent, tre nior.

Ett moln-SLA är en återbetalning av servicekrediter, inte en garanti: ni får inte ersättning för förlorad intäkt eller förlorad tid, och ni måste själva upptäcka och bevisa avbrottet för att kunna kräva krediten (Webalert).

Kostnader för molntjänster: modeller och prisexempel

En ekonomisk skillnad mot egen server är hur kostnaden fördelas över tid: egen server kan innebära investering i hårdvara och datacenterlokal, medan molntjänster kan innebära löpande avgifter. För ett företag med begränsad likviditet kan det vara avgörande att kunna växla en investering mot en löpande driftskostnad.

Resursdelning är en annan kostnadsdrivare. Virtuella servrar kan erbjudas till en bråkdel av priset för dedikerade servrar eftersom hårdvaran i en server delas med andra.

Kostnadsmodellerna är namngivna och få: licenser hyrs månadsvis och antalet kan ändras utifrån vad som faktiskt används, den virtuella servern är elastisk och skalas upp eller ned efter efterfrågan på kärnor och lagring, och tjänsten kan kompletteras med hosting, VLAN eller lastbalansering.

Räkna alltid två tal: kapitalkostnaden för en egen server och de löpande avgifterna i molnet. Den virtuella servern skalas upp eller ned efter efterfrågan på kärnor och lagring, och licenserna hyrs månadsvis.

Kostnaden för Azure beror på vilka tjänster och vilken kapacitet ni använder. Gör en egen kalkyl utifrån er förbrukningsprofil i stället för att utgå från en generell prislista.

Molnet är inte automatiskt billigare. En lokal server eller ett eget datacenter ger förutsägbar kapitalkostnad men kräver egen drift, egna uppgraderingar och egen beredskap när något går sönder. Molnet ger rörliga kostnader och snabb skalning, men kräver löpande uppföljning av förbrukningen – annars växer avgifterna utan att någon fattat ett aktivt beslut.

Företag som outsourcar sin IT-drift rapporterar i genomsnitt 15–25 procent lägre totalkostnader än vid helt intern drift (McKinsey, 2024). Typisk återbetalningstid anges till 6–14 månader, och ROI räknas som kostnadsbesparingen minus outsourcingkostnaden, delat med outsourcingkostnaden.

Enligt Forrester Research (2024) använder 72 procent av IT-chefer en förenklad ROI-formel som missar minst tre väsentliga kostnadsposter. Dolda poster som rekrytering, kompetensutveckling och driftstörningar hör därför hemma i kalkylen.

Faktiska kostnader varierar beroende på användningsmönster, region och rabattavtal. Gör en egen kalkyl med samma förbrukningsprofil hos varje leverantör, och ta med både löpande avgifter och kostnader för den kapacitet och de funktioner ni faktiskt tänker använda.

Kostnaderna varierar stort beroende på miljöns krav, tillgänglighet, redundans, compliance och datavolym. Ta med både löpande avgifter och engångskostnader för arkitektur, migrering och löpande förvaltning i kalkylen.

Kostnaden för inlåsning hör också till kalkylen. Bygg- och underhållskostnaden för ett extra abstraktionslager måste vägas mot kostnaden för inlåsning, inte antas vara noll.

Siffrorna för IT-drift gäller outsourcad drift, inte timpriser i Azure, AWS eller Google Cloud. Jämför molntjänsterna med offerter eller kalkyler som bygger på samma förbrukning, omfattning och villkor.

För små och växande företag ligger den kostnadseffektiva strategin oftast i att börja enkelt: standardtjänster, betala för det ni använder, skala när behovet uppstår och undvika skräddarsydda lösningar som är svåra att lämna. Lägg till en rutin för att följa upp kostnader och användning, så att ni ser när ni bör förhandla om volymer eller byta modell.

Prissättningen för AWS och andra leverantörer beror på instanstyp, region, avtalsform och lagringsvolym. Utgå från er egen förbrukningsprofil i jämförelsen.

Hos Google Cloud tar Cloud Run functions, tidigare Cloud Functions i andra generationen, 0,40 dollar per miljon anrop, dubbelt så mycket som AWS och Azure (Tech Insider). En vanlig instans med 2 vCPU och 4 GB minne kostar samtidigt 24 dollar per månad hos Google Cloud mot cirka 30 dollar hos AWS och Azure (Northflank, oktober 2025).

Backup och disaster recovery prissätts ofta utifrån mängden skyddad data, retention och vilka system som omfattas. Begär en tydlig prisbild för de system ni faktiskt använder.

Beslut om molntjänster för företag: avtal, säkerhet och kostnader

Steg ett: klassificera informationen. Bestäm vilken data som är känslig, vilken som omfattas av lag- eller sektorskrav och vilken som är okomplicerad att lägga i en delad miljö. Klassificeringen avgör om ni behöver privat moln, hybridlösning eller kan använda offentligt moln för helheten.

Steg två: välj molnmodell utifrån klassificeringen och verksamhetens behov av kontroll, flexibilitet och skalbarhet. Offentligt moln passar när ni vill komma igång snabbt och växa enkelt; privat moln när krav på säkerhet, lagar och regler är styrande; hybrid när ni vill hålla känslig data i en miljö ni styr över medan resten körs offentligt.

Steg tre: gå igenom säkerheten – separation mellan er och andras data, åtkomstkontroll per användare och resurs samt vilka säkerhetsåtgärder ni och leverantören ansvarar för. Se till att backuplösningen täcker de system ni faktiskt använder, inklusive serverbackup, lokala filer samt Exchange och SharePoint, och att ni har testat en återställning.

Steg fyra: avtalet. Få svar om dataflytt, format, radering, uppsägningstider och hjälp vid utträde, och kontrollera att leverantören har ett PUB-avtal (DPA) när tjänsten behandlar personuppgifter. Bygg in leverantörsoberoende i arkitekturen från början, men väg merkostnaden för abstraktionslager mot värdet av att kunna lämna leverantören.

Steg fem: kalkylen. Räkna på både startkostnad och löpande avgifter – lokala servrar innebär kapitalkostnad, drift och uppgraderingar, medan molnet innebär månadsvisa licenser och avgifter som följer förbrukningen. Referensvärdena 15–25 procent lägre totalkostnader och 6–14 månaders återbetalningstid gäller outsourcad IT-drift och ska prövas mot er egen förbrukningsprofil.

Följ upp kostnader och användning mot kalkylen, och skilj mellan gällande regler och politiska förslag. Kontrollera vilka regelverk som gäller för er verksamhet.

Jämför Azure, AWS och Google Cloud utifrån era behov och begär kostnader för samma förbrukningsprofil.

Följ upp avtalsvillkor, säkerhetskrav och kostnader som tre separata punkter i avtalsuppföljningen. Då syns när förbrukning, kravbild eller leverantörsberoende förändras.

Kontrollera att avtalet beskriver dataexport och format, radering, uppsägningstider, migreringsstöd och SLA. För personuppgifter ska ni också granska att avtalsunderlaget omfattar personuppgiftsbehandlingen och vilka regler som gäller för er verksamhet. Säkerhetsdelen ska täcka separation, åtkomstkontroll och återställning.

Räkna med engångskostnader utöver de löpande avgifterna, till exempel för arkitektur och migrering. Ta också höjd för löpande förvaltning och kostnadsuppföljning.