Kort svar
Börja med informationsklassning och verksamhetskrav. Bedöm upphandlingsform, personuppgifter, sekretess, säkerhet, underleverantörer, jurisdiktion och hur data kan flyttas eller raderas när avtalet upphör.
Gör detta först
De första åtgärderna
- Utse verksamhetsägare och informationsägare.
- Klassificera informationen och definiera tillgänglighetskrav.
- Koppla in inköp, juridik, dataskydd och informationssäkerhet tidigt.
Kontroll före nästa steg
Chefens checklista
- 01Är behovet och den rättsliga grunden tydliga?
- 02Vilka data behandlas och var lagras de?
- 03Vilka underleverantörer och överföringar kan förekomma?
- 04Finns krav på loggning, incidenter, revision och kontinuitet?
- 05Kan organisationen exportera data och avsluta tjänsten utan inlåsning?
Undvik detta
- Att låta ett kostnadsfritt pilotkonto bli faktisk drift.
- Att acceptera standardvillkor utan offentlig-rättslig bedömning.
- Att sakna exitplan och kostnad för dataflytt.
När ska specialist kopplas in?
- När sekretess, känsliga personuppgifter eller säkerhetsskydd berörs.
- När avtalet innebär stora beroenden eller höga avbrottskonsekvenser.
- När leverantörens villkor eller underleverantörskedja är oklara.
Vanliga frågor om situationen
Vad ska en chef göra först när organisationen ska köpa en molntjänst?
Utse verksamhetsägare och informationsägare. Klassificera informationen och definiera tillgänglighetskrav. Koppla in inköp, juridik, dataskydd och informationssäkerhet tidigt.
Vilka kontroller är viktigast före nästa beslut?
Är behovet och den rättsliga grunden tydliga? Vilka data behandlas och var lagras de? Vilka underleverantörer och överföringar kan förekomma? Finns krav på loggning, incidenter, revision och kontinuitet?
När ska specialist eller högre ledning kopplas in?
När sekretess, känsliga personuppgifter eller säkerhetsskydd berörs. När avtalet innebär stora beroenden eller höga avbrottskonsekvenser. När leverantörens villkor eller underleverantörskedja är oklara.
Rättsliga utgångspunkter
Fördjupa bedömningen i de relaterade juridikguiderna och kontrollera alltid aktuell lydelse i primärkällan.
- Lag (2016:1145) om offentlig upphandlingOfficiell källa
- IMY: Myndigheters behandling av personuppgifterOfficiell källa
- IMY: Myndigheter och känsliga personuppgifterOfficiell källa
- Säkerhetsskyddslag (2018:585)Officiell källa
- Cybersäkerhetslag (2025:1506)Officiell källa
Avgränsning: Guiden är generell information och praktiskt beslutsstöd. Den ersätter inte bedömning av omständigheterna i det enskilda ärendet.
