Kort svar
Börja med informationsklassning och verksamhetskrav. Bedöm upphandlingsform, personuppgifter, sekretess, säkerhet, underleverantörer, jurisdiktion och hur data kan flyttas eller raderas när avtalet upphör.
Gör detta först
De första åtgärderna
- Utse verksamhetsägare och informationsägare.
- Klassificera informationen och definiera tillgänglighetskrav.
- Koppla in inköp, juridik, dataskydd och informationssäkerhet tidigt.
Kontroll före nästa steg
Chefens checklista
- 01Är behovet och den rättsliga grunden tydliga?
- 02Vilka data behandlas och var lagras de?
- 03Vilka underleverantörer och överföringar kan förekomma?
- 04Finns krav på loggning, incidenter, revision och kontinuitet?
- 05Kan organisationen exportera data och avsluta tjänsten utan inlåsning?
Undvik detta
- Att låta ett kostnadsfritt pilotkonto bli faktisk drift.
- Att acceptera standardvillkor utan offentlig-rättslig bedömning.
- Att sakna exitplan och kostnad för dataflytt.
När ska specialist kopplas in?
- När sekretess, känsliga personuppgifter eller säkerhetsskydd berörs.
- När avtalet innebär stora beroenden eller höga avbrottskonsekvenser.
- När leverantörens villkor eller underleverantörskedja är oklara.
Rättsliga utgångspunkter
Fördjupa bedömningen i de relaterade juridikguiderna och kontrollera alltid aktuell lydelse i primärkällan.
- Lag (2016:1145) om offentlig upphandlingOfficiell källa
- IMY: Myndigheters behandling av personuppgifterOfficiell källa
- IMY: Myndigheter och känsliga personuppgifterOfficiell källa
- Säkerhetsskyddslag (2018:585)Officiell källa
- Cybersäkerhetslag (2025:1506)Officiell källa
Avgränsning: Guiden är generell information och praktiskt beslutsstöd. Den ersätter inte bedömning av omständigheterna i det enskilda ärendet.
