Avtalsbrott
Svarar ni ja på något ni inte uppfyller blir det en avtalsförpliktelse. Vid en incident står ni där med ett åtagande ni aldrig kunde hålla.
Fått ett formulär ni inte vet hur ni ska svara på? Skicka det till oss. Vi går igenom frågorna, vad ni faktiskt kan svara och vad som behöver åtgärdas innan ni svarar.
Vad som kommer
Frågorna återkommer i samma ordning
| Område | Vad kunden vill veta | Vad ni behöver ha |
|---|---|---|
| Ledningssystem | Har ni ISO 27001 eller motsvarande? | Ett ärligt svar och en plan om svaret är nej |
| Personuppgifter | Biträdesavtal, underbiträden, lagringsplats, överföringar | Avtalsmall, lista över underbiträden, register |
| Incidenter | Hur snabbt informerar ni oss? | En rutin med tider ni kan hålla |
| Åtkomst | Vem kommer åt våra uppgifter? Loggas det? | Behörighetsmodell, tvåfaktorsinloggning, loggning |
| Drift och kontinuitet | Backuper, återläsningstester, tillgänglighet | Testprotokoll – inte bara en backup-rutin |
| AI | Används våra uppgifter för AI-träning? | En tydlig policy och svar per tjänst |
| Avslut | Radering och återlämnande av data | Rutin för radering och intyg |
Så svarar ni
Sant, konkret och med en plan
- Svara sant, även när svaret är nej. Att påstå en certifiering man inte har är avtalsbrott, och upptäcks nästan alltid vid en revision eller i en incident.
- Svara på frågan, inte på hela ämnet. Ett kort och korrekt svar är starkare än två sidor av självberöm.
- Var konkret med siffror. "Vi informerar inom 24 timmar" är bättre än "vi informerar skyndsamt".
- Beskriv luckor med en plan. "Saknas i dag, införs i Q2, ansvarig är X" är ett svar en inköpare kan acceptera. Tystnad eller "ej tillämpligt" kan man inte.
- Lova inte mer än ni kan hålla. Informationsrätt, revisioner och åtgärdstider som ni inte klarar blir problem i avtalet, inte fördelar i affären.
- Ha en person som äger svaret. Formulär besvaras bäst av någon som förstår både tekniken och avtalet – ofta är det två personer, men en av dem ska hålla i pennan.
Frågan om AI kommer allt oftare. Köpare vill veta om deras uppgifter används för att träna modeller, om ni använder AI i leveransen och hur det i så fall är reglerat. Har ni inget svar i dag är det läge att skriva en kort AI-policy – annars blir svaret "vet inte", och det kostar affärer. Läs mer om AI, AI Act och implementation.
Vad det kostar att svara fel
Tre risker med ett slarvigt svar
Förlorad affär
Otydliga svar stoppar upphandlingar. Tydliga svar med en plan tar sig oftast vidare – även när svaret är nej i dag.
Revisionen efteråt
Kraven ni svarat på följer med in i avtalet och granskas i efterhand. Det som var en enkel formulärfråga blir en åtgärdspost med tidsfrist.
Frågor och svar
Det vi får frågor om
Vi har inte ISO 27001 – förlorar vi affären?
Inte nödvändigtvis. Många köpare accepterar ett strukturerat svar med motsvarande åtgärder och en tidsplan. Det som fäller affären är tystnad eller ogrundade påståenden.
Måste vi ha ett dataskyddsombud?
Det beror på verksamheten. Kärnverksamhet som innebär systematisk och omfattande övervakning eller behandling av känsliga uppgifter i stor omfattning kräver det. Frågan kommer ofta i formuläret.
Hur snabbt måste vi kunna svara på en kundincident?
Det ni avtalar. Vanliga åtaganden är 24 timmar för besked och 72 timmar för en första analys. Utgå från vad er organisation klarar av i praktiken.
Kan ni fylla i formuläret åt oss?
Vi går igenom det med er, tar fram underlagen och skriver svaren tillsammans med er. Ni står som avsändare och ska känna igen varje svar.
Kunden begär revision hos oss – vad gör vi?
En revision är oftast ett samtal och en dokumentgenomgång, inte en teknisk genomsökning. Vi förbereder er på frågorna och ser till att bevisen finns framme.
Källor och vidare läsning
Myndighetsinformation ändras. Kontrollera alltid aktuella regler och tidsfrister hos ansvarig myndighet, och ta juridisk rådgivning vid rättsliga bedömningar.
Fler akuta lägen