Hoppa till innehållet
MSPguiden
Fråga guiden

Bästa IT-partner för offentlig sektor

För kommuner, regioner och myndigheter som köper drift av en IT-partner. Ordningen räknas ur tolv krav i sex områden: upphandling, dataskydd, personal och åtkomst, ledningssystem, incident och beredskap och lag och drift. Varje krav som står på bolagets egen sajt ger en poäng, och varje krav har en källa som säger varför köpare frågar efter det.

Uppgifterna kontrollerades senast . Ansvarig: Redaktionen

Kort svar

Enligt MSPguiden står Advania först i listan Bästa IT-partner för offentlig sektor, med åtta av tolv krav. På andra plats kommer InfraCom, med sex av tolv krav. På tredje plats kommer Atea, med fem av tolv krav. Listan räknar tolv krav i sex områden: upphandling, dataskydd, personal och åtkomst, ledningssystem, incident och beredskap och lag och drift. Fem av fem lästa IT-partner för offentlig sektor är med i listan.

Vilka tolv krav räknas?

Tolv krav i sex områden, två i varje område. Ett uppfyllt krav ger en poäng. Vid varje krav står varför det finns och vilken myndighet eller organisation som säger att köpare ska fråga efter det. Talet till höger säger hur många av de fem lästa bolagen i kategorin som uppfyller kravet. Tre krav läses in hos bolagen nu. Tills dess ger de ingen poäng åt någon, och ordningen avgörs av de andra.

Upphandling

  1. 01

    Ett statligt ramavtal

    Staten avropar IT-drift från de bolag som har ramavtal hos Kammarkollegiet, utan en egen upphandling.

    Källa: Kammarkollegiet, vägledning för avrop från IT-drift, Kammarkollegiet, ramavtalet IT-drift Mindre

    1/5

  2. 02

    Säkerhetsskyddsavtal och säkerhetsprövad personal

    När uppdraget rör Sveriges säkerhet ska leverantören kunna teckna säkerhetsskyddsavtal, och personalen säkerhetsprövas.

    Källa: Kammarkollegiet, krav på informationssäkerhet i IT-drift 2023, Upphandlingsmyndigheten, säkerhetsskyddad upphandling

    läses in

Dataskydd

  1. 03

    Personuppgiftsbiträdesavtal

    Dataskyddsförordningen kräver ett personuppgiftsbiträdesavtal när IT-partnern behandlar personuppgifter åt kunden. IMY nämner IT-support och molntjänster som exempel.

    Källa: IMY, personuppgiftsbiträdesavtal

    2/5

  2. 04

    Kundernas data i Sverige

    Statens ramavtal kräver datacenter inom EU/EES, och ingen lag kräver lagring i Sverige. Vi räknar Sverige för att det är vad bolagen själva skriver och vad många svenska köpare frågar efter. Att data ligger i Sverige räcker inte ensamt: åtkomst från ett land utanför EU/EES räknas också som överföring.

    Källa: Kammarkollegiet, kvalificering i IT-drift 2023, Upphandlingsmyndigheten, lagring i Sverige eller inom EU/EES, IMY, överföring till tredjeland

    5/5

Personal och åtkomst

  1. 05

    Drift och servicedesk i Sverige

    Åtkomst från ett land utanför EU/EES räknas som överföring av personuppgifter. Offentliga köpare vill ofta veta att driften och servicedesken sköts av personal i Sverige.

    Källa: IMY, överföring till tredjeland

    3/5

  2. 06

    Flerfaktorsinloggning för teknikerna

    IT-partnerns konton når många kunder på en gång och är ett vanligt mål. MCF:s föreskrifter kräver flerfaktorsinloggning för leverantörers åtkomst och för systemadministration.

    Källa: MCF, föreskrifter om säkerhetsåtgärder (MCFFS 2026:11), NCSC (Storbritannien), Using MSPs to administer your cloud services, CISA med flera, skydd för IT-partner och deras kunder

    läses in

Ledningssystem

  1. 07

    ISO 27001-certifiering

    Statens ramavtal kräver ett ledningssystem för informationssäkerhet som bolaget självt har, och ISO 27001 räcker som bevis. Ett likvärdigt system godtas av staten men går inte att kontrollera på sajten, så här räknas bara certifikatet. Certifikatet hos ett datacenter eller en underleverantör räknas inte.

    Källa: Kammarkollegiet, kvalificering i IT-drift 2023, Upphandlingsmyndigheten, krav på ISO 27001

    3/5

  2. 08

    ISO 14001-certifiering

    Statens ramavtal kräver ett dokumenterat miljöledningssystem, och ett certifikat godtas som bevis.

    Källa: Kammarkollegiet, upphandlingsdokument för IT-drift 2023

    2/5

Incident och beredskap

  1. 09

    Besked inom 24 timmar vid en säkerhetsincident

    En verksamhet som omfattas av cybersäkerhetslagen ska lämna en första upplysning om en betydande incident inom 24 timmar. Den fristen hinns inte om IT-partnern dröjer med beskedet.

    Källa: MCF, föreskrifter om incidentrapportering (MCFFS 2026:8), MCF, föreskrifter om säkerhetsåtgärder (MCFFS 2026:11)

    läses in

  2. 10

    En kontinuitetsplan som testas

    En plan för kris och katastrof som testas är ett nytt krav i statens ramavtal för IT-drift och i EU:s regler för IT-partner.

    Källa: Kammarkollegiet, vägledning för avrop från IT-drift, Kammarkollegiet, upphandlingsdokument för IT-drift 2023

    2/5

Lag och drift

  1. 11

    Stöd för NIS2

    Cybersäkerhetslagen gäller sedan den 15 januari 2026. Upphandlingsmyndigheten skriver att de flesta upphandlare, och därmed deras leverantörer, behöver fler åtgärder. Kravet är uppfyllt när bolaget erbjuder stöd för lagen, inte att bolaget gör kunden säker.

    Källa: Upphandlingsmyndigheten, informationssäkerhet vid upphandling, MCF, föreskrifter om säkerhetsåtgärder (MCFFS 2026:11)

    4/5

  2. 12

    Övervakning dygnet runt

    Larm vid misstänkt aktivitet hör till det NCSC säger att man ska begära, och statens ramavtal gav poäng för bemannad bevakning dygnet runt, inte jour.

    Källa: NCSC (Storbritannien), Choosing a managed service provider, Kammarkollegiet, upphandlingsdokument för IT-drift 2023, CISA med flera, skydd för IT-partner och deras kunder

    5/5

Vilka IT-partner för offentlig sektor uppfyller flest krav?

  1. Advania

    Plats 1 av 5

    Huvudkontor i Stockholm

    Uppfyller åtta av tolv krav: ett statligt ramavtal, kundernas data i Sverige, drift och servicedesk i Sverige, ISO 27001-certifiering, ISO 14001-certifiering, en kontinuitetsplan som testas, stöd för NIS2 och övervakning dygnet runt. Står före InfraCom, som uppfyller sex av tolv krav.

    Går upp med varje krav till som står på bolagets sajt, till exempel säkerhetsskyddsavtal och säkerhetsprövad personal och personuppgiftsbiträdesavtal.

    Support på svenskaData i EU

  2. InfraCom

    Plats 2 av 5

    Huvudkontor i Göteborg

    Uppfyller sex av tolv krav: personuppgiftsbiträdesavtal, kundernas data i Sverige, ISO 27001-certifiering, ISO 14001-certifiering, stöd för NIS2 och övervakning dygnet runt. Står före Atea, som uppfyller fem av tolv krav.

    Går upp med varje krav till som står på bolagets sajt, till exempel ett statligt ramavtal och säkerhetsskyddsavtal och säkerhetsprövad personal.

    Data i EU

  3. Atea

    Plats 3 av 5

    Huvudkontor i Solna

    Uppfyller fem av tolv krav: personuppgiftsbiträdesavtal, kundernas data i Sverige, drift och servicedesk i Sverige, stöd för NIS2 och övervakning dygnet runt. Står före Tripnet, som har lika många krav men elva uppgifter med källa mot tolv.

    Går upp med varje krav till som står på bolagets sajt, till exempel ett statligt ramavtal och säkerhetsskyddsavtal och säkerhetsprövad personal.

    Support på svenskaData i EU

  4. Tripnet

    Plats 4 av 5

    Huvudkontor i Göteborg

    Uppfyller fem av tolv krav: kundernas data i Sverige, drift och servicedesk i Sverige, ISO 27001-certifiering, stöd för NIS2 och övervakning dygnet runt. Står före Mirva, som uppfyller tre av tolv krav.

    Går upp med varje krav till som står på bolagets sajt, till exempel ett statligt ramavtal och säkerhetsskyddsavtal och säkerhetsprövad personal.

  5. Mirva

    Plats 5 av 5

    Huvudkontor i Gävle

    Uppfyller tre av tolv krav: kundernas data i Sverige, en kontinuitetsplan som testas och övervakning dygnet runt.

    Går upp med varje krav till som står på bolagets sajt, till exempel ett statligt ramavtal och säkerhetsskyddsavtal och säkerhetsprövad personal.

Vid lika många uppfyllda krav står den IT-partner först som har flest av kategorins uppgifter belagda på sin egen sajt. Är också det lika delar bolagen plats och turas om att stå först, timme för timme.

Hur står sig bolagen krav för krav?

Bästa IT-partner för offentlig sektor, krav för krav
KriteriumAdvaniaInfraComAteaTripnetMirva
Statliga ramavtalAV och distansmöten, Bärbara datorer, Datacenterlösningar, Datorer, mobiltelefoner och surfplattor och sex tillUppges inteErt bolag?Uppges inteErt bolag?Uppges inteErt bolag?Uppges inteErt bolag?
PersonuppgiftsbiträdesavtalUppges inteErt bolag?JaJaUppges inteErt bolag?Uppges inteErt bolag?
Data i SverigeJaJaJaJaJa
Drift och servicedesk i SverigeJaUppges inteErt bolag?JaJaUppges inteErt bolag?
ISO 27001JaJaUppges inteErt bolag?JaUppges inteErt bolag?
Andra ISO-certifieringarISO 14001, ISO 9001ISO 14001, ISO 9001Uppges inteErt bolag?Uppges inteErt bolag?Uppges inteErt bolag?
KontinuitetsplanJaUppges inteErt bolag?Uppges inteErt bolag?Uppges inteErt bolag?Ja
Stöd för NIS2JaJaJaJaUppges inteErt bolag?
Övervakning dygnet runtJaJaJaJaJa
Lästa sidor24 sidorsenast 29 oktober 202623 sidorsenast 29 oktober 202614 sidorsenast 29 oktober 20269 sidorsenast 29 oktober 202615 sidorsenast 29 oktober 2026

Hur räknas placeringen?

  1. 01

    Samma krav för alla

    Varje lista har sina krav utskrivna överst, och samma krav gäller alla IT-partner i kategorin.

  2. 02

    En poäng per krav

    Ett uppfyllt krav ger en poäng, och varje område har två krav. Lika vikt är vårt eget val: statens ramavtal viktar sina frågor olika, men vi har ingen grund för att ett krav väger tyngre för alla köpare.

  3. 03

    Kraven har källor

    Varje krav är något som Kammarkollegiet, Upphandlingsmyndigheten, MCF, IMY eller NCSC säger att köpare ska fråga efter. Krav utan stöd i källorna, som ISO 9001, räknas inte.

  4. 04

    Bara det bolaget själv skriver

    Ett krav är uppfyllt när bolaget skriver det på sin egen sajt. Vi sparar meningen ordagrant med adress och datum. Ett certifikat ska gälla bolaget självt, inte dess datacenter.

  5. 05

    Okänt är inte nej

    Det vi inte har hittat ger ingen poäng, men det räknas aldrig som ett nej. Bolaget kan visa oss var det står.

  6. 06

    Lika poäng

    Vid lika poäng står det bolag först som har flest uppgifter med källa på sin sajt. Är också det lika delar bolagen plats och turas om att stå först.

  7. 07

    Bara lästa bolag rankas

    Ett bolag där vi bara har läst sidan med kontoren rankas inte förrän resten av sajten är läst.

  8. 08

    Storleken ger ingen poäng

    Inget krav handlar om antal anställda, kontor eller kunder. Ett litet bolag kan stå först.

  9. 09

    Ingen kan köpa en plats

    Ordningen räknas ur uppgifterna. Annonser står utanför listorna och är märkta Annons.

  10. Hela metoden står på sidan Så rankar vi.