Køberen er rykket ind i bestyrelseslokalet. De fleste MSP'er taler stadig med serverrummet.

Efter et nyligt event for managed service providers stillede en erfaren sikkerhedsdirektør hos en europæisk distributør mig et spørgsmål, der hang ved. Ikke hvordan platformen virker. Ikke hvilke funktioner der betyder noget. Han spurgte, hvordan en MSP bygger en tjeneste op omkring compliance i de første halvfems dage. Hvordan man forvandler en regulatorisk hovedpine til en proposition, man faktisk kan sælge.

Det spørgsmål er mere afslørende, end det ser ud. Det signalerer et skifte, som de fleste MSP’er kan mærke, men endnu ikke har oversat til deres forretningsmodel. Den person, der køber cybersikkerhed, har ændret sig. Det spørgsmål, de stiller, har ændret sig. Og de MSP’er, der ikke rykker med det skifte, kommer ikke til at miste kunder, fordi deres ingeniørarbejde var svagt. De kommer til at miste kunder, fordi en konkurrent førte en samtale, de ikke kunne føre.

Køberen er ikke længere IT-chefen

I det meste af det seneste årti var den person, der købte sikkerhed fra en MSP, IT-chefen. Samtalen var teknisk. Budgettet lå inden for IT. Spørgsmålet var en eller anden version af “er vi patchet, er vi dækket, er vi overvåget”.

Den person er ikke længere den eneste køber, og i stigende grad ikke den afgørende. Cybersikkerhed er rykket op i bygningen, ind i bestyrelseslokalet, og loven anbragte den der. Under NIS2-direktivet ligger ansvaret for cyberrisikostyring eksplicit hos ledelsesorganet, og direktører kan holdes personligt ansvarlige for ikke at forvalte det. NIS2 går endnu længere: det forpligter medlemsstaterne til at sikre, at bestyrelsesmedlemmer følger træning i cyberrisiko, en pligt, der nu rækker ud til direktører i hele Den Europæiske Union. ENISA, EU’s agentur for cybersikkerhed, udgav vejledning om disse roller og ansvarsområder i juni 2025, og de nationale gennemførelser omsætter princippet til hård lovgivning i forskellige tempi. Tyskland rykkede først og rykkede hårdt: NIS2-Umsetzungsgesetz, den tyske gennemførelseslov, trådte i kraft den 6. december 2025 uden overgangsperiode, hvilket betyder, at organisationer, der ventede på håndhævelsesvejledning, allerede var non-compliant fra dag ét. Holland er tæt bagefter. Landets parlament vedtog Cyberbeveiligingswet, den hollandske NIS2-gennemførelseslov, den 15. april 2026, og loven forventes at træde i kraft den 1. juli 2026. Den tilhørende bekendtgørelse, der udspecificerer de detaljerede forpligtelser, Cyberbeveiligingsbesluit, gør direktørernes træningspligt eksplicit.

Læs det sidste punkt igen. På tværs af Europa, og nu skrevet ind i national lovgivning land for land, er bestyrelsesmedlemmer forpligtet til at blive trænet i cyberrisiko. Når lovgiveren skriver en træningspligt for direktører ind i hård lovgivning, har emnet utvetydigt forladt serverrummet.

Så det spørgsmål, din kundes bestyrelse nu stiller, er ikke “er vi patchet”. Det er “kan vi bevise, at vi er modstandsdygtige og compliant”. Og det ene ord, bevise, ændrer alt for dig som deres MSP.

Hvorfor ændrer “bevise” alt?

Der er en verden til forskel mellem at være sikker og at kunne demonstrere det. At sige “vi tager sikkerhed alvorligt” plejede at være nok til at forny en cyberforsikringspolice eller tilfredsstille en kundes indkøbsafdeling. Det er ikke nok længere.

Cyberforsikring er det klareste eksempel. Underwriting har stille og roligt forvandlet sig til en teknisk revision. Ifølge Aons cybermarkedsrapport for 2026 “kører cirka tre ud af fire forsikringsselskaber nu en ekstern attack-surface-scanning under underwriting” i stedet for at forlade sig på selverklæring. De økonomiske indsatser er betydelige: dokumenterede kontroller kan svinge en præmie med tyve til fyrre procent ved fornyelse, og S&P Global Ratings forventer, at cyberpræmier stiger femten til tyve procent i 2026 efter to års opblødning. En organisation, der ikke kan fremlægge bevis, betaler ikke bare mere. Den kan opdage, at dækning er utilgængelig til enhver pris.

Det samme mønster viser sig i leverandørspørgeskemaer. Mid-market- og SMV-virksomheder modtager nu disse i snesevis, hvor hvert enkelt ikke spørger, om kontroller findes, men om bevis for, at de gør. Som distributør- og MSP-fællesskabet selv har dokumenteret, har den enkeltsides erklæring givet plads til detaljerede spørgeskemaer og i nogle tilfælde eksterne vurderinger, før en police tegnes. Løbende bevis slår et årligt øjebliksbillede, fordi køberen i den anden ende har lært, at en attestering på et bestemt tidspunkt fortæller dem meget lidt.

Dette er kernen i skiftet. Markedet er rykket fra at hævde til at bevise. Og at bevise er løbende, struktureret og tidskrævende arbejde. Hvilket er præcis der, hvor muligheden, og problemet, ligger for MSP’er.

Hvorfor de fleste MSP’er ikke rykker med køberen

Her er den ubehagelige del. De fleste MSP’er kan ikke føre samtalen i bestyrelseslokalet i dag. Ikke fordi de er dårlige til deres job. På grund af to ting, der intet har at gøre med kvaliteten af deres ingeniørarbejde.

Det første er værktøjerne. Et typisk kundemiljø har endpoint-beskyttelse, Microsoft 365-sikkerhed, identitetsværktøjer, en adgangskodemanager og backup. Hvert af disse værktøjer er fremragende til sit eget job. Men hvert taler sit eget sprog, producerer sin egen rapport og lever i sit eget dashboard. Når CFO’en kommer ind og spørger “kan vi bevise, at vi er compliant med NIS2”, er der ikke ét sted, der besvarer spørgsmålet. Nogen er nødt til at åbne den ene konsol efter den anden og samle svaret i hånden, idet de mapper tekniske fund til compliance-kontroller på tværs af et regneark. Flere konsoller, spredte rapporter, intet enkelt svar.

Den anden grund er teamet, og det er den mere alvorlige af de to. Selv hvis værktøjerne kunne samle billedet, har MSP’en ikke timerne. Gode ingeniører er knappe og dyre, og dem, du har, er fakturerbare på det arbejde, der betaler i dag: patch-cyklusser, incident response, onboarding. Bevisarbejdet, som bestyrelseslokalet nu kræver, passer ingen steder. Det er for strategisk til servicedesken og for detaljeret til ledelsen, og ingen har en fri uge per kunde til at gøre det i hånden. Så selv de MSP’er, der tydeligt ser muligheden, kan ofte ikke eksekvere på den, fordi arbejdet ikke skalerer med det team, de har.

To huller altså. Værktøjerne kan ikke oversætte, og teamet kan ikke følge med. Tilsammen forklarer de, hvorfor så mange kompetente MSP’er sidder fast med at levere fremragende teknisk arbejde til en køber, der stille og roligt har forladt lokalet.

Compliance er ikke en omkostning. Det er din største marginmulighed i et årti.

Størstedelen af markedet behandler NIS2, DORA og resten som en byrde. En omkostning. En afkrydsningsforpligtelse, som nogen, et sted, er nødt til at absorbere. Den rammesætning er forståelig, og den er også grunden til, at muligheden bliver ladt liggende på bordet.

Vend rammesætningen om. Enhver regulering, der lander på din kunde, er en grund for dem til at have brug for en partner, der kan oversætte den til noget, bestyrelsen kan handle på. Det er ikke en omkostning for dig. Det er en servicelinje. Og den stakker sig til flere strømme af margin på én gang.

Der er tilbagevendende omsætning fra platformen, der gør løbende bevis muligt, solgt med margin indbygget og voksende, efterhånden som kundens miljø vokser. Der er et nyt lag af rådgivningstjenester faktureret til rådgivningstakster snarere end ingeniørtakster: kvartalsvis bestyrelsesrapportering, NIS2-parathedsgennemgange, støtte med leverandørspørgeskemaer, revisionsforberedelse. Der er fastholdelse, for når du først er den partner, der producerer det dashboard, bestyrelsen forlader sig på, er du strukturelt indlejret og meget svær at erstatte. Og der er ny forretning, for den MSP, der kan gå ind til en potentiel kunde og åbne med compliance-samtalen, træder ind på et niveau, hvor pris ikke er det første spørgsmål.

Mange leverandører til det event talte om funktioner. Den samtale, der faktisk betyder noget for en MSP-ejer, handler om margin, differentiering, kunderelationer og langsigtet forretningsværdi. Compliance, rammesat om, er der, hvor alle fire af disse bor.

Hvordan bygger du dette op i de første halvfems dage?

Dette var distributørens spørgsmål, og det fortjener et konkret svar snarere end et slogan.

Start ikke med et storslået transformationsprogram. Start med en håndfuld eksisterende kunder, hvor du allerede kender miljøet, og relationen er god. Producér én ting, de aldrig har haft før: en enkelt, bestyrelseslæsbar oversigt over, hvor de står i forhold til de rammeværk, der gælder for dem, med de vigtigste risici prioriteret og en plan for at adressere dem. Det artefakt, det som bestyrelsen faktisk kan læse, er det, der forvandler en teknisk relation til en rådgivende.

Lad så kalenderen sælge. De fleste af dine kunder har en cyberforsikringsfornyelse på vej, og mæglerbranchen er tydelig omkring, at forberedelsen bør starte omkring halvfems dage før fornyelse. Mange af dem har et leverandørspørgeskema liggende i en indbakke, som ingen ved, hvordan man besvarer effektivt. Hvert af disse er en naturlig, tidsbegrænset grund for kunden til at sige ja nu snarere end senere. Du opfinder ikke efterspørgsel. Du imødekommer en deadline, kunden allerede har, med en tjeneste, de ikke vidste, du kunne tilbyde.

Byg den tilbagevendende tjeneste op omkring den rytme: løbende overvågning nedenunder, en periodisk rapport til bestyrelsen ovenpå, rådgivningstimer, når noget skal fortolkes eller udbedres. Halvfems dage er nok til at bevise modellen med nogle få konti. Det er ikke nok til at rulle den ud over hele din base, og det bør du ikke forsøge på.

Ikke enhver MSP behøver at blive et rådgivningsfirma

For en ordens skyld er dette ikke den eneste levedygtige vej. Nogle MSP’er er fremragende tekniske operatører, de er glade i den rolle, og der vil fortsat være reel efterspørgsel efter ren teknisk levering. Hvis det er et bevidst strategisk valg, truffet med åbne øjne, er det et fuldt ud forsvarligt et.

Risikoen ligger ikke i at vælge at forblive teknisk. Risikoen ligger i slet ikke at vælge, og opdage om atten måneder, at den rådgivende relation med dine bedste kunder stille og roligt er blevet taget af en anden. En konkurrerende MSP, der startede to år tidligere. En regional sikkerhedsspecialist, der nu plukker dine mid-market-konti, fordi de kan besvare spørgsmålet i bestyrelseslokalet. Eller et konsulentfirma, der rykker ned i markedet, som ikke vil røre det tekniske arbejde, men gerne vil eje samtalen med CFO’en, og derefter beslutte, hvilken MSP der får implementeringen, og på hvilke vilkår.

Valget

Dine kunder kommer til at føre samtalen om modstandsdygtighed og compliance. Den del er ikke længere op til dig; regulatorerne, forsikringsselskaberne og deres egne største kunder har afgjort det. Det eneste åbne spørgsmål er, om de fører den samtale med dig eller med en anden.

For gennemsigtighedens skyld: min egen virksomhed, Guardian360, er en uafhængig softwareleverandør på dette område. Vi bygger Lighthouse-platformen, og vi sælger kun gennem partnere, aldrig direkte, så jeg har en klar interesse i, at MSP’er vinder dette skifte. Men argumentet holder uden os. De MSP’er, der forsvinder over de næste par år, forsvinder ikke, fordi deres ingeniørarbejde kom til kort. De forsvinder, fordi en konkurrent førte en samtale, de ikke kunne føre.

Så det er værd at stille dig selv spørgsmålet ligeud. Er du i funktionsbranchen, eller er du i branchen med at gøre dine kunder tilfredse? Den ene af dem er let at kopiere inden for tre år. Den anden er ikke.