---
title: "Köparen flyttade till styrelserummet. De flesta MSP:er pratar fortfarande med serverrummet. | Guardian360"
description: "Cyberinköpen har flyttat från IT-chefen till styrelsen. MSP:er som inte kan föra samtalet i styrelserummet kommer att förlora mot dem som kan."
url: https://guardian360.net/sv/blog/the-buyer-moved-to-the-boardroom/
locale: en
source: guardian360.net
---
[← Alla inlägg](https://guardian360.net/sv/blog/)

Partner

# Köparen flyttade till styrelserummet. De flesta MSP:er pratar fortfarande med serverrummet.

Av Jan Martijn Broekhof · 15 juni 2026

Efter ett nyligt event för managed service providers ställde en erfaren säkerhetschef hos en europeisk distributör en fråga till mig som fastnade. Inte hur produkten fungerar. Inte vilka funktioner som spelar roll. Han frågade hur en MSP bygger en tjänst kring efterlevnad under de första nittio dagarna. Hur du förvandlar ett regulatoriskt huvudbry till ett erbjudande du faktiskt kan sälja.

Den frågan är mer avslöjande än den ser ut. Den signalerar ett skifte som de flesta MSP:er kan känna men ännu inte har översatt till sin affärsmodell. Personen som köper cybersäkerhet har förändrats. Frågan de ställer har förändrats. Och de MSP:er som inte rör sig med den förändringen kommer inte att förlora kunder för att deras teknik var svag. De kommer att förlora kunder för att en konkurrent förde ett samtal de själva inte kunde föra.

## Köparen är inte längre IT-chefen

Under större delen av det senaste decenniet var personen som köpte säkerhet från en MSP IT-chefen. Samtalet var tekniskt. Budgeten låg inom IT. Frågan var någon variant av ”är vi patchade, är vi täckta, är vi övervakade”.

Den personen är inte längre den enda köparen, och allt mindre den avgörande. Cybersäkerhet har flyttat uppåt i byggnaden, in i styrelserummet, och det var lagen som satte den där. Enligt NIS2-direktivet ligger ansvaret för hantering av cyberrisk uttryckligen hos ledningsorganet, och styrelseledamöter kan hållas personligt ansvariga för att inte styra det. NIS2 går ännu längre: det ålägger medlemsstaterna att säkerställa att styrelseledamöter genomgår utbildning i cyberrisk, en skyldighet som nu når styrelseledamöter i hela Europeiska unionen. ENISA, EU:s cybersäkerhetsbyrå, publicerade vägledning om dessa roller och ansvar i juni 2025, och de nationella införlivandena omvandlar principen till hård lag i olika takt. Tyskland var först ut och tog i: NIS2-Umsetzungsgesetz, den tyska genomförandelagen, trädde i kraft den 6 december 2025 utan någon övergångsperiod, vilket innebär att organisationer som väntade på tillsynsvägledning redan var icke efterlevande dag ett. Nederländerna ligger tätt efter. Landets parlament antog Cyberbeveiligingswet, den nederländska NIS2-genomförandelagen, den 15 april 2026, och lagen väntas träda i kraft den 1 juli 2026. Den tillhörande förordningen som specificerar de detaljerade skyldigheterna, Cyberbeveiligingsbesluit, gör utbildningsskyldigheten för styrelseledamöter uttrycklig.

Läs den sista punkten igen. Över hela Europa, och nu inskrivet i nationell lag land för land, krävs det att styrelseledamöter utbildas i cyberrisk. När lagstiftaren skriver in en utbildningsskyldighet för styrelseledamöter i hård lag har ämnet otvetydigt lämnat serverrummet.

Så frågan din kunds styrelse nu ställer är inte ”är vi patchade”. Den är ”kan vi bevisa att vi är motståndskraftiga och efterlevande”. Och det enda ordet, bevisa, förändrar allt för dig som deras MSP.

## Varför förändrar ”bevisa” allt?

Det är en enorm skillnad mellan att vara säker och att kunna visa det. Att säga ”vi tar säkerhet på allvar” brukade räcka för att förnya en cyberförsäkring eller tillfredsställa en kunds inköpsavdelning. Det räcker inte längre.

Cyberförsäkring är det tydligaste exemplet. Riskbedömningen har i tysthet blivit en teknisk granskning. Enligt Aons cybermarknadsrapport 2026 ”kör ungefär tre av fyra försäkringsgivare nu en extern skanning av angreppsytan under riskbedömningen” i stället för att förlita sig på självdeklaration. De ekonomiska insatserna är betydande: dokumenterade kontroller kan svänga en premie med tjugo till fyrtio procent vid förnyelse, och S&P Global Ratings prognostiserar att cyberpremierna stiger femton till tjugo procent under 2026 efter två års nedgång. En organisation som inte kan uppvisa bevis betalar inte bara mer. Den kan finna att täckning inte går att få till något pris alls.

Samma mönster syns i leverantörsenkäter. Medelstora och små företag får nu dessa i dussintal, var och en som inte frågar om kontroller finns utan efter bevis för att de gör det. Som distributörs- och MSP-gemenskapen själv har dokumenterat har den enkla attesteringen på en sida gett vika för detaljerade enkäter och, i vissa fall, externa bedömningar innan en försäkring tecknas. Kontinuerliga bevis slår en årlig ögonblicksbild, eftersom köparen på andra sidan har lärt sig att en attestering vid en viss tidpunkt säger dem väldigt lite.

Detta är kärnan i skiftet. Marknaden har gått från att hävda till att bevisa. Och att bevisa är kontinuerligt, strukturerat och tidskrävande arbete. Vilket är precis där möjligheten, och problemet, ligger för MSP:er.

## Varför de flesta MSP:er inte rör sig med köparen

Här är den obekväma delen. De flesta MSP:er kan inte föra samtalet i styrelserummet idag. Inte för att de är dåliga på sitt jobb. På grund av två saker som inte har något med kvaliteten på deras teknik att göra.

Det första är verktygen. En typisk kundmiljö har slutpunktsskydd, säkerhet för Microsoft 365, identitetsverktyg, en lösenordshanterare och backup. Vart och ett av de verktygen är utmärkt på sitt eget jobb. Men var och en talar sitt eget språk, producerar sin egen rapport och lever i sin egen instrumentpanel. När CFO:n kommer in och frågar ”kan vi bevisa att vi efterlever NIS2” finns det ingen enda plats som besvarar frågan. Någon måste öppna den ena konsolen efter den andra och sätta ihop svaret för hand, genom att koppla tekniska fynd till efterlevnadskontroller i ett kalkylblad. Flera konsoler, spridda rapporter, inget enda svar.

Det andra skälet är teamet, och det är det allvarligare av de två. Även om verktygen kunde sätta ihop bilden har MSP:n inte timmarna. Bra ingenjörer är sällsynta och dyra, och de du har är debiterbara på det arbete som betalar idag: patchcykler, incidenthantering, onboarding. Bevisarbetet som styrelserummet nu kräver passar ingenstans. Det är för strategiskt för servicedesken och för detaljerat för ledningen, och ingen har en ledig vecka per kund för att göra det för hand. Så även de MSP:er som tydligt ser möjligheten kan ofta inte genomföra den, eftersom arbetet inte skalar med det team de har.

Två luckor, alltså. Verktygen kan inte översätta, och teamet kan inte hänga med. Tillsammans förklarar de varför så många kompetenta MSP:er sitter fast med att leverera utmärkt tekniskt arbete till en köpare som i tysthet har lämnat rummet.

## Efterlevnad är ingen kostnad. Det är din största marginalmöjlighet på ett decennium.

Större delen av marknaden behandlar NIS2, DORA och resten som en börda. En kostnad. En kryssa-i-rutan-skyldighet som någon, någonstans, måste svälja. Den inramningen är begriplig, och den är också anledningen till att möjligheten lämnas orörd.

Vänd på inramningen. Varje regel som landar hos din kund är en anledning för dem att behöva en partner som kan översätta den till något styrelsen kan agera på. Det är ingen kostnad för dig. Det är en tjänstelinje. Och den staplar sig till flera marginalströmmar på en gång.

Det finns återkommande intäkter från den lösning som gör kontinuerliga bevis möjliga, såld med inbyggd marginal och växande i takt med att kundens miljö växer. Det finns ett nytt lager av rådgivningstjänster som faktureras till rådgivningstaxa i stället för ingenjörstaxa: kvartalsvis styrelserapportering, NIS2-mognadsgranskningar, stöd med leverantörsenkäter, revisionsförberedelser. Det finns lojalitet, för när du väl är partnern som producerar instrumentpanelen som styrelsen förlitar sig på är du strukturellt inbäddad och mycket svår att ersätta. Och det finns nya affärer, för den MSP som kan kliva in hos en potentiell kund och öppna med efterlevnadssamtalet kommer in på en nivå där pris inte är den första frågan.

Många leverantörer på det eventet pratade om funktioner. Samtalet som faktiskt spelar roll för en MSP-ägare handlar om marginal, differentiering, kundrelationer och långsiktigt affärsvärde. Efterlevnad, omformulerad, är där alla fyra finns.

## Hur bygger du detta under de första nittio dagarna?

Detta var distributörens fråga, och den förtjänar ett konkret svar snarare än en slogan.

Börja inte med ett storslaget transformationsprogram. Börja med en handfull befintliga kunder där du redan känner miljön och relationen är god. Producera en sak de aldrig har haft förut: en enda, styrelseläsbar vy över var de står i förhållande till de ramverk som gäller dem, med de viktigaste riskerna prioriterade och en plan för att åtgärda dem. Den artefakten, det styrelsen faktiskt kan läsa, är det som förvandlar en teknisk relation till en rådgivande.

Låt sedan kalendern sköta försäljningen. De flesta av dina kunder har en förnyelse av cyberförsäkringen på gång, och mäklarbranschen är tydlig med att förberedelserna bör börja omkring nittio dagar före förnyelse. Många av dem har en leverantörsenkät liggande i en inkorg som ingen vet hur man besvarar effektivt. Var och en av dessa är en naturlig, tidsbestämd anledning för kunden att säga ja nu i stället för senare. Du uppfinner ingen efterfrågan. Du möter en deadline kunden redan har, med en tjänst de inte visste att du kunde erbjuda.

Bygg den återkommande tjänsten kring den rytmen: kontinuerlig övervakning underst, en periodisk rapport till styrelsen ovanpå, rådgivningstimmar när något behöver tolkas eller åtgärdas. Nittio dagar räcker för att bevisa modellen med ett par konton. Det räcker inte för att rulla ut den över hela din kundbas, och det bör du inte försöka.

## Alla MSP:er måste inte bli rådgivningsfirmor

För rättvisans skull är detta inte den enda framkomliga vägen. Vissa MSP:er är enastående tekniska operatörer, de trivs i den rollen, och det kommer att fortsätta finnas verklig efterfrågan på ren teknisk leverans. Om det är ett medvetet strategiskt val, gjort med öppna ögon, är det ett fullt försvarbart sådant.

Risken ligger inte i att välja att förbli teknisk. Risken ligger i att inte välja alls, och att arton månader från nu upptäcka att den rådgivande relationen med dina bästa kunder i tysthet har tagits av någon annan. En konkurrent-MSP som började två år tidigare. En regional säkerhetsspecialist som nu plockar dina medelstora konton eftersom de kan besvara frågan i styrelserummet. Eller en konsultfirma som rör sig neråt i marknaden, som inte vill röra det tekniska arbetet men gärna äger samtalet med CFO:n, och sedan bestämmer vilken MSP som får implementeringen, och på vilka villkor.

## Valet

Dina kunder kommer att föra samtalet om motståndskraft och efterlevnad. Den delen är inte längre upp till dig; tillsynsmyndigheterna, försäkringsgivarna och deras egna största kunder har avgjort den. Den enda öppna frågan är om de för det samtalet med dig, eller med någon annan.

För transparensens skull: mitt eget företag, Guardian360, är en oberoende mjukvaruleverantör i det här området. Vi bygger Lighthouse och vi säljer bara via partner, aldrig direkt, så jag har ett tydligt intresse av att MSP:er vinner detta skifte. Men argumentet står utan oss. De MSP:er som försvinner under de kommande åren kommer inte att försvinna för att deras teknik var otillräcklig. De kommer att försvinna för att en konkurrent förde ett samtal de själva inte kunde föra.

Så det är värt att ställa sig frågan rakt ut. Är du i funktionsbranschen, eller är du i branschen att göra dina kunder nöjda? Det ena av dessa är lätt att kopiera inom tre år. Det andra är det inte.