Du kan inte sälja det du inte har byggt

Vid ett nyligt branschrundabordssamtal om arbetsplatsen 2030 sa Ewoud Melis, vd för Trustteam, något som de flesta MSP:er i tysthet undviker. Ordna först din egen data. Optimera dina egna arbetsflöden. Först därefter går du till dina kunder med AI-samtalet. Det låter självklart. Det är inte vad som händer.

Kommentaren träffade rätt eftersom den satte ord på ett gap som marknaden är upptagen med att dölja. MSP:er över hela Europa säljer Copilot-utrullningar, AI-produktivitetsverktyg och AI-mognadsbedömningar till kunder medan deras egen säkerhetsställning, efterlevnadsskyldigheter och motståndskraftsarrangemang förblir pågående arbeten. Det är inte bara ett trovärdighetsproblem. Det är en sårbarhet. Och NIS2 är på väg att göra det till ett ansvarsproblem.

Trovärdighetsgapet som ingen prissätter

En färsk studie från AvePoint och Omdia, baserad på 333 MSP:er, fann att mer än hälften av respondenterna pekade ut styrnings- och efterlevnadsfrågor som det främsta hindret för att deras kunder ska ta till sig AI. Inte datasäkerhet. Inte kompetensbrist. Inte avkastning på investering. Styrning och efterlevnad. Ironin är att MSP:n ombeds lösa ett problem den inte har löst för sig själv.

Omdias rapport om MSP-trender för 2026 är ännu tydligare: de mest framgångsrika MSP:erna inför AI internt först, för att automatisera servicedeskens drift, förbättra kunskapshanteringen och stärka säkerhetsdriften, innan de tjänar pengar på AI-baserade tjänster externt. Den ordningsföljden är inte en trevlig extrafunktion. Den är skillnaden mellan en MSP som kan visa något och en som bara kan beskriva det.

Det som gör detta gap farligt är att kunderna blir mer sofistikerade. Robin Ody, praktikledare för MSP-analys hos Omdia, uttryckte det rakt på sak: MSP:er som antar affärslösnings- och branschspecifika angreppssätt kommer att vara bäst positionerade för att fånga denna efterfrågan. Det omvända gäller också. MSP:er som inte kan visa sin egen styrningsställning kommer att ha svårt att hålla det samtalet på styrelsenivå, där det i allt högre grad behöver äga rum.

“Weerbaarheid” och “veerkracht”: två ord som nederländska MSP:er ständigt blandar ihop

Det nederländskspråkiga samtalet på denna marknad blandar ofta ihop två begrepp som förtjänar att hållas isär. Weerbaarheid, eller motståndskraft i betydelsen robusthet, handlar om att förhindra att incidenter uppstår över huvud taget. Starka åtkomstkontroller, kontinuerlig sårbarhetsskanning, patchningsdisciplin, härdade konfigurationer. Veerkracht, närmare återhämtningsförmåga, handlar om vad som händer efter att något har gått fel. Incidenthantering, verksamhetskontinuitet, säkerhetskopieringarnas integritet, förmågan att snabbt återställa driften.

Båda spelar roll. Men de kräver olika investeringar, olika frågor och olika samtal med kunder. En MSP som inte har gjort den distinktionen internt kommer att blanda ihop dem i kundsamtalen också, och den sammanblandningen tenderar att skapa organisationer som varken är särskilt robusta eller särskilt bra på att återhämta sig.

NIS2 blandar inte ihop dem. Direktivet kräver uttryckligen att omfattade entiteter hanterar både riskhantering och åtgärder för motståndskraft, och ålägger rapporteringsskyldigheter som förutsätter en fungerande förmåga till incidenthantering. För MSP:er verksamma i Nederländerna förväntas Cyberbeveiligingswet, den nederländska implementeringen av NIS2, träda i kraft under andra kvartalet 2026 och ersätta den nuvarande Wbni. Detta är inte längre en framtida skyldighet. Den anländer nu.

Vad NIS2 faktiskt kräver av MSP:n själv

Det finns en ihållande missuppfattning att NIS2 främst är ett kundproblem, något MSP:er hjälper sina klienter med. Det är bara delvis sant. MSP:er omfattas själva av NIS2 som leverantörer av managerade IKT-tjänster, vilket uttryckligen anges som en omfattad kategori. ENISA har publicerat specifik teknisk implementeringsvägledning för MSP:er enligt genomförandeförordning (EU) 2024/2690.

Skyldigheterna är inte abstrakta. De omfattar regelbundna riskbedömningar, åtkomst- och identitetskontroller, incidentdetektering och rapportering, säkerhetsåtgärder i leveranskedjan, och styrningsstrukturer med uttryckligt ledningsansvar. I Tyskland, där NIS2-implementeringslagen trädde i kraft den 5 december 2025, är ledningsorgan personligen ansvariga för efterlevnadsbrister. Antalet reglerade entiteter enbart i Tyskland förväntas öka från omkring 4 500 till cirka 29 000. Ansvar på styrelsenivå är avsikten över hela EU, inte en tysk särart.

En MSP som ger kunder råd om NIS2-efterlevnad medan dess egna skyldigheter enligt samma direktiv förblir ohanterade befinner sig i en position som inte kommer att hålla. Varken kommersiellt, eller i allt högre grad juridiskt.

Varför AI gör gapet farligt, inte bara pinsamt

Hotkontexten har förskjutits snabbare än de flesta styrningsramverk. Forskning från Flashpoint, publicerad i mars 2026, fann att AI-driven cyberbrottslighet ökade med 1 500 % under 2025. Angripare använder samma stora språkmodeller och automatiseringsverktyg som MSP:er säljer till kunder som produktivitetshöjare. Skugg-AI, där anställda använder ogranskade AI-verktyg utanför godkända kanaler, håller på att bli en primär vektor för dataläckage, enligt Omdias rapport om MSP-trender för 2026.

Den praktiska konsekvensen är denna. En MSP som rullar ut AI-verktyg i en kundmiljö utan att först förstå sin egen exponering för AI-baserade hot, och utan att ha härdat sin egen miljö därefter, utvidgar sin angreppsyta in i varje kund den berör. MSP:er är högvärdiga mål just på grund av sin privilegierade åtkomst. Motståndaren behöver inte kompromettera varje kund var för sig om MSP:n är den gemensamma åtkomstpunkten.

Weerbaarheid i detta sammanhang innebär att förstå hur AI-baserade angrepp faktiskt ser ut, att kontinuerligt övervaka din egen infrastruktur efter de sårbarheter som möjliggör dem, och att kunna visa den övervakningen för kunder och tillsynsmyndigheter. Det är inte en framtida förmåga. Det är ett nuvarande krav.

Hur ser det egentligen ut att föregå med gott exempel?

Det börjar med MSP:ns egen miljö. Inte en kryssruta i en självbedömning, utan ett kontinuerligt och mätbart program. Det innebär daglig skanning av MSP:ns egen angreppsyta, inte bara kundmiljöer. Det innebär en dokumenterad och testad efterlevnadsställning mot de normer MSP:n säljer till andra, NIS2, ISO 27001 och vilka branschspecifika ramverk som än gäller för MSP:ns kundbas. Det innebär att kunna visa en kund, på ett konkret och granskningsbart sätt, att MSP:n har gått den väg den rekommenderar.

På Guardian360, där jag grundade företaget 2015, byggde vi Lighthouse-plattformen för att ge MSP:er och deras kunder kontinuerlig insyn i sin angreppsyta och efterlevnadsställning. Jag säger öppet att vi har ett kommersiellt intresse av att MSP:er tar detta på allvar. Men argumentet vilar inte på det intresset. Det vilar på vad Ewoud sa vid det rundabordssamtalet, och på vad datan bekräftar: styrning och efterlevnad är den främsta bromsklossen för AI-införande, och den MSP som inte har byggt detta internt kan inte trovärdigt sälja det externt.

Frågan värd att stanna vid

Om dina kunder i dag bad dig öppna din egen efterlevnadsinstrumentpanel och lotsa dem genom din säkerhetsställning, vad skulle du visa dem? Inte vad du skulle kunna visa dem om sex månader med lite förberedelse. Vad du skulle kunna visa dem i morgon bitti.

Det svaret är ditt verkliga värdeerbjudande.

Källor

1. AvePoint- och Omdia-studie: “The MSP AI gap is about governance, not skills”. Channel Dive, april 2026. channeldive.com
2. Omdia “MSP Trends and Predictions 2026”, citerad i Acronis blogg, februari 2026. acronis.com
3. Kennedy Van der Laan: “Cyber in 2026: NIS2 on the way”. Januari 2026. kvdl.com
4. ENISA: “NIS2 Technical Implementation Guidance” (genomförandeförordning (EU) 2024/2690). enisa.europa.eu
5. Flashpoint-forskning citerad i Channel Insider: “Managed Security Services Shift as AI Reshapes Risk”. April 2026. channelinsider.com
6. Reed Smith: “EU Cybersecurity Regulatory Update for 2026 and Beyond”. April 2026. reedsmith.com