Vad händer om alla leverantörer uppfyller sina åtaganden, men tjänsten ni erbjuder ändå inte håller måttet? Digitala tjänster knyter samman organisationer på sätt som skapar både nya möjligheter och gemensamma beroenden. Att bygga motståndskraft handlar om att förstå sambanden tillräckligt väl för att kunna dra nytta av dem och ta ansvar för tjänsten som helhet.
Molntjänster och specialiserade leverantörer ger organisationer tillgång till resurser och kompetens som de skulle ha svårt att bygga upp på egen hand. Ett litet team kan till exempel lansera en bokningstjänst på nätet med hjälp av en molnplattform och en betaltjänstleverantör. På så sätt får teamet tillgång till infrastruktur och expertis som det annars inte skulle kunna tillhandahålla på egen hand. Det skapar utrymme att utveckla tjänster, nå fler människor och fokusera på organisationens kärnuppdrag.
I det här sammanhanget är det svårt att definiera vad oberoende egentligen innebär. En organisation som utvecklar sin egen programvara är fortfarande beroende av hårdvara, nätverk och komponenter från andra. Att ta hem driften av en tjänst förändrar vem som driver den, men beroendet av externa nätverk och programvarukomponenter finns kvar.
Ambitionen att bygga motståndskraft behöver därför ta hänsyn till de kopplingar som gör digital utveckling möjlig. Hur mycket behöver vi förstå om dem för att kunna fatta välgrundade, självständiga beslut?
Vissa beroenden kan ha en större betydelse än vad som först verkar vara fallet. Två applikationer som köpts från olika leverantörer kan köras på samma underliggande molnplattform. Organisationen har två separata leverantörsrelationer, men båda applikationerna riskerar att bli otillgängliga om plattformen slutar fungera. Hur viktig den kopplingen är beror på vad applikationerna används till. Ett tillfälligt avbrott kan vara hanterbart i en tjänst och få omedelbara konsekvenser i en annan.
Ett beroende blir svårare att hantera när dess betydelse är oklar eller när organisationen har få fungerande alternativ om förutsättningarna förändras. Genom att bedöma konsekvenserna för verksamhetskritiska tjänster går det att göra ett mer medvetet val: Vilken osäkerhet kan vi leva med, och var behöver vi bättre insyn eller större flexibilitet?
I Knowits rapport om digital motståndskraft från 2026 svarade 34 procent av de svenska respondenterna i privat sektor ”vet inte” på frågan om deras leverantörer var tillräckligt robusta. Det tyder på en kunskapslucka hos organisationerna när det gäller deras leverantörer. Det betyder inte att leverantörerna nödvändigtvis skulle fallera vid en störning.
Den osäkerheten har betydelse för cybersäkerheten. En organisation kan anförtro en leverantör känslig information eller ge tillgång till viktiga system utan att fullt ut förstå hur dessa skyddas. Förtroende för leverantörens kompetens är värdefullt, men organisationen behöver också ett underlag för att bedöma om skyddet motsvarar de egna behoven.
Genom genomförande av en due diligence får tilliten en grund. Det innebär att granska leverantörer och kritiska underleverantörer i en omfattning som står i proportion till relevanta risker och att få belägg för att relevanta säkerhetskrav och rättsliga krav uppfylls. För en molntjänst kan det exempelvis handla om att gå igenom oberoende säkerhetsgranskningar och kontrollera hur åtkomsten till känslig information styrs. Due care innebär att omsätta den kunskapen i praktiken genom att införa och upprätthålla lämpliga skyddsåtgärder, till exempel att införa och regelbundet se över överenskomna åtkomstbegränsningar.
Samarbetet behöver också ge utrymme för en öppen dialog om begränsningar och förändringar. Om leverantören anlitar en ny underleverantör eller ändrar hur information hanteras behöver parterna kunna diskutera hur det påverkar tjänsten och vilka åtgärder som krävs. På så sätt kan tilliten bidra till välgrundade beslut även när förutsättningarna för samarbetet förändras.
Ett leverantörsavtal kan omfatta endast en del av en tjänst. Organisationen som anlitar leverantören behöver ta hänsyn till hur tjänsten som helhet fungerar för dem som är beroende av den. Här kan det uppstå en skillnad mellan leverantörens åtaganden och organisationens ansvar.
Ett leverantörsavtal kan till exempel tillåta åtta timmar för att återställa en tjänst, medan organisationen behöver ha den i gång inom två timmar för att uppfylla ett viktigt åtagande. Båda parter kan ha följt avtalet samtidigt som tjänsten som helhet ändå inte uppfyller verksamhetens behov. Gapet blir synligt först när leverantörens del sätts i sitt sammanhang.
Detsamma gäller informationssäkerhet. En leverantör behöver förstå vilken betydelse de system och den information som leverantören hanterar har för verksamheten. Organisationen behöver förklara detta och bedöma om leverantörens skyddsåtgärder är lämpliga. Relevanta krav behöver finnas med i avtalen och följas upp under hela samarbetet. Ingen av parterna kan skapa sig den förståelsen enbart utifrån sina egna antaganden.
När arbetet fördelas mellan flera parter blir dialogen om ansvar viktigare. Den ger båda parter möjlighet att hantera skillnader i förväntningar på exempelvis återställningstider eller oklarheter i ansvarsfördelningen för säkerhet innan de påverkar dem som använder tjänsten.
Flexibilitet kan ta olika former. För en verksamhetskritisk tjänst kan det vara värt att ha en alternativ leverantör, medan en annan tjänst kanske kan fungera tillfälligt med begränsad kapacitet. Att hålla alternativ tillgängliga kräver resurser och därför behöver en bedömning göras av vilket behov som finns. Värdet ligger i om alternativen ger organisationen verkligt handlingsutrymme när det behövs.
Leverantörer kan också skapa utrymme för gemensam anpassning. Genom att dela lärdomar och diskutera förändringar i ett tidigt skede kan de hjälpa organisationen att anpassa sin tjänst när beroendena förändras. På så sätt blir själva relationen en del av förmågan att hantera förändringar och störningar.
När allt fler tjänster och organisationer kopplas samman blir förståelsen för relationerna en del av en ansvarsfull utveckling. En organisation som vet vad den är beroende av, vad dess leverantör kan bidra med och var den behöver alternativ har en starkare grund för att ta vara på nya möjligheter.
Som svar på den inledande frågan: Ja, vi kan vara motståndskraftiga samtidigt som vi är beroende av andra. Däremot kräver det att vi granskar de leverantörer och kritiska underleverantörer vi förlitar oss på, får belägg för att deras tjänster uppfyller relevanta säkerhetskrav och rättsliga krav samt kontinuerligt kontrollerar att bedömningarna är aktuella. Tillsammans med förmågan att anpassa oss när förutsättningarna förändras ger det oss en god grund för att använda tjänsterna ansvarsfullt och fortsätta utvecklas.