Nægter IT-leverandøren at udlevere administratoradgange, data eller logs, så gør tre ting nu: kortlæg, hvad I selv har adgang til, dokumentér jeres anmodninger skriftligt, og sikr det, I kan sikre, uden at tage sagen i egen hånd. Tal med en advokat, før I fjerner leverandørens adgange eller holder betaling tilbage.
Måske er der uenighed om en regning, måske er I ved at skifte leverandør, eller måske er samarbejdet bare gået i stå. Det er en af de mest stressende situationer for en mindre virksomhed, fordi driften kan være i fare. Netop derfor er det vigtigt at holde hovedet koldt. Det, I gør de første dage, afgør både, om I får jeres data, og hvordan I står, hvis det ender i en tvist.
Siden er hovedsiden for konflikter om data og adgange hos en IT-leverandør. Den er bygget op som en trappe: I starter nederst med det, I selv kan gøre, og går kun et trin op, når det forrige ikke har hjulpet. Undervejs er der en sammenligning af, hvad der hører til hvor, og svar på de spørgsmål, der går igen.
Trin 1: find ud af, hvad I selv har adgang til
Lav en liste over jeres systemer, og skriv for hvert system, hvem der har administratoradgang. Mange virksomheder opdager først nu, at alle nøgler ligger hos leverandøren.
- Domæne og DNS · Står domænet i jeres navn? Hvem har login hos registratoren?
- Microsoft 365 eller Google Workspace · Har I selv en global administrator?
- Server, hosting, cloud · Hvem ejer abonnementet, og hvem har adgang?
- Firewall og netværk · Har I adgangskoder?
- Backup · Hvor ligger den, og hvem kan hente den?
- Fagsystemer · Er licensen i jeres eller leverandørens navn?
Tjek også, hvem der står som ejer på fakturaerne for licenser og abonnementer. Betaler I direkte til tjenesten, står I stærkere, end hvis alt er købt gennem leverandøren og viderefaktureret. → Hvem ejer domænet, kontoen og dataene?
Skriv navne og kontaktoplysninger på de personer, der kan hjælpe hos hver tjeneste. Det gør det lettere at handle, hvis situationen spidser til. → Skabelon: kontaktliste til systemejere og leverandører
Det kan I selv, det skal udleveres, det kræver en advokat
Når listen er lavet, kan den deles i tre. Det er den vigtigste øvelse på hele siden, fordi den viser, hvor I kan handle nu, og hvor I skal vente.
- Det, I selv styrer · Eksempler: Konti, hvor I har en administrator; abonnementer i jeres navn · Hvem handler: I selv, med det samme
- Det, der skal udleveres · Eksempler: Adgange, data og logs, som kun leverandøren har · Hvem handler: Leverandøren, efter skriftlig anmodning
- Det, der er uenighed om · Eksempler: Ejerskab, tilbageholdelse, betaling, ophør · Hvem handler: Jeres advokat
Blandes de tre sammen, sker der typisk fejl. Nogle virksomheder venter på leverandøren med noget, de kunne have gjort selv. Andre forsøger selv at tage noget, der er uenighed om, og får dermed et nyt problem.
Trin 2: sikr det, I selv kan
- Sikr de adgange, I har. Har I selv en administratorkonto et sted, så skift adgangskoden og slå totrinsbekræftelse til på den. Notér, hvornår det sker. Fjern ikke leverandørens adgange endnu, før I har talt med en advokat, medmindre der er risiko for misbrug.
- Tag en kopi af det, I kan. Eksportér data og logs fra de systemer, I selv har adgang til. Mange cloudtjenester gemmer kun logs i en begrænset periode.
- Dokumentér, hvordan det ser ud i dag. Tag skærmbilleder af opsætninger, brugere og rettigheder, og gem dem med dato. Hvis noget ændres senere, kan I vise, hvordan det så ud før.
Hvis domænet står i leverandørens navn, eller kun leverandøren har adgang hos registratoren, er det det mest kritiske punkt. Den, der styrer DNS, styrer i praksis jeres mail og hjemmeside. Prioritér at få klarhed over ejerskab og adgang her. Tag skærmbilleder af DNS-opsætningen, hvilke mailservere domænet peger på, og hvem der står som ejer i opslag.
Trin 3: bed skriftligt om udlevering
En god anmodning er konkret, så leverandøren ikke kan svare, at det er uklart, hvad I vil have. Skriv for eksempel:
- hvilke administratoradgange I beder om, system for system,
- hvilke data I beder om, for eksempel postkasser, filer, databaser og backup,
- hvilke logs I beder om, og for hvilken periode,
- hvilket format I ønsker, og hvordan data skal overdrages,
- hvornår I forventer svar.
Henvis til aftalen, hvis den siger noget om udlevering eller bistand ved ophør. Send anmodningen til den kontaktperson, aftalen nævner, og gerne også til leverandørens ledelse. Gem den sendte mail som original. Får I et nej, så bed om begrundelsen skriftligt. Får I intet svar, så send en påmindelse med en ny frist. Hver henvendelse er en del af jeres dokumentation for, at I har forsøgt at løse sagen.
Gem al kommunikation: mails, beskeder og referater af telefonsamtaler. Skriv ned, hvad leverandøren siger, også mundtligt, og bekræft det på mail.
Trin 4: inddrag en advokat
Tal med en advokat, når leverandøren nægter at udlevere noget, I mener at eje, eller når der er uenighed om betaling. Spørg om jeres rettigheder efter aftalen, og om der er mulighed for at få en hurtig afgørelse, hvis driften er truet.
Advokatsitet beskriver den juridiske side af exit-bistand og dataudlevering. → Exit-bistand og dataudlevering ved ophør af outsourcing
Trin 5: uafhængig sikring
Det sidste trin er relevant, når der skal sikres data og logs på en måde, der kan bruges i en tvist, eller når I har mistanke om, at leverandøren har ændret eller slettet noget. Den IT-sagkyndige skal være uafhængig af både den gamle og den nye leverandør.
En uafhængig sikring betyder i praksis, at data og logs bliver kopieret på en måde, der kan dokumenteres: hvad blev kopieret, hvornår, fra hvilket system, og hvem gjorde det. Det giver jer et fast udgangspunkt, som ingen af parterne senere kan ændre. Det kan også bruges, hvis I og leverandøren bliver enige om at lade en neutral part se på sagen, i stedet for at hver part fremlægger sin egen udgave. Hvordan Nielco IT hjælper i tvister med en IT-leverandør, står på siden tvist med en IT-leverandør eller en kunde.
Hvis … så: de situationer, der går igen
- Hvis I ser tegn på, at leverandøren ændrer noget, så stop og dokumentér: hvad ændrede sig, hvornår så I det, og hvad viser logs? Skift de adgange, I selv styrer, og tal med jeres advokat med det samme. En uafhængig sikring kan vise, hvad der skete, og hvornår.
- Hvis I er låst helt ude, kan nogle tjenester hjælpe med at genvinde kontrollen, hvis I kan dokumentere, at I er den rette ejer. Det gælder ofte domæneregistratorer og store cloudtjenester. Processen tager tid og kræver typisk CVR-oplysninger, fakturaer og underskrift fra en tegningsberettiget. Start den tidligt. → Låst ude af egne systemer
- Hvis konflikten opstår midt i en planlagt opsigelse, så følg rækkefølgen for opsigelsen. → Opsigelse af en IT-leverandør: sikr data og logfiler først
- Hvis leverandøren lukker eller går konkurs, er det en anden situation, hvor I måske skal tale med en kurator. → Leverandøren lukker eller går konkurs: få jeres data ud
- Hvis det ikke er et firma, men en enkelt IT-person, der har alle adgangskoderne, gælder mange af de samme råd. → Den gamle IT-mand er stoppet og har alle adgangskoderne
- Hvis det er webbureauet, der har domæne, hosting og mail, så se den særlige gennemgang. → Skift af webbureau: DNS, hosting og mail
Hvad I ikke må gøre
- Bryde ind. Brug ikke gamle adgangskoder, I har fundet, eller bed en anden IT-person om at “omgå” leverandørens adgang. Det kan give jer et nyt problem og svække jeres sag.
- Slette leverandørens konti i vrede. Det kan ødelægge spor, som kunne vise, hvad leverandøren har gjort i jeres systemer.
- Tilbageholde betaling uden at tale med en advokat. Det kan gøre tvisten større og give leverandøren et argument.
- Skrive trusler. Hold tonen saglig. Alt, I skriver, kan blive et bilag.
- Lade ny leverandør gå i gang uden en plan. En ny leverandør, der begynder at flytte data, kan overskrive spor, I senere får brug for.
Det skal I skrive ned undervejs
Konflikter med en leverandør trækker ofte ud. Efter nogle måneder er det svært at huske, hvem der sagde hvad, og hvornår en adgang holdt op med at virke. Før derfor en enkel log fra første dag:
- hvornår I bad om hvad, og hvordan leverandøren svarede,
- hvornår driften blev påvirket, og hvad det betød for kunder og medarbejdere,
- hvilke adgange I selv har ændret, og hvornår,
- hvilke ændringer I har set i systemerne, som I ikke selv har lavet,
- udgifter til ekstra hjælp, ny leverandør og rådgivning.
Gem loggen uden for de systemer, leverandøren har adgang til. → Skabelon til intern log over beviser
Hvem gør hvad
- Ejer eller direktør · Fører dialogen og træffer beslutningerne
- Intern IT-ansvarlig · Kortlægger adgange, sikrer det, der kan sikres
- Advokat · Vurderer aftalen og jeres muligheder
- Ny IT-leverandør · Klar til at overtage, men venter på signal
- IT-sagkyndig · Sikrer data og logs uafhængigt, hvis der er tvist
Spørgsmål, vi ofte får
Må leverandøren holde vores data tilbage, fordi vi skylder penge?
Det afhænger af aftalen og af, hvad der er uenighed om. Det er et spørgsmål til jeres advokat, ikke noget, I skal afgøre i en mail til leverandøren. Betal ikke og nægt ikke at betale, før I har fået råd.
Kan den nye leverandør ikke bare tage over?
Ikke uden en plan. Den nye leverandør kan være god til drift, men skal vente med at ændre og flytte, til det, der skal bruges som dokumentation, er sikret. Aftal skriftligt, hvad den nye leverandør må gøre, og hvornår.
Hvilke logs skal vi bede om?
Typisk logs over logins, administratorhandlinger og ændringer i de systemer, sagen handler om. Bed om en bestemt periode, og bed om, at loggene bliver bevaret, selv om de ikke udleveres med det samme.
Kan vi bede leverandøren om at bevare data, mens vi er uenige?
Ja, og det bør I gøre tidligt og skriftligt. Skriv, hvilke data og logs der skal bevares, og at de ikke må slettes, mens sagen står på. Om leverandøren er forpligtet til det, er et spørgsmål til jeres advokat, men anmodningen dokumenterer under alle omstændigheder, at I har bedt om det.
Hvad fortæller vi medarbejderne?
Kun det nødvendige. Fortæl, hvem de skal kontakte ved driftsproblemer, og bed dem om ikke at diskutere konflikten med leverandørens folk. Det, der bliver sagt i en frustreret telefonsamtale, kan senere blive citeret.
Hvad hvis aftalen ikke siger noget om udlevering?
Så er det endnu vigtigere at få en advokat til at vurdere sagen. Næste gang kan I sikre jer bedre i kontrakten. → IT-leverandørkontrakten: krav om logs og bistand ved bevissikring
Hvordan undgår vi det her næste gang?
Sørg for, at I selv har en administratorkonto i alle vigtige systemer, at domæne og abonnementer står i jeres navn, og at aftalen beskriver udlevering ved ophør. → Cloudtjenester: sikr jer adgang til data og logs, før I skriver under
Ordforklaringer
- Global administrator: den højeste rolle i Microsoft 365. Den, der har den, kan styre alle brugere og indstillinger.
- Registrator: firmaet, hvor domænet er registreret. Her styres, hvem der ejer domænet, og hvor det peger hen.
- DNS: opsætningen, der bestemmer, hvor jeres mail og hjemmeside ligger. Den, der kan ændre DNS, kan i praksis flytte jeres mail.
- Exit-bistand: den hjælp, en leverandør efter aftalen skal yde, når samarbejdet ophører, for eksempel udlevering af data.
- Viderefakturering: når leverandøren køber licenser i eget navn og sender regningen videre til jer. Det kan gøre ejerskabet uklart.
Hvornår skal I have hjælp udefra?
Altid en advokat, når leverandøren nægter at udlevere noget, I mener at eje. En IT-sagkyndig er relevant, når der skal sikres data og logs på en måde, der kan bruges i en tvist, eller når I har mistanke om, at leverandøren har ændret eller slettet noget.
Haster det, fordi driften står stille, eller fordi data kan forsvinde, så sig det, når I ringer. Hastesager koster ekstra. → Pris og tilbud
Læs også: Leverandøren overholder ikke SLA: mål og dokumentér selv · Den gamle IT-mand er stoppet og har alle adgangskoderne
→ Tvist med en IT-leverandør eller en kunde · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
