SLA för små företag: vad du faktiskt bör kräva

Ett servicenivåavtal, SLA, är den del av en leverantörs villkor som säger vad “tjänsten fungerar” betyder och vad som händer när den inte gör det. Små företag förhandlar sällan om ett och läser sällan det de fick — tills e-postleverantören ligger nere en förmiddag, ingen vet vilken adress man skriver till, och avtalet visar sig lova 5 % rabatt om ni begär den inom tio dagar. Den här guiden handlar om vad ni faktiskt bör kräva i ett SLA, vad talen betyder och varför villkoren hör hemma i ert leverantörsregister bredvid kontakterna.

Varför ett SLA betyder mer än det ser ut

För de flesta små företag föreskriver ingen lag vad ett SLA ska innehålla. Två saker gör att det spelar roll ändå. För det första era egna kunders åtaganden: vad ni än lovar dem vilar på vad era leverantörer lovar er, och gapet mellan de två är er risk. För det andra regelverket på kundsidan. NIS2 artikel 21.2 c kräver att verksamheter som omfattas har kontinuitetshantering, säkerhetskopiering och krishantering, och artikel 21.2 d gör leverantörernas arrangemang till en del av det. DORA går längre för finansiella entiteter: artikel 30.2 i förordning (EU) 2022/2554 räknar upp vad deras avtal med IKT-leverantörer måste innehålla — beskrivning av funktioner, platser, bestämmelser om tillgänglighet och integritet, servicenivåbeskrivningar, uppsägningsrätt — och artikel 30.3 lägger till, för kritiska eller viktiga funktioner, precisa kvantitativa och kvalitativa prestationsmål, uppsägningstider, kontinuitetsplaner och exitstrategier. Säljer ni till en bank eller ett försäkringsbolag är det de frågorna ni får om era leverantörer, och om er själva.

Tillgänglighet: vad talet betyder

“99,9 % tillgänglighet” är en månatlig ranson av driftstopp. Räkna om den innan ni skriver på:

• 99 % — cirka 7 timmar 18 minuter per månad
• 99,5 % — cirka 3 timmar 39 minuter
• 99,9 % — cirka 44 minuter
• 99,95 % — cirka 22 minuter
• 99,99 % — cirka 4 minuter

Läs sedan definitionerna, för talet är bara så bra som de är. Mätperiod: månad är standard; ett årsfönster låter en leverantör ligga nere nästan nio timmar i sträck och ändå klara 99,9 %. Vad som räknas som driftstopp: hela tjänsten eller bara API:et, försämrad prestanda eller bara totalt avbrott, mätt av leverantörens övervakning eller av en överenskommen extern kontroll. Undantag: planerat underhåll, force majeure, “faktorer utanför vår rimliga kontroll”, kundorsakade problem, tredjepartsavbrott. Varje undantag är driftstopp som inte räknas, och en leverantör som undantar sin molnleverantör har undantagit de flesta av sina egna avbrott.

Servicekrediter

Krediter är standardpåföljden: en procentandel av månadsavgiften för varje missat tillgänglighetsband. Kontrollera fyra saker. Storleken — 10 % för missade 99,9 % är vanligt; 5 % är tunt. Taket — oftast 25–50 % av en månadsavgift, vilket betyder att ett veckolångt avbrott kostar leverantören högst en halv månad. Förfarandet — de flesta SLA kräver att ni begär krediten skriftligt inom en viss tid, ofta 30 dagar, med egna bevis på avbrottet; en kredit som måste begäras är en kredit de flesta kunder aldrig får. Och exklusiviteten — “krediter är den enda och exklusiva påföljden” betyder inget skadestånd utöver dem. För en tjänst ni är beroende av, kräv rätt att säga upp utan påföljd efter upprepade missar, till exempel tre månader av sex. Krediter kompenserar en dålig månad; bara en uppsägningsrätt skyddar er mot en dålig leverantör.

Underhållsfönster

Kräv förvarning — 48 timmar till 7 dagar — via en kanal som når er, inte bara en statussida. Kräv ett fönster utanför era arbetstider, angivet i en namngiven tidszon: “söndag 02:00–06:00 UTC” är ett fönster, “utanför kontorstid” är det inte. Kräv ett tak för underhållstimmar per månad, och ett besked om huruvida underhåll inom fönstret räknas mot tillgängligheten. Akut underhåll bör definieras snävt, med en rapport efteråt.

Supportnivåer och svarstider

Supportvillkoren är där “SLA” oftast betyder minst. Kräv, skriftligt: definitioner av allvarlighetsgrad — vad som är prioritet ett (tjänsten nere för alla), två (större funktion störd), tre (mindre), fyra (fråga); vaga definitioner låter varje incident bli en P3. Svars- och åtgärdsmål per allvarlighetsgrad — bekräftelse inom 30 minuter för P1 är realistiskt för en leverantör med beredskap, “vi strävar efter att svara snabbt” är inget mål; skilj på svar, tillfällig lösning och åtgärd. Tider — dygnet runt för P1 åtminstone, kontorstid i en namngiven tidszon för resten. Och planen ni ligger på — många leverantörer ger målen ovan bara på den högsta nivån. Vet vilken nivå er plan köper.

Kontaktvägar

Ett SLA utan kontaktväg är ett löfte ni inte kan åberopa. Kräv incidentvägen — ett telefonnummer eller en eskaleringsadress för P1, inte bara ett webbformulär — supportvägen för allt annat, en statussida med prenumeration och säkerhetskontakten för att rapportera en sårbarhet eller en incident som berör er. Anteckna dem bredvid SLA:t i ert eget register, med datum, för en supportadress är det villkor som ändras oftast och meddelas minst.

Återlämning av data och exit

SLA:ts sista klausul är vad som händer när ni lämnar. Dataförordningen, förordning (EU) 2023/2854, gäller sedan den 12 september 2025 för databehandlingstjänster som moln och SaaS: artikel 25.2 kräver att avtalet anger en maximal uppsägningstid för byte på högst två månader och en övergångsperiod på högst 30 dagar, och artikel 29 tar bort bytesavgifterna helt från den 12 januari 2027. Kontrollera att SLA:t och villkoren säger det, och att export är självbetjäning i ett öppet format.

Varför SLA:t hör hemma i ert register

Den dag något ligger nere behöver ni på ett ställe: vem som ska ringas, vad de lovade, var löftet står skrivet och vad era egna kunder lovats för den tjänst som är beroende av det. De fyra fakta kommer från tre dokument och en persons anteckningar, och de ändras oberoende av varandra. En registerrad per leverantör med tillgänglighetsåtagandet, kreditvillkoren, underhållsfönstret, supportnivåerna och kontaktvägarna — var och en med dokumentet och datumet den kom ur — är det som gör ett avbrott till ett telefonsamtal i stället för en sökning. Det är också vad er kund som omfattas av NIS2 eller DORA ber att få se, och en del av registret som NIS2 kräver.

Frågorna att ställa till leverantören

1. Vilket dokument är gällande SLA för vår plan, och var finns ändringshistoriken?
2. Hur mäts tillgängligheten, över vilken period, och vad är undantaget?
3. Vilka krediter gäller per band, vad är taket, hur begär vi dem, och efter hur många missar får vi säga upp?
4. Vilka är underhållsfönstren, i vilken tidszon, och hur meddelas vi?
5. Vilka svars- och åtgärdsmål per allvarlighetsgrad gäller på vår plan, och vilka tider?
6. Vilket telefonnummer eller vilken adress når en person vid en prioritet ett-incident?
7. Vilka uppsägnings- och övergångstider gäller vid byte, och vad kostar export?

Så gör Maditon

Maditon läser en leverantörs SLA och villkor som vilket annat dokument som helst, och vyn SLA och kontakt visar en rad per leverantör: tillgänglighetsåtagandet, servicekrediter, underhållsfönster, supportkanaler och nivåer som de lästs ur dokumenten, bredvid de kontakter era egna medarbetare antecknat. Varje värde anger sitt ursprung — dokumentet och datumet det lästes, eller att det antecknats för hand — och när dokumentet och er anteckning skiljer sig ser ni båda. Per system ligger ert eget löfte till era kunder först, sedan raderna för leverantörerna under det, och hela vyn ingår i PDF-paketet för den dag ni inte har någon åtkomst till Maditon alls. Ett värde läst ur ett dokument är en fakta med ett citat; om SLA:t är bra nog är ert beslut.

Se Vad visar vyn SLA och kontakt? och Vad är system och tjänster i Maditon?, eller anteckna er första leverantörs kontakter i appen.