IT i offentlig sektor: Upphandling, säkerhet och digitalisering

Offentlig sektor i Sverige omsätter över 300 miljarder kronor årligen på IT — från skolplattformar och vårdsystem till infrastruktur för e-identification och digitala myndighetstjänster. Men att sälja IT-tjänster till offentlig sektor är väsensskilt från att sälja till privata företag. Upphandlingsregler, säkerhetskrav och beslutsprocesser är annorlunda — och ofta betydligt mer komplexa.

Den här guiden går igenom allt du behöver veta om IT i offentlig sektor: hur LOU-upphandlingar fungerar, vilka ramavtal som är viktigast, säkerhetskrav, digitaliseringsinitiativ, och strategier för att modernisera legacy-system.

Den svenska offentliga IT-marknaden

Den svenska offentliga IT-marknaden omfattar statliga myndigheter, 21 regioner och 290 kommuner — var och en med egen budget, egna system och egna beslutsprocesser. Den totala IT-utgiften inom offentlig sektor uppskattas till 45-55 miljarder SEK årligen 2026, fördelat på:

• Statliga myndigheter: cirka 30% av marknaden. Stora myndigheter som Försäkringskassan, Skatteverket, Polisen och Arbetsförmedlingen driver egna stora IT-projekt.
• Regioner: cirka 35% av marknaden. Domineras av vård-IT (EHR-system, digital vård, e-hälsa) men inkluderar även administrativa system och infrastruktur.
• Kommuner: cirka 35% av marknaden. IT för skola, äldreomsorg, socialtjänst, stadsplanering och kommunal administration. Fragmenterad marknad med många små aktörer.

De största IT-leverantörerna till offentlig sektor inkluderar Tietoevry, Iver, CGI, KnowIT, Atea, Telia, och Microsoft (via partners). Svenska molntjänster och SaaS-bolag som Visma, 24SevenOffice och Forts växer på marknaden.

LOU — lagen om offentlig upphandling

Lagen om offentlig upphandling (LOU) reglerar hur offentliga aktörer får köpa varor och tjänster. Syftet är att säkerställa konkurrens, icke-diskriminering och transparens. För IT-leverantörer som vill sälja till offentlig sektor är förståelse för LOU avgörande.

Huvudprinciper i LOU:

• Icke-diskriminering: alla leverantörer ska behandlas lika. Man kan inte gynna “lokala” leverantörer eller leverantörer man haft tidigare samarbete med.
• Transparens: upphandlingsprocessen måste vara öppen och dokumenteras. Alla anbud ska utvärderas enligt i förväg angivna kriterier.
• Proportionalitet: kraven i upphandlingen ska stå i proportion till det som upphandlas. Överkrav är inte tillåtna.
• Ömsesidigt erkännande: certifikat och kvalifikationer från andra EU-länder ska accepteras.

Tröskelvärden 2026: för IT-tjänster är direktupphandling (utan annonsering) tillåten upp till cirka 700 000 SEK. För upphandlingar över cirka 2,3 MSEK (statligt) respektive 3,6 MSEK (kommunalt/regionalt) gäller EU-regler med längre tidsfrister och formella krav. För IT-konsulttjänster är de vanligaste upphandlingsformerna öppet förfarande (alla får lämna anbud) och förenklat förfarande (för mindre värden).

Ramavtal — dörröppnaren till offentlig sektor

Ramavtal är det vanligaste sättet för IT-leverantörer att få tillgång till offentlig marknad. Ett ramavtal är ett avtal mellan en upphandlande myndighet (t.ex. Statens inköpscentral vid Kammarkollegiet) och en eller flera leverantörer som sätter ramarna för framtida köp under en given period (ofta 2-4 år).

Viktigaste ramavtalen för IT 2026:

• Kammarkollegiets IT-konsulttjänster: det mest använda ramavtalet för IT-konsulttjänster i offentlig sektor. Kategorier: systemutveckling, projektledning, strategisk IT-ledning, testning, DevOps, säkerhet, AI/ML. Att bli antagen till detta ramavtal är en av de viktigaste affärshändelserna för IT-konsultbolag som riktar sig mot offentlig sektor.
• Kammarkollegiets molntjänster: ramavtal för molninfrastruktur (IaaS, PaaS, SaaS). Krav på säkerhet, datalokalisering och avtalsvillkor.
• Kammarkollegiets mjukvara: ramavtal för programvarulicenser och SaaS-tjänster.
• Regionernas ramavtal: varje region (eller grupper av regioner) har egna ramavtal för vård-IT, administrativa system och IT-infrastruktur.
• Kommunala ramavtal: SKR (Sveriges Kommuner och Regioner) samt kommunala inköpscentraler som SKI (Sveriges Kommunala Inköpscentral) och KFF (Kommunförbundets Företagsråd) förmedlar ramavtal för kommuner.

Att bli antagen till Kammarkollegiets ramavtal för IT-konsulttjänster tar 6-12 månader från annonsering till avtalsskrift. Processen inkluderar kvalificering (referenser, omsättning, kvalitetsledningssystem), utvärdering av kompetensområden och prisförhandling.

Säkerhetskrav för offentlig IT

Säkerhetskraven för IT i offentlig sektor är betydligt högre än för privat sektor. Här är de viktigaste:

• NIS2-direktivet: EU:s nya cybersäkerhetsdirektiv (implementerat i svensk lag 2025/2026) ställer skärpta krav på offentliga aktörer och deras leverantörer inom samhällsviktiga sektorer. Krav på incidentrapportering inom 24 timmar, säkerhetsåtgärder, riskhantering och leverantörskedjans säkerhet.
• GDPR: offentlig sektor hanterar stora mängder personuppgifter (medborgares data, patientdata, skoldata). Krav på dataskyddsorganisation, konsekvensbedömningar (DPIA) och register.
• Säkerhetsskyddslagen: för verksamhet som bedriver säkerhetskänslig verksamhet (totalförsvar, polis, militär, vissa infrastrukturer) krävs säkerhetsskyddsavtal, registerkontroll och placering i säkerhetsklass.
• MSB:s föreskrifter: Myndigheten för samhällsskydd och beredskap utfärdar föreskrifter för informationssäkerhet, krisberedskap och kontinuitetshantering.
• SUA-dokument (Säkerhets- och UtbildningsAvtal): krav för leverantörer som hanterar skyddsklassad information eller arbetar inom säkerhetskänslig verksamhet.

För molntjänster inom offentlig sektor gäller särskilda krav: datalokalisering inom EU/EES (helst Sverige), kryptering (AES-256), loggning och övervakning, samt ofta krav på att tjänsten är driftsatt i svensk molninfrastruktur (t.ex. Iver, Tietoevry, eller Azure Sverige-region).

GDPR i offentlig sektor — särskilda aspekter

Offentlig sektor har ett särskilt ansvar för GDPR eftersom de hanterar medborgarnas personuppgifter i stor skala och ofta med laglig grund snarare än samtycke. Särskilda aspekter:

• Laglig grund: offentliga aktörer använder ofta “uppgift av allmänt intresse” eller “rättslig förpliktelse” som laglig grund, snarare än samtycke. Detta påverkar vilka rättigheter den registrerade har (t.ex. begränsad rätt till radering).
• Personuppgiftsincidenter: offentliga aktörer måste anmäla incidenter till IMY inom 72 timmar. För säkerhetskänslig information kan även MSB och/eller Säpo kopplas in.
• Konsekvensbedömning (DPIA): obligatorisk för all behandling av personuppgifter som kan leda till hög risk för fysiska personer. Särskilt viktig för AI-system som behandlar personuppgifter.
• Dataportabilitet: medborgare har rätt att få ut sina personuppgifter i maskinläsbart format. Detta påverkar system som hanterar medborgardata.
• Personuppgiftsbiträdesavtal (PUBA): krävs för alla leverantörer som behandlar personuppgifter för en offentlig aktörs räkning.

Digitaliseringsmyndigheter och initiativ

Flera myndigheter och initiativ driver digitaliseringen av offentlig sektor i Sverige:

DIGG (Myndigheten för digital förvaltning): DIGG är navet i svensk digital förvaltning. Deras uppdrag är att samordna och stödja den offentliga förvaltningens digitalisering. DIGG ansvarar för: ramverk för digital förvaltning, nationella digitala tjänster, standarder för informationsutbyte, och uppföljning av digitaliseringsarbetet. För IT-leverantörer är DIGG:s ramverk och standarder viktiga att känna till.

SKR (Sveriges Kommuner och Regioner): SKR driver digitaliseringsinitiativ för kommuner och regioner, inklusive e-hälsa, digital välfärd och gemensamma IT-standarder. SKR är också en viktig aktör för ramavtal.

Inera: (tidigare Inera AB) ägs av regionerna och driver nationella e-hälsotjänster som 1177 Vårdguiden, Nationell patientöversikt (NPÖ), E-recept och Journalen via nätet.

E-legitimationsnämnden: ansvarar för den nationella e-legitimationen (BankID, Freja eID) och e-underskrift. Deras arbete är avgörande för digitala tjänster inom offentlig sektor.

Vinnova: finansierar innovationsprojekt inom digital offentlig sektor, ofta i samverkan mellan offentliga aktörer, akademi och näringsliv.

e-Identification — BankID och Freja eID

E-identification är grunden för digitala myndighetstjänster. I Sverige finns två dominerande lösningar:

BankID: används av över 8 miljoner svenskar och är den dominerande e-legitimationen. BankID är en privat tjänst utvecklad av storbankerna, men används av såväl privata som offentliga aktörer. För myndigheter är BankID ofta den primära inloggningsmetoden för digitala tjänster.

Freja eID: statligt godkänd e-legitimation som är ett alternativ till BankID. Freja är öppen för alla (även utan svenskt personnummer eller bankkonto) och används av ett växande antal myndigheter och kommuner. Freja eID Plus är godkänd för säkerhetsnivå 3 (hög säkerhet) enligt DIGG:s ramverk.

För IT-leverantörer som bygger digitala tjänster för offentlig sektor är integration med både BankID och Freja eID viktigt. DIGG:s ramverk för e-legitimation (tillitsramverket) specificerar olika säkerhetsnivåer och krav för autentisering och signering.

Ärendehanteringssystem och digitala processer

Ärendehanteringssystem (Case Management Systems) är ryggraden i offentlig verksamhet. De används för att hantera allt från bygglov och socialtjänstärenden till sjukvårdsärenden och skoladministration. Marknaden domineras av:

• Public 360 (Tietoevry): marknadsledande ärende- och dokumenthanteringssystem för offentlig sektor i Sverige och Norge. Brett använt i kommuner, regioner och statliga myndigheter.
• Platina (CyberGym): webbaserat ärendehanteringssystem som används av många kommuner.
• Evolution (Atea): ärende- och ärendehanteringsplattform för offentlig sektor.
• Microsoft Dynamics 365: används för ärendehantering inom vissa kommuner och myndigheter, ofta anpassat med branschlösningar.

Trenden 2026 är att ärendehanteringssystem blir mer modulbaserade, molnburna och AI-integrerade. AI används för att automatisera klassificering, routing och beslut i enkla ärenden, vilket frigör handläggares tid för komplexa ärenden.

Legacy-modernisering i offentlig sektor

Legacy-system (äldre system som ofta bygger på föråldrad teknik) är ett av de största problemen inom offentlig IT. Många system är 15-25 år gamla, byggda på COBOL, PowerBuilder, Visual Basic eller tidiga Java-ramverk, och är kritiska för verksamheten samtidigt som de är svåra att underhålla och utveckla.

Utmaningar med legacy-modernisering i offentlig sektor:

• Riskaversion: offentliga aktörer är rädda för att misslyckas — ett misslyckat IT-projekt kan få politiska konsekvenser och mediegranskning.
• Budgetcykler: moderniseringsprojekt är dyra och sträcker sig ofta över flera budgetår, vilket skapar osäkerhet.
• Integrationer: legacy-system har ofta otaliga integrationer som måste hanteras vid byte.
• Kompetens: det är svårt att hitta utvecklare som kan underhålla COBOL-system samtidigt som de måste lära sig moderna tekniker.

Strategier som fungerar: strangler pattern (gradvis ersättning, funktion för funktion), API-inkapsling (lägg ett API-lager över legacy-system för att kunna bygga modern frontend), och plattformsmodernisering (flytta från on-prem till molnet som första steg).

Molntjänster i offentlig sektor

Offentlig sektors molnadoption har accelererat men går långsammare än i privat sektor på grund av säkerhetskrav och regulatoriska begränsningar. 2026 ser vi:

• Azure Sverige-region: Microsoft etablerade Azure-datacenter i Sverige (Gävle, Sandviken) vilket möjliggör datalokalisering för offentlig sektor. Azure används allt mer av kommuner och myndigheter.
• Iver och Tietoevry som svenska molnalternativ: svenska molnoperatörer som Iver (Medborgarmolnet) och Tietoevry erbjuder molntjänster specifikt för offentlig sektor med svensk datalokalisering och höga säkerhetskrav.
• Hybridmolnet är vanligast: de flesta offentliga aktörer kör en hybridmodell där känslig data stannar i svensk molninfrastruktur medan mindre känsliga system kan köras i större molnleverantörers svenska regioner.
• SaaS för offentlig sektor: SaaS-tjänster som Visma, Fortnox och 24SevenOffice används i offentlig sektor för administration, ekonomi och HR.

Att sälja till offentlig sektor — strategier som fungerar

• Börja med ramavtal: bli antagen till relevanta ramavtal (Kammarkollegiet, SKR, regionala ramavtal) — det är ofta en förutsättning för att komma ifråga.
• Bygg relationer: offentlig sektor handlar om relationer. Delta på branschdagar (t.ex. DigiTing, Offentlig IT), nätverka med IT-chefer i kommuner och regioner, och bygg långsiktiga relationer.
• Förstå behoven: offentlig sektor har specifika behov som skiljer sig från privat sektor — lagkrav, transparens, långsiktighet, budgetstyrning. Anpassa ditt erbjudande därefter.
• Var transparent med priser: offentlig upphandling kräver transparent prissättning. Undvik dolda avgifter och komplexa prismodeller.
• Tänk långsiktigt: säljcykler i offentlig sektor är 6-24 månader. Det krävs tålamod och uthållighet. Men när ett avtal väl är på plats är lojaliteten hög och relationerna långa.

Digitaliseringstrender i offentlig sektor

• AI i offentlig förvaltning: AI används för automatiserat beslutsstöd i enkla ärenden, chatbot för medborgarservice (Kommunal AI-chatt, myndighets-sms), och analys av stora datamängder (Skolverket, Socialstyrelsen).
• Öppna data: allt mer offentlig data publiceras som öppna data enligt PSI-direktivet. Detta skapar möjligheter för privata aktörer att bygga tjänster på offentlig data.
• Gemensam digital infrastruktur: DIGG driver på för gemensamma digitala komponenter (e-legitimation, e-underskrift, e-faktura, Mina meddelanden) som alla offentliga aktörer kan använda.
• Medborgarcentrerad design: tjänster designas utifrån medborgarens behov snarare än myndighetens organisation. “En väg in” för att ansöka om tillstånd, anmäla flytt, etc.
• Samverkan över förvaltningsgränser: digitala initiativ som kräver samverkan mellan stat, region och kommun — t.ex. sammanhållen vård- och omsorgsdokumentation, digital samhällsplanering.

Slutsats

IT i offentlig sektor är en komplex marknad med höga krav på säkerhet, transparens och långsiktighet. Samtidigt pågår en omfattande digitaliseringsresa som skapar stora möjligheter för IT-leverantörer som förstår marknadens spelregler. Framgång kräver: förståelse för LOU och ramavtal, förmåga att hantera höga säkerhetskrav, tålamod med långa säljcykler, och en genuin vilja att förstå offentlig sektors specifika behov och drivkrafter. För bolag som investerar i dessa förmågor är den offentliga IT-marknaden en av de mest stabila och långsiktigt attraktiva i Sverige.

Vill du diskutera hur ditt bolag kan nå offentlig sektor? Boka ett samtal.