...

På sidan:

Syfte

Denna policy beskriver krav och rekommenderade arbetsmetoder för verifiering, dokumentation och uppföljning av juridisk organisationsidentitet för organisationer som ansluts till federationen. Policyn reglerar endast verifiering av organisationsidentitet och delegation/behörighet — inga tekniska verifieringar av system, certifikat eller komponenter ingår här. Policyn avser att skapa förutsättningar för en stark och tillförlitlig koppling mellan en organisation och dess registrerade komponenter så att federationsmedlemmar vet vilka de samverkar med inom federationen.

Policyn konkretiserar relevanta krav i kravkatalogen, för syftet som anges i 1 st. innebär det att Anslutningsoperatören ska verifiera att den anslutande organisationen uppfyller följande krav i kravkatalogen:

• Ena O.1
• Ena O.5
• Ena O.15

Vad andra parter kan förutsätta

När en federationsmedlem ansluts enligt denna policy kan andra parter i federationen förvänta sig att:

• Organisationsidentiteten har verifierats mot lämpliga och relevanta källor vid anslutning vilket ligger till grund för den verifiering av identitet för de komponenter som registreras av organisationen genom tillämpning av Registreringspolicy för tekniska komponenter.

• Den person som tecknat federationsavtalet (avtalstecknaren) har ett verifierat och dokumenterat mandat att företräda organisationen vid ingående av juridiskt bindande avtal om anslutning.

• Det finns dokumenterade och spårbara verifieringsunderlag

• Operatören genomför löpande uppföljning och verifiering av organisationsidentitet och kan uppvisa verifieringshandlingar vid begäran.

Omfattning och avgränsning

Denna policy gäller endast kontroller och processer som rör juridisk organisationsidentitet och behöriga företrädare vid federationsanslutning och löpande re-verifiering. Policyn omfattar inte:

• Teknisk verifiering av systemidentiteter, certifikat eller kryptografisk nyckelhantering.

• Beslut om åtkomst, tjänstespecifika behörigheter eller verksamhetsmässiga efterlevnadsbedömningar.

Roller och ansvar

• Ledningsaktör: fastställer policy och kan begära verifieringsunderlag, utföra stickprov och initiera revisioner.

• Federationsoperatör: den som genom fullmakt ger uppdraget åt anslutningsoperatören att ansluta federationsmedlemmen

• Anslutningsoperatör: den organisation som på uppdrag av federationsoperatören utför verifieringar och hanterar anslutningsärenden för federationsmedlemmar.

• Federationsmedlem (anslutande organisation): tillhandahåller korrekta handlingar, underrättar om förändringar och genomför återkommande bekräftelser när så krävs.

Definitioner

• Federationsoperatör: den som genom fullmakt ger uppdraget åt anslutningsoperatören att ansluta federationsmedlemmen

• Anslutningsoperatör: den organisation som på uppdrag av federationsoperatören utför verifieringar och hanterar anslutningsärenden för federationsmedlemmar.

• Anslutande organisation: den organisation som ansöker om anslutning till Samordnad identitet och behörighet.
• Federationsmedlem: en organisation som tecknat avtal om anslutning som Federationsmedlem till Samordnad Identitet och behörighet
• Avtalstecknare: den person som undertecknar federationsavtalet för anslutande organisation. Avtalstecknare ska vara behörig företrädare eller inneha behörighet genom fullmakt/delegation.

• Beställare: person som initierar och driver anslutningsprocessen för organisationens räkning (handläggning/processroll).

• Behörig företrädare: person som har rätt att företräda organisationen vid ingående av juridiskt bindande avtal om anslutning (t.ex. firmatecknare eller person med giltig fullmakt/delegation).

• Organisationsverifiering: kontroll som fastställer att en juridisk person existerar och kan identifieras entydigt genom tillförlitliga källor.

• Oberoende kanalbekräftelse: bekräftelse via kanal som är oberoende av den kanal där anslutningsärendet initierades, i syfte att styrka äkthet i uppgifter/kontaktpunkt.

Organisationsverifiering vid anslutning

Verifiering av organisation och beställare

Syftet är att säkerställa att den organisation som ska ansluta är en registrerad juridisk person och att den som företräder organisationen i anslutningsprocessen är identifierad och tillhör organisationen.

Anslutningsoperatören ska kontrollera att anslutande organisation är en registrerad juridisk person genom att verifiera organisationsnummer mot relevant nationellt myndighetsregister, t.ex. hos Bolagsverket för de organisationsformer som finns registrerade där.

Anslutande organisation som inte är registrerad i Sverige ska ha motsvarande registrering i annat EU/EES-land. Anslutningsoperatören ska i dessa fall verifiera utländsk registrering med motsvarande tillförlitlighet som för svenska organisationer, i första hand genom officiella källor. Anslutningsoperatören  ska i dessa fall dokumentera hur verifiering gått till och varför den bedöms som tillförlitlig (se avsnitt 12).

Anslutningsoperatören ska identifiera Beställaren med stark identifiering, normalt elektroniskt genom e-legitimation på minst tillitsnivå 3 (eller metod med motsvarande tillförlitlighet). I de fall legitimering sker med utländsk e-legitimation utfärdad inom EU/EES ska denna uppfylla minst Level of assurance Substantial (Väsentlig).

Anslutningsoperatören ska styrka att beställaren kan kopplas till den anslutande organisationen i anslutningsärendet (handläggning). Detta ska uppnås genom minst en av följande

• skriftlig fullmakt/delegation som anger att beställaren får driva anslutningsärendet, eller

• oberoende kanalbekräftelse (se avsnitt 8).

Not: Tillhörighetskontrollen avser inte att verifiera beställarens rätt att ingå avtal (se 6.3)

Kvalificering av organisation

Syftet är att avgöra huruvida organisationen uppfyller de formella krav som ställs för att den ska kunna ansluta som federationsmedlem. Kraven avser organisationens status, skattemässiga registrering och transparens i kontrollstruktur. Kontrollerna syftar till att säkerställa att federationen består av aktörer som är verksamma, identifierbara och vars kontrollförhållanden kan klarläggas — vilket är en förutsättning för tillit mellan federationsmedlemmar.

Anslutningsoperatören ska kontrollera att anslutande organisation uppfyller följande:

Organisationens status

Organisationen ska vara aktiv och inte föremål för likvidation, konkurs, avveckling eller vara registrerad som vilande vid tidpunkten för anslutning. Anslutningsoperatören ska kontrollera detta mot relevant myndighetsregister. För utländsk organisation ska kontrollen göras mot tillämpligt register i hemlandet eller på annat sätt som bedöms tillförlitligt, Anslutningsoperatören ska i dessa fall dokumentera hur kontrollen gått till och varför den bedöms som tillförlitlig (se avsnitt 12).

Skattemässig registrering

Privat organisation som bedriver näringsverksamhet ska vara registrerad för F-skatt. Undantag kan medges om organisationsformen inte förutsätter F-skattsregistrering, under förutsättning att anslutningsoperatören dokumenterar alternativ bedömning och motivering (eller motsvarande i annat EU-land)

Transparens i kontrollstruktur

Anslutande organisation ska vid anslutning, samt löpande under medlemskapet, säkerställa att uppgifter om organisationens kontrollstruktur är transparenta och dokumenterade.

Organisation som enligt lag (2017:631) om registrering av verkliga huvudmän är skyldig att anmäla uppgifter till Bolagsverket ska ha en aktuell och korrekt registrering. Anslutningsoperatören ska kontrollera detta mot Bolagsverkets register. För utländsk organisation med motsvarande registreringsskyldighet ska kontrollen göras mot tillämpligt register i hemlandet.

Organisation som är undantagen från registreringsskyldighet (t.ex. statlig myndighet, börsnoterat bolag, kommun eller region eller enskild näringsidkare) ska på begäran kunna redogöra för sin kontrollstruktur eller motsvarande behörighetsordning.

Federationsmedlem ska utan dröjsmål underrätta anslutningsoperatören om väsentliga förändringar i verkligt huvudmannaskap eller kontrollstruktur som kan påverka förtroendet för organisationens anslutning.

Försäkringar

Ska vi ha krav på försäkringar? står i krav O.1. En idé är att organisatoriska krav på "vem man samverkar med" finns i denna policy medan kravkatalogen hanterar krav kopplat till typ av tjänst med fokus på informationssäkerhet.

Verifiering att avtalstecknare är behörig företrädare

Syftet är att säkerställa att federationsavtal för Samordnad identitet och behörighet mellan Ledningsaktör och Federationsmedlem är juridiskt bindande. Detta uppnås genom att styrka identitet och behörighet för att avtalstecknare är behörig att ingå juridiskt bindande avtal för anslutande organisations räkning.

Identifiera avtalstecknare

Avtalstecknare ska identifieras med stark identifiering, normalt elektroniskt genom e-legitimation på minst tillitsnivå 3 (eller metod med motsvarande tillförlitlighet). I de fall legitimering sker med utländsk e-legitimation utfärdad inom EU/EES ska denna uppfylla minst Level of assurance Substantial (Väsentlig).

Verifiera behörig företrädare

Övergripande krav (gäller alla organisationstyper):

Operatören ska verifiera och dokumentera:

• vilken behörighetsgrund som gäller för organisationen vid avtalstecknande (t.ex. firmateckning, delegationsordning, fullmakt), samt
• att den namngivna avtalstecknaren innehar denna behörighetsgrund vid tidpunkten för undertecknande.

Privata organisationer

Verifiera att avtalstecknaren är behörig företrädare genom att styrka firmateckningsrätt eller giltig fullmakt/delegation från behörig företrädare. Behörighet ska verifieras genom relevant nationellt myndighetsregister, t.ex. hos Bolagsverket för de organisationsformer som finns registrerade där.

Offentliga organisationer

För offentliga organisationer ska operatören kontrollera vilken roll som är behörig att företräda organisationen och att avtalstecknaren innehar sådan roll. Minst ett av följande alternativ ska användas:

• Formellt beslutsdokument (protokollutdrag, delegationsbeslut) som visar att avtalstecknare har mandat; dokumentet ska vara undertecknat enligt organisationens delegationsordning.

• Bekräftelse från officiell e-postadress kopplad till myndighetens domän i kombination med offentlig hänvisning (t.ex. på myndighetens webbplats).

• I avvikande fall: annan motsvarande tillförlitlig styrkning av behörighet, dokumenterad och motiverad av operatören.

Kvalificera behöriga kontaktpersoner

Syftet är att det finns utsedda och behöriga kontaktpersoner som kan representera organisationen för olika ändamål, t.ex. registrera tekniska komponenter

Federationsmedlemmen ska utse relevanta kontaktpersoner för handläggning och/eller teknisk registrering. Om kontaktperson ges rätt att utföra åtgärder i federationens system (t.ex. registrera tekniska komponenter) ska detta grundas på dokumenterad delegation/fullmakt med spårbarhet enligt avsnitt 7.

För kontaktpersoner som ska ges rätt att registrera eller ändra i registrering av komponenter i federationens metadata ska personlig identifierare dokumenteras i syfte att kunna identifiera och styrka behörighet vid registrerings-/ändringstillfället.

Spårbarhet och krav på dokumentation vid anslutningsärenden

För varje anslutning eller re-verifiering enligt avsnitt 11 ska följande sparas:

• Anslutningsoperatören ska i samtliga fall dokumentera och arkivera bevis som ligger till grund för verifieringen enligt avsnitt 6 (t.ex. registerutdrag, undertecknade beslut, fullmakter/delegationer och signaturunderlag).

• Anslutningsoperatören ska föra och arkivera protokoll/logg över utförda kontroller: vem som utfört kontrollen, vad som kontrollerats, när kontrollen utförts, använda källor/metoder samt resultat/beslut.

• Om delegation används för verifiering ska delegationen vara skriftlig eller elektroniskt signerad, ange omfattning och vara tidsbegränsad eller tydligt reglerad.

• Om oberoende kanalbekräftelse används ska anslutningsoperatören dokumentera varför vald metod och kanal bedöms tillräcklig utifrån risk och tillförlitlighet.

• Beslut om och datum för avvisning, återkallelse eller uppdatering.

• Dokumentationen ska sparas så länge organisationen är federationsmedlem + 3 år (eller enligt lagstadgade krav).

• Dokumentation avseende avvisning ska sparas i 1 år.

Verifiering genom oberoende kanalbekräftelse

Med oberoende kanalbekräftelse avses nyttjandet av en pålitlig och erkänd kanal för att kontrollera äkthet i påstådd information.

Med oberoende kanalbekräftelse avses bekräftelse via kanal som är oberoende av den kanal där anslutningsärendet initierades, i syfte att styrka äkthet i uppgifter och kontaktpunkt.
Out-of-band är en möjlig metod för att uppfylla kraven i 6.1 (tillhörighetskontroll) och kan även användas som kompletterande kontroll i 6.3 (behörighetsstyrkning) när det bedöms motiverat.

Exempel på out-of-band-metoder kan vara:

• Fysisk post (aktiveringskod) till organisationens registrerade adress.

• Bekräftelse via officiell e-post kopplad till organisationens domän i kombination med publicerad verifiering på organisationens webbplats.

• Bekräftelse via annan kontrollerad organisationskanal med motsvarande tillförlitlighet.

Operatören ska, baserat på riskanalys, fastställa och dokumentera vilka out-of-band-metoder som används och under vilka förutsättningar de bedöms tillräckliga (se avsnitt 14).

Avgränsning mot åtkomst- och verksamhetsbeslut

Denna policy innehåller endast krav för identitets- och organisationsverifiering. Federationsmedlemmar ansvarar fortsatt för egna åtkomst- och verksamhetsbedömningar.

Livscykelhantering — verifiering över tid

För att säkerställa att organisationsidentiteten förblir korrekt över tid ska anslutningsoperatören tillämpa en kombination av periodisk re-verifiering, händelsestyrd uppföljning och kontinuerlig/automatisk övervakning enligt nedan.

Re-verifiering ska omfatta samma verifieringsobjekt och kontrollpunkter som vid anslutning enligt avsnitt 6. Det innebär att kontroller ska genomföras på federationsmedlemsnivå (juridisk person) och, i den utsträckning som är relevant, även omfatta beställare/tillhörighet, kvalificering, behörig företrädare/avtalstecknare samt utsedda kontaktpersoner/delegationer.
Re-verifiering kan initieras periodiskt eller händelsestyrt (triggers). Resultat ska dokumenteras enligt spårbarhetskraven.

Periodisk re-verifiering

Anslutningsoperatören ska re-verifiera Federationsmedlems anslutning minst en gång per år.

Händelsestyrd re-verifiering

Omgående re-verifiering ska initieras vid incidenter eller andra händelser som kan påverka tillförlighet till organisationsveriferingen. Detta kan exempelvis vara:

• Ändring i firmatecknare eller styrelse.

• Företagsfusion, förvärv, namnändring eller annan registreringsändring.

• Offentlig anmälan om konkurs, likvidation eller rättsliga tvister som påverkar bolaget.

• Meddelande från organisationen själv om större omstrukturering.

• Indikationer om falska eller förfalskade delegationshandlingar.

• Avvikelser där uppgifter eller underlag som lämnats i anslutningsärendet inte längre stämmer överens med betrodd källa eller tidigare verifierat underlag.

Anslutningsoperatören bör, där möjligt, upprätta automatisk övervakning mot officiella register eller notifieringstjänster för att få signaler om relevanta ändringar.

Om automatisk övervakning inte är möjlig ska operatören säkerställa att motsvarande informationsinhämtning sker genom andra rutiner med dokumenterad riskbedömning.

Incidenthantering och åtgärdstrappor

Vid upptäckt av att Federationsmedlem inte kan re-verifieras ska operatören:

1. Omedelbart initiera förnyad verifiering och tillfällig minimering av förtroende (t.ex. karantän eller begränsad åtkomst).

2. Informera federationen och berörda parter enligt avtal och sekretessregler.

3. Genomföra åtgärd (uppdatering, återkallelse av anslutning eller uppsägning) baserat på utredningens resultat.

Ändring av behöriga kontaktpersoner

Kontaktpersoner kan endast ändras av behörig företrädare för ansluten federationsmedlem. Varje ändring ska dokumenteras enligt avsnitt 12. I övrigt gäller samma regler som anges i avsnitt 6.4.

Dokumentation av process och rutin för tillämpning av anslutningspolicy

Operatören ska ha skriftlig dokumentation som beskriver process och rutin för hur anslutningspolicyn tillämpas.

Dokumentationen ska inkludera operatörens riskbedömning och motivering av valda verifieringsmetoder (inkl. oberoende kanalbekräftelse), samt kriterier för när kompletterande kontroller krävs.

Uppsägning och avslut av anslutning

Anslutningsoperatören ska skyndsamt informera federationsoperatören om brister upptäcks avseende federationsmedlemens förutsättningar för anslutning i enlighet med denna policy.

Anslutningsoperatören ska vidta de åtgärder som federationsoperatören beslutar om gällande avstängning och uppsägning. Anslutningsoperatören får inte utan godkännande från federationsoperatören fatta beslut om avstängning eller uppsägning

På sidan:

1. Syfte

Syftet med denna anslutningspolicy är att beskriva ett normativt golv (minimikrav) för hur anslutningsoperatörer ska verifiera och dokumentera:

• verifierbar systemidentitet, samt
• verifierad koppling mellan system och anslutande organisation,

så att andra parter i federationen kan förlita sig på en tydligt definierad och repeterbar nivå av tillit vid MVP‑drift.

Policyn avser endast identifiering och organisationskoppling på federationsnivå — ej beslut om åtkomst eller verksamhetsbedömningar i enskilda tjänster.

2. Vad policyn garanterar (“vad andra parter kan förutsätta”)

När en aktör eller komponent ansluts enligt denna policy ska andra parter i federationen kunna förutsätta att:

...

Observera: policyn GARANTERAR inte åtkomsträtt till någon tjänst. Tjänsteleverantörer måste fortfarande fatta egna åtkomstbeslut baserade på den tillit de behöver.

3. Roller och ansvar — vad som är federationskrav vs operatörsprocess

3.1 Normativt golv (federationskrav — obligatoriskt)

Följande krav är bindande för alla anslutningsoperatörer och kan åberopas av tjänsteleverantörer som förutsättning för grundläggande tillit:

• Verifiering av juridisk organisationsidentitet vid onboarding (se avsnitt 4 och 5).
• Verifiering av behörig företrädare enligt miniminivåer för privata respektive offentliga aktörer (se avsnitt 6).
• Utfärdande eller godkännande av systemidentitet med kryptografiska nyckelpar som uppfyller angivna kryptografiska krav (se avsnitt 7).
• Out‑of‑band‑verifiering minst enligt ett av alternativen i avsnitt 6.4.
• Dokumentation och retention av verifieringsunderlag enligt avsnitt 9.
• Möjlighet till revision av federationen enligt avsnitt 10.

3.2 Operatörens processer (implementeringsutrymme)

Anslutningsoperatören ansvarar för hur de obligatoriska kontrollerna genomförs inom ramen för följande krav: säkerhetsnivå, spårbarhet, beviskedja och rimlig kostnad/effektivitet. Operatören får själv välja tekniska lösningar, mallar och arbetsflöden så länge de uppfyller det normativa golvet.

Operatören ska dessutom bedriva en lokal riskbedömning och ange vilka kompletterande kontroller som tillämpas för högre riskfall (exempelvis för system med högre påverkan).

4. Definitioner

• Systemidentitet: unik, teknisk identitet som används för autentisering i maskin‑till‑maskin‑kommunikation (t.ex. certifikat eller signerade tokens).
• Behörig företrädare: person som enligt organisations interna regler och/eller extern registrering har rätt att binda organisationen (firmatecknare, motsv.) eller en person med dokumenterat och signerbart mandat.
• Offentlig aktör: statlig, regional eller kommunal juridisk enhet.

5. Organisationsverifiering (juridisk person)

5.1 Privata aktörer (miniminivå)

För privata aktörer ska operatören som minimun verifiera:

• organisationsnummer mot Bolagsverket eller annan nationell källa,
• att den som beställt anslutningen är firmatecknare eller har ett verifierbart, skriftligt mandat från firmatecknare (underskrift eller elektronisk signatur enligt lag).

Verifieringsbevis (t.ex. utdrag, fullmakt, signerat dokument) ska sparas enligt avsnitt 9.

5.2 Offentliga aktörer (miniminivå)

För offentliga aktörer — där motsvarande centrala register ofta saknas — krävs minst ett av följande, i prioritetsordning:

1. Verifiering mot officiellt myndighetsregister eller offentlig förteckning om sådan finns (t.ex. myndighetslista på regeringskansliets nivå eller kommunens officiella register). Om sådant register finns används det som primär källa.
2. Formellt beslutsdokument (utdrag ur protokoll, delegationsbeslut eller motsvarande) som tydligt visar att den namngivna personen har mandat att godkänna anslutningar för myndigheten. Dokumentet ska vara underskrivet av rätt beslutsfattare enligt myndighetens delegationsordning.
3. Bekräftelse via officiell e‑postadress kopplad till myndighetens officiella domän, i kombination med publicerat referenspåstående på myndighetens officiella webbplats eller register.
4. Om ovan ej är möjliga: notariserad fullmakt eller motsvarande signerad bekräftelse från högre förvaltningsnivå.

Operatören ska alltid dokumentera vilken källa som använts och motivera avvikelse från primära källor.

6. Behörig företrädare och delegation

• Beställning måste ske av firmatecknare eller av person med dokumenterat mandat.
• Vid delegation ska delegationen vara:
  • skriftlig eller elektroniskt signerad, samt
  • tidsbegränsad eller innehålla angiven omfattning (vad som får utföras).
• Delegationskedjan ska kunna granskas och länkas till systemidentiteten.

7. Systemidentitet och kryptografiska krav

7.1 Krav

• Systemidentitet ska baseras på asymmetrisk kryptografi.
• Utfärdat material ska inkludera:
  • unik identifierare (URI/subject),
  • offentlig nyckel,
  • referens till ansvarig organisations identifierare,
  • metadata om giltighetstid och avsedd användning.
• Stöd för automatiserad verifiering (t.ex. CRL/OCSP eller JWT‑nyckelpublicering) ska erbjudas.

7.2 Nyckelhantering (minimikrav)

• Privat nyckel ska lagras i skyddad miljö (HSM, KSP eller motsv.) där det är tekniskt möjligt.
• Nyckelgenerering bör ske i enlighet med bästa praxis; om kund genererar nyckel ska processen verifieras.
• Återkallelseprocess ska vara dokumenterad och kunna initieras av ansvarig organisation eller anslutningsoperatör.

8. Out‑of‑band‑verifiering (miniminivå)

Minst ett out‑of‑band‑steg krävs. Acceptabla metoder är:

• fysisk post (aktiveringskod) till organisationens offentligt registrerade adress (privata aktörer), eller
• bekräftelse via officiell e‑post hos offentlig aktör (se avsnitt 5.2) i kombination med publicerat stöd på officiell webbplats, eller
• undertecknat beslut eller fullmakt från behörig beslutsfattare.

Operatören ska välja lämplig metod beroende på om aktören är privat eller offentlig och dokumentera varför metoden är tillräcklig.

9. Dokumentation, retention och spårbarhet

Operatören ska spara följande för varje anslutning och minst under hela systemidentitetens giltighetstid + 3 år:

• identifieringar och utdrag från register,
• delegationshandlingar och signaturer,
• protokoll över utförda kontroller (vem, vad, när),
• utfärdat certifikat / publicerad JWK‑metadata,
• beslut om återkallelse och datum för sådan.

Dokumentationen ska vara möjlig att överlämna vid revision och att maskinellt indexera för sökbarhet.

10. Revision, uppföljning och sanktioner

Federationen äger rätt att:

• begära verifieringsunderlag, utföra stickprov och revisioner hos anslutningsoperatörer,
• ålägga korrigerande åtgärder eller temporär avstängning av nyanslutningar om krav inte uppfylls,
• i allvarliga fall avbryta driftssamarbete med operatörer som upprepade gånger brister i efterlevnad.

11. Avgränsning mot verksamhetsansvar och åtkomstbeslut

Det är tydligt: denna policy reglerar enbart tillitsbyggande åtgärder för identitet och organisationskoppling på federationsnivå. Den reglerar inte:

• autentiseringsnivåer som krävs för att få åtkomst till särskilda tjänster,
• beslut om vilka API‑operationer eller datamängder en ansluten komponent får utföra/åtkomst till,
• verksamhetsbedömningar eller efterlevnadsfrågor i tjänsteleverantörens egna domäner.

Tjänsteleverantörer måste fortsätta att fatta egna åtkomst‑ och säkerhetsbeslut med stöd i federationens tillitserbjudande.

12. Livscykelhantering

Operatören ska ha rutiner för:

• ändringar i organisationsuppgifter (ny firmatecknare, namnändring),
• rotation och återkallelse av nyckelmaterial,
• avveckling av systemidentiteter och borttagning av metadata från publiceringspunkter.

13. Vidareutveckling

Policyn gäller som MVP‑golv. För framtida faser rekommenderas:

...

.