Part i Ena-federationen som inte är ett offentligt organ ska drivas som registrerad juridisk person samt teckna och vidmakthålla för verksamheten erforderliga försäkringar.

Part i Ena-federationen ska ha en etablerad verksamhet, vara fullt operationell

för samverkan inom federationen, samt vara väl insatt i de juridiska krav som ställs

.

Part i Ena-

federationen ska ha ett systematiskt och riskbaserat informationssäkerhetsarbete. Detta ska införas och användas för de delar av verksamheten som på något sätt är inblandad i drift, förvaltning, eller annat handhavande av komponent för vilken detta krav ska efterlevas.

Part i Ena-federationen ska

utse en person som ansvarar för organisationens anslutning till Ena-federationen.

Part i Ena-federationen ska

utse en person som ansvarar för varje komponent som organisationen väljer att ansluta till Ena-federationen.

Part i Ena-federationen ska ha

samtliga säkerhetskritiska, administrativa och tekniska processer dokumenterade och vilande på en formell grund, där roller, ansvar och befogenheter finns tydligt definierade.

Part i Ena-federationen ska

säkerställa att denne vid var tid har tillräckliga personella resurser till förfogande för att uppfylla sina åtaganden inom Ena-federationen.

Part i Ena-federationen ska ha en process för riskhantering som på ett ändamålsenligt sätt, kontinuerligt eller minst var tolfte månad, analyserar hot och sårbarheter i verksamheten. Processen ska resultera i en förbättringsplan innehållande rekommenderade säkerhetsåtgärder.

Part i Ena-federationen ska

ha en process som omfattar såväl incidentrapportering som hur lämpliga reaktiva och preventiva åtgärder vidtas för att lindra eller förhindra skada till följd av incidenter.

Part i Ena-federationen

ska i samband med incident skyndsamt vidta åtgärder för att återställa förtroende inom federationen.

Part i Ena-federationen ska

vid incidenter som kan påverka tilliten till medlemmens roll i federationen, kommunicera detta enligt gällande incidentprocess. 

Part i Ena-federationen ska regelbundet utvärdera arbetet med informationssäkerheten och införa förbättringsåtgärder i ledningssystemet.

Part i Ena-federationen som har lagt ut utförandet av en eller flera säkerhetskritiska processer på en underleverantör, ska definiera vilka processer som underleverantören är ansvarig för utförandet av, vilka krav som är tillämpliga på dessa, samt att underleverantören ska uppfylla dessa krav, samt säkerställa att detta regleras mellan parterna.

Part i Ena-

federationen ska ha en kontaktpunkt för tekniska ärenden

Part i Ena-federationen ska, i tillämpliga delar, bevara:

1. Avtal
2. Styrande dokument
3. Handlingar som rör förändringar av uppgifter hänförliga till Användare, Attribut och Metadata
4. Övrig dokumentation som stöder efterlevnaden av de krav som ställs på denne, och som visar att de säkerhetskritiska processerna och kontrollerna fungerar.

Tiden för bevarande av avtal, dokument och handlingar enligt krav Ena O.15 ska inte understiga fem år och material ska kunna tas fram i läsbar form under hela denna tid, såvida inte krav på gallring påkallas från integritetssynpunkt eller har stöd i lag eller annan författning.

Part i Ena-federationen ska

ha rutiner som säkerställer att endast behörig personal har åtkomst till de uppgifter som samlas in och bevaras i enlighet med Ena O.15.

Part i Ena-

federationen ska ha en funktion för internrevision som periodiskt granskar verksamheten enligt följande:

1. Internrevisorn ska vara oberoende i utförandet av uppdraget på ett sätt som tryggar en objektiv och opartisk granskning och ha den kompetens och erfarenhet som krävs för uppdraget.
2. Internrevisorn ska självständigt planera genomförandet av revisionen och dokumentera detta i en revisionsplan som sträcker sig över en 3-årsperiod.
3. Varje enskild internrevisions omfattning ska väljas utifrån en riskanalys och grundas i kraven som ställs på medlemmen inom Ena-federationen.
4. Revisionsresultatet ska dokumenteras och vid förfrågan göras tillgänglig för ledningsaktör och operatörer

1. .

Part i Ena-

federationen ska regelbundet genomgå revision enligt fastställd plan och tillgängliggöra den information och de resurser som krävs för att revisionen ska kunna genomföras.

Part i Ena-federationen ska

vid eventuella brister och avvikelser som påträffas vid en revision åtgärda

dessa skyndsamt. Tidsfrist meddelas av den part som står bakom revisionskraven.

Part i Ena-federationen får endast använda behörighetsgrundande information inom ramen för avtal och överenskommelser för samverkan inom Ena-federationen om inte särskild överenskommelse finns med informationsägande organisation.

Part i Ena-federationen ska säkerställa

att behörighetsgrundande information som behandlas ska skyddas emot obehörig åtkomst.

Part i Ena-federationen

ansvarar för att behörighetsgrundande information är korrekt, aktuell och verifierad mot ursprungskällor. Rutinen för detta ska finnas dokumenterad.

Part i Ena-federationen ska

säkerställa att det finns rutiner för egenkontroll av att informationen i en attributkälla är korrekt och aktuell.

Part i Ena-federationen ska

ha processer för systematisk verifiering av attributs korrekthet finns tydligt dokumenterad och implementerad.

Part i Ena-federationen ska säkerställa att

information i beskrivningar och fritextfält ej är stötande eller kränkande. Den ska vara informativ och relevant utan värderingar och jämförelse med andra.

Tillhandahållare av attributkälla ska säkerställa att personer

registrerade i attributkällan ska ha ett anställnings- eller uppdragsförhållande till den organisation de tillhör.

Part i Ena-federationen ska

säkerställa att data för verifikation i produktionsmiljö inte sprids externt.

Part i Ena-federationen

som hanterar personuppgifter (inklusive skyddade) inom ramen för Ena-samverkan ska ha en policy för detta.

Part i Ena-federationen

får inte göra påståenden om organisationer, system, eller användare  som man inte har rätt att företräda gällande aktuellt påstående.

Part i Ena-federationen ska ha genomfört bakgrundskontroll för de personer som innehar roll av särskild betydelse för säkerheten. Detta i syfte att förvissa sig om att personen kan anses vara pålitlig samt att personen har de kvalifikationer och den utbildning som krävs för att på ett säkert och betryggande sätt utföra de arbetsuppgifter som följer av rollen.

Part i Ena-federationen ska

fysiskt skydda verksamhetens centrala delar mot skada som följd av miljörelaterade händelser, otillåten åtkomst eller andra yttre störningar genom att:

1. Åtkomst till känsliga utrymmen är begränsad till behörig personal
2. Informationsbärande media förvaras, hanteras och avvecklas på ett säkert sätt
3. Tillträde till dessa skyddade utrymmen kontinuerligt övervakas

Part i Ena-federationen ska

säkerställa att de tekniska kontroller som finns införda är tillräckliga för att uppnå den skyddsnivå som bedöms nödvändig med hänsyn till verksamhetens art, omfattning och övriga omständigheter, och att dessa kontroller fungerar och är effektiva.

Part i Ena-federationen ska säkerställa

att elektroniska kommunikationsvägar som nyttjas i verksamheten för överföring av känsliga uppgifter ska skyddas mot manipulation, insyn och annan otillåten åtkomst.

Part i Ena-federationen ska säkerställa att

känsligt kryptografiskt nyckelmaterial som används för kryptering och signering ska skyddas.

Part i Ena-federationen ska säkerställa att

åtkomst till känsligt kryptografiskt nyckelmaterial ska begränsas, logiskt och fysiskt, till de roller och de tillämpningar som kräver det.

Part i Ena-federationen ska

ha infört dokumenterade rutiner som säkerställer att erforderlig skyddsnivå i IT-miljön kan upprätthållas över tid för att möta förändrade risknivåer eller andra typer av förändringar. Rutinen ska innefatta regelbundna sårbarhetsundersökningar samt beskriva ändamålsenlig beredskap för att hantera inträffade incidenter.

Part i Ena-federationen ska

säkerställa att utställda intyg skyddas mot obehörig åtkomst.

Part i Ena-federationen ska säkerställa att

uppdatering av behörighetsgrundande information i såväl ursprungskälla som i temporära mellanlager ska gå att spåra avseende tidpunkt för förändringen och vem (person och system) som utfört förändringen.

Part i Ena-federationen ska ha dokumenterad åtkomstpolicy för skyddade resurser. 

Part i Ena-federationen ska säkerställa att tilldelade pseudonymiserade personidentifierare lagras för spårning och uppföljning under en period som bestäms av gällande lagstiftning och policyer för de tillämpningar där personidentifierarna används.

Part i Ena-federationen ska säkerställa att

förändringar av

behörighetsgrundande information ska loggas. Loggfiler ska innehålla information om vilken förändring som gjorts, om användare och system som gjorde förändringen, samt tidpunkt för förändringen.

Part i Ena-federationen ska uppnå spårbarhet genom loggning av så väl systemanvändares som fysiska användares aktiviteter i organisationens anslutna tekniska komponenter.