Om dokumentet
Status: UTKAST
Datum: 2026-03-10
Ett utkast, kommer kommuniceras tids nog för bredare massa, får ligga här för transperensens skulle
På sidan:
Syfte och avgränsning
Detta dokument beskriver de principer som styr arkitekturella vägval inom Samordnad identitet och behörighet och bygger vidare på det som tidigare har beskrivits i kap. 1.3 i Federationsinfrastruktur. Principerna utgör en gemensam referenspunkt för tekniska, organisatoriska och juridiska beslut och ska säkerställa att infrastrukturen utvecklas konsekvent över tid.
Artefakten är normerande för alla leverabler inom SIB – normativa artefakter, tekniska ramverk, avtalsstrukturer och processer ska kunna härledas till och motiveras utifrån dessa principer.
Avgränsning: Dokumentet behandlar inte enskilda tekniska lösningsval eller detaljerade kravspecifikationer. Dessa hanteras i respektive tekniskt ramverk och kravkatalog.
Drivkrafter
Principerna svarar mot tre grundläggande drivkrafter:
- Minskad integrationsbörda. En gemensam mekanism för hantering av metadata och tillitsinformation minskar behovet av punkt-till-punkt-anpassningar och manuell hantering vid varje ny samverkansrelation.
- Återanvändbarhet och valfrihet. Infrastrukturen ska vara uppdelad i delar som kan användas var för sig eller tillsammans, vilket gör det möjligt för aktörer att använda de delar som är relevanta för deras behov utan att tvingas adoptera helheten.
- Decentralisering och flexibilitet. Varje aktör ansvarar för sin del av tillitskedjan men kan samverka med andra inom ramen för gemensamma spelregler. Behörighet är i grunden knuten till lokalt ansvar och lokal rådighet – arbetsgivaren eller huvudmannen vet i realtid om en roll, delegation eller fullmakt gäller och bär det rättsliga ansvaret.
Principer
Nivå 1 – Grundläggande (styrande för de övriga principernas tillämpning)
| Princip | Beskrivning | Konsekvens | Motivering |
|---|---|---|---|
Lokal rådighet | Den aktör som konsumerar information avgör själv om den är tillämpbar i sin kontext. Infrastrukturen förmedlar och möjliggör verifiering – den styr inte tillämpningen. | Behörighetsinformation ska inte centraliseras. Infrastrukturen tillhandahåller mekanismer för verifiering och förmedling, men respektive aktör behåller rådighet över hur informationen värderar och tillämpas. När en aktör tar del av metadata, registreringspolicyer eller annan tillitsinformation är det den mottagande aktören som bedömer om informationen är tillräcklig för den aktuella digitala samverkan. | Den utfärdande parten bär ansvaret för informationens korrekthet och den förlitande parten bär ansvaret för sitt åtkomstbeslut. En infrastruktur som dikterar hur tillitsinformation ska tillämpas flyttar beslutsansvaret från den part som har rådighet till den som tillhandahåller tekniken. Det är denna separation mellan verifierbarhet och tillämpning som skiljer en federativ infrastruktur från centraliserade modeller. |
Distribuerad ansvarsfördelning | Flera aktörer delar på ansvaret för att upprätthålla och förmedla tillitsinformation, enligt gemensamma regler, utan att en central part kontrollerar hela systemet. | Styrande, operativa och förvaltande funktioner har var och en avgränsade mandat. Ingen enskild aktör ska behöva ta ansvar för samtliga funktioner. Ansvar och rådighet ska ligga där kunskap och påverkansförmåga faktiskt finns. | En central modell för exempelvis behörighetsinformation skulle antingen bli inaktuell eller kräva en centralisering av ansvar som inte är förenlig med gällande rätt eller svensk förvaltningsmodell. |
Normerande men inte tvingande | Infrastrukturen är normerande för offentlig sektor men inte tvingande. Aktörer kan bygga egna federationskontexter med kompletterande styrning, alternativa tillitsmodeller eller särskilda policykrav – så länge den tekniska grunden är gemensam. | Den "gemensamma federationsplattformen" definierar de tekniska och normativa minimikraven. Sektorsspecifika behov hanteras genom kompletterande metadata, policyer och samverkanskontexter ovanpå denna grund – inte genom avvikelser från den. | Tvingande centralisering riskerar att skapa motstånd och särlösningar utanför infrastrukturen. En normerande modell möjliggör bredare anslutning och bevarar den flexibilitet som behövs för att hantera specifika rättsliga och verksamhetsmässiga krav. |
Konsekvens vid konflikt: Om ett lösningsförslag står i strid med en princip på nivå 1 ska förslaget omarbetas, inte principen.
Nivå 2 – Arkitekturellt styrande (realiserar nivå 1 tekniskt och organisatoriskt)
| Princip | Beskrivning | Konsekvens | Motivering |
|---|---|---|---|
Standardisering och interoperabilitet | Infrastrukturen baseras på öppna, internationella standarder för att möjliggöra brett systemstöd och hög grad av interoperabilitet. | Tekniska val ska utgå från etablerade specifikationer. Nationella profileringar och utökningar görs när generella specifikationer kräver anpassning för svenska förhållanden, men utan att bryta kompatibiliteten med underliggande standarder. | Standarder minskar inlåsning, sänker trösklar för anslutning och skapar förutsättningar för framtida internationell interoperabilitet, exempelvis mot EU:s digitala identitetsramverk. |
Modularitet | Infrastrukturen är uppbyggd av fristående komponenter och tydliga roller som kan kombineras efter behov utan att skapa hårda beroenden. | Varje komponent i infrastrukturen har ett definierat gränssnitt och ansvar. Aktörer ska kunna införa de delar som är relevanta för sin kontext utan att tvingas adoptera hela stacken. Federationskontext och samverkanskontext kan kombineras oberoende. | Modularitet möjliggör stegvis införande, minskar risk vid förändringar och stödjer variation mellan sektorer med olika mognad och behov. |
Konsekvens vid konflikt: Avvikelser från nivå 2 kräver explicit motivering och ska dokumenteras som medveten teknisk eller organisatorisk skuld.
Nivå 3 – Kvalitetsdrivande (säkerställer långsiktig hållbarhet)
| Princip | Beskrivning | Konsekvens | Motivering |
|---|---|---|---|
Automation | Validering av metadata och tillitsinformation sker maskinellt och i realtid, vilket minimerar behovet av förhandsregistrering och manuell hantering. | Tillitsinformation kan hanteras dynamiskt genom kryptografisk verifiering av signerad metadata. Aktörer behöver inte känna till varandra i förväg för att kunna fatta betrodda åtkomstbeslut. Lösningar som kräver manuella steg vid varje nytt informationsutbyte ska undvikas. | Motivering: Automation är en förutsättning för skalbarhet. Utan den förblir federationen i praktiken beroende av bilaterala överenskommelser och manuell konfiguration. |
Robusthet och resiliens | Infrastrukturen ska tåla störningar i enskilda delar utan att helheten fallerar. | Decentraliserad metadata och distribuerade operatörer innebär att inget enskilt systemfel slår ut hela federationen. Lösningsval som skapar single points of failure ska undvikas. Infrastrukturen ska vara utformad så att samverkan kan fortsätta även vid störningar. | Motivering: En central flaskhals eller ett centralt nav för metadata utgör en sårbarhet, särskilt ur beredskaps- och resiliensperspektiv. |
Skalbarhet över tid | Infrastrukturen ska kunna växa stegvis – i antal aktörer, antal federationskontexter och i komplexitet – utan att tidiga antaganden låser framtida utveckling. | Arkitekturen får inte bygga in antaganden om volymer, aktörsstrukturer eller användningsmönster som inte kan omprövas. Nya federationskontexter, samverkanskontexter och operatörer ska kunna tillkomma utan att helheten behöver omarbetas. | Motivering: Federationen befinner sig i ett tidigt skede. Lösningar som optimerar för nuläget men hindrar framtida utbyggnad skapar teknisk och organisatorisk skuld. |
Konsekvens vid konflikt: Avvikelser på nivå 3 accepteras om de är tidsbegränsade, dokumenterade och inte permanent undergräver principer på nivå 1 eller 2.
Tillämpning
Principerna tillämpas vid:
- utformning och granskning av normativa artefakter (federationspolicy, tekniska ramverk, kravkataloger, avtal),
- arkitekturbeslut och tekniska vägval,
- utvärdering av nya behov, förändringsförslag och anslutningsmodeller,
- kommunikation mot externa aktörer och intressenter.