• Fastställa, förvalta och vidareutveckla tillitsramverk, specifikationer och profiler
• Förvalta kravkatalog och normativa artefakter (policyer, villkor, avtalsmallar)
• Samordna och ackreditera federationsoperatörer
• Säkerställa normativ koherens mellan federationskontexter (så att plattformen inte fragmenteras)
• Föra dialog med samverkansaktörer och skapa förutsättningar för harmoniserade attributdefinitioner
• Följa upp efterlevnad och hantera förändringspolicy

Förutsättningar för förmedling och verifiering av tillitsinformation

För att parter i en federation ska kunna lita på varandras tekniska komponenter behövs gemensamma regler för hur denna tillit etableras, uttrycks och verifieras. Utan sådana regler uppstår parallella och inkompatibla tillitsmodeller, vilket tvingar aktörer att genomgå separata granskningar och teckna bilaterala överenskommelser för varje ny samverkansrelation.

Samordnad identitet och behörighet fastställer en tillitsmodell i tre nivåer:

• Grundtillit genom anslutnings- och registreringspolicy. Gemensamma policys reglerar de minimikrav och kontroller som gäller vid anslutning av organisationer och system - oavsett vilken anslutningsoperatör som används. Det omfattar verifiering av juridisk person, behörig företrädare samt koppling mellan organisation och teknisk komponent. Denna nivå gör att federationens metadata blir pålitlig: en part kan förlita sig på att en registrerad komponent tillhör en identifierad och verifierad organisation.
• Kravkatalog för informationssäkerhet. Kravkatalogen samlar mätbara och verifierbara krav som organisationer och komponenter kan behöva uppfylla. Katalogen är i sig inte bindande, den blir det genom att specifika krav pekas in som villkor i avtal eller överenskommelser. Genom denna konstruktion kan samma krav återanvändas i flera federationskontexter och samverkansområden utan att behöva omformuleras, vilket skapar enhetlighet och minskar dubbelarbete i kravställning.
• Egenskapsintyg för utökade tillitsbehov. När en viss tillämpning eller federationskontext behöver uttrycka egenskaper utöver minimikraven - exempelvis att en komponent genomgått en specifik granskning eller uppfyller specifika krav - kan detta ske genom egenskapsintyg (tekniskt: trust marks). Ledningsaktören fastställer den normativa grunden för hur egenskapsintyg definieras, struktureras och publiceras, samt under vilka förutsättningar de kan återanvändas mellan federationskontexter. Utfärdandet och granskningen ansvarar egenskapsintygsägare för. Denna nivå ligger som nästa steg i utvecklingen och ingår inte i det första införandesteget.

Effekten av de tre nivåerna är en skalbar tillitsmodell: grundtilliten ger alla parter en gemensam bas att stå på, kravkatalogen möjliggör återanvändbara kravställningar utan att varje kontext behöver uppfinna egna, och egenskapsintyg gör det möjligt att uttrycka och verifiera ytterligare egenskaper när tillämpningen kräver det. Detta utan att den grundläggande tillitsmodellen behöver göras om.

Gemensamma specifikationer och profiler

Idag bygger varje organisation eller sektor egna tekniska lösningar för identitets- och behörighetshantering med egna format, egna protokolltolkningar och egna säkerhetsmodeller. När en aktör behöver samverka med parter i andra sektorer måste unika integrationer utvecklas, trots att de underliggande behoven ofta är desamma. Kostnaden för varje ny anslutning ökar p.g.a bristande teknisk interoperabilitet.

Samordnad identitet och behörighet tillhandahåller nationellt fastställda profileringar av öppna standarder, bl.a. för federering, legitimering och åtkomsthantering, samt tekniska ramverk som beskriver hur metadata, tillitsinformation och egenskapsintyg struktureras och publiceras. Dessa specifikationer utgör den gemensamma grunden som federationskontexter bygger på när de realiserar operativa tjänster.

Effekten är att en aktör som implementerar enligt de gemensamma specifikationerna kan samverka med andra anslutna parter med hög grad av interoperabilitet. Interoperabiliteten uppstår genom att alla bygger på samma tekniska och semantiska grund, inte genom att ledningsaktören operativt förmedlar information, utan genom att specifikationerna säkerställer att aktörers system kan tolka och förstå varandras uppgifter om identitet och behörighet.

Definierad rollmodell för att bygga och driva federationskontexter

Utan en gemensamt regelverk för roller, ansvar och villkor riskerar varje sektor eller tillämpning att uppfinna egna strukturer för hur anslutning, tillitsförmedling och granskning ska organiseras. Det leder till fragmentering i form av att ansvar blandas ihop, operativa förmågor går inte att återanvända mellan kontexter, och varje ny federationskontext har sina egna strukturer och organisation vilket sällan blir skalbart eller återanvändbart.

Samordnad identitet och behörighet definierar en uppsättning roller med tydliga ansvar och avgränsningar som utgör grunden för hur federationskontexter etableras och drivs. Rollmodellen reglerar vem som ansvarar för tillitsinfrastruktur, vem som bär anslutningsprocessen, vem som granskar och utfärdar egenskapsintyg, och vad som krävs av den som ansluter sina tekniska komponenter. Ledningsaktören fastställer vad respektive roll ska uppfylla genom avtal, villkor och processbeskrivningar, samt hur rollerna förhåller sig till varandra.

Effekten är att nya federationskontexter kan byggas utan att varje kontext behöver uppfinna en egen organisationsmodell. Rollerna, deras ansvar och de avtalsmässiga relationerna dem emellan är redan definierade, det som tillkommer är den kontextspecifika tillämpningen. Operativa aktörer vet vad som förväntas av dem, anslutande parter vet vad de kan kräva, och ledningsaktören kan säkerställa enhetlighet utan att vara operativt involverad i varje kontext.

Övergripande värdepåståenden

En gemensam normgrund för åtkomst - Samordnad identitet och behörighet stärker förtroendet mellan parter genom definierade roller, gemensamma krav, enhetliga avtalsstrukturer och fastställda säkerhetsnivåer. Ledningsaktören tillhandahåller ramverket; realisering sker i federationskontexter.

Samordnad - inte centraliserad - Varje organisation behåller kontrollen över sina identiteter och sin behörighetshantering. Den gemensamma plattformen fastställer spelreglerna som gör att lokalt ansvar kan ge federationsövergripande tillit.

Från särlösningar till gemensam grund - En nationell uppsättning specifikationer, krav och avtalsstrukturer ersätter behovet av sektorspecifika eller bilaterala lösningar för den grundläggande tillits- och interoperabilitetsfrågan.

Effektivare användning av resurser - Gemensamma krav, profiler och avtalsmodeller minskar kostnaden för varje ny samverkansrelation och anslutning. Investeringen görs en gång i den gemensamma grunden och återanvänds av samtliga federationskontexter.

Skalbar och anpassningsbar - Plattformens lagermodell tillåter att nya federationskontexter, samverkansområden och aktörer kan tillkomma utan att den gemensamma normgrunden behöver göras om. Domänspecifika behov hanteras genom kompletterande regler ovanpå den gemensamma basen.

• Mot federationsoperatörer: Regelstyrda avtal som definierar rättigheter, skyldigheter och villkor. Anslutning och uppföljning. Relationen är formell och avtalsbaserad.
• Mot samverkansaktörer (EHM, SKR, Skolverket m.fl.): Samverkan kring utveckling och förankring av ramverk och specifikationer. Relationen är dialogbaserad och iterativ - de bidrar med domänkunskap, Digg samordnar och fastställer.
• Mot federationsmedlemmar (indirekt): Ledningsaktören har normalt inte en direkt relation till enskilda federationsmedlemmar - den relationen bärs primärt av anslutningsoperatörer. Däremot tillhandahåller ledningsaktören transparens genom publicerade regelverk, krav och villkor som federationsmedlemmar kan ta del av.

Primärt:

• Federationsoperatörer och anslutningsoperatörer - de som operativt bygger och driver federationskontexter med stöd av plattformen
• Egenskapsintygsägare - de som behöver den gemensamma grunden för att definiera och utfärda egenskapsintyg

Indirekt:

• Federationsmedlemmar, tjänsteleverantörer och integratörer - de realiserar och använder infrastrukturen men deras primära relation går via operatörer, inte direkt till ledningsaktören

• Normativa artefakter: tillitsramverk, specifikationer, profiler, kravkatalog, avtalsmallar, policyer
• Juridisk kompetens (avtalsrätt, offentligrättslig reglering, dataskydd)
• Kompetens inom informationssäkerhet, standardisering och interoperabilitet
• Förvaltningsorganisation för regelverk och specifikationer
• Samverkansstrukturer och forum med nyckelpartners

• Digg.se: Att begripliggöra Diggs uppdrag och samordna och stödja den förvaltningsgemensamma digitaliseringen.
• GitHub: Tekniska specifikationer, profiler, referensimplementationer och övriga normativa artefakter.
• EHMs Confluence (samverkansyta): Arbetsyta för utveckling tillsammans med nyckelpartners - utkast, triggermaterial, leveransplanering
• Forum och arbetsgrupper: Dialog med operatörer, samverkansaktörer och federationsmedlemmar
• Ena-strukturen: Samordning med andra byggblock i Sveriges digitala infrastruktur

• Utveckling och förvaltning av normativa artefakter (specifikationer, profiler, kravkatalog, avtalsmallar)
• Personal: juridik, informationssäkerhet, arkitektur, standardisering, samordning
• Samverkan och förankring med nyckelpartners (workshops, remissomgångar, dialogmöten)
• Uppföljning och efterlevnadskontroll av operatörer
• Kommunikation och kunskapsspridning

• Statlig finansiering (Diggs anslag).

• Drifta och förvalta Tillitsankartjänst enligt den gemensamma plattformens krav
• Drifta och förvalta uppslags- och verifieringstjänst för metadata och tillitskedjor
• Publicera federationsmetadata och upprätthålla verifierbara tillitskedjor
• Möjliggöra nyetablering av anslutningsoperatörer genom avtal, tekniskt ramverk, processer
• Utföra efterlevnadskontroll av anslutningsoperatörer under BAS tillitsankare
• Hantera livscykel för metadata, nycklar och kryptografiskt material
• Incidenthantering och avvikelsehantering kopplat till federationsinfrastrukturtjänsterna
• Stegvis vidareutveckling av infrastrukturen (egenskapsintyg, användaridentitet, behörighet)
• Samordna, normera och vidareutveckla federationsinfrastrukturen genom samverkan med berörda aktörer, inklusive att ta fram, förvalta och kommunicera gemensamma regler, principer, profiler, processer och vägledningar.

"BAS" är den första operativa instansieringen på behörighetsområdet (Sweden Connect gör en parallell förflyttning på identitetsområdet) av den gemensamma federationsplattformen Samordnat identitet och behörighet. Den tillhandahåller den tekniska infrastruktur och de operativa tjänster som krävs för att organisationer ska kunna ansluta tekniska komponenter och etablera federativ tillit mellan system över sektors- och organisationsgränser.

I det första steget (MVP 2026) fokuserar erbjudandet på verifierbar systemidentitet och verifierad koppling mellan system/komponent och anslutande organisation. Tillit uttrycks genom giltig och signerad metadata innebär att anslutning skett enligt gemensam anslutningspolicy och registreringspolicy. Infrastrukturen säkerställer att rätt system från rätt organisation kan identifieras.

Erbjudandet utvecklas stegvis: organisatorisk behörighet (steg 2), federerad användaridentitet (steg 3) och förmedling av behörighetsgrundande information (steg 4).

Det centrala värdet är att BAS bryter ut identitets- och behörighetsfrågan ur det som idag hanteras som en sammanslagen del av varje enskilt informationsutbyte. Organisationer som samverkar digitalt behöver idag lösa vem motparten är, vilka komponenter som representerar den organisationen och under vilka villkor man kan lita på anslutningen - och det löses på nytt för varje integration. BAS skapar en gemensam, återanvändbar mekanism för just denna del. Det innebär inte att bilaterala överenskommelser försvinner. Det som reglerar det faktiska informationsutbytet, dess innehåll och villkor, består och ägs av parterna. Men den del som handlar om identitet, tillit och behörighet behöver inte längre lösas från grunden varje gång. Parter kan istället peka på federationens gemensamma grund.

• Mellan federationsoperatör och  anslutningsoperatörer: Avtalsbaserad relation. Federationsoperatören ackrediterar, övervakar efterlevnad och tillhandahåller tekniskt ramverk för anslutning. Relationen är formell med definierade rättigheter och skyldigheter.
• Mellan anslutningsoperatör och federationsmedlemmar  Det är i denna relation som det konkreta erbjudandet realiseras. Anslutningsoperatören är den aktör som federationsmedlemmen möter: det är via anslutningsoperatören som avtal tecknas, komponenter registreras, metadata verifieras och livscykelhantering sker.
• Mellan federationsmedlemmar: Stödjande relation. BAS tillhandahåller den infrastruktur som samverkansaktörer behöver för att realisera sina tillämpningar. Relationen utvecklas i takt med att konkreta tillämpningar etableras.

Primärt:

• Federationsmedlemmar (statliga myndigheter, kommuner, regioner, privata utförare) - de är den slutliga användaren av infrastrukturen, via sin anslutningsoperatör

Sekundärt:

• Egenskapsintygsägare (från steg 2) - de behöver infrastrukturen för att publicera och verifiera egenskapsintyg via tillitskedjorna
• Tjänsteleverantörer och integratörer - de implementerar tekniska komponenter som ansluts och behöver dokumentation, testmiljöer och tydliga tekniska gränssnitt
• Anslutningsoperatörer - de behöver en fungerande infrastruktur att koppla sina anslutningstjänster till

• Teknisk federationsinfrastruktur: Ttillitsankartjänst, Anslutningstjänst, Uppslags- och verifieringstjänst (resolver), metadataregistreringstjänst.
• Kryptografiskt nyckelmaterial och certifikathantering
• Driftmiljöer: test, QA och produktion med definierade krav per miljö
• Operativ kompetens: drift, informationssäkerhet, incidenthantering
• Avtal och överenskommelser med anslutningsoperatörer
• Den gemensamma federationsplattformens normativa artefakter (specifikationer, profiler, policyer)

• Tekniska gränssnitt: Tillitsankartjänstens och uppslags-/verifieringstjänstens API:er som det primära "gränssnittet" mot anslutningsoperatörer och deras system
• Testmiljöer: Sandlådemiljöer för anslutningsoperatörer och federationsmedlemmar att testa anslutning och tillitskedjor innan produktionssättning
• Dokumentation och tekniska anvisningar: Publicerade via GitHub och Digg.se
• Operativ support och incidentkanal: Kontaktvägar för anslutningsoperatörer vid driftstörningar eller avvikelser
• Samverkansforum: Dialog med anslutningsoperatörer om förändringar, vidareutveckling och erfarenhetsutbyte

• Samordning för att normera och vidareutveckla federationsinfrastrukturen med berörda aktörer
• Drift och förvaltning av tillitsankartjänst och uppslags-/verifieringstjänst (infrastruktur, övervakning, säkerhet)
• Kryptografisk nyckelhantering och certifikatförvaltning
• Incidenthantering, avvikelsehantering och driftberedskap
• Förvaltning och vidareutveckling av tekniska federationsinfrastrukturtjänster
• Ackreditering, uppföljning och efterlevnadskontroll av operatörer
• Test- och verifieringsmiljöer
• Personal: drifttekniker, informationssäkerhet, teknisk arkitektur, förvaltningsledning, ärendehandläggning.

• Primärt: Statlig finansiering via Diggs anslag - i det initiala skedet där Digg etablerar BAS som startstrategi för att möjliggöra att federationsinfrastrukturen överhuvudtaget kommer igång