Översiktsvy över den organisatorisk och tekniska infrastrukturen inom Samordnad identitet och behörighet
I Diggs RK-rapport infördes den nya rollen federerationsområdesansvarig. Min tolkning av rollen som den beskrivs i rapporten är att den framförallt ska ansvara för behovet av federationsinfrastruktur för digital samverkan inom avgränsade verksamhetsområden eller kanske samhällssektorer. I detta ansvar ingår att tillse behoven av utformning av behörighetshandlingar (attributprofiler) för att behörighetskontroller ska kunna genomföras. Det ingår även att tillse att det finns egenskapsintyg som samverkande parters tekniska komponenter kan kvalificeras för, i syfte att uppfylla behov ställda av lagar, förordningar, föreskrifter, och överenskommelser inom federationsområdet.
I Diggs RK-rapport, och inom arbetet med samordnad identitet och behörighet saknas rollen samverkansområdesansvarig. Denna roll innehas av en digital tjänsts förlitande part, eller av någon tredje part utsedd av förlitande parter inom ett samverkansområde.
Rollerna och ansvarsfördelningen mellan dem är otydlig. Här följer ett antal påståenden, vilka behöver diskuteras vidare:
Alternativa uppdelningar av aktörer och ansvar behöver utredas då den ovan beskrivna uppdelningen inte alls diskuterats eller förankrats inom den operativa arbetsgruppen och risken är att vi skapar en nationell teknisk infrastruktur, men cementerar en fragmentiserad flora av federationsområden och inte ger ett ändamålsenligt stöd till framtida digitaliseringsbehov i samhället i stort. |
Aktörer som verkar i de roller som definierats under "Roller och Ansvar" ovan kan realisera sina åtaganden genom agenter och ombud.. Realisering behöver sedan naturligtvis inte ske i egen regi, utan kan upphandlas av leverantör. Ansvaret ligger dock alltid kvar på ursprunglig aktör.
GIF står för gemensam informationsförsörjning och är en plattform som är tänkt ska realisera många framtida verksamhetsprocesser där kommuner och myndigheter behöver samverka kring handläggning av invånarärenden.
Tillämpningen ekonomiskt bistånd består av två steg:
Tillit i denna kontext handlar om att en part som är ansvarig för viss information känner sig trygg med att en annan part får tillgång till informationen, hanterar den, tillåts ändra i, eller komplettera den. Grunden för tilliten regleras dels av de lagar som gäller för varje fall, dels av policybeslut kring lagars tolkning och tillämpning. Utöver detta kan samverkande parter ytterligare stärka de tillitsstärkande kraven genom överenskommelser.
I många fall krävs inte någon grund för tillit mellan parter utan samverkan regleras av en skyldighet att dela information - En fråga är om denna skyldighet automatiskt gäller även digital samverkan, eller om informationsansvariga kan ställa extra krav för digital samverkan?
Då "tillit" som begrepp av många tolkas som den subjektiva känsla av trygghet envar kan känna är det kanske olyckligt att använda här. Dock så är begreppet "tillitsramverk" väl etablerat i samverkanssammanhang. Vi behöver besluta vilka uttryck som kan användas och hur de ska tolkas
Jag väljer här att fortsatt i texten använda begreppet "grund för samverkan" för att inte skapa missförstånd. Grund för samverkan definieras som lagar och förordningar, eventuella myndighetsföreskrifter som mer precist reglerar myndigheterna ansvarar för, samt eventuella överenskommelser mellan samverkande parter om att ställa ytterligare tillitsstärkande krav på parter som deltar i viss samverkan - ofta reglerat via avtal.
Grund för samverkan = lagar + förordningar + föreskrifter + överenskommelser |
Hur säkerställer man då att en samverkande part uppfyller sin del för att skapa en grund för samverkan? Lagar, förordningar och föreskrifter förutsätts följas och om parter upptäckts inte uppfylla krav inom dessa områden kan de finnas straffrättsligt ansvariga och tvingas betala böter. Lagar inom vissa samverkansområden kräver att extern revision eller certifiering av verksamheter sker innan de tillåts. Exempel på sådan granskning är CE-märkning av vissa produkter, NMI och MDR, utgivning av e-legitimationer enligt eIDAS, ackreditiering för anslutning till det statliga intranätet SGSI. I dessa fall förlitar man sig inte på att parter har de förmågor som krävs utan man genomför olika grader av efterlevnadskontroller.
Lagar som gäller den faktiska samverkan som sker bygger ofta på specifika lagrum för dessa samverkansområden. Centrala lagrum för hantering av behörighetshandlingar och behörighetskontroller i samband digital samverkan är bland annat dataskyddsförordningen GDPR och Offentlighets- och sekretesslag 2009:400.
Under 2026 börjar NIS 2-förordningen gälla. Detta kommer utöka kraven på viktiga och väsentliga verksamhetsutövare förmågor inom cybersäkerhet, inklusive informationssäkerhet och dataskydd. NIS 2 öppnar för tillsynsmyndigheter att begära revisioner av både privata och offentliga verksamheter inom digital infrastruktur som klassas som väsentliga, enligt 4 kap. 8 § i förslaget till cybersäkerhetslag. Här behövs det en grundlig juridisk kartläggning.
Utöver legala anledningar till att grund för samverkan uppfylls kan samverkande parter sinsemellan komma överens om att parter inom ett specifikt, avgränsat samverkansområde antingen ska uppfylla en högre nivå av säkerhet, eller att de ska bevisa sin lagefterlevnad och sina förmågor genom efterlevnadskontroll. Sådana överenskommelser är frivilliga och kan inte åläggas parter om samverkan i sig krävs enligt lag.
Ett egenskapsintyg är en utfästelse en part gör gällande en egenskap kopplad till en teknisk komponent.
Egenskapsintyg kan beskriva att en eller flera av följande egenskaper hos en teknisk komponent:
För mer kostnadseffektiv (mindre tids- och resurskrävande) etablering av samverkan bör någon betrodd aktör bör ta på sig uppdraget att agera egenskapsintygsägare för egenskapsintyg som kan nyttiggöras inom flera federationområden. Det naturliga vore att detta föll på en statlig myndighet eller en aktör som redan idag stora delar av samhället har stor tilltro till. Exempel på sådana aktörer skulle kunna vara Internetstiftelsen, Myndigheten för civilt försvar, PTS, eller Digg. Exakt hur ett sådant ansvar skulle regleras och implementeras är oklart. Den hitintills prövade ansatsen var att Digg skulle vara egenskapsintygsansvarig för nationella märken och att de skulle använda Internetstiftelsen och Inera som ombud. Detta förfarande har, för nuvarande utformning av egenskapsintygshanteringen, visat sig svårframkomligt.
Ett alternativ vore att implementera nuvarande federativa kvalificerings- och granskningsförfaranden rakt av som egenskaptsmärken för att etablera tillit till hantering av identiteter och behörigheter även för samverkan i den nya federationsinfrastrukturen. Dessa gamla strukturer finansieras redan idag av de granskade parterna och de är etablerade. Nyttoeffekter från att konsolidera dagens hantering i nya jämkade märken uteblir, men å andra sidan blir det ingen etableringskostnad.