Vägval, inriktning och fortsatt arbete för federativ infrastruktur med fokus på FOA-frågan samt övriga diskuterade områden (basutbud, tillit, kontroller, attribut, EHDS/NDI, samverkan)
2026-02-05
Jakob Fransson
Deltagare i mötet som ligger till grund för nedan text:
Tjäder Johan
Edéus Katarina
Norlander Henric
Malmros Anders
Carlsson Stig
Dahlbäck Niklas
Sandberg Joakim
Detta PM sammanfattar diskussionen och de ställningstaganden som framkom kring hur en federativ infrastruktur ska styras och förvaltas. Tyngdpunkten låg på frågan om en eventuell roll som Federationsområdesansvarig (FOA), men diskussionen omfattade även vad som ska ingå i ett gemensamt basutbud (“golv”), hur tillit och efterlevnad ska hanteras, hur ansvar ska delas mellan nationell infrastruktur och sektorer/datakällor (särskilt avseende attribut), samt hur arbetet ska bedrivas genom konkreta case och gap-analyser kopplade till EHDS/NDI. En bärande inriktning är att undvika att skapa nya formella roller och onödig byråkrati innan behov är verifierade, och att i stället arbeta behovsdrivet och etablera fungerande "samverkansarenor" som möjliggör återkoppling och lärande.
Arbetet syftar till att skapa förutsättningar för flera aktörer och tillämpningar att samverka genom gemensamma komponenter och gemensamma spelregler. Samtidigt finns en risk för fragmentering om olika aktörer bygger parallella lösningar eller om krav och kontrollnivåer varierar utan att det blir tydligt vad som gäller.
En central utgångspunkt är därför att tydligt skilja mellan vad som krävs för att ansluta till en federation (tröskel/basnivå) och vad som krävs för faktisk åtkomst och användning i en specifik tillämpning (tillämpningskrav/profil).
En annan utgångspunkt är att säkerhet inte ska behandlas som ett binärt “on/off”-läge, utan som en gradvis förmåga där både kontroll och lärande bidrar till en högre faktisk säkerhetsnivå.
FOA-frågan handlar i grunden om styrning och ansvar, om det behövs en särskild funktion för att hålla ihop kravbild, tillit, samordning och förändring inom ett område, eller om detta kan lösas genom befintliga roller, gemensamma artefakter och en fungerande samverkansstruktur. Inriktningen är att inte etablera FOA i nuläget. Nya formella roller ska inte skapas förrän ett konkret och verifierat behov finns, och arbetet ska utgå från redan identifierade roller inom infrastrukturen.
Samtidigt konstateras att FOA-frågan är kopplad till mandat och kravställning. Om det visar sig att tvingande nationella krav behövs utöver basutbudet ska mandatfrågan drivas aktivt, och parterna ska samverka kring nationell kravställning för tillit när behov uppstår. Detta kan i förlängningen bli en drivare som gör att ansvar behöver bäras mer formellt, men den valda ordningen är att först synliggöra behovet, sedan hantera mandatet, och först därefter ta ställning till om en ny roll faktiskt behövs.
För att FOA ska bli motiverad behöver det framträda ett gap som inte kan hanteras inom befintliga roller och samverkansformer. Tre typer av gap diskuterades som potentiellt relevanta: (1) oklarhet i basutbudets avgränsning och förvaltning, (2) otydlighet i ägande/mandat kring tillit, krav och eventuella kontroller, samt (3) bristande struktur för sektorsansvar och återföring till det gemensamma. Om dessa gap kan lösas genom tydliga artefakter och forum minskar behovet av FOA; om de kvarstår och kräver sammanhållen nationell styrning kan FOA bli aktuell senare.
Basutbudet beskrevs som den gemensamma grund som bör vara återanvändbar och möjliggöra anslutning på ett enhetligt sätt. DIGG förväntas bära basutbudet och ansvara för det generella, inklusive regelverk för basnivån och grundläggande federationsavtal. Samtidigt är avgränsningen av basutbudet en kärnfråga: vad som ska vara gemensamt och tvingande, och vad som bör lämnas som tillämpnings- eller sektorsspecifikt.
En viktig del i avgränsningen är skillnaden mellan att “släppas in i federationen” och att “nå saker”. Anslutning och basnivå kan hanteras med ett gemensamt golv, medan faktisk åtkomst till data/tjänster kan ställa ytterligare krav som behöver hanteras i tillämpningsprofiler. Det diskuterades också att baskrav kan behöva förändras över tid i takt med förändrad hotbild och regelutveckling, vilket skapar behov av en mekanism för versionering/giltighet och en ordnad förvaltningsprocess.
Diskussionen omfattade hur tillit ska uttryckas och operationaliseras, inklusive frågan om tillitsmärken och hur många nivåer som i så fall är rimliga. En återkommande spänning är att ett “märke” riskerar att uppfattas som likvärdigt trots att kontrollnivåer varierar mellan olika tillämpningar, vilket kan skapa kommunikativ förvirring. Samtidigt finns en vilja att undvika "överkomplexitet" och att inte bygga en modell som blir “lager på lager”.
Det finns en tydlig avgränsning i ansvar för kontroller. DIGG har inte för avsikt att bedriva operativ revision/tillsyn (platsbesök, verksamhetsgranskning, kontinuerlig compliance-audit) av anslutna aktörer, bland annat på grund av det i bedöms i praktiken kräva förutsättningar som kommer vara svåra/omöjliga att realisera - ekonomiskt, kompetensmässigt och juridiskt.
Däremot är Digg positivaatt tillhandahålla en central kravkatalog och ge uttryck för rekommenderade "tillitsmärken" i syfte att öka sannolikheten till en hög grad av harmonisering. En central fråga för fortsatt arbete är därför att definiera vilka krav som ska efterlevas inom basutbudet, vilka kontroller som behövs, vem som ska utföra dem och hur långt de ska gå, utan att hamna i orimliga eller felaktigt mandatdrivna kontrollformer. Det uttrycktes även en syn att säkerhet inte enbart uppnås genom kontroller, utan också genom lärande, kultur och förmågehöjning hos anslutna parter, vilket bör ses som en del av den samlade säkerhetsstrategin.
En central del i resonemanget är anslutningsperspektivet och frågan om vem som bär ansvaret för att det finns anslutningsoperatörer som anslutande parter kan använda. Frågan kopplas direkt till FOA-idén: om en FOA eller annan funktion behövs handlar det i praktiken om att någon behöver ta ansvar för att det finns en fungerande anslutningskapacitet, så att alla kan ansluta på ett bra sätt när antalet aktörer är stort, exempelvis vårdgivare.
Samtidigt är inriktningen att etablering av anslutningsoperatörer inte passar i en sektorsindelad logik. Anslutningsoperatörer behöver fungera tvärgående och det fungerar inte att lägga etableringsansvaret på en “mellannivå”. Det finns aktörer som räcker upp handen för en sådan roll, där Internetstiftelsen och Inera nämns, men ansvarsfördelningen och etableringsmodellen behöver fortfarande tydliggöras.
Frågan kopplas också till likformighet i basnivån. Om det finns en gemensam basnivå (“golvet”) innebär det att samtliga anslutningsoperatörer kontrollerar basnivån med samma kvalitet. I detta hänger anslutningsoperatörens arbete ihop med de gemensamma artefakterna: DIGG ansvarar för regelverk/reglering av basnivån och grundläggande federationsavtal, och anslutningsprocessen knyts till att vissa delar kan kontrolleras via anslutningsoperatör utifrån det gemensamma regelverket.
Sammanfattningsvis är anslutningsoperatörernas etablering och ansvar en tydlig kärnfråga som fortfarande kräver klargörande, särskilt vad gäller vem som ansvarar för etableringen, hur rollfördelningen ser ut och hur likformig kontroll av basnivå säkerställs.
En tydlig princip är uppdelningen mellan infrastruktur och innehåll. SIB ansvarar för att tillhandahålla teknisk infrastruktur för en nationell attribut-/behörighetskatalog, gemensam struktur och standardiserade format samt en samlad publiceringsplats där aktörer kan hitta definitioner och profiler. Däremot ska SIB inte fylla katalogen med innehåll eller definiera värdemängder; detta ägs av respektive datakälla/sektor. DIGG tar inte ansvar för attributdefinitioner, men kan tillhandahålla katalog/struktur för definitionerna. Såklart kan det finnas en delmängd som är nationella behörighetsattribut och dessa bör Digg ta ansvar för.
Kopplat till detta diskuterades behovet av en feedbackloop: sektorsspecifika delar ska kunna utvecklas där de hör hemma, men generiska delar och gemensamma mönster ska kunna återföras till det gemensamma på ett ordnat sätt. Detta är en nyckel för att undvika fragmentering utan att centralisera sektorsinnehåll. Det här är strukturer vi bygger på lång sikt, behovet blir större i takt med att vi får en högre anslutningsgrad.
En viktig diskussionspunkt var relationen mellan det gemensamma basutbudet och de behov som följer av EHDS/NDI. Det behöver tydliggöras vad infrastrukturen erbjuder i dag och vad som kommer att krävas framåt. Utgångspunkten är att kompletteringar kan behövas, men att man behöver en konkret gap-analys för att fastställa vad som saknas och om kompletteringarna är generella (kandidat för basutbud) eller tillämpningsspecifika (kandidat för profil).
Arbetssättet som lyftes fram innebär ett perspektivskifte från teoretisk modellering till behovsdriven validering. Ett skarpt case används för att konkretisera vad som krävs för säker funktion, vilka kontroller som behövs och hur de ska utföras, och därefter jämförs detta med vad basutbudet faktiskt levererar. Om ett gap identifieras avgörs om det är generellt (bör bli del av basutbudet) eller specifikt (bör hanteras som tillämpningsprofil). Parallellt genomförs gap-analys mot EHDS/NDI för att fånga kommande krav och för att kunna göra samma typ av avgränsning.
Samverkan ska organiseras för att möjliggöra dialog, lärande och återkoppling i gemensamma frågor. DIGG tar ansvar för att tillhandahålla arenor för detta. Olika typer av råd/arenor nämndes (strategiskt/taktiskt/operativt samt sektorsvisa), men startpunkten är pragmatisk: initialt körs samverkansforum tillsammans, med möjlighet att dela upp senare om behov och volym växer. Denna samverkansstruktur fungerar också som den primära mekanismen för att hantera samordningsbehov utan att omedelbart införa nya formella roller som FOA.
Det kvarstår behov av fördjupning kring ägandeskap och mandat för tillit, krav och efterlevnad samt hur relaterade artefakter ska förvaltas. Basutbudets exakta definition och avgränsning behöver fastställas, inklusive hur baskrav kan förändras över tid och hur versionering/giltighet ska hanteras. Det behöver också tydliggöras vilka krav som ska efterlevas och vilka kontroller operatörer ska utföra, med särskild vikt vid att undvika orimliga kontrollformer och mandatproblem. Därutöver behöver jämförelsen mellan vad infrastrukturen erbjuder och vad EHDS/NDI kräver konkretiseras genom gap-analysen.
En särskild öppen fråga gäller anslutningsperspektivet och anslutningsoperatörernas etablering och ansvar. Det behöver klargöras vem som ansvarar för att det finns anslutningsoperatörer som kan nyttjas av anslutande parter, hur etableringsmodellen ser ut och hur anslutningsoperatörer fungerar tvärgående utan att bli sektorsindelade. I detta ingår att tydliggöra rollfördelning och ansvarskedja, samt hur det säkerställs att samtliga anslutningsoperatörer kontrollerar basnivån med samma kvalitet utifrån gemensamma regelverk och avtal. Aktörer som Internetstiftelsen och Inera nämns som intresserade, men ansvarsfördelning och modell behöver fastställas.
Slutligen finns ett särskilt utredningsbehov kring egenskapsintyg och ägarskap: vem är utgivare, vem garanterar riktighet och hur livscykeln hanteras i en federativ miljö.
Nästa steg är att hålla FOA-frågan villkorad till resultaten av konkretiseringen, avgränsa basutbudet genom behovsdriven prövning, genomföra gap-analys mot EHDS/NDI samt tydliggöra mandatbehov om tvingande nationella krav identifieras. Parallellt behöver samverkansformerna användas för att skapa en tydlig feedbackloop och för att samla de gemensamma artefakter som krävs (t.ex. kravkatalog, struktur för attributdefinitioner och publiceringsplats). När dessa delar är tillräckligt tydliga tas ställning till om befintlig roll- och samverkansstruktur räcker eller om en mer formaliserad funktion, såsom FOA, behöver etableras.