1. kravet gäller endast de federationsinfrastrukturtjänster som är listade under 1.1 - och inte alla federationsinfrastrukturtjänster.
2. Anslutningsoperatören signerar entity statement

I den modell vi nu sätter upp för BAS sker följande:

• Federationsoperatören TA signerar sin egen Entity Configuration samt ett Subordinate Statement om anslutningsoperatören, t ex Internetstiftelsen.
• Anslutningsoperatören, Internetstiftelsens IE signerar sin egen Entity Configuration samt ett Subordinate Statement om medlemmens federationsentitet.
• Medlemmen signerar sin egen Entity Configuration.

Vi bedömer att kraven på nyckelhantering, framför allt K5 och K7, behöver differentieras utifrån federationsentitetens roll och tillitsposition. K4 har en tydlig säkerhetsfunktion genom att skydda det privata nyckelmaterialet mot röjning och export. Som K4 är formulerat omfattas dock all signering av Entity Statements av krav på HSM eller motsvarande hårdvarubundet nyckelskydd. Eftersom varje Federation Entity publicerar ett self-signed Entity Configuration, som är ett Entity Statement, innebär detta i praktiken ett krav på hårdvaruskyddad signeringsnyckel för samtliga entiteter i federationen. Konsekvensen av detta behöver vara uttryckligen avsedd och bedömd som proportionerlig.

Säkerhetsnyttan med backup, återställning och flerpersonkontroll för nyckellivscykeln är däremot inte densamma för alla typer av entiteter. För en subordinate entity blir en ny lokalt genererad eller aktiverad nyckel inte betrodd i federationen förrän motsvarande publika nyckel har registrerats och publicerats av dess superior. En antagonist som endast kan påverka den lokala nyckellivscykeln kan därför inte etablera en ny betrodd signing key. Den huvudsakliga konsekvensen är i stället risk för tjänsteavbrott genom exempelvis avaktivering, destruktion eller felaktig rotation av nycklar.

Mot den bakgrunden bör det övervägas om K7:s krav på flerpersonkontroll för samtliga kritiska nyckeloperationer är proportionerligt för alla Federation Entities. För många subordinate entities kan starkt skydd av den aktiva nyckeln, separation mellan administration och användning av nyckeln, spårbarhet samt en kontrollerad key rollover ge ett mer ändamålsenligt skydd.

Även K5:s generella krav på backup bör differentieras. För många subordinate entities är det både enklare och säkrare att generera en ny nyckel och genomföra en kontrollerad rollover än att möjliggöra återställning av samma privata nyckel. För en Trust Anchor kan däremot möjligheten att återställa befintligt nyckelmaterial ha större betydelse för kontinuiteten, eftersom ett nyckelbyte kan kräva koordinering med alla parter som förlitar sig på Trust Anchorn.

Vi föreslår därför att K5 och K7 utformas utifrån vilken risk den aktuella nyckeloperationen faktiskt innebär för federationens tillit och tillgänglighet, i stället för att samma modell för backup, nyckelceremonier och flerpersonkontroll tillämpas på samtliga Federation Entities. K4 bör samtidigt bedömas separat eftersom dess nuvarande formulering i praktiken innebär HSM-skydd för signeringsnyckeln hos varje Federation Entity.

Anslutande organisation ska kunna visa för anslutningsoperatören vem som ytterst styr eller kontrollerar organisationen och på vilken grund. Dokumentationen kan exempelvis innefatta ägarförhållanden, styrning och behörighetsordning. Underlaget kan vara registeruppgifter om verklig huvudman, en ägaröversikt, stadgar, instruktion eller reglemente. Transparens innebär att uppgifterna ska vara begripliga och möjliga för anslutningsoperatören att kontrollera men de behöver inte publiceras öppet. Dokumentationen ska kunna användas som grund för anslutningsoperatören att bedöma om kravet för anslutning är uppfyllt.

Se justering i vägledningstexten 9.3.1

6.1 Organisatoriska förändringar 

Ange ansvar för att utan dröjsmål underrätta Federationsoperatören om väsentliga förändringar i organisationsstatus, verkligt huvudmannaskap eller kontrollstruktur.

6.2 Medlemskontinuitet och överlämning

Beskriv hur ni medverkar när en federationsmedlem vill byta anslutningsoperatör: beskriv hur ni överlämnar ärendedokumentation och verifieringsunderlag i strukturerat format.

Se ändringar i 10.2 här Tillämpningskrav vid anslutning av anslutningsoperatörer - RU Identitet & Behörighet - Confluence

Vägledningen uppdaterad under punkt

9.3.1 Tillämpningskrav vid anslutning av anslutningsoperatörer - RU Identitet & Behörighet - Confluence

och 

7.2 Tillämpningskrav vid anslutning av federationsmedlemmar - RU Identitet & Behörighet - Confluence

se justering av 7.2 Tillämpningskrav vid anslutning av federationsmedlemmar - RU Identitet & Behörighet - Confluence

Det viktiga är inte att kontrollera t.ex. förändringar i styrelsen utan kontrollernas syfte är "att skapa förutsättningar för en stark och tillförlitlig koppling mellan en organisation och de entiteter som registreras i federationen, så att federationsmedlemmar med hög grad av säkerhet kan veta vilken organisation som ansvarar för respektive entitet."

Om styrelse ändras, kreditvärdighet ändras (för vilket det inte finns några krav om för federationsmedlemmar i tillämpningskraven) osv. tjänar inte det syftet.

Att däremot kontrollera om t.ex. en organisation satts i konkurs, inte längre är registrerad för f-skatt eller att det finns indikationer på att de personer som angetts som behöriga inte längre är behöriga att företräda medlemmen tjänar det övergripande syftet.

Rutinerna för detta ska vara dokumenterade enligt avsnitt 9 i Tillämpningskrav vid anslutning av federationsmedlemmar vilket federationsoperatören ska kontrollera att så finns vid anslutning.

Vad som sen ska sparas/dokumenteras per ärende finns bskrivet i avsnitt 6 i Tillämpningskrav vid anslutning av federationsmedlemmar

Den är för att kunna bifoga mall/exempel för dokumentation kopplat till Svar B9 i avsnitt 4.1 om ärendedokumentation och spårbarhet. 

Ingen åtgärd. Synpunkt inlämnad från Internetstiftelsen sedan tidigare via delning.

Tillämpningskrav vid anslutning av anslutningsoperatörer: 5.1.3 Utsedda behöriga roller ska grundas på dokumenterad delegation eller fullmakt som anger roll, mandatets omfattning och eventuell tidsbegränsning.

Vägledning: Delegationen ska vara spårbar enligt avsnitt 7. Federationsoperatören bör säkerställa att delegeringens omfattning matchar den roll den avser.

Delegation behövs alltså inte för alla medarbetare i linjeverksamhet, men för angivna behöriga kontakter.