1. Inledning

1.1. Bakgrund

1.1.1. Myndigheten för digital förvaltning (Digg) fick genom regleringsbrevet för budgetåret 2025 (Fi2024/00591 och Fi2024/02483) i uppdrag att utveckla en sammanhållen infrastruktur för identitets- och behörighetshantering, att tillhandahållas inom ramen för Ena – Sveriges digitala infrastruktur. Uppdraget redovisades till regeringen genom rapporten En sammanhållen infrastruktur för identitets- och behörighetshantering (dnr 2025–04363).

1.1.2. Genom regleringsbrevet för budgetåret 2026 gav regeringen Digg i fortsatt uppdrag att inom ramen för Ena utveckla och tillhandahålla infrastrukturen. I frågor om nationell digital infrastruktur i hälso- och sjukvården ska uppdraget genomföras i nära dialog med E-hälsomyndigheten.

1.1.3. Arbetet för att etablera infrastrukturen bedrivs under namnet Samordnad identitet och behörighet, i samverkan med E-hälsomyndigheten och andra aktörer som verkar inom eller för offentlig sektor.

1.1.4. Detta regelverk för infrastrukturen för identitets- och behörighetshantering (Federationsramverket) reglerar de rättsliga förhållandena mellan de Parter som deltar i infrastrukturen för identitets- och behörighetshantering (Federationsinfrastrukturen). Det fastställer bland annat deras rättigheter, skyldigheter och ansvar vid anslutning, registrering, utfärdande och kontroll av digitala bevis för identitet och, i senare utvecklingssteg, behörighet och andra egenskaper.

1.1.5. Federationsramverket anger även de gemensamma tekniska och organisatoriska förutsättningarna för samverkan inom Federationsinfrastrukturen och grunderna för att anslutna Parter ska kunna lita på uppgifter, elektroniska handlingar och kontroller som tillhandahålls med stöd av Federationsinfrastrukturen.

1.1.6. Den 1 januari 2027 upphör Digg som självständig myndighet och dess uppgifter inordnas i Post- och telestyrelsen, som samtidigt byter namn till Digitaliseringsmyndigheten. De uppgifter och åtaganden som Digg har enligt Federationsramverket ska därefter fullgöras av Digitaliseringsmyndigheten.

1.2. Syfte och långsiktig inriktning

1.2.1. För elektronisk identifiering av fysiska personer finns ett etablerat system för e-legitimationer. Det saknas emellertid en nationellt samordnad federationsinfrastruktur för att Parter som tillhandahåller eller använder ett API, en e-tjänst eller en annan Digital funktion ska få tillgång till tillförlitliga och kontrollerbara uppgifter för att

• a. identifiera den Digitala funktion som Parten kommunicerar med,
• b. fastställa vilken Part som tillhandahåller eller använder den Digitala funktionen,
• c. i ett senare utvecklingssteg få underlag för att bedöma om en Digital funktion eller en Part har de egenskaper som krävs för en viss åtgärd,
• d. i ett senare utvecklingssteg identifiera en fysisk person (Medarbetare) och fastställa för vilken organisations (Huvudmans) räkning Medarbetaren agerar, och
• e. i ett senare utvecklingssteg få underlag för att bedöma om Medarbetaren är behörig att agera på det sätt som sker, har en yrkesroll som kan ligga till grund för en sådan behörighet, eller deltar i en organisations verksamhet under sådana förhållanden att Medarbetaren behöver vidta en viss åtgärd.

1.2.2. Federationsinfrastrukturen ger en gemensam grund för sådana kontroller och minskar behovet av separata lösningar för varje informationsutbyte. Den ska utformas så att etablerade funktioner för elektronisk identifiering kan ingå i och användas inom Federationsinfrastrukturen.

1.2.3. Federationsinfrastrukturen fattar inte beslut om behörighet eller åtkomst. Den förmedlar verifierbara uppgifter som den Part som tillhandahåller en Digital tjänst använder som underlag för sitt eget beslut.

1.2.4. Anslutning till Federationsinfrastrukturen sker genom en Part som tillhandahåller tjänster för anslutning, registrering och anknytande stöd (Anslutningsoperatör). Målet är att anslutna Parter genom en och samma anslutning efter hand ska kunna delta i flera avgränsade sammanhang för digital samverkan inom Federationsinfrastrukturen (Federationskontexter) i den utsträckning respektive Part uppfyller villkoren för deltagande.

1.3. Den grundläggande strukturen

1.3.1. För Federationsinfrastrukturen finns en gemensam grund för samverkan (Federationsplattformen). Den består av Federationsramverket, det vill säga detta huvuddokument med bilagor och kravdokument, samt ett gemensamt tekniskt plattformsstöd. En myndighet (Ledningsaktören) tillhandahåller, styr, samordnar och utvecklar Federationsplattformen och förvaltar Federationsramverket och de regler och rutiner som gäller inom hela Federationsinfrastrukturen.

1.3.2. Inom Federationsinfrastrukturen finns avgränsade sammanhang för digital samverkan (Federationskontexter). För varje Federationskontext gäller, utöver Federationsramverket, ett Federationsregelverk. Där anges vilka som får delta, hur Federationsramverket tillämpas inom kontexten och vilka kompletteringar som gäller. En Federationskontext kan tillgodose behov inom flera verksamhetsområden.

1.3.3. Ett Federationsregelverk får inte föreskriva regler eller rutiner som strider mot det för alla gemensamma Federationsramverket.

1.3.4. Inom Federationsinfrastrukturen har Parter olika roller och ansvar enligt följande.

• Ledningsaktören ansvarar för att tillhandahålla, styra, samordna och utveckla Federationsplattformen samt förvalta Federationsramverket och de gemensamma regler och rutiner som gäller inom Federationsinfrastrukturen.
• En Federationsoperatör ansvarar för att samordna och förvalta en Federationskontext, besluta om dess Federationsregelverk samt tillhandahålla eller säkerställa tillgången till de gemensamma funktioner som behövs inom Federationskontexten.
• En Anslutningsoperatör ansvarar för att kontrollera, ansluta och förvalta de Federationsmedlemmar som ska delta i en Federationskontext, registrera deras Digitala funktioner samt tillhandahålla de uppgifter och digitala handlingar som behövs för att kontrollera de Digitala funktionernas identitet och anslutning.
• En Utfärdare av egenskapsintyg ansvarar för att kontrollera och intyga sådana egenskaper hos Parter eller deras system som ska kunna styrkas genom digitala intyg. Vad ett Egenskapsintyg representerar och vilka krav som ligger till grund för det bestäms av en Egenskapsintygsägare, som kan vara en annan aktör än utfärdaren. Rollerna införs i ett senare utvecklingssteg.
• Federationsmedlemmar ansvarar för de Digitala funktioner som registrerats för deras räkning och för att de uppgifter om dessa som lämnas för registrering är korrekta och hålls aktuella. En Federationsmedlem som tillhandahåller en Digital tjänst (Förlitande Federationsmedlem) använder uppgifter och digitala bevis som tillhandahålls med stöd av Federationsinfrastrukturen för att kontrollera motpartens identitet och bedöma förutsättningarna för åtkomst till tjänsten. Samma Federationsmedlem kan ansvara för system av flera slag.

1.3.5. De Digitala funktioner som Federationsmedlemmar registrerar är av tre slag.

1. En Digital aktör är en Digital funktion som för en Parts räkning begär åtkomst till en Digital tjänst.
2. En Digital tjänst är en Digital funktion som tillhandahåller en skyddad resurs, exempelvis ett API, och prövar begäran om åtkomst.
3. En Åtkomstintygstjänst är ett funktion som för en Digital tjänsts räkning kontrollerar vem som begär åtkomst och utfärdar intyg som den Digitala tjänsten godtar.

Det som här kallas Digitala aktörer, Digitala tjänster och Åtkomstintygstjänster benämns i Federationsramverkets bilagor och tekniska ramverk protokollentiteter. Vilka typer av protokollentiteter som finns och hur de benämns tekniskt framgår av Bilaga A.

1.3.6. En Åtkomstintygstjänsts åtkomstprövning och utfärdande av Åtkomstintyg sker utanför Federationsinfrastrukturen. Federationsramverket och tillämpligt Federationsregelverket gäller emellertid för tjänstens registrering och Systemidentitet samt dess kontroll av Systemidentitetshandlingar.

1.3.7. Den närmare omfattningen av Parternas ansvar bestäms av Federationsramverkets och Federationsregelverkets materiella bestämmelser och gällande rätt.

1.3.8. Varje Federationskontext har en särskilt betrodd kryptografisk grund för tillit (Tillitsankare) som tillhandahålls genom en teknisk tjänst (Tillitsankartjänst) av Federationsoperatören. Med stöd av Tillitsankaret och en kedja av elektroniskt stämplade handlingar kan det kontrolleras dels att en digital handling har utfärdats av en Part som är betrodd inom Federationskontexten för att utfärda sådana handlingar, dels att handlingens innehåll inte har ändrats efter utfärdandet.

1.3.9. Vid samverkan med stöd av Federationsinfrastrukturen behöver olika förfaranden skiljas åt.

• Tillitsetablering: De kontroller, registreringar och intyg som gör att en Digital funktion kan identifieras och knytas till en ansvarig Part, att det framgår enligt vilka krav anslutning och registrering har skett och att de uppgifter som tillhandahålls om funktionen kan kontrolleras samt, i senare utvecklingssteg, att egenskaper hos Parter och Digitala funktioner kan styrkas genom Egenskapsintyg. Tillitsetableringen ingår i Federationsinfrastrukturen.
• Intygsförmedling: Utfärdande, tillhandahållande och kontroll av intyg som utfärdas för en viss begäran om åtkomst och används som underlag för att bedöma om åtkomst till en Digital tjänst ska medges. Förfarandet sker med stöd av Federationsinfrastrukturen men ligger, liksom Åtkomstintygstjänsten, utanför Federationsinfrastrukturen.
• Informationsutbyte: Det utbyte av uppgifter som sker mellan Parter med stöd av Digitala funktioner. Informationsutbytet äger rum utanför Federationsinfrastrukturen. Federationsramverket reglerar inte vilka uppgifter som får utbytas eller förutsättningarna för att lämna ut dem. Dessa frågor regleras i annan ordning. Den Part som tillhandahåller en Digital tjänst ansvarar för sina beslut om åtkomst till tjänsten.

1.4. Praktisk tillämpning

1.4.1. När Parter använder Federationsinfrastrukturen för informationsutbyte behöver de själva komma överens om de kompletterande förutsättningar som krävs för samverkan. Det kan exempelvis gälla särskilda krav på tillit, tekniska gränssnitt och regler för informationsutbytet. Sådan samverkan kan ske med stöd av en eller flera Federationskontexter.

1.4.2 Dessa överenskommelser och det informationsutbyte som sker med stöd av dem ligger utanför Federationsinfrastrukturen och regleras inte av Federationsramverket. Parterna ansvarar själva för att informationsutbytet sker i enlighet med tillämplig rätt, bland annat bestämmelser om utlämnande av uppgifter och allmänna handlingar.

1.5. Nuvarande omfattning

1.5.1. Federationsinfrastrukturen införs stegvis enligt en taktisk färdplan. Denna version av Federationsramverket reglerar det första steget, nämligen identifiering av Digitala funktioner som registreras för Federationsmedlemmar och fastställande av vilka Parter som ansvarar för dem (punkterna a och b under Syfte och långsiktig inriktning). För detta steg reglerar Federationsramverket roller och ansvar, anslutning, registrering samt tillhandahållande, kontroll och förvaltning av de uppgifter som behövs. Vilka kontroller som är tekniskt möjliga i varje riktning framgår av det Tekniska ramverket.

1.5.2. Införande och användning av Utfärdare av egenskapsintyg och Egenskapsintygsägare ingår inte i detta steg i utvecklingen av Federationsinfrastrukturen. 

1.5.3. Kontrollen enligt punkten 1.2.1 b innebär inte att det har fastställts att en Digital funktion är inordnad under Partens beslutskompetens på ett sådant sätt att dess åtgärder blir rättsligt bindande för Parten. Frågan aktualiseras dock inte inom den nuvarande försöksverksamheten, eftersom E-hälsomyndigheten ansvarar för såväl de Digitala aktörerna som de Digitala tjänsterna.

1.5.4. Vid anslutning och registrering kontrolleras enligt tillämpliga krav identiteten hos de fysiska personer som företräder en organisation samt deras behörighet att företräda organisationen i ärendet. Kontrollerna avser rätten att företräda organisationen i anslutnings- och registreringsärenden, inte kontroller av Medarbetares juridiska behörighet att vidta åtgärder vid användning av Digitala tjänster.

2. Hur Federationsinfrastrukturen används inom en Federationskontext, en översiktlig beskrivning

2.1. Anslutning och registrering

2.1.1. En Anslutningsoperatör som vill tillhandahålla en anslutningstjänst inom en Federationskontext prövas och ansluts av Federationsoperatören, som registrerar anslutningstjänsten för deltagande i Federationskontexten.

2.1.2. En organisation som vill delta som Federationsmedlem inom en Federationskontext ansluts av en Anslutningsoperatör som är ansluten till Federationskontexten. Inom ramen för anslutningen kan Digitala aktörer, Digitala tjänster och Åtkomstintygstjänster registreras för Federationsmedlemmen.

2.1.3. Anslutningsoperatören kontrollerar och registrerar uppgifter om Federationsmedlemmens Digitala funktioner samt att  Federationsmedlemmen ansvarar för dessa. Uppgifterna görs tillgängliga genom elektroniskt stämplade handlingar som andra anslutna aktörer kan kontrollera automatiserat.

2.1.4. I ett senare utvecklingsskede avses en Utfärdare av egenskapsintyg prövas och anslutas av Federationsoperatören, som registrerar utfärdarens tjänst för deltagande i Federationskontexten.

2.2. Kontroll av systemidentitet och ansvarig organisation

2.2.1. Varje registrerad Digital funktion har ett unikt namn inom Federationsinfrastrukturen (Systemidentitet). Varje Systemidentitet har en ansvarig Federationsmedlem. 

2.2.2. Uppgifter om en Digital funktions Systemidentitet, publika kryptografiska nycklar och ansvariga Federationsmedlem tillhandahålls genom elektroniskt stämplade handlingar (Systemidentitetshandlingar). Handlingarna utfärdas i en kedja. Uppgifterna om den Digitala funktionen ställs ut i Federationsmedlemmens namn. Anslutningsoperatören ställer ut en handling som bekräftar att Federationsmedlemmen är ansluten, ansvarar för den Digitala funktionen och att uppgifterna har registrerats efter föreskrivna kontroller. Federationsoperatören ställer ut en handling som bekräftar att Anslutningsoperatören är betrodd inom Federationskontexten. Kedjan leder tillbaka till Federationskontextens Tillitsankare. Vilka nycklar som kontrolleras vid registreringen och hur Anslutningsoperatörens bekräftelse uttrycks framgår av det Tekniska ramverket.

2.2.3. Tilliten till Systemidentitetshandlingarna vilar på två grunder: dels att kedjan av stämplar kan kontrolleras automatiserat mot Tillitsankaret, dels att Anslutningsoperatören har genomfört de kontroller av organisationen, dess företrädare och de registrerade uppgifterna som föreskrivs i tillämpliga kravdokument. Ingen enskild handling är tillräcklig för att fastställa en Digital funktions identitet och dess anknytning till en ansvarig Federationsmedlem. Den som använder Federationsoperatörens uppslags- och verifieringstjänst förlitar sig på operatörens kontroll av kedjan.

2.2.4. När en Digital aktör begär ett intyg för åtkomst visar den för Åtkomstintygstjänsten, genom ett kryptografiskt bevis (Nyckelinnehavsbevis), att den förfogar över den privata nyckel som hör till en registrerad publik nyckel. Om och hur intyget därefter knyts till samma nyckel vid användning mot den Digitala tjänsten framgår av det Tekniska ramverket.

2.2.5. Åtkomstintygstjänsten kontrollerar Nyckelinnehavsbeviset och Systemidentitetshandlingarna och fastställer därigenom vilken Digital aktör som begär åtkomst och vilken Federationsmedlem som ansvarar för den. Om förutsättningarna för åtkomst är uppfyllda utfärdar Åtkomstintygstjänsten ett elektroniskt intyg (Åtkomstintyg). Den Digitala tjänst som begäran avser kontrollerar Åtkomstintyget och prövar om åtkomst ska medges enligt de regler som gäller för tjänsten.

2.2.6. Den Federationsmedlem som tillhandahåller den Digitala tjänsten bestämmer vilka Åtkomstintygstjänster tjänsten ska godta och ansvarar för sina beslut om åtkomst till tjänsten.

2.2.7. De Digitala funktionernas användning för att begära och pröva åtkomst till Digitala tjänster, liksom Åtkomstintygstjänsternas kontroller och utfärdande av Åtkomstintyg, ligger utanför Federationsinfrastrukturen men kan ske med stöd av uppgifter och digitala bevis som tillhandahålls genom denna. Anslutningsoperatören och Federationsoperatören ansvarar inte för beslut om åtkomst till Digitala tjänster eller för det informationsutbyte som sker genom dem.

2.3. Underleverantörer

2.3.1. En Part får fullgöra uppgifter inom sin roll med hjälp av en Underleverantör endast om Underleverantören och dennes hantering uppfyller de krav som gäller för Parten när denne utför uppgifterna själv. Parten ansvarar för Underleverantörens åtgärder som om Parten hade utfört dem själv.

2.3.2. En Federationsoperatör, Anslutningsoperatör eller Utfärdare av egenskapsintyg som ansvarar för utfärdande av elektroniskt stämplade handlingar inom Federationsinfrastrukturen ska utfärda dessa handlingar i eget namn, även när en Underleverantör anlitas för den tekniska hanteringen.

2.3.3. När en Federationsmedlem anlitar en Underleverantör för att utföra tekniska åtgärder vid anslutning, registrering eller förvaltning av Digitala funktioner ska Federationsmedlemmen säkerställa att de personer som utför åtgärderna har den behörighet som anges i tillämpliga kravdokument.

2.4. Ansvarsfördelning och tillit till uppgifter och digitala handlingar

2.4.1. Ledningsaktören ansvarar för Federationsramverket och övriga gemensamma regler samt för förvaltningen av dessa. Ledningsaktörens ansvar innebär inte att denne övertar övriga Parters åtaganden eller garanterar att övriga Parter fullgör sina skyldigheter.

2.4.2. Federationsoperatören ansvarar gentemot Anslutningsoperatörer, Utfärdare av egenskapsintyg och Federationsmedlemmar för att uppslags- och verifieringstjänsten utför kontroller av tillitskedjor och redovisar resultatet enligt de krav som anges i Federationsramverket och tillämpligt Federationsregelverk.

2.4.3. Anslutningsoperatören ansvarar gentemot Federationsoperatören och Federationsmedlemmarna inom Federationskontexten för att anslutning, registrering och förvaltning av uppgifter sker enligt Federationsramverket och tillämpligt Federationsregelverk. Ansvaret omfattar bland annat att Systemidentitetshandlingar har utfärdats enligt gällande krav, att föreskrivna kontroller har genomförts, att anknytningen mellan den Digitala funktionen och ansvarig Federationsmedlem har bekräftats i den handling Anslutningsoperatören ställer ut och att det Tekniska ramverket har följts.

2.4.4. I ett senare utvecklingssteg ansvarar Utfärdare av egenskapsintyg gentemot Federationsoperatören och de Federationsmedlemmar som använder Egenskapsintygen för att de kontroller som ligger till grund för intygen har genomförts enligt de krav som gäller för utfärdandet.

2.4.5. En Federationsmedlem ansvarar för att de uppgifter som medlemmen lämnar till Anslutningsoperatören är korrekta och hålls aktuella samt för de Digitala funktioner som har registrerats för Federationsmedlemmen. Federationsmedlemmen ska utan dröjsmål anmäla ändrade förhållanden och incidenter enligt tillämpliga regler. En Federationsmedlem som tillhandahåller en Digital tjänst ansvarar själv för sina beslut om åtkomst till tjänsten.

2.4.6. En Part som använder uppgifter eller digitala handlingar som tillhandahålls med stöd av Federationsinfrastrukturen ansvarar för att genomföra de kontroller som föreskrivs för användningen. Uppgifter om en Digital funktions Systemidentitet och anknytning till en ansvarig Federationsmedlem får inte användas som bevis för andra förhållanden än dem som registreringen omfattar.

3. Begrepp

I detta kapitel förklaras de centrala begrepp som används i Federationsramverkets huvudtext. Begreppen är indelade i tre grupper: Gemensam struktur, Aktörer och roller samt System och digitala handlingar. Förklaringarna ska kunna förstås utan särskilda tekniska förkunskaper.

Bilaga A och det Tekniska ramverket innehåller kompletterande beskrivningar och tekniska preciseringar. Vid motstridigheter gäller tolkningsordningen i avsnitt 4.3.

Att ett begrepp som avser ett senare utvecklingssteg förklaras här innebär inte att den aktuella rollen eller funktionen ingår i Federationsinfrastrukturens nuvarande omfattning.

3.1. Gemensam struktur

3.2. Aktörer och roller

3.3. System och digitala handlingar

Begreppen Huvudman och Medarbetare används för att beskriva den långsiktiga inriktningen och avgränsa Federationsinfrastrukturens nuvarande omfattning.

4. Federationsramverket

4.1. Tillämpning och rättslig verkan

4.1.1. Federationsramverket innehåller de gemensamma bestämmelser som gäller för samverkan inom Federationsinfrastrukturen. För varje Federationskontext gäller ett Federationsregelverk som införlivar Federationsramverket och anger kontextens kompletteringar. Federationsramverket och tillämpligt Federationsregelverk blir bindande för en Part i den utsträckning detta följer av avtal, överenskommelse eller annan rättslig grund för deltagandet i Federationsinfrastrukturen.

4.1.2. En Anslutningsoperatör ansluts till en Federationskontext enligt de regler som gäller för kontexten. En Federationsmedlem ansluts genom en Anslutningsoperatör som är ansluten till Federationskontexten. En Utfärdare av egenskapsintyg ansluts i ett senare utvecklingssteg av Federationsoperatören.

4.1.3. När två eller flera Parter är statliga myndigheter och därmed ingår i samma juridiska person tillämpas Federationsramverket och tillämpliga Federationsregelverk även på deras inbördes förhållanden, i den utsträckning som följer av grunden för deras deltagande. Uppkommer en meningsskiljaktighet mellan Parterna tillämpas vad som anges för statliga myndigheter under Tillämplig lag och tvister.

4.1.4. Om en bestämmelse i Federationsramverket strider mot lag, förordning eller annan bindande författning ska författningen ha företräde.

4.2. Ramverkets delar

4.2.1. Federationsramverket består av detta huvuddokument och följande bilagor och kravdokument.

4.2.2. Ett Federationsregelverk ska ange vilka dokument och versioner som ingår i det Federationsramverk som tillämpas inom Federationskontexten, vilka kompletterande bestämmelser som gäller samt var dokumenten finns tillgängliga.

4.2.3. Varje Part ska hålla sig informerad om ändringar i Federationsramverket och tillämpliga Federationsregelverk med tillhörande kravdokument.

4.3. Tolkningsordning

4.3.1. Om bestämmelser i Federationsramverket, dess bilagor eller kravdokument är motstridiga gäller följande tolkningsordning, om inte annat uttryckligen anges:

• a. Bestämmelser i detta huvuddokument har företräde framför bestämmelser i bilagor och kravdokument.
• b. Bestämmelser i bilagor har företräde framför bestämmelser i kravdokument.
• c. Mellan bestämmelser i dokument på samma nivå har den senast beslutade och ikraftträdda bestämmelsen företräde.

4.3.2. Bestämmelser i bilagor och kravdokument får precisera och komplettera detta huvuddokument inom ramen för vad som följer av dess bestämmelser. Sådana preciseringar och kompletteringar utgör inte en motstridighet enligt punkten 4.3.1.

4.3.3. Ett Federationsregelverk får komplettera och precisera Federationsramverket utifrån de särskilda förutsättningarna inom en Federationskontext men får inte innehålla bestämmelser som strider mot Federationsramverket. Gemensamma krav får inte åsidosättas genom lokala instruktioner eller överenskommelser.

4.3.4. Ett Federationsregelverk får ange vilka som får delta i Federationskontexten men får inte ändra de kontroller av Federationsmedlemmar och registreringar av deras Digitala funktioner som följer av Federationsramverket. Ytterligare egenskaper som krävs för deltagande ska i senare utvecklingssteg kunna styrkas genom Egenskapsintyg.

4.3.5. Vägledningar som inte uttryckligen har gjorts bindande utgör inte en del av Federationsramverket och kan inte självständigt medföra skyldigheter för Parterna.

4.4. Ändring och tillägg

4.4.1. Ledningsaktören ska fortlöpande hålla de Parter för vilka Federationsramverket gäller underrättade om hur Federationsinfrastrukturen utvecklas och om de ändringar och tillägg som planeras med avseende på dessa funktioner eller de regler som gäller.

4.4.2. Ledningsaktören beslutar om ändringar i Federationsramverket. Ändringar bereds och beslutas enligt den ändringsordning som Ledningsaktören fastställer. 

4.4.3. Ändringar ska dokumenteras och kommuniceras så att berörda Parter kan avgöra vad som ändras, vilka versioner som berörs och när ändringen får verkan.

4.5. Ersättning och avgifter

4.5.1. Federationsramverket reglerar inte avgifter. Eventuella avgifter för anslutning och tjänster ska framgå av tillämpliga villkor och ha rättsligt stöd.

4.6. Samverkan och självständigt ansvar

4.6.1. Samverkan enligt Federationsramverket innebär inte att något enkelt bolag, handelsbolag, agentförhållande eller annan liknande sammanslutning uppkommer mellan Parterna. En Part får inte företräda en annan Part utan dennes skriftliga medgivande eller annat rättsligt stöd.

4.6.2. Varje Part ansvarar för sina egna åtaganden enligt Federationsramverket, tillämpligt Federationsregelverk och avtal. Ingen Part ansvarar för en annan Parts åtaganden enbart till följd av att de deltar i Federationsinfrastrukturen.

4.6.3. Påföljd för brott mot ett åtagande får göras gällande endast av en Part som har rätt till detta enligt Federationsramverket eller tillämpligt Federationsregelverk.

4.6.4. En Part får inte överlåta sina rättigheter eller skyldigheter enligt Federationsramverket eller tillämpligt Federationsregelverk utan medgivande enligt de villkor som gäller för anslutningen. Anlitande eller byte av Underleverantör innebär inte att Partens ansvar övergår till Underleverantören.

4.6.5. Parterna ska samarbeta och samråda i frågor som rör deras åtaganden enligt Federationsramverket samt i skälig omfattning informera berörda Parter om förändringar, störningar, incidenter och andra förhållanden som kan påverka samverkan inom Federationsinfrastrukturen.

4.7. Etablering av Federationskontext

4.7.1. En Federationskontext etableras inom Federationsinfrastrukturen efter ansökan av en Federationsoperatör och godkännande av Ledningsaktören. Federationskontextens Federationsregelverk ska grundas på Federationsramverket. Ledningsaktören ska förteckna de Federationskontexter som har godkänts för deltagande i Federationsinfrastrukturen.

4.7.2. Ansökan ska innehålla Federationsregelverket och en redovisning av hur Federationskontextens gemensamma tekniska funktioner, däribland Tillitsankartjänsten, uppfyller kraven i det Tekniska ramverket.

4.7.3. Syftet med att Federationskontexter baseras på ett gemensamt Federationsramverk är att tillit som etablerats i en kontext ska kunna förstås och återanvändas i andra kontexter, och att en Federationsmedlem ska kunna delta i flera Federationskontexter genom samma anslutning. En Federationsoperatör ska därför tillämpa Federationsramverket så att samverkan med övriga Federationskontexter inom Federationsinfrastrukturen upprätthålls, och får inte genom sitt Federationsregelverk införa avvikelser som hindrar sådan samverkan.

4.7.4. I samband med godkännandet ska Federationsoperatörens ansvar och åtaganden samt det Federationsregelverk som ska gälla inom Federationskontexten fastställas.

4.8. Anslutning av Anslutningsoperatör

4.8.1. En organisation som vill verka som Anslutningsoperatör inom en Federationskontext ska ansöka om anslutning hos Federationsoperatören.

4.8.2. Federationsoperatören ska kontrollera den ansökande organisationens identitet och företrädarnas behörighet samt pröva om organisationen har de organisatoriska, tekniska och säkerhetsmässiga förutsättningar som krävs för att fullgöra uppgifterna som Anslutningsoperatör enligt Federationsramverket och tillämpligt Federationsregelverk.

4.8.3. Prövningen ska särskilt omfatta Anslutningsoperatörens förmåga att kontrollera och registrera uppgifter om anslutna Federationsmedlemmar och deras Digitala funktioner, genomföra föreskrivna kontroller av uppgifternas tillförlitlighet samt ställa ut elektroniskt stämplade handlingar som kan kontrolleras av andra Parter inom Federationskontexten.

4.8.4. Anslutningen ska dokumenteras och innefatta ett åtagande från Anslutningsoperatören att följa Federationsramverket, tillämpligt Federationsregelverk och de särskilda krav som gäller för rollen. Anslutningsoperatörens anslutningstjänst ska uppfylla Grundläggande krav på federationsinfrastrukturtjänster och de krav som följer av det Tekniska ramverket (Bilaga B).

4.8.5. Federationsoperatören ska följa upp att Anslutningsoperatören fortlöpande uppfyller kraven för anslutningen. Närmare bestämmelser om prövning och uppföljning finns i Tillämpningskrav vid anslutning av anslutningsoperatörer.

4.9. Anslutning av Federationsmedlem

4.9.1. En organisation som vill delta i en Federationskontext ansluts som Federationsmedlem genom en Anslutningsoperatör som är ansluten till Federationskontexten. Anslutningsoperatören kontrollerar organisationens identitet och att den som företräder organisationen är behörig samt registrerar uppgifter om de Digitala aktörer, Digitala tjänster och Åtkomstintygstjänster som organisationen ansvarar för. Uppgifterna görs tillgängliga så att andra anslutna Parter kan kontrollera de Digitala funktionernas Systemidentitet och vilken Federationsmedlem som ansvarar för dem.

4.9.2. Inom ramen för anslutningen kan Digitala aktörer, Digitala tjänster och Åtkomstintygstjänster registreras för Federationsmedlemmen. Den Federationsmedlem som tillhandahåller en Digital tjänst ansvarar för sina beslut om åtkomst till tjänsten enligt kapitlet Hur Federationsinfrastrukturen används inom en Federationskontext.

4.9.3. Anslutningsoperatören ska kontrollera att de uppgifter som lämnas för registrering uppfyller kraven enligt Federationsramverket och tillämpligt Federationsregelverk.

4.9.4. Anslutningen ska dokumenteras och innefatta ett åtagande från Federationsmedlemmen att följa Federationsramverket, tillämpligt Federationsregelverk och de krav som gäller för medlemmens registrerade Digitala funktioner. De Digitala funktioner som registreras ska uppfylla Grundläggande krav på protokollentiteter och de krav som följer av det Tekniska ramverket (Bilaga B). Närmare bestämmelser om prövning och registrering finns i Tillämpningskrav vid anslutning av federationsmedlemmar och i Registrering av protokollentiteter.

4.10. Anslutning av Utfärdare av egenskapsintyg

4.10.1. I ett senare utvecklingssteg ska organisationer kunna anslutas som Utfärdare av egenskapsintyg inom en Federationskontext. Anslutning ska ske genom Federationsoperatören.

4.10.2. Vid anslutning ska Federationsoperatören kontrollera organisationens identitet och företrädarnas behörighet samt pröva om organisationen uppfyller de krav som gäller för utfärdande av aktuella Egenskapsintyg.

4.10.3. Närmare bestämmelser om anslutning, prövning, registrering och uppföljning införs i Federationsramverket och tillämpliga kravdokument när rollen tas i bruk.

5. Regler för Ledningsaktören

5.1. Förvaltning och utveckling av Federationsplattformen

5.1.1. Ledningsaktören ska tillhandahålla, styra, samordna och utveckla Federationsplattformen samt ansvara för att de gemensamma regler och tekniska funktioner som ingår i Federationsplattformen finns tillgängliga och förvaltas enligt Federationsramverket.

5.1.2. Ledningsaktören ska utarbeta, besluta, tillgängliggöra och förvalta Federationsramverket, inklusive det Tekniska ramverket och övriga gemensamma krav, samt bereda och genomföra ändringar enligt bestämmelserna om ändring och tillägg i avsnitt 4.4.

5.2. Gemensamma krav och samordning

5.2.1. Ledningsaktören ska verka för att Federationsramverket och det Tekniska ramverket tillämpas enhetligt inom Federationsinfrastrukturen samt samordna utvecklingen av Federationskontexterna så att dessa kan samverka enligt gemensamma regler och tekniska specifikationer.

5.2.2. Ledningsaktören får besluta om kompletterande krav för användning av Underleverantörer enligt den ändringsordning som gäller för Federationsramverket.

5.3. Tekniskt plattformsstöd

5.3.1. Ledningsaktören ska tillhandahålla och förvalta det gemensamma tekniska plattformsstöd som ingår i Federationsplattformen enligt de krav som gäller  för respektive komponent.

5.3.2. Ledningsaktörens ansvar för Federationsplattformen omfattar inte, enbart till följd av denna roll, drift av enskilda Federationskontexters tekniska funktioner eller kontroll av de Parter som är anslutna till dessa.

5.4. Information, stöd och utveckling

5.4.1. Ledningsaktören ska tillhandahålla övergripande information och vägledning om Federationsramverket och Federationsplattformen samt hålla Federationsoperatörer och övriga berörda Parter informerade om förändringar som kan påverka deras anslutning eller användning av Federationsinfrastrukturen.

5.4.2. Ledningsaktören ska utföra sina åtaganden på ett fackmannamässigt sätt, med hjälp av lämplig personal med erforderlig kompetens och i enlighet med Federationsramverket, tillämpliga författningar och inom området förekommande god branschpraxis.

5.4.3. Ledningsaktören ska fortlöpande verka för förbättringar av Federationsplattformen och dess gemensamma funktioner.

5.4.4. Kompletterande bestämmelser om Ledningsaktörens uppgifter och skyldigheter finns i Bilaga D – Roller och ansvar 2.1, Bilaga B – Tekniskt ramverk och Bilaga C – Förändringspolicy för federationsramverket.

6. Regler för Federationsoperatörer

6.1. Förvaltning och utveckling av Federationskontexten

6.1.1. Federationsoperatören ska samordna, förvalta och utveckla Federationskontexten samt ansvara för att de gemensamma tekniska funktioner som behövs för samverkan inom kontexten finns tillgängliga och förvaltas enligt Federationsramverket och tillämpligt Federationsregelverk.

6.1.2. Federationsoperatören ska utarbeta, besluta, tillgängliggöra och förvalta Federationsregelverket för Federationskontexten samt ansvara för att dessa bestämmelser är förenliga med Federationsramverket och det Tekniska ramverket.

6.2. Anslutning och kontroll

6.2.1. Federationsoperatören ska pröva och ansluta Anslutningsoperatörer och, i senare utvecklingssteg, Utfärdare av egenskapsintyg till Federationskontexten samt fortlöpande följa upp att dessa uppfyller de krav som gäller enligt Federationsramverket, tillämpligt Federationsregelverk och kravdokument.

6.2.2. Vid prövning av anslutningar och andra frågor som rör anslutna Parter ska Federationsoperatören agera sakligt och opartiskt.

6.2.3. Federationsoperatören ska samordna och följa upp efterlevnaden av de regler och krav som gäller inom Federationskontexten samt vid behov vidta de åtgärder som följer av Federationsramverket och tillämpligt Federationsregelverk när brister konstateras. Federationsoperatör ska därvid kunna begränsa eller stänga av en Anslutningsoperatör från deltagande i Federationskontexten när förutsättningarna för anslutningen inte längre är uppfyllda. Federationsoperatören ska utan dröjsmål underrätta berörd Anslutningsoperatör och Ledningsaktören om åtgärden och skälen för denna, i den utsträckning det kan ske utan att äventyra säkerheten.

6.3. Gemensamma tekniska funktioner och säkerhet

6.3.1. Federationsoperatören ska tillhandahålla och förvalta de gemensamma tekniska funktioner som behövs för att etablera och kontrollera tillit inom Federationskontexten, däribland Tillitsankartjänsten och uppslags- och verifieringstjänsten. Federationsoperatören ska hålla uppgifter om betrodda utfärdare inom Federationskontexten aktuella och tillgängliga för de kontroller som föreskrivs i Federationsramverket och tillämpligt Federationsregelverk.

6.3.2. Federationsoperatören ska säkerställa att de funktioner som denne ansvarar för uppfyller tillämpliga krav på säkerhet, tillgänglighet och tillförlitlighet enligt Federationsramverket, Federationsregelverket och det Tekniska ramverket.

6.3.3. Federationsoperatören ska samordna incidenthantering inom Federationskontexten samt verka för att säkerhetsbrister och andra förhållanden som kan påverka tilliten inom kontexten hanteras enligt tillämpliga regler och rutiner.

6.4. Information, stöd och utveckling

6.4.1. Federationsoperatören ska tillhandahålla information, vägledning och stöd till Anslutningsoperatörer, Utfärdare av egenskapsintyg och andra anslutna Parter samt publicera kontaktuppgifter och grundläggande information om Federationskontexten och dess funktioner.

6.4.2. Federationsoperatören ska informera berörda Parter om förändringar i Federationsregelverket, tekniska funktioner och andra förhållanden som kan påverka deras anslutning eller användning av Federationskontexten.

6.4.3. Federationsoperatören ska utföra sina åtaganden på ett fackmannamässigt sätt, med hjälp av lämplig personal med erforderlig kompetens och i enlighet med Federationsramverket, tillämpligt Federationsregelverk, tillämpliga författningar och inom området förekommande god branschpraxis.

6.4.4. Federationsoperatören ska fortlöpande verka för förbättringar av Federationskontextens gemensamma funktioner och förfaranden.

6.4.5. Närmare bestämmelser om Federationsoperatörens ansvar och skyldigheter finns i Bilaga D – Roller och ansvar, avsnitt 3.1, Grundläggande krav på federationsinfrastrukturtjänster, Tillämpningskrav vid anslutning av anslutningsoperatörer och Bilaga B – Tekniskt ramverk.

7. Regler för Anslutningsoperatör

7.1. Anslutning och registrering

7.1.1. Anslutningsoperatören ska pröva och ansluta organisationer som vill delta som Federationsmedlemmar inom en Federationskontext samt förvalta deras anslutningar, kontrollera att de uppfyller tillämpliga krav enligt Federationsramverket och Federationsregelverket samt att de åtar sig att följa de villkor som gäller för anslutningen.

7.1.2. Anslutningsoperatören ska vid anslutningen kontrollera organisationens identitet och att den som företräder organisationen har behörighet att göra detta samt genomföra de övriga kontroller som föreskrivs för anslutningen.

7.1.3. Anslutningsoperatören ska kontrollera och registrera uppgifter om anslutna Federationsmedlemmars Digitala funktioner samt kontrollera vilken Federationsmedlem som ansvarar för respektive funktion och att uppgifterna har lämnats av en behörig företrädare för Federationsmedlemmen.

7.1.4. Anslutningsoperatören ska dokumentera anslutningen och förvalta de uppgifter och åtaganden som hör till denna samt hantera ändringar, återkallelser och avveckling av anslutningar och registreringar enligt tillämpliga regler.

7.1.5. Anslutningsoperatören får tillfälligt begränsa eller stänga av en Federationsmedlems anslutning eller registrerade Digitala funktioner om det finns säkerhetsbrister, felaktiga registreringsuppgifter eller andra förhållanden som kan äventyra säkerheten inom Federationskontexten. Åtgärderna ska vara proportionerliga och vidtas enligt Federationsramverket och tillämpligt Federationsregelverk. Anslutningsoperatören ska utan dröjsmål underrätta Federationsmedlem och Federationsoperatören om åtgärden och skälen för denna, i den utsträckning det kan ske utan att äventyra säkerheten.

7.2. Tillhandahållande av uppgifter och digitala handlingar

7.2.1. Anslutningsoperatören ska tillhandahålla och förvalta den tekniska anslutningstjänst som används för registrering och tillhandahållande av uppgifter inom Federationskontexten.

7.2.2. Anslutningsoperatören ska genomföra föreskrivna kontroller av de uppgifter som denne ansvarar för samt tillhandahålla dem genom elektroniskt stämplade handlingar som kan kontrolleras automatiserat av andra anslutna Parter. I handlingarna ska Anslutningsoperatören bekräfta vilken Federationsmedlem som ansvarar för respektive Digital funktion.

7.2.3. Anslutningsoperatören ansvarar för att de kontroller, registreringar och digitala handlingar som denne tillhandahåller uppfyller kraven enligt Federationsramverket, tillämpligt Federationsregelverk och det Tekniska ramverket.

7.3. Säkerhet och uppföljning

7.3.1. Anslutningsoperatören ska säkerställa att den tekniska anslutningstjänsten och de uppgifter som hanteras inom denna uppfyller tillämpliga krav på säkerhet, tillgänglighet och tillförlitlighet.

7.3.2. Anslutningsoperatören ska fortlöpande följa upp att de uppgifter som denne ansvarar för hålls aktuella samt hantera ändringar, felaktigheter och återkallelser enligt tillämpliga regler.

7.3.3. Anslutningsoperatören ska medverka i incidenthantering, säkerhetsuppföljning och andra kontroller som genomförs enligt Federationsramverket och tillämpligt Federationsregelverk samt utan dröjsmål verkställa beslut om begränsning eller avstängning av Federationsmedlemmar eller deras Digitala funktioner som Federationsoperatören fattar med stöd av dessa regelverk.

7.4. Information, samverkan och ansvar

7.4.1. Anslutningsoperatören ska tillhandahålla information och stöd till anslutna Federationsmedlemmar samt samverka med Federationsoperatören och andra berörda Parter i frågor som rör anslutning, registrering och tillhandahållande av uppgifter.

7.4.2. Anslutningsoperatören ska utföra sina åtaganden på ett fackmannamässigt sätt, med hjälp av lämplig personal med erforderlig kompetens och i enlighet med Federationsramverket, tillämpligt Federationsregelverk, tillämpliga författningar och inom området förekommande god branschpraxis.

7.4.3. Anslutningsoperatörens ansvar omfattar de kontroller, registreringar och den hantering av uppgifter som följer av rollen. Anslutningsoperatören ansvarar inte, enbart till följd av denna roll, för Federationsmedlemmarnas beslut om åtkomst till Digitala tjänster eller för det informationsutbyte som sker genom dessa.

7.4.4. Närmare bestämmelser om Anslutningsoperatörens ansvar och skyldigheter finns i Bilaga D – Roller och ansvar, avsnitt 3.2, Tillämpningskrav vid anslutning av anslutningsoperatörer, Tillämpningskrav vid anslutning av federationsmedlemmar, Registrering av protokollentiteter, Grundläggande krav på federationsinfrastrukturtjänster och Bilaga B – Tekniskt ramverk.

8. Regler för Federationsmedlem

8.1. Anslutning och registrering

8.1.1. Federationsmedlemmen ska upprätthålla sin anslutning till Federationskontexten genom en Anslutningsoperatör och utse de personer som ska ha behörighet att företräda medlemmen vid registrering, ändring och förvaltning av uppgifter inom Federationsinfrastrukturen. Dessa personers behörighet ska vara dokumenterad.

8.1.2. Federationsmedlemmen ansvarar för att de uppgifter som lämnas till Anslutningsoperatören om medlemmen och dess Digitala funktioner är korrekta och hålls aktuella samt att ändrade förhållanden utan dröjsmål anmäls till Anslutningsoperatören.

8.2. Ansvar för registrerade system

8.2.1. Federationsmedlemmen ansvarar för de Digitala aktörer, Digitala tjänster och Åtkomstintygstjänster som registrerats för medlemmen samt för att de krav som gäller för deras registrering och användning inom Federationsinfrastrukturen uppfylls enligt Federationsramverket, tillämpligt Federationsregelverk och det Tekniska ramverket.

8.2.2. Federationsmedlemmen ska säkerställa att de registrerade Digitala funktionernas privata nycklar och annat nyckelmaterial skyddas mot obehörig åtkomst och användning samt att tillämpliga krav på identifiering, autentisering och säkerhet uppfylls.

8.2.3. Federationsmedlemmen ska ha rutiner för att kontrollera vilka Digitala aktörer som får användas inom medlemmens verksamhet och för att utan dröjsmål återkalla eller begränsa deras möjlighet att använda Federationsinfrastrukturen när förutsättningarna för användningen inte längre är uppfyllda. Federationsmedlemmen ska utan dröjsmål underrätta Anslutningsoperatören om sådana åtgärder som påverkar registreringen eller möjligheten att kontrollera den Digitala funktionens identitet.

8.3. Särskilt om Förlitande federationsmedlem

8.3.1. Federationsmedlemmen bestämmer vilka Åtkomstintygstjänster den Digitala tjänsten ska godta och ansvarar för sina beslut om åtkomst till tjänsten.

8.3.2. Federationsmedlemmen får förlita sig på att Anslutningsoperatörer och, i senare utvecklingssteg, Utfärdare av egenskapsintyg med erforderlig aktsamhet har genomfört de kontroller och följt de förfaranden som föreskrivs i Federationsramverket och tillämpligt Federationsregelverk. Detta innebär inte någon garanti för att uppgifterna i handlingarna är materiellt riktiga.

8.3.3. Federationsmedlemmen ansvarar för att bedöma om en identifierad Digital aktör får användas för att vidta en viss åtgärd eller få tillgång till vissa uppgifter genom den Digitala tjänst som medlemmen tillhandahåller. Identifiering av en Digital aktör och fastställande av vilken Federationsmedlem som ansvarar för den innebär inte i sig att det finns rättsliga förutsättningar för att vidta åtgärden.

8.3.4. Federationsramverket innebär inte i sig någon rätt att få tillgång till eller lämna ut uppgifter. Sådana frågor regleras i annan ordning.

8.4. Säkerhet och incidenter

8.4.1. Federationsmedlemmen ska säkerställa att de Digitala funktioner som denne ansvarar för uppfyller tillämpliga krav på säkerhet, tillgänglighet och tillförlitlighet.

8.4.2. Federationsmedlemmen ska utan dröjsmål underrätta Anslutningsoperatören om säkerhetsincidenter, felaktiga registreringsuppgifter eller andra förhållanden som kan påverka tillförlitligheten hos de uppgifter och digitala handlingar som tillhandahålls om Federationsmedlemmen eller dess Digitala funktioner.

8.4.3. Federationsmedlemmen ska vidta de åtgärder som föreskrivs vid incidenter, däribland återkallelse av registreringar, spärrning av registrerade Digitala funktioner, byte av kryptografiska nycklar och begränsning av åtkomst när detta behövs.

8.5. Ansvar och tillämpliga krav

8.5.1. Federationsmedlemmen ska utföra sina åtaganden på ett fackmannamässigt sätt, med hjälp av lämplig personal med erforderlig kompetens och i enlighet med Federationsramverket, tillämpligt Federationsregelverk, tillämpliga författningar och inom området förekommande god branschpraxis.

8.5.2. Registrering eller identifiering av en Digital aktör inom Federationsinfrastrukturen innebär inte i sig att det har fastställts att aktören får användas för att vidta en viss åtgärd med rättslig verkan för Federationsmedlemmen. Federationsmedlemmen ansvarar för att de Digitala aktörer som används inom dess verksamhet är inordnade under Federationsmedlemmens beslutskompetens och används inom de gränser som gäller för denna.

8.5.3. Federationsmedlemmens ansvar för åtkomstbeslut och informationsutbyte innebär inte att denne övertar Anslutningsoperatörens ansvar för de kontroller och registreringar som operatören utför enligt Federationsramverket.

8.5.4. Närmare bestämmelser om Federationsmedlemmens ansvar och skyldigheter finns i Bilaga D – Roller och ansvar, avsnitt 4.1, Tillämpningskrav vid anslutning av federationsmedlemmar, Registrering av protokollentiteter, Grundläggande krav på protokollentiteter och Bilaga B – Tekniskt ramverk.

9. Regler för Utfärdare av egenskapsintyg och Egenskapsintygsägare

9.1. Utfärdare av egenskapsintyg

9.1.1. En Utfärdare av egenskapsintyg ska kontrollera och intyga sådana egenskaper hos Parter eller deras Digitala funktioner som omfattas av Federationsramverket och tillämpligt Federationsregelverk.

9.1.2. Utfärdaren ansvarar för att de kontroller som ligger till grund för Egenskapsintyg genomförs med erforderlig aktsamhet och enligt de krav och förfaranden som Egenskapsintygsägaren har fastställt för intyget. Ansvaret innebär inte någon garanti för att de uppgifter som intygas är materiellt riktiga.

9.1.3. Utfärdaren ska säkerställa att Egenskapsintyg utfärdas och tillhandahålls så att deras ursprung och integritet kan kontrolleras samt att felaktiga eller inaktuella uppgifter hanteras och intyg återkallas enligt tillämpliga regler.

9.1.4. Utfärdaren ska utföra sina åtaganden på ett fackmannamässigt sätt och i enlighet med Federationsramverket, tillämpligt Federationsregelverk, tillämpliga författningar och inom området förekommande god branschpraxis.

9.2. Egenskapsintygsägare

9.2.1. En Egenskapsintygsägare fastställer vad ett Egenskapsintyg representerar, vilka krav som ska vara uppfyllda för att intyget ska få utfärdas och vilka Utfärdare som får utfärda det.

9.2.2. Egenskapsintygsägarens beslut om vilka Utfärdare som får utfärda ett Egenskapsintyg får verkan inom en Federationskontext när Federationsoperatören har publicerat det. Federationsoperatören ska publicera beslutet om Utfärdaren är ansluten till Federationskontexten.

9.2.3. Egenskapsintygsägaren ska utforma och förvalta kraven så att de kan återanvändas inom olika Federationskontexter och ska samverka med andra Egenskapsintygsägare för att motverka att Parter behöver visa sin kravuppfyllnad flera gånger mot likartade krav.

9.3. Tillämpliga krav

9.3.1. Egenskapsintyg avser egenskaper hos Parter och Digitala funktioner. De förmedlar inte uppgifter om Medarbetares identitet eller behörighet.

9.3.2. Bestämmelserna i detta kapitel tillämpas inte under det första utvecklingsskedet. Närmare bestämmelser om Utfärdare av egenskapsintyg och Egenskapsintygsägare, deras anslutning och de krav som gäller för Egenskapsintyg införs när dessa funktioner tas i bruk.

10. Ansvar och ansvarsbegränsningar

10.1. Skadeståndsansvar

10.1.1. En Part ansvarar för direkt skada som Parten genom vårdslöshet orsakar en annan Part genom att åsidosätta sina skyldigheter enligt Federationsramverket eller tillämpligt Federationsregelverk.

10.1.2. En Parts ansvar för uppgifter och digitala handlingar omfattar att föreskrivna kontroller och förfaranden har genomförts med erforderlig aktsamhet. Ansvaret innebär inte någon garanti för att uppgifterna är materiellt riktiga.

10.1.3. En Parts skadeståndsansvar omfattar även skada som orsakas av en Underleverantörs bristande fullgörelse av uppgifter som Parten ansvarar för enligt Federationsramverket.

10.2. Ansvarsbegränsningar

10.2.1. En Parts skadeståndsansvar enligt Federationsramverket är begränsat till direkt skada.

10.2.2. Det sammanlagda ansvaret per skadehändelse gentemot samtliga ersättningsberättigade Parter uppgår till högst fem prisbasbelopp enligt socialförsäkringsbalken (2010:110) för det år skadehändelsen inträffade. Om taket överskrids fördelas ersättningen i proportion till Parternas ersättningsgilla skador.

10.2.3. Begränsningarna i detta kapitel gäller inte om skadan har orsakats genom uppsåt eller grov vårdslöshet.

10.2.4. Bestämmelserna i detta kapitel inskränker inte ansvar som följer av tvingande lag.

10.3. Särskild befrielsegrund vid säkerhetsrisk

10.3.1. Om en Part visar att en avvikelse från skyldigheterna enligt Federationsramverket eller tillämpligt Federationsregelverk varit nödvändig för att förhindra, motverka eller åtgärda en allvarlig säkerhetsrisk, ska avvikelsen inte medföra skadeståndsansvar eller annan påföljd i den utsträckning åtgärden varit nödvändig och proportionerlig.

10.3.2. En Part som åberopar en sådan befrielsegrund ska utan oskäligt dröjsmål underrätta Federationsoperatören och de Parter som kan påverkas av avvikelsen. Om avvikelsen varar längre än sju dagar ska Parten samråda med Federationsoperatören om hur säkerhetsrisken ska hanteras.

11. Incidentrapportering m.m.

11.1. Allmänna bestämmelser

11.1.1. Detta kapitel reglerar Parternas skyldigheter att rapportera säkerhetsincidenter, störningar, väsentliga förändringar och andra förhållanden som kan påverka säkerheten, tillförlitligheten eller tillgängligheten inom Federationsinfrastrukturen.

11.1.2. Ledningsaktören får, efter samråd med Federationsoperatörer och andra berörda Parter, fastställa närmare rutiner för rapportering enligt detta kapitel. Sådana rutiner får inte innebära nya eller utvidgade skyldigheter för Parterna utan stöd i Federationsramverket.

11.2. Incidenthantering

11.2.1. En Part som upptäcker en säkerhetsincident, ett missbruk eller en annan allvarlig störning som kan påverka Federationsinfrastrukturen ska utan dröjsmål vidta de åtgärder som skäligen kan krävas av Parten för att begränsa skadan och förhindra fortsatt missbruk.

11.2.2. Parten ska utan dröjsmål rapportera sådana händelser till sin Anslutningsoperatör eller, om Parten är Anslutningsoperatör eller Utfärdare av egenskapsintyg, till Federationsoperatören. Federationsoperatören ska inom ramen för sitt uppdrag verka för att berörda Parter informeras och att incidenthanteringen samordnas inom Federationskontexten.

11.2.3. Parterna ska i skälig omfattning medverka vid utredning och hantering av incidenter enligt de rutiner som gäller inom Federationskontexten.

11.3. Rapportering av förändringar

11.3.1. En Part ska i god tid rapportera planerade förändringar i sina tekniska funktioner, organisatoriska förhållanden eller andra omständigheter som väsentligt kan påverka andra Parters användning av Federationsinfrastrukturen.

11.3.2. Om en förändring behöver genomföras skyndsamt på grund av en allvarlig säkerhetsrisk eller annat särskilt skäl ska berörda Parter informeras så snart det är möjligt.

11.3.3. En Part ska på begäran lämna de uppgifter och den dokumentation som skäligen behövs för att Federationsoperatören eller Anslutningsoperatören ska kunna bedöma om Parten fortfarande uppfyller tillämpliga krav enligt Federationsramverket och Federationsregelverket.

12. Behandling av personuppgifter

12.1. Ansvar, registrerades rättigheter och uppgiftsminimering

Varje Part ansvarar för den personuppgiftsbehandling som Parten utför inom Federationsinfrastrukturen och ska kunna visa att dataskyddsprinciperna enligt artikel 5 EU:s dataskyddsförordning följs. Detta Federationsramverk inskränker inte registrerades rättigheter enligt EU:s dataskyddsförordning och lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. Personuppgifter får inte registreras eller göras tillgängliga för andra Parter i större omfattning eller under längre tid än vad som är nödvändigt för de ändamål som motiverar behandlingen.

12.2. Personuppgiftsbiträden och underleverantörer

När en Part anlitar ett personuppgiftsbiträde för behandling av personuppgifter inom ramen för Federationsramverket eller ett Federationsregelverk ska Parten säkerställa att kraven i artikel 28 EU:s dataskyddsförordning uppfylls.

13. Sekretess och tystnadsplikt

13.1. Skydd för uppgifter

13.1.1. En Part får inte till utomstående lämna uppgifter som Parten fått del av genom sin anslutning till eller användning av Federationsinfrastrukturen och som

• a. omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) eller annan tillämplig författning hos den Part från vilken uppgifterna erhållits, eller
• b. är säkerhetskritiska eller utgör affärs- eller yrkeshemligheter.
  Förbudet gäller inte om berörd Part medger utlämnandet och detta är förenligt med tillämplig lag, eller om utlämnandet krävs enligt lag, annan författning eller myndighetsbeslut.

13.1.2. Skyldigheten gäller i fem år från det att uppgifterna erhölls eller under den längre tid som följer av tillämplig sekretesslagstiftning.

13.2. Författningsreglerad sekretess och tystnadsplikt

13.2.1. För myndigheter gäller bestämmelserna om sekretess och tystnadsplikt enligt offentlighets- och sekretesslagen (2009:400) och annan tillämplig författning. Bestämmelserna i detta kapitel begränsar inte skyldigheten att lämna ut allmänna handlingar enligt tryckfrihetsförordningen.

13.2.2. När en Part omfattas av lagen (2020:914) om tystnadsplikt vid utkontraktering av teknisk bearbetning eller lagring av uppgifter ska Parten säkerställa att tillämpliga bestämmelser i lagen följs.

13.3. Skydd mot utlämnande enligt utländsk rätt

13.3.1. En Part ska vidta erforderliga åtgärder för att Parten och dess Underleverantörer inte omfattas av skyldigheter enligt utländsk rätt som kan medföra att sekretessreglerade uppgifter lämnas ut i strid med svensk rätt eller EU-rätt.

13.3.2. En Part ska utan dröjsmål underrätta berörda Parter och Federationsoperatören om förhållanden som kan innebära att detta krav inte längre är uppfyllt.

13.4. Överträdelse och fortsatt giltighet

13.4.1. En Part ska utan dröjsmål underrätta berörda Parter om det framkommer att Partens personal eller Underleverantörer har brutit mot skyldigheter enligt detta kapitel.

13.4.2. Skyldigheterna enligt detta kapitel gäller även efter att Partens anslutning till Federationsinfrastrukturen har upphört, under den tid som anges ovan eller följer av tillämplig författning.

14. Uppgiftslämnande och kontroll

14.1. Uppgiftslämnande

14.1.1. En Part ska på begäran lämna de uppgifter och den dokumentation som skäligen behövs för att kontrollera att Parten fullgör sina skyldigheter enligt Federationsramverket och tillämpligt Federationsregelverk eller för att berörd operatör ska kunna fullgöra sina uppgifter enligt dessa regelverk.

14.1.2. Uppgifterna ska lämnas till den Anslutningsoperatör eller Federationsoperatör som ansvarar för Partens anslutning. Ledningsaktören får begära uppgifter från Federationsoperatörer i den utsträckning det behövs för att fullgöra Ledningsaktörens uppgifter enligt Federationsramverket.

14.1.3. En begäran om uppgifter ska vara skälig med hänsyn till ändamålet och omfattningen av den kontroll eller uppföljning som ska genomföras. Vid uppgiftslämnandet ska hänsyn tas till tillämpliga bestämmelser om sekretess, skydd för företagshemligheter och behandling av personuppgifter.

14.2. Bevarande av underlag

14.2.1. Parterna ska bevara det underlag som behövs för att i efterhand kunna visa vilken Digital aktör som agerat, vilka handlingar och nycklar som gällde vid tidpunkten och vilka kontroller som gjorts, i den omfattning och under den tid som anges i tillämpliga kravdokument.

14.3. Kontroll och uppföljning

14.3.1. Federationsoperatören har rätt att kontrollera att Anslutningsoperatörer och Utfärdare av egenskapsintyg fullgör sina skyldigheter enligt Federationsramverket och tillämpligt Federationsregelverk. Anslutningsoperatörer har motsvarande rätt att kontrollera att anslutna Federationsmedlemmar fullgör sina skyldigheter.

14.3.2. Kontroller får genomföras genom granskning av handlingar, begäran om upplysningar, intervjuer och platsbesök. Den som granskas ska i skälig omfattning medverka vid kontrollen. Kontroller ska planeras och genomföras i samråd med den som granskas, i den utsträckning detta är möjligt och lämpligt, samt med minsta möjliga störning av dennes verksamhet.

14.3.3. En Part som anlitar Underleverantör för att fullgöra skyldigheter enligt Federationsramverket ska säkerställa att motsvarande kontroller kan genomföras hos Underleverantören i den utsträckning det behövs för att kontrollera att tillämpliga krav uppfylls.

14.4. Granskning och rapportering

14.4.1. Anslutningsoperatörer och Federationsoperatörer ska låta genomföra den oberoende granskning som följer av tillämpliga kravdokument, i den omfattning och med den periodicitet som anges där.

14.4.2. Granskningsutlåtanden ska lämnas till Federationsoperatören respektive Ledningsaktören enligt de tidsfrister och förfaranden som anges i tillämpliga kravdokument.

14.5. Kostnader för kontroll

Om en kontroll visar att en Part eller dennes Underleverantör har brustit i fullgörandet av sina skyldigheter enligt Federationsramverket eller tillämpligt Federationsregelverk, ska Parten ersätta skäliga kostnader för kontrollen. I annat fall svarar vardera Parten för sina egna kostnader.

15. Immateriella rättigheter

Anslutning till Federationsinfrastrukturen eller tillämpning av Federationsramverket innebär inte i sig att någon immateriell rättighet överlåts eller upplåts från en Part till en annan.

16. Reklamation

Såvida inte uppsåt eller grov vårdslöshet föreligger får en Part inte göra gällande påföljd för brott mot åtaganden enligt Federationsramverket eller tillämpligt Federationsregelverk, om avtalsbrottet inte skriftligen påtalats inom skälig tid, och senast inom ett år från det att Parten upptäckte eller borde ha upptäckt avtalsbrottet.

17. Skadeståndskrav och samråd

17.1. En Parts skadeståndsansvar enligt Federationsramverket och tillämpligt Federationsregelverk bestäms enligt kapitlet Ansvar och ansvarsbegränsningar.

17.2. Om ett skadeståndskrav framställs mot en Part och det skäligen kan antas att kravet kan komma att beröra en annan Parts ansvar enligt Federationsramverket eller tillämpligt Federationsregelverk, ska den förstnämnda Parten utan oskäligt dröjsmål underrätta den andra Parten om kravet.

17.3. Berörda Parter ska i skälig omfattning samråda vid bemötande av kravet och vid en eventuell rättslig process samt lämna varandra de uppgifter och den dokumentation som behövs för att tillvarata deras rättsliga intressen.

18. Avtalstid

18.1. Avtalstiden för anslutning till Federationsinfrastrukturen anges i respektive avtal eller överenskommelse om anslutning.

18.2. Om en Federationskontext ska avvecklas eller förändras i sådan omfattning att fortsatt anslutning inte lämpligen kan ske enligt Federationsramverkets bestämmelser om ändringar och tillägg, får Federationsoperatören säga upp berörda anslutningar med minst tre månaders uppsägningstid.

18.3. En Part har rätt att säga upp sin anslutning till en Federationskontext med minst 180 dagars uppsägningstid, om inte annat följer av tillämpligt avtal eller överenskommelse.

19. Befrielsegrunder

19.1. Om en Part visar att denne förhindrats att fullgöra sina skyldigheter enligt Federationsramverket eller tillämpligt Federationsregelverk på grund av en omständighet som Parten inte kunnat råda över och vars följder denne inte heller skäligen kunnat undvika eller övervinna, ska Parten vara befriad från skadeståndsansvar och andra påföljder för den bristande fullgörelsen så länge hindret består. Detta gäller även sådana stridsåtgärder på arbetsmarknaden som avses i 2 kap. 14 § regeringsformen, oavsett om Parten själv är föremål för eller vidtar sådan åtgärd. Tidpunkten för fullgörelse ska i motsvarande mån flyttas fram.

19.2. Befrielse gäller även om hindret beror på att en Underleverantör förhindras att fullgöra sina åtaganden på grund av en sådan omständighet, förutsatt att Parten inte skäligen kunnat undvika eller övervinna följderna av hindret.

19.3. En Part som vill åberopa en befrielsegrund enligt detta kapitel ska utan oskäligt dröjsmål skriftligen underrätta berörda Parter om hindret och dess förväntade konsekvenser.

20. Uppsägning på grund av avtalsbrott och andra särskilda förhållanden

20.1. En Part får säga upp en annan Parts anslutning till Federationsinfrastrukturen, om Parten enligt tillämpligt avtal eller Federationsregelverk har rätt att besluta om anslutningen och den anslutna Parten

• a. i väsentlig mån eller vid upprepade tillfällen åsidosätter sina skyldigheter enligt Federationsramverket eller tillämpligt Federationsregelverk och inte vidtar rättelse inom 30 dagar efter skriftlig anmodan,
• b. försätts i konkurs, inställer sina betalningar eller annars kan anses vara på obestånd,
• c. avhänder sig en väsentlig del av sina tillgångar eller förändrar sin verksamhet på ett sätt som väsentligt påverkar förutsättningarna för anslutningen, eller
• d. vid anslutningen lämnat oriktiga uppgifter som varit av väsentlig betydelse för beslutet om anslutning.

20.2. Uppsägning enligt ovan får ske med omedelbar rättslig verkan. Uppsägningen ska vara skriftlig och ange skälen för åtgärden. Den tekniska verkan inträder enligt vad som anges under Avstängning och begränsning av anslutning.

20.3. En Anslutningsoperatör får säga upp en Federationsmedlems anslutning till en Federationskontext på dessa grunder. Federationsoperatören får på motsvarande grunder säga upp en Anslutningsoperatörs eller en Utfärdares anslutning till Federationskontexten.

20.4. Uppsägning får även ske enligt de särskilda villkor som gäller för anslutningen enligt tillämpligt avtal eller Federationsregelverk.

21. Avstängning och begränsning av anslutning

21.1. Om en Part bryter mot Federationsramverket eller tillämpligt Federationsregelverk, eller om Partens deltagande i eller användning av Federationsinfrastrukturen skadar eller riskerar att skada dess säkerhet, funktion eller tillförlitlighet, får Federationsoperatören besluta att stänga av eller begränsa Partens anslutning till Federationskontexten eller tillgång till dess funktioner och tjänster. Beslut som avser en Federationsmedlem verkställs av medlemmens Anslutningsoperatör utan dröjsmål. Anslutningsoperatören får på motsvarande grunder själv begränsa eller återkalla registreringar för de Federationsmedlemmar som operatören ansvarar för.

21.2. En avstängning, begränsning, återkallelse eller uppsägning får teknisk verkan senast när de handlingar och intyg som redan utfärdats har upphört att gälla, enligt de högsta giltighetstider som anges i det Tekniska ramverket. Parterna ska dessförinnan vidta de åtgärder som står till buds för att begränsa fortsatt användning.

21.3. En Part som har blivit föremål för en sådan åtgärd ska snarast möjligt underrättas om avstängningen eller begränsningen samt skälen för denna.

21.4. En avstängning eller begränsning enligt detta kapitel får bestå endast så länge det är nödvändigt med hänsyn till de omständigheter som föranlett åtgärden.

22. Meddelanden

22.1. Meddelanden som enligt Federationsramverket eller tillämpligt Federationsregelverk ska tillställas Ledningsaktören eller en Federationsoperatör ska lämnas skriftligen till den postadress eller e-postadress som respektive aktör anger på sin webbplats eller annars har meddelat.

22.2. Meddelanden som enligt Federationsramverket eller tillämpligt Federationsregelverk ska tillställas en Anslutningsoperatör, Utfärdare av egenskapsintyg eller Federationsmedlem ska lämnas skriftligen till den postadress eller e-postadress som Parten angett vid anslutningen eller senare har meddelat.

22.3. Ett meddelande ska anses ha kommit mottagaren till handa när det har nått den postadress eller e-postadress som mottagaren angett enligt 22.1 eller 22.2.

23. Tillämplig lag och tvister

23.1. Federationsramverket ska tolkas och tillämpas enligt svensk rätt. Svenska lagvalsregler ska dock inte vara tillämpliga.

23.2. Tvist mellan Parter som är skilda juridiska personer angående tolkning eller tillämpning av Federationsramverket, tillämpligt Federationsregelverk eller därmed sammanhängande rättsförhållanden ska avgöras av allmän domstol med Stockholms tingsrätt som första instans.

23.3. Om en meningsskiljaktighet uppkommer mellan statliga myndigheter som ingår i samma juridiska person ska i stället följande gälla.

• a. Meningsskiljaktigheter om tekniska eller administrativa förhållanden ska i första hand hanteras av myndigheternas utsedda kontaktpersoner för sådana frågor. Om enighet inte kan uppnås ska frågan hänskjutas till de företrädare som respektive myndighet utser.
• b. Meningsskiljaktigheter om tolkning eller tillämpning av Federationsramverket, tillämpligt Federationsregelverk eller andra rättsliga förhållanden ska i första hand hanteras av myndigheternas utsedda kontaktpersoner för juridiska eller administrativa frågor. Om enighet inte kan uppnås ska frågan hänskjutas till de företrädare som respektive myndighet utser.
• c. Om myndigheterna inte kan enas om huruvida en fråga är av rättslig eller teknisk och administrativ karaktär ska frågan behandlas som en rättslig fråga.
• d. Om enighet inte kan uppnås ska frågan hänskjutas till myndigheternas chefer för gemensam behandling. Kan myndighetscheferna inte enas får frågan, i den utsträckning det är förenligt med gällande rätt, hänskjutas till regeringen.
• e. Myndigheterna ska lojalt samverka för att utan onödigt dröjsmål finna en lösning på uppkomna meningsskiljaktigheter.