Status: UTKAST

Syfte och tillämpning

Detta dokument fastställer krav och vägledning för verifiering, dokumentation och uppföljning av organisationer som ansöker om att verka som anslutningsoperatörer inom Samordnad identitet och behörighet.

En anslutningsoperatör intar en kritisk roll inom en federation. Till skillnad från en federationsmedlem som nyttjar federationens tjänster, är anslutningsoperatören en betrodd förmedlande part som utför verifieringar, hanterar anslutningsärenden och ansvarar för att federationsmedlemmarnas anslutningar uppfyller gällande krav. Operatörens tillförlitlighet är därmed en förutsättning för hela federationens systemtillit.

Dokumentet syftar till att skapa förutsättningar för att federationsoperatören och övriga federationsmedlemmar ska kunna förlita sig på att anslutningsoperatören:

• uppfyller de organisatoriska och legala krav som krävs för att verka i en betrodd infrastrukturroll,
• har kapacitet, stabilitet och mognad att utföra sitt uppdrag kontinuerligt och tillförlitligt,
• bedriver ett systematiskt och riskbaserat informationssäkerhetsarbete och uppfyller Grundläggande krav på federationsinfrastrukturtjänster,
• har infört och tillämpar processer och rutiner i enlighet med federationens regelverk, och dokumenterar sina egna verifieringar av federationsmedlemmar,
• agerar i enlighet med federationens regelverk och kan hållas ansvarig för sin verksamhet.

Dokumentet förhåller sig till Grundläggande krav på federationsinfrastrukturtjänster, som anger miniminivåer för de tekniska och organisatoriska komponenter (t.ex. intermediate entity) som anslutningsoperatören tillhandahåller. Detta dokument reglerar processkraven, d.v.s. hur operatörens organisation prövas och hur uppfyllnaden av grundkraven styrks, tas emot och följs upp medan komponentkraven ställs i grundkraven.

För att förstå den fullständiga kravbilden behöver detta dokument läsas tillsammans med Grundläggande krav på federationsinfrastrukturtjänster (de tekniska komponentkraven, inklusive granskningsmodellen) samt Tillämpningskrav vid anslutning av federationsmedlemmar och Tillämpningskrav och vägledning för registrering.

Dokumentet ska operationaliseras av en intern process hos federationsoperatören

Vad andra parter kan förutsätta

När en organisation ansluts som anslutningsoperatör enligt detta dokument kan federationsoperatören och övriga federationsmedlemmar förutsätta att operatörens organisationsidentitet har verifierats mot lämpliga och relevanta källor och att dess finansiella ställning och ägarstruktur har bedömts tillräckliga för att upprätthålla kontinuitet i infrastrukturrollen. Den person som tecknat operatörsavtalet har ett verifierat och dokumenterat mandat att binda organisationen, och operatören har utsett namngivna personer i behöriga roller gentemot federationen med dokumenterade mandat.

Operatören bedriver ett systematiskt och riskbaserat informationssäkerhetsarbete och uppfyller de grundläggande kraven för federationsinfrastrukturtjänster, styrkt genom ett tredjepartsutlåtande som federationsoperatören tagit emot och bedömt. Operatören tillämpar dokumenterade processer för tillämpningskraven vid anslutning av federationsmedlemmar och för registrering, och dokumenterar sina egna verifieringar av federationsmedlemmar på ett spårbart sätt.

Federationsoperatören genomför löpande och händelsestyrd tillsyn, inklusive fysiska revisioner och uppföljning av tredjepartsutlåtandet, och kan uppvisa verifieringshandlingar vid begäran. Det finns dokumenterade planer för verksamhetskontinuitet och för kontrollerad avveckling, så att anslutna federationsmedlemmars verksamhet inte störs vid störning eller avslut av operatörskapet.

Omfattning och avgränsning

Detta dokument gäller kontroller och processer som rör juridisk organisationsidentitet, finansiell stabilitet, ägarstruktur, behöriga företrädare och roller, organisatorisk mognad och operativ förmåga, informationssäkerhetsarbete samt tillämpar de krav som gäller vid anslutning av federationsmedlemmar och registrering av dess protokollentiteter. 

Dokumentet omfattar inte:

• Teknisk drift av anslutningstjänsten. Detaljerade krav på anslutningstjänstens (intermediate entity) tekniska drift, tillgänglighet, metadata-publicering och nyckelhantering. Sådana krav anges i Grundläggande krav på federationsinfrastrukturtjänster.
• Komponentinterna administratörsroller. De interna administratörs- och driftroller som grundkraven ställer krav på inom själva komponenten regleras i grundkraven, inte här. Detta dokument reglerar de behöriga roller som anmäls gentemot federationen.
• Åtkomst- och verksamhetsbeslut. Beslut om åtkomst, tjänstespecifika behörigheter eller verksamhetsmässiga efterlevnadsbedömningar gentemot enskilda federationsmedlemmar. Anslutningsoperatören agerar som förmedlande och verifierande aktör, inte som beslutande part i förhållande till federationsmedlemmars åtkomst.

Definitioner

Se Bilaga A — Definitioner

Krav och vägledning

1. Ansökan om operatörskap

1.1 Den anslutande organisationen ansöker om att verka som anslutningsoperatör hos federationsoperatören för en federation.

Vägledning: Ansökan utgör den formella initieringen av anslutningsärendet och triggar de kontroller som föreskrivs i detta dokument.

1.2 Ansökan ska undertecknas av behörig företrädare för den anslutande organisationen. Anslutande organisation ska på begäran kunna styrka företrädarens rätt att företräda organisationen i anslutningsärendet.

Vägledning: Kravet säkerställer att ansökan är förankrad hos en person med mandat att agera för organisationens räkning. Det är inte nödvändigt att samma person som undertecknar ansökan också tecknar det slutliga operatörsavtalet, men behörighetsgrunden ska i båda fallen kunna styrkas.

1.3 I ansökan ska den anslutande organisationen ange (a) organisationens namn, (b) organisationsnummer eller motsvarande nationell identifierare, (c) postadress, samt (d) uppgift om vem som är behörig företrädare.

Vägledning: Uppgifterna ska vara tillräckliga för att federationsoperatören ska kunna genomföra organisationsverifieringen enligt avsnitt 2.

1.4 Den anslutande organisationen ska i ansökan ange beställare (kontaktperson för anslutningsärendet). Federationsoperatören ska styrka att beställaren kan kopplas till organisationen genom minst en av följande metoder: (a) skriftlig fullmakt/delegation som anger att beställaren får driva anslutningsärendet, eller (b) oberoende kanalbekräftelse enligt avsnitt 8.

Vägledning: Beställaren är en processroll, d.v.s. den som driver ärendet praktiskt. Tillhörighetskontrollen avser att säkerställa att den som interagerar med federationsoperatören faktiskt representerar organisationen. Kontrollen avser inte att verifiera beställarens rätt att ingå avtal; det hanteras i avsnitt 4.

2. Verifiering av organisationsidentitet och säte

2.1 Den anslutande organisationen ska vara etablerad och registrerad som juridisk person i en stat inom Europeiska ekonomiska samarbetsområdet (EU/EES), ha ett giltigt och entydigt organisationsnummer eller motsvarande nationell identifierare samt ha sitt registrerade säte inom EU/EES.

Vägledning: Kravet säkerställer att organisationen är en identifierbar juridisk person.

2.2 Den anslutande organisationen ska på begäran av federationsoperatören lämna dokumentation som motsvarar kopia på registreringsbevis utfärdat av behörig officiell myndighet. Dokumentationen ska vara aktuell.

Vägledning: Federationsoperatören bör tillämpa en tidsgräns för dokumentationens aktualitet, exempelvis att den inte får vara äldre än två månader räknat från ansökningsdagen.

2.3 Federationsoperatören ska verifiera organisationsnummer mot relevant nationellt myndighetsregister och dokumentera resultatet.

Vägledning: Verifieringen görs enligt den källa som gäller för organisationens hemland, för svensk organisation i normalfallet mot Bolagsverket, och för organisation i annan EU/EES-stat mot motsvarande nationellt myndighetsregister. För organisation i annan EU/EES-stat ska federationsoperatören dokumentera vilken källa som använts, hur verifieringen gått till och varför bedömningen anses tillförlitlig. Krav på motsvarande tillförlitlighet som för svenska organisationer gäller. Verifieringen ska vara oberoende av de uppgifter organisationen själv har lämnat i ansökan, det handlar om att kontrollera påstådda uppgifter mot en betrodd källa.

3. Organisationens status, finansiella stabilitet och ägarstruktur

3.1 Organisationen ska vara aktiv och inte föremål för likvidation, konkurs, utmätning, företagsrekonstruktion, avveckling eller annan insolvensprocess, och inte vara registrerad som vilande, vid tidpunkten för anslutning. Federationsoperatören ska kontrollera detta mot relevant myndighetsregister.

Vägledning: Syftet är att säkerställa att federationen består av verksamma aktörer vars identitet kan upprätthållas över tid. För svensk organisation görs kontrollen mot relevant nationellt myndighetsregister och för organisation i annan EU/EES-stat mot tillämpligt register i hemlandet, med dokumentation av metod och bedömning.

3.2 Organisationen ska uppvisa tillräcklig finansiell kapacitet för att fullgöra sitt uppdrag.

Vägledning: Bedöms utifrån tillgängliga årsredovisningar, kreditupplysning eller annan tillförlitlig källa. Federationsoperatören fastställer i sin riskbedömning vilka kriterier som ska uppfyllas.

3.3 Svensk privat organisation som bedriver näringsverksamhet ska vara registrerad för F-skatt. Organisation i annan EU/EES-stat ska uppvisa motsvarande registrering som styrker rätt att bedriva näringsverksamhet i hemlandet.

Vägledning: Undantag kan medges om organisationsformen inte förutsätter sådan registrering, under förutsättning att den kontrollerande parten dokumenterar alternativ bedömning och motivering. Offentliga organisationer har andra registreringsförhållanden som ska beaktas.

3.4 Organisation som enligt lag (2017:631) om registrering av verkliga huvudmän är skyldig att anmäla uppgifter till Bolagsverket ska ha en aktuell och korrekt registrering.

Vägledning: För svensk organisation kontrolleras detta mot Bolagsverkets register; för organisation i annan EU/EES-stat mot tillämpligt nationellt register, med dokumentation av källa och bedömning.

3.5 Organisation som är undantagen från registreringsskyldighet (t.ex. statlig myndighet, börsnoterat bolag, kommun eller region) ska på begäran kunna redogöra för sin kontrollstruktur eller motsvarande behörighetsordning.

Vägledning: Organisation som är undantagen från registreringsskyldighet ska kunna redogöra för sin kontrollstruktur eller motsvarande behörighetsordning på begäran.

3.6 Anslutningsoperatören ska utan dröjsmål underrätta federationsoperatören om väsentliga förändringar i organisationens status, verkligt huvudmannaskap eller kontrollstruktur.

Vägledning: Underrättelseskyldigheten gäller redan från det att förändringen är känd för organisationen.

4. Behörig företrädare och avtalstecknande

4.1 Avtalstecknaren ska identifieras med stark identifiering, normalt elektroniskt genom e-legitimation på minst tillitsnivå 3 (eller metod med motsvarande tillförlitlighet).

Vägledning: Vid legitimering med utländsk e-legitimation utfärdad inom EU/EES ska denna uppfylla minst Level of Assurance Substantial (Väsentlig). Annan metod med motsvarande tillförlitlighet kan godtas om federationsoperatören dokumenterar bedömningen.

4.2 Federationsoperatören ska verifiera och dokumentera (a) vilken behörighetsgrund som gäller för organisationen vid avtalstecknande (t.ex. firmateckning, delegationsordning, fullmakt), samt (b) att den namngivna avtalstecknaren innehar denna behörighetsgrund vid tidpunkten för undertecknande.

Vägledning: Syftet är att säkerställa att operatörsavtalet är juridiskt bindande. Behörighetsgrunden varierar beroende på organisationsform, exempelvis firmateckning, delegationsordning eller fullmakt.

4.3 För privata organisationer ska federationsoperatören styrka firmateckningsrätt eller giltig fullmakt/delegation från behörig företrädare. Behörighet ska verifieras mot relevant nationellt myndighetsregister.

Vägledning: För svensk organisation sker verifiering normalt mot Bolagsverkets firmateckningsregister; för organisation i annan EU/EES-stat mot motsvarande nationellt register, med dokumentation av källa och bedömning.

4.4 För offentliga organisationer ska federationsoperatören kontrollera vilken roll som är behörig att företräda organisationen och att avtalstecknaren innehar sådan roll, genom minst ett av följande alternativ: (a) formellt beslutsdokument (protokollutdrag, delegationsbeslut) undertecknat enligt organisationens delegationsordning, (b) bekräftelse från officiell e-postadress kopplad till myndighetens domän i kombination med offentlig hänvisning, eller (c) annan motsvarande tillförlitlig styrkning av behörighet, dokumenterad och motiverad av federationsoperatören.

Vägledning: Offentliga organisationer har andra behörighetsgrunder än privata. I normalfallet framgår behörigheten av en delegationsordning eller motsvarande internt styrdokument.

5. Behöriga roller gentemot federationen

5.1 Generella krav

5.1.1 Anslutningsoperatören ska anmäla namngivna personer i de behöriga roller som anges i avsnitt 5.2–5.5. Federationsoperatören ska säkerställa att rollerna har utsetts och dokumentera vilka personerna är.

Vägledning: Behöriga roller är namngivna fysiska personer med definierade och dokumenterade mandat att företräda anslutningsoperatören i specifika avseenden gentemot federationen. En behörig roll ska alltid innehas av en namngiven person, inte en funktion, befattning eller gruppbrevlåda. Utöver de behöriga rollerna kan operatören anmäla ytterligare kontakter för informationsspridning; sådana kontakter kan vara funktioner men saknar behörighet att utföra åtgärder som påverkar operatörskapet.

5.1.2 Varje rollinnehavare ska identifieras med personlig identifierare (t.ex. personnummer eller motsvarande) som dokumenteras i anslutningsärendet.

Vägledning: Identifieraren behövs för att kunna styrka rollinnehavarens identitet vid kontakt med federationsoperatören och vid åtgärder som rör operatörskapet.

5.1.3 Utsedda behöriga roller ska grundas på dokumenterad delegation eller fullmakt som anger roll, mandatets omfattning och eventuell tidsbegränsning.

Vägledning: Delegationen ska vara spårbar enligt avsnitt 7. Federationsoperatören bör säkerställa att delegeringens omfattning matchar den roll den avser.

5.1.4 En person får inte samtidigt inneha roller vars mandat står i konflikt med varandra.

Vägledning: Behörig verksamhetskontakt och behörig teknisk kontakt bör exempelvis inte vara samma person, eftersom verksamhetskontakten har mandat att utse och ersätta den tekniska kontakten.

5.2 Avtalstecknare

5.2.1 Anslutningsoperatören ska ha en avtalstecknare som har juridisk rätt att företräda organisationen och ingå operatörsavtalet. Avtalstecknaren verifieras enligt avsnitt 4.

Vägledning: Det är i samband med avtalsingåendet som de övriga behöriga rollerna initialt utses. Rollen avser den juridiska befogenheten att binda organisationen vid avtal och medför inte i sig behörighet att hantera den tekniska anslutningen eller att anmäla löpande ändringar.

5.3 Behörig verksamhetskontakt

5.3.1 Anslutningsoperatören ska utse en behörig verksamhetskontakt som har mandat att (a) anmäla uppgifter och ändringar som rör operatörskapet till federationsoperatören, inklusive avtals-, faktura- och adressfrågor, (b) utse och ersätta behörig teknisk kontakt, samt (c) begära ändringar som kräver verksamhetsmässigt beslut.

Vägledning: Verksamhetskontakten är operatörens primära kontaktpunkt för icke-tekniska ärenden gentemot federationsoperatören.

5.4 Behörig teknisk kontakt

5.4.1 Anslutningsoperatören ska utse en behörig teknisk kontakt som har mandat att (a) hantera och anmäla uppgifter och ändringar som rör operatörens tekniska anslutning, inklusive teknisk metadata och certifikat, samt (b) ansvara för livscykelhantering av tekniska komponenter och (c) incidenthantering gentemot federationen.

Vägledning: Den tekniska kontakten ansvarar för operatörens tekniska anslutning i dess helhet. Rollen innefattar inte behörighet att ändra vem som är verksamhetskontakt eller att fatta beslut om avtalsmässiga förändringar.

5.5 Ändring av rollinnehavare

5.5.1 Ändring av behörig verksamhetskontakt ska initieras av behörig företrädare för anslutningsoperatören.

Vägledning: Behörig företrädare avser här en person med juridisk rätt att företräda organisationen, vilket kan vara den nuvarande avtalstecknaren eller en annan person med samma behörighetsgrund. Detta säkerställer att organisationen inte blir låst om den ursprungliga avtalstecknaren slutar.

5.5.2 Ändring av behörig teknisk kontakt ska initieras av behörig verksamhetskontakt.

Vägledning: Verksamhetskontakten har mandat att tillsätta och ersätta den tekniska kontakten, exempelvis vid personalförändringar.

5.5.3 Övriga behöriga roller och kontaktpersoner kan endast ändras på begäran av behörig företrädare för anslutningsoperatören.

5.5.4 Varje ändring av rollinnehavare ska dokumenteras enligt avsnitt 7.

6. Organisationens mognad och operativa förmåga

Kraven i detta avsnitt ska så långt möjligt vara kontrollerbara och kunna härledas till en konkret kontroll. Där en bedömningsfråga kvarstår ska federationsoperatören dokumentera grunden för sin bedömning.

6.1 Systematiskt och riskbaserat informationssäkerhetsarbete

6.1.1 Anslutningsoperatören ska bedriva ett systematiskt informationssäkerhetsarbete som är anpassat till verksamhetens art, omfattning och risknivå, i enlighet med tillämpliga lagar och förordningar.

Vägledning: Kravet anses uppfyllt om operatören omfattas av och efterlever relevanta regulatoriska krav på informationssäkerhet, såsom cybersäkerhetslagen (genomförande av NIS2-direktivet). En operatör som inte omfattas av sådan reglering ska kunna visa att motsvarande systematiskt informationssäkerhetsarbete bedrivs för den del av verksamheten som berör federationsinfrastrukturtjänsten. Uppfyllnad verifieras via dokumentation som federationsoperatören kan ta del av.

6.2 Uppfyllnad av grundläggande krav på federationsinfrastrukturtjänster

6.2.1 Tekniska och organisatoriska krav på anslutningstjänsten (intermediate entity) anges i Grundläggande krav på federationsinfrastrukturtjänster. Anslutningsoperatören ska styrka att grundkraven är uppfyllda genom ett tredjepartsutlåtande enligt grundkravens avsnitt 3.

6.2.2 Federationsoperatören ska ta emot tredjepartsutlåtandet, dra slutsats om kravuppfyllnad i enlighet med grundkravens avsnitt 3.2 och agera på de iakttagelser som granskaren rapporterar. Konstaterade avvikelser ska hanteras enligt en av federationsoperatören godkänd åtgärdsplan.

Vägledning: Granskaren rapporterar iakttagelser; det är federationsoperatören som drar slutsatsen om huruvida grundkraven är uppfyllda (grundkravens avsnitt 3.2). Detta avsnitt beskriver hur federationsoperatören agerar på granskarens rapport och inte en parallell egen granskning av komponenten. Mottagande och löpande uppföljning av utlåtandet beskrivs vidare i avsnitt 9.4, och dokumentation av prövningen sker enligt avsnitt 7.

6.3 Operatörens dokumentation av egna verifieringar av federationsmedlemmar

6.3.1 Anslutningsoperatören ska dokumentera sina verifieringar av federationsmedlemmar enligt Tillämpningskrav vid anslutning av federationsmedlemmar respektive Tillämpningskrav och vägledning för registrering. Ärendedokumentationen ska vara spårbar och tillgänglig för federationsoperatörens uppföljning.

Vägledning: Det grundläggande kravet på ärendedokumentation ställs i tillämpningskraven för anslutning respektive registrering. Det förtydligas här därför att federationsoperatörens stickprovsbaserade uppföljning (avsnitt 9.4) och utfästelsen i "Vad andra parter kan förutsätta" vilar på att sådan dokumentation faktiskt förs.

6.4 Verifiering av tillämpning av anslutnings- och registreringskraven

6.4.1 Federationsoperatören ska verifiera att anslutningsoperatören har dokumenterade processer för tillämpning av (a) Tillämpningskrav vid anslutning av federationsmedlemmar, samt (b) Tillämpningskrav och vägledning för registrering.

6.4.2 Verifiering enligt detta avsnitt ska genomföras vid anslutning av ny anslutningsoperatör samt vid fysisk revision enligt avsnitt 9.2.

Vägledning: Medan avsnitt 6.3 reglerar att operatören dokumenterar sina enskilda verifieringsärenden, verifierar detta avsnitt att operatören har processerna för tillämpning av regelverket på plats. Avvikelser ska dokumenteras och hanteras enligt en av federationsoperatören godkänd åtgärdsplan. Syftet är att säkerställa att operatören inte enbart har kännedom om regelverket utan att det faktiskt är implementerat i verksamheten.

6.5 Kontinuitet

6.5.1 Anslutningsoperatören ska ha en dokumenterad plan för verksamhetskontinuitet. Planen ska vara proportionell i förhållande till operatörens uppdragsomfattning och identifierade risker, och beskriva hur operatören upprätthåller spårbarhet, konfidentialitet och riktighet i verifieringar, beslut och dokumentation vid störningar.

Vägledning: Detta avser planen för att upprätthålla verksamheten vid en störning och är en annan plan än den avvecklingsplan för ett avslut av operatörskapet som krävs enligt avsnitt 10.1. Där en störning bedöms kunna övergå i permanent oförmåga att fullgöra uppdraget ska kontinuitetsplanen ha koppling till avvecklingsplanen (avsnitt 10.1). Federationsoperatören fastställer i sin riskbedömning vilka kriterier och bevismedel som ska tillämpas vid bedömning av verksamhetskontinuitet (se avsnitt 9).

7. Spårbarhet och dokumentation av federationsoperatörens prövning

7.1 Federationsoperatören ska dokumentera och arkivera de underlag och kontroller som ligger till grund för anslutningen av anslutningsoperatören enligt avsnitt 1–6, inklusive verifiering av juridisk person, behöriga roller och delegationer/fullmakter samt det tredjepartsutlåtande som styrker uppfyllnad av grundkraven (t.ex. registerutdrag, undertecknade beslut, fullmakter/delegationer, kreditupplysningar, signaturunderlag och tredjepartsutlåtande).

Vägledning: Dokumentationen ska vara tillräcklig för att tredje part, exempelvis ledningsaktören vid revision, ska kunna bedöma om kontrollerna genomförts korrekt.

7.2 Federationsoperatören ska föra protokoll/logg över utförda kontroller med uppgift om vem som utfört kontrollen, vad som kontrollerats, när kontrollen utförts, använda källor/metoder samt resultat/beslut.

Vägledning: Syftet är full spårbarhet. Protokollet ska kunna uppvisas vid begäran från ledningsaktören.

7.3 Om delegation används för verifiering ska delegationen vara skriftlig eller elektroniskt signerad, ange omfattning och vara tidsbegränsad eller tydligt reglerad.

Vägledning: Obegränsade delegationer utgör en risk. Federationsoperatören bör säkerställa att delegeringens omfattning matchar den roll den avser.

7.4 Om oberoende kanalbekräftelse används ska federationsoperatören dokumentera varför vald metod och kanal bedöms tillräcklig utifrån risk och tillförlitlighet.

Vägledning: Bedömningen ska göras i förhållande till ärendets karaktär och den risk som en felaktig tillhörighetsbedömning medför.

7.5 Resultat och protokoll från fysiska revisioner enligt avsnitt 9.2 samt uppföljning av tredjepartsutlåtande enligt avsnitt 9.4 ska sparas.

7.6 Beslut om och datum för avvisning, återkallelse eller uppdatering ska dokumenteras.

7.7 Dokumentationen ska sparas så länge organisationen är anslutningsoperatör samt fem år därefter, eller enligt lagstadgade krav. Dokumentation avseende avvisning ska sparas i tre år.

Vägledning: Detta avsnitt avser federationsoperatörens dokumentation av sin egen prövning av operatören. Operatörens dokumentation av sina egna verifieringar av federationsmedlemmar regleras separat i avsnitt 6.3. Den längre arkiveringstiden jämfört med federationsmedlemmar motiveras av operatörens infrastrukturroll och behovet av revisionsspårbarhet.

8. Oberoende kanalbekräftelse - metod

8.1 Federationsoperatören ska, baserat på riskanalys, fastställa och dokumentera vilka metoder för oberoende kanalbekräftelse som används och under vilka förutsättningar de bedöms tillräckliga.

Vägledning: Oberoende kanalbekräftelse kan användas för att uppfylla krav 1.4 om tillhörighetskontroll av beställare och kan även användas som kompletterande kontroll vid behörighetsstyrkning enligt avsnitt 4 när det bedöms motiverat. Exempel på metoder är fysisk post med aktiveringskod till organisationens registrerade adress, bekräftelse via officiell e-post kopplad till organisationens domän i kombination med publicerad verifiering på organisationens webbplats, samt bekräftelse via annan kontrollerad organisationskanal med motsvarande tillförlitlighet.

9. Livscykelhantering - verifiering och kontroll över tid

För att säkerställa att en anslutningsoperatörs förutsättningar för uppdraget förblir korrekta och uppfyllda över tid ska federationsoperatören tillämpa en kombination av periodisk re-verifiering, fysisk revision, händelsestyrd uppföljning, uppföljning av tredjepartsutlåtande och kontinuerlig övervakning. Re-verifiering ska i tillämpliga delar omfatta samma verifieringsobjekt och kontrollpunkter som vid anslutning enligt avsnitt 1–6. Resultat ska dokumenteras enligt avsnitt 7.

9.1 Periodisk re-verifiering av organisationsuppgifter

9.1.1 Federationsoperatören ska re-verifiera anslutningsoperatörens anslutning minst en gång per år. Re-verifieringen ska minst omfatta (a) kontroll av organisationsstatus mot nationellt myndighetsregister, (b) kontroll av verkligt huvudmannaskap och eventuella ägarförändringar, (c) kontroll av F-skatteregistrering (eller motsvarande för organisation i annan EU/EES-stat) och finansiell ställning utifrån tillgänglig information, (d) bekräftelse av att utsedda behöriga roller är aktuella och nåbara, samt (e) genomgång av eventuella avvikelser eller incidenter sedan senaste verifiering.

Vägledning: Syftet är att säkerställa att organisationsidentiteten, behörighetsförhållandena och de behöriga rollerna förblir korrekta över tid. Re-verifieringen ska dokumenteras enligt avsnitt 7.

9.2 Obligatorisk fysisk revision

9.2.1 Utöver den periodiska re-verifieringen ska federationsoperatören genomföra fysisk revision hos anslutningsoperatören (a) minst vartannat år som en del av den löpande tillsynen, samt (b) vid händelsestyrd re-verifiering enligt avsnitt 9.3, om federationsoperatören bedömer att situationen motiverar det.

9.2.2 Fysisk revision ska minst omfatta de delar av avsnitt 6 som lämpar sig för granskning på plats: operatörens dokumentation av egna verifieringar (6.3), tillämpning av anslutnings- och registreringskraven (6.4) samt kontinuitet (6.5).

Vägledning: Informationssäkerhetsarbetet (6.1) verifieras via dokumentation och uppfyllnaden av grundkraven (6.2) via tredjepartsutlåtandet (se avsnitt 9.4); dessa är därför inte primärt föremål för fysisk revision.

9.2.3 Federationsoperatören ska i förväg kommunicera revisionsplan och syfte till anslutningsoperatören. Anslutningsoperatören är skyldig att medverka och ge federationsoperatörens revisorer tillgång till relevanta lokaler, personal och dokumentation.

9.2.4 Revisionen ska dokumenteras i ett revisionsprotokoll. Konstaterade avvikelser ska åtgärdas enligt en av federationsoperatören godkänd åtgärdsplan.

9.3 Händelsestyrd re-verifiering

9.3.1 Omgående re-verifiering ska initieras vid incidenter eller händelser som kan påverka tillförlitligheten till anslutningsoperatörens organisation eller uppdragsförmåga.

Vägledning: Detta kan exempelvis vara: ändring i firmatecknare, styrelse eller ledning; företagsfusion, förvärv, namnändring eller annan registreringsändring; väsentlig förändring i ägarstruktur eller verkligt huvudmannaskap; offentlig anmälan om konkurs, likvidation eller företagsrekonstruktion; meddelande om större omstrukturering; indikationer om falska eller förfalskade delegationshandlingar; klagomål eller avvikelserapporter från federationsmedlemmar som rör operatörens hantering; samt avvikelser där lämnade uppgifter inte längre stämmer överens med betrodd källa eller tidigare verifierat underlag.

9.3.2 Federationsoperatören bör, där möjligt, upprätta automatisk övervakning mot officiella register eller notifieringstjänster. Om automatisk övervakning inte är möjlig ska motsvarande informationsinhämtning ske genom andra rutiner med dokumenterad riskbedömning.

9.4 Uppföljning av tredjepartsutlåtande

9.4.1 Federationsoperatören ska löpande följa upp att tredjepartsutlåtandet (avsnitt 6.2) är aktuellt och att grundkraven fortsatt uppfylls.

9.4.2 Federationsoperatören ska genomföra stickprovsbaserad uppföljning av anslutningsoperatörens ärendedokumentation enligt avsnitt 6.3, för att kontrollera att operatörens verifieringar av federationsmedlemmar i praktiken stämmer överens med tillämpningskraven och med det som utlåtandet förutsätter.

9.4.3 Tredjepartsutlåtandet ska förnyas minst var 24:e månad. Federationsoperatören ska säkerställa att ett förnyat utlåtande tas emot och bedöms inom förnyelsecykeln.

Vägledning: Förnyelsecykeln (24 månader) är samordnad med den obligatoriska fysiska revisionen (avsnitt 9.2, minst vartannat år) och kan med fördel planeras tillsammans med denna. Avvikelser som framkommer vid uppföljningen hanteras enligt avsnitt 9.5.

9.5 Incidenthantering och åtgärdstrappor

9.5.1 Vid upptäckt av att en anslutningsoperatör inte kan re-verifieras, eller att allvarliga brister konstateras, ska federationsoperatören (a) omedelbart initiera förnyad verifiering och bedöma behovet av tillfälliga begränsningar i operatörens uppdrag (t.ex. begränsat mandat eller pausad möjlighet att godkänna nya federationsmedlemmar), (b) informera berörda parter och federationsmedlemmar enligt avtal och sekretessregler, i den mån det är möjligt utan att försämra möjligheterna att kontrollera efterlevnad, (c) säkerställa kontinuitet för anslutna federationsmedlemmar genom att vid behov aktivera plan för operatörsbyte (se avsnitt 10.2), samt (d) genomföra åtgärd baserat på utredningens resultat.

Vägledning: Åtgärder kan innefatta karantän, begränsad åtkomst, återkallelse av operatörsmandat eller andra åtgärder som federationsoperatören beslutar om utifrån utredningens resultat.

10. Avveckling, överlåtelse och exit-hantering

10.1 Krav på plan för kontrollerad avveckling

10.1.1 Anslutningsoperatören ska, som villkor för operatörsavtalet, upprätta och underhålla en dokumenterad plan för kontrollerad avveckling av sitt operatörskap. Planen ska säkerställa att anslutna federationsmedlemmars verksamhet inte störs vid ett upphörande av operatörskapet, oavsett om avslut sker planerat eller på grund av bristande efterlevnad.

10.1.2 Avvecklingsplanen ska minst beskriva (a) hur pågående anslutningsärenden hanteras vid upphörande, (b) hur anslutna federationsmedlemmar informeras och överlämnas till annan operatör eller till federationsoperatören, (c) tidplan och ansvarsfördelning för avvecklingens olika faser, samt (d) hur sekretess och dataskydd upprätthålls under avvecklingsprocessen.

10.1.3 Federationsoperatören ska godkänna avvecklingsplanen vid anslutningsoperatörens anslutning och vid varje väsentlig revidering. Planen ska hållas aktuell och uppdateras vid väsentliga förändringar i operatörens organisation eller uppdragets omfattning.

10.2 Säkerställande av medlemskontinuitet vid operatörsbyte

10.2.1 Federationsoperatören ansvarar för att säkerställa att anslutna federationsmedlemmars anslutning och tillgång till federationens tjänster inte avbryts vid ett operatörsbyte. Detta ska uppnås genom (a) att federationsoperatören har en kontinuitetsplan som säkerställer federationsmedlemmars anslutning, samt (b) att anslutningsoperatören är skyldig att medverka aktivt i överlämningsprocessen och inte vidta åtgärder som försvårar ett ordnat operatörsbyte.

10.3 Överlåtelse av tekniska åtaganden och data

10.3.1 Vid avslut av operatörskap, oavsett orsak, ska anslutningsoperatören (a) överlämna all dokumentation och verifieringsunderlag avseende anslutna federationsmedlemmar till federationsoperatören, i ett strukturerat och tillgängligt format, (b) säkerställa att data och dokumentation som inte ska överlämnas hanteras i enlighet med gällande dataskyddsregler och avtalade krav, samt (c) säkerställa att inga tekniska åtkomster eller behörigheter kvarstår efter det att operatörsavtalet upphört, om inte särskild överenskommelse träffats med federationsoperatören.

10.3.2 Federationsoperatören ska bekräfta mottagande av överlämnad dokumentation och kvittera att överlämningen genomförts korrekt.

11. Dokumentation av process och rutin

11.1 Federationsoperatören ska ha skriftlig dokumentation som beskriver process och rutin för hur kraven i detta dokument tillämpas. Dokumentationen ska inkludera operatörens riskbedömning och motivering av valda verifieringsmetoder, inklusive kriterier för oberoende kanalbekräftelse och för när kompletterande kontroller krävs.