Förbered anslutning till eIDAS
Det finns olika sätt att arbeta med att implementera e-legitimationslösningar i e-tjänster. Ofta brukar man sätta upp någon form av projektgrupp men det kan se olika ut i varje organisation. Nedan hittar du information som är bra att ha med i planeringen.
Inventera nuläget
- Analysera vilka e-tjänster som din organisation erbjuder idag och vilka av dessa som erbjuder inloggning med e-legitimation och som faller under eIDAS-förordningens krav.
- Kontrollera om organisationen redan har ett avtal med Digg för anslutning till eIDAS
Aktörer som är anslutna till Diggs avtal
Planera kompetenser
I processen för att ansluta till Diggs infrastruktur ingår flera faser. Här har vi samlat information om vilka kompetenser som kan behövas under de olika faserna.
Analysfas
- Verksamhetsspecialister eller verksamhetsutvecklare som har kunskap om vilken information som kommer att finnas i e-tjänsten för att kartlägga informationsmängderna.
- Informationssäkerhetsspecialister som stöttar i arbetet med att bedöma behovet av skydd för informationen.
- Kompetens för att analysera och bedöma hur ni ska hantera utländska identitetsbeteckningar som följer med den utländska e-legitimationen, och hur ni ska hantera inloggning med utländska e-legitimationer när användaren är underårig.
- Kompetens för att analysera om användare med utländska e-legitimation ska erbjudas en anpassad vy/tjänst.
Avtalsadministration
- Det är er egna organisation som avgör vem hos er som har mandat att skriva under avtalet.
- Avtalet för denna anslutning efterfrågar information om tekniska supportkontakter, se avtalet för mer information.
- Ta hjälp av organisationens jurist eller andra kompetenser som arbetar med upphandlingsfrågor för att tolka innehållet i avtalet.
Gör e-tjänsten redo
- Kompetens för att göra tekniska anpassningar av e-tjänsten för användare med utländsk e-legitimation beroende på vilka dessa användare är och vad de får göra i e-tjänsten.
Teknisk anslutning
Den svenska anslutningspunkten för eIDAS levereras genom Sweden Connect. För att kunna integrera med tjänster i Sweden Connect behöver du ha erfarenhet av federerad inloggning och protokollet SAML 2.0. Du behöver också ha läst tekniskt ramverk för att förstå exakt hur SAML 2.0 används i Sweden Connect.
Om ni inte har den kompetensen själva behöver ni ställa kravet för den tekniska anpassningen på era leverantörer av e-tjänster, appar, eller portaler. Hänvisa gärna till tekniska anslutningsregler för Sweden Connect.
Uppföljning efter anslutning
När all anslutning är klar behöver ni förmedla information om det sker förändringar av e-tjänsten (exempelvis certifikatsbyten), det är den i er organisation som hanterat teknisk anslutning som gör detta.
Bedöm krav för åtkomst
eIDAS erbjuder tre tillitsnivåer på motsvarande sätt som det svenska tillitsramverket. När ni erbjuder inloggning i e-tjänsten behöver ni bedöma om motsvarande tillitsnivå även kan tillämpas för inloggning genom eIDAS.
Avgör vilken tillitsnivå e-tjänsten ska kräva
Kartlägg vilka e-tjänster som berörs
Om ni har flera e-tjänster som erbjuder e-legitimering så ska varje sådan e-tjänst också erbjuda inloggningsalternativet Foreign eID för användare som har en utländsk e-legitimation. Kartlägg därför om ni har flera e-tjänster som påverkas och som ska anslutas.
Planera och förbered e-tjänsten utifrån användarna
Ni kan behöva anpassa e-tjänsten för att kunna ta emot inloggning med utländska e-legitimationer. E-legitimationen innehåller olika uppgifter beroende på vem användaren är. Ni behöver därför göra vissa bedömningar och tekniska anpassningar av e-tjänsten.
Utländska e-legitimationer saknar svenska personnummer
Att använda personnumret som identitetsbeteckning är vanligt i Sverige. Men i andra EU-länder är identitetsbeteckningen långt från lika självklar. Personnummer ingår inte i den information som den utländska e-legitimationen överför till e-tjänsten när användaren legitimerar sig, oavsett om användaren har ett svenskt personnummer eller inte.
De flesta svenska e-tjänster använder svenskt personnummer som identitetsbeteckning. Vissa svenska e-tjänster har också lagstadgade krav på att användaren ska ha ett svenskt personnummer eller samordningsnummer för att få åtkomst till innehållet i e-tjänsten.
Undersök därför:
- om den utländska identitetsbeteckningen kan användas för att identifiera användaren och ge service i e-tjänsten baserat på den utländska identitetsbeteckningen.
- vilken form av identifiering som krävs och om alternativa identifieringssätt kan erbjudas för åtkomst till era e-tjänster.
- att era leverantörer kan anpassa e-tjänsterna för att kunna ta emot användare med e-legitimationer som innehåller utländska identitetsbeteckningar.
- om ni bedömer att ni inte kan släppa in användaren i tjänsten bör ni meddela och förklarar varför hen lyckats identifiera sig med sin utländska e-legitimation och sedan förklara varför hen inte kan nyttja e-tjänsten då e-legitimationen saknar ett svenskt personnummer. Ni bör också meddela vilka alternativa sätt det finns för användaren att få servicen hen önskar av er.
Identitetsmatchning
Identitetsmatchning är en tjänst för att förmedla ett svensk person- eller samordningsnummer när användaren loggar in med sin utländska e-legitimation.
För att användare med utländsk e-legitimation ska få tillgång till fler e-tjänster, utvecklar Digg tjänsten för identitetsmatchning. Denna tjänst erbjuds till användare som har ett svenskt person- eller samordningsnummer. Det är upp till varje förlitande part att använda Diggs lösning eller att utveckla en egen.
Underåriga
Idag är det mycket vanligt att underåriga har en e-legitimation, det gäller även användare som har en utländsk e-legitimation. Att en underårig får en e-legitimation innebär dock inte automatiskt att hen har rätt att genomföra rättshandlingar med e-legitimationen. Du som har en e-tjänst där underåriga kan logga in behöver därför ta ställning till om förmyndarens godkännande krävs för ärenden som kan utföras i e-tjänsten.
Du behöver också ta hänsyn till de risker som finns att den underåriges e‑legitimation missbrukas, till exempel av en vårdnadshavare. Ett barn kan inte förväntas värja sig mot en förälders begäran att lämna över dennes e‑legitimation och personliga kod. Om vårdnadshavaren utger sig för att vara den underårige genom att använda dennes e-legitimation är detta dock straffbart, oavsett om den underårige vet om handlingen och samtyckt till den (jmf. 15 kap 12 § BrB om missbruk av urkund). Risker som dessa kan bland annat uppstå om en vårdnadshavare skulle använda den underåriges e-legitimation för att ta del av uppgifter det råder sekretess i förhållande till vårdnadshavaren enl. 12 kap. 3 § OSL.
E-tjänster bör därför endast erbjuda inloggning för underåriga då (när) riskerna för missbruk är särskilt låga. Kravet på den underåriga användarens ansvar när det gäller hanteringen och användningen av e-legitimationen, gäller som regel endast om det är skäligt med hänsyn till ålder och mognad.
Mer detaljerad information finns i Tillitsramverket Bilaga B: Utgivning av e-legitimation till underåriga
Planera för e-underskrifter
Skriver era användare under elektroniskt? Då rekommenderar vi att ni skaffar en fristående underskriftstjänst eftersom utländska e-legitimationer inte erbjuder möjligheten att skriva under.
Förbered tekniska tester
Innan ett avtal är tecknat med Digg kan ni påbörja tekniska tester i Sweden Connects sandboxmiljö. När avtalet sedan är slutet kommer vi att kontakta den person som ni har angivit som behörig som då kan göra teknisk anslutning i QA- och produktionsmiljö.
Beställ behörighet till sandboxmiljön:
Om ni inte redan har behörighet till Sweden Connects sandboxmiljö kan ni beställa det på operations@swedenconnect.se.
Där anger ni:
- Namn och mejladress till den som ska ha tillgång till miljön
- Organisation
- Motivering för tillgång till sandboxmiljön
Ska ni ansluta för andra målgrupper samtidigt?
Då kan det finnas annat som är viktigt att tänka och förbereda inför …
- Förbered inloggning med svenska e-legitimationer
- Förbered inloggning med e-tjänstelegitimationer
När ni gått igenom förberedelserna är ni redo att ansluta till eIDAS
Anslut till eIDAS - var ska det länkas?
Ditt svar hjälper oss att förbättra sidan
Senast uppdaterad: