E-legitimering i tjänsten

Flera tjänstelegitimationer finns bara för vissa sektorer. SITHS riktar sig till vård, omsorg och offentlig sektor, och EFOS till statliga myndigheter.

Välj Kommun om ni är en kommun, även för kommunala skolor och kommunens vård och omsorg. Skola, universitet eller högskola avser fristående skolhuvudmän och lärosäten.

Antalet påverkar vad som är rimligt att administrera själv, till exempel egen kortutgivning, och när det lönar sig att automatisera livscykeln.

Räkna med alla som ska kunna använda en tjänstelegitimation: anställda, konsulter, timvikarier och förtroendevalda.

Arbetsgivaren kan inte räkna med, eller kräva, att anställda använder sin privata telefon i tjänsten. Mobila e-legitimationer fungerar därför bara fullt ut för dem som har en tjänstetelefon.

I vård, omsorg, skola och industri saknar ofta en stor del av personalen egen tjänstetelefon. Här behövs en bärare som inte är en telefon, till exempel ett kort eller en säkerhetsnyckel.

Olika grupper har olika förutsättningar. Konsulter och partner bör till exempel normalt inte ha samma konto eller samma legitimation som anställda.

Många svenska e-legitimationer förutsätter ett svenskt personnummer. Utländsk personal, gästforskare och vissa konsulter behöver därför en annan väg.

För personer med skyddade personuppgifter får namn och personnummer inte bli synliga för andra än särskilt behöriga. Legitimationen, kortet och IdP:n behöver då kunna hantera alias eller ett anställnings-id i stället.

På delade enheter måste legitimationen följa personen och inte enheten. Det utesluter lösningar som bara bor i en viss dator.

Varje tjänst avgör vilka legitimationer och vilken tillitsnivå den accepterar. Ju fler tjänster, desto mer vinner ni på att samla inloggningen på ett ställe.

Tillitsnivån styr kraven på hela autentiseringskedjan, från hur legitimationen utfärdas och används till hur identiteten förmedlas till tjänsten. Den behöver bara vara hög där tjänsten kräver det.

DIGG:s tillitsramverk för Svensk e-legitimation har tre nivåer, 2–4, med successivt högre krav på identitetskontroll och säkerhet. Redan nivå 2 kräver tvåfaktorsinloggning. Nivå 3 motsvarar eIDAS-nivån väsentlig och krävs bland annat för åtkomst till Nationella läkemedelslistan och för administratörer av SDK:s gemensamma komponenter. Nivå 4 motsvarar eIDAS-nivån hög och kräver bland annat ett hårdvarubaserat skydd av legitimationen. Vet ni inte är det helt i sin ordning; att kartlägga det blir då ett första steg.

Underskrifter ställer egna krav, både på legitimationen och på den underskriftstjänst som används. Det är bättre att planera in det från början.

Avancerade elektroniska underskrifter (AdES) enligt eIDAS knyts till en e-legitimation och ger ett underskrivet dokument som kan valideras i efterhand, till exempel för beslut, avtal och intyg.

Vi vill se vad som kan återanvändas och vad som behöver fasas ut. Vissa metoder, till exempel lösenord med sms-koder, är inte längre tillräckliga mot nätfiske.

En IdP gör det möjligt att ansluta en e-legitimation en gång och sedan återanvända den i alla tjänster. Den avgör också vilka metoder som fungerar direkt.

IdP står för Identity Provider, den tjänst som hanterar inloggningen och skickar vidare vem användaren är till tjänsterna, till exempel via SAML eller OpenID Connect.

Tjänsten ser inte e-legitimationen, den ser det identitetsintyg som IdP:n skickar. Att användaren loggar in med en legitimation på tillitsnivå 3 gör inte automatiskt intyget till nivå 3. IdP:n och dess processer behöver också uppfylla kraven.

Svara ja om er intygsutfärdning, alltså den IdP och konfiguration som skickar intygen, omfattas av en tillitsgranskning för tillitsnivå 3, till exempel inom en federation. Är ni osäkra är "Vet inte" ett fullt rimligt svar; det blir då något att verifiera.

En tjänstelegitimation ska knytas till en anställning eller ett uppdrag. Det är mycket enklare, och säkrare, när ett auktoritativt system som HR styr kontona automatiskt.

Vi prioriterar färdplanen efter det som gör mest nytta för er, inte bara efter vad som är tekniskt möjligt.

Privat BankID och Freja är bekväma, men de bor ofta i medarbetarens privata telefon. Arbetsgivaren kan erbjuda det som ett frivilligt alternativ men inte kräva det.

Många organisationer behöver mer än en bärare, till exempel en app för dem med tjänstetelefon och ett kort eller en nyckel för övriga.

Om datorinloggningen också använder legitimationen kan lösenordet ofta tas bort helt för användaren. Det ställer krav på bäraren och på klientmiljön.

Ett kort som både är legitimation, passerkort och utskriftskort blir något användarna alltid har med sig. Det kräver samordning med fastighet och utskriftsmiljö.

Verksamheter som omfattas behöver kunna visa att åtkomst är riskbaserad och att stark autentisering används där det behövs.

Cybersäkerhetslagen (2025:1506), som trädde i kraft den 15 januari 2026, genomför NIS2-direktivet i Sverige och omfattar fler sektorer än tidigare, däribland kommuner och regioner. Leverantörer kan omfattas direkt utifrån sin egen verksamhet eller beröras genom kundernas säkerhetskrav.

Skyddet ska stå i proportion till informationen. Känsliga personuppgifter och sekretessbelagda uppgifter motiverar ett starkare skydd.

Svara utifrån den mest känsliga information som någon användargrupp når. Skillnaderna mellan grupper hanteras sedan med rätt nivå för rätt tjänst, inte genom att alla får samma krav.

En stor del av alla kontokapningar sker genom att användaren luras att lämna ifrån sig koder eller godkänna inloggningar. Nätfiskeresistenta metoder går inte att lura på det sättet.

Nätfiskeresistent betyder att autentiseringen är kryptografiskt bunden till rätt verifierare eller till rätt inloggningssession, så att en falsk webbplats inte kan få fram ett resultat som fungerar mot den riktiga. FIDO2/passkeys och certifikatbaserad inloggning gör det. Avgörande är inte om flödet använder QR-kod, push eller en app, utan om den bindningen finns. Sms-koder, engångskoder och vanliga push-godkännanden räknas inte hit, och sifferkontroll vid push försvårar angrepp men räcker inte i sig.

Svenska e-legitimationer bygger på personnummer, men långt ifrån alla tjänster behöver veta det. Dataminimering är både en GDPR-princip och ett skydd för medarbetarna.

Det är ett av de beslut som påverkar kostnad och ansvar mest. Att vara egen utfärdare ger kontroll men kräver organisation, rutiner och ibland granskning. Att köpa utfärdandet som tjänst flyttar mycket av ansvaret till leverantören. De flesta har inte bestämt sig ännu.

Identitetskontrollen svarar på vem personen är. Den här frågan handlar om varför personen har rätt till organisationens legitimation, och vem som ska se till att rätten upphör. Utan en tydlig ägare blir både utfärdande och spärr osäkra.

Identitetskontrollen är grunden för hela tilliten. För tillitsnivå 3 räcker det inte att en chef intygar vem någon är.

En legitimation som lever kvar efter avslutad anställning är ett vanligt revisions- och säkerhetsproblem.

När legitimationen är enda vägen in måste det finnas ett säkert sätt att komma tillbaka som inte blir en genväg för angripare.

Drivkraften avgör vad som ska komma först. Ett regelkrav med datum ger en annan ordning än ett mål om bättre användarupplevelse.

Tidsramen avgör om det är rimligt att börja med en snabb lösning för de mest akuta behoven och bygga vidare därifrån.

Nästa steg ser olika ut om ni försöker förstå behovet, behöver ett beslutsunderlag eller redan ska genomföra.