Trafikverkets informations­säkerhetskrav: dela handlingar och visa spårbarhet

Så hjälper Sverum er att leva upp till TMALL 1588

När ni delar ritningar och känsliga handlingar med underentreprenörer, underkonsulter och beställare ställer bilagan krav på vem som får åtkomst, vad ni kan visa i efterhand och hur informationen skyddas. Sverum ger er verktygen för det.

• Bara de som behöver. Åtkomst ges per projekt, med roll och valfri begränsning till mappar. Externa är läsare som standard (s. 5).
• Slutdatum och direkt återkallning. Åtkomsten stängs vid slutdatumet. En återkallning gäller direkt och stänger öppna dokument inom sekunder.
• Underlag för uppföljningen. Loggboken visar vem som haft åtkomst och vad varje person har öppnat och läst. Filtrera på person, händelsetyp och period, och exportera som CSV eller PDF (s. 5–6).
• Handlingarna stannar där de ska. Nedladdning är avstängd som standard och dokument visas med vattenmärke. Externa godkänner en sekretessförbindelse före första åtkomst (s. 2).
• Data i Sverige och färdigt underlag. All data lagras i Sverige. Leverantörsunderlaget ger beställaren det som behövs för att godkänna Sverum som tjänsteleverantör (s. 4–5).

Ange vilka krav som ingår i ert uppdrag, så går vi igenom hur ni kan använda Sverum för dem.

Era rutiner, Sverums verktyg

Kraven i TMALL 1588 gäller er verksamhet som leverantör, och det är ni som uppfyller dem gentemot beställaren. Sverum är ett av verktygen som gör det enklare.

• Ni ansvarar för rutinerna: vem som ska ha åtkomst och varför, uppföljningen varje kvartal eller månad, kontakten med beställaren och rapporteringen.
• Sverum ger er verktygen och underlaget: åtkomsten styrs i projektet, varje ändring loggas med tid och loggen tar ni fram när beställaren frågar.

Vad TMALL 1588 är

TMALL 1588 Avtalsbilaga avseende informationssäkerhet är en mall som Trafikverket använder i sina avtal. Den beskriver hur leverantören ska skydda den information som hanteras i uppdraget: det ni får från Trafikverket, och det ni själva tar fram eller får veta i uppdraget och som rör Trafikverkets verksamhet. Kraven gäller oavsett om informationen hanteras på papper eller digitalt, och i vilken IT-miljö (avsnittet Omfattning, s. 2).

Enligt Trafikverket har bilagan successivt börjat användas vid upphandlingar sedan halvårsskiftet 2025, och från 1 januari 2026 inför Trafikverket den som en särskild avtalsbilaga för informationssäkerhet.

Bilagan är en mall. Den upphandlande verksamheten väljer ut de krav som passar informationens skyddsvärde, så vilka krav som gäller just ert uppdrag framgår av förfrågningsunderlaget (s. 1). Flera krav gäller bara vid behandling av information med skyddsbehov eller högre skyddsbehov, och några finns i två versioner där den ena är strängare.

Sidan är en allmän beskrivning, inte juridisk rådgivning. Det är ert avtal med beställaren som gäller.

Kraven i klartext

I bilagans ordning:

• Allmänna krav (s. 2). Informationen får bara hanteras i informationssystem som uppfyller beställarens krav enligt avtalet. För uppgifter som hade varit sekretessbelagda hos Trafikverket får utredningsmaterial och arbetsresultat inte spridas eller användas utan beställarens skriftliga medgivande.
• Ledningssystem för informationssäkerhet (s. 2–3). Antingen ett ledningssystem baserat på SS-EN ISO/IEC 27001 och 27002 eller likvärdigt, eller ett arbetssätt som följer ett sådant. Nivån framgår av förfrågningsunderlaget.
• Genomgång av krav och samråd (s. 3). Kraven gås igenom vid kontraktsskrivningen eller startmötet, innan uppdraget börjar. I den strängare versionen ska samråd ske minst två gånger per tolvmånadersperiod.
• Kontaktperson (s. 3–4). En utpekad kontaktperson i informationssäkerhetsfrågor, insatt i kraven och med mandat att fatta beslut.
• Krav på underleverantörer (s. 4). Inga underleverantörer som hanterar beställarens information utan beställarens godkännande. Alla ska redovisas och uppfylla samma krav, och en ny underleverantör ska godkännas innan den får tillgång till informationen.
• Användning av tjänsteleverantörer (s. 4–5). Tjänster för lagring, samarbete, dokumenthantering och liknande som tillhandahålls över internet räknas som underleverantörer och kräver godkännande. Det gäller också leverantörer vars service eller support har åtkomst till informationen.
• Behörighet för åtkomst till information (s. 5–6). Bara personer som deltar i uppdraget och behöver uppgifterna får behörighet. Har ni behörighet i Trafikverkets egna informationssystem ska ändringar meddelas beställaren snarast, senast inom två dagar. Behandlar ni informationen i egna system eller hos en tjänsteleverantör gäller en av två versioner: uppföljning varje kvartal, redovisning av vem som haft behörighet minst 3 månader bakåt och av vilken information medarbetarna behandlat 1 månad bakåt. Eller varje månad, 6 månader och 3 månader. Beställaren får också begära behörighetslistor som visar vilka som har åtkomst och i vilket syfte.
• Säker överföring av information (s. 6). Obehöriga får inte kunna ta del av, ändra eller förstöra informationen vid överföring. Hur överföringen ska ske bestäms senast vid startmötet.
• Digital signering (s. 6). Vid högre skyddsbehov ska ni på begäran kunna signera färdiga handlingar med en signering som beställaren godkänner.
• Hantering av lagringsmedia (s. 7). USB-minnen, hårddiskar och liknande krypteras, kräver lösenord, genomsöks efter skadlig kod och skickas rekommenderat.
• Kompetenskrav (s. 7). Personalen ska kunna informationssäkerhet och sekretess och gå de utbildningar beställaren bestämmer.
• Incidentrapportering (s. 8–9). En inträffad eller misstänkt incident rapporteras utan onödigt dröjsmål: vad som hänt, vilken information som omfattas, status och åtgärder. Omfattas tjänsten av NIS-direktivet gäller en rapport i skeden, där andra skedet ska komma inom 24 timmar efter det första.
• Misstänkta eller konstaterade sårbarheter (s. 9). Beställaren informeras utan dröjsmål.
• Kontroll av efterlevnad (s. 9–10). Beställaren får kontrollera att kraven följs, även efter avslutat uppdrag. Det gäller också underleverantörer i alla led.
• Åtgärder vid avtalets upphörande (s. 10–11). Ni hjälper till vid avvecklingen och lämnar över all information som tagits fram i uppdraget. Åtagandet gäller i högst sex månader efter att avtalet upphört.

Krav för krav: vad ni behöver visa och vad Sverum gör

Loggboken täcker allt som delas i Sverum. Ju mer av delningen som sker där, desto mer av underlaget har ni samlat på ett ställe.

Hur det kan se ut i ett uppdrag beskriver vi för tekniska konsulter och för entreprenörer.

Allmänna krav (s. 2)

• Ni behöver visa: att informationen bara hanteras i system som beställaren godtar, och att material inte sprids.
• Sverum: nedladdning är avstängd som standard och dokument visas med vattenmärke. Externa godkänner en sekretessförbindelse före första åtkomst. Om Sverum får användas avgör beställaren.

Ledningssystem, samråd, kontaktperson och kompetens (s. 2–4, 7)

• Er rutin – Sverum ger underlaget. Ledningssystem, samråd, kontaktperson och kompetens hör till er organisation. När ni bedömer Sverum i ert ledningssystem kan ni utgå från säkerhetsbeskrivningen och leverantörsunderlaget.

Underleverantörer och tjänsteleverantörer (s. 4–5)

• Ni behöver visa: vilka underleverantörer och tjänster som hanterar beställarens information, och att de är godkända innan de får tillgång.
• Sverum: Sverum är självt en sådan tjänsteleverantör, se nedan. För era underkonsulter kan ett projekt kräva att beställarens kontaktperson godkänner varje ny extern part i Sverum innan den får åtkomst. Beslutet loggas.

Behörighet: bara de som behöver (s. 5)

• Ni behöver visa: att bara personer i uppdraget som behöver uppgifterna har åtkomst.
• Sverum: åtkomst ges per projekt, med roll, valfri begränsning till mappar och valfritt slutdatum. Organisationens ägare läser inte automatiskt allt, och externa är läsare som standard. Vem som har tillräckliga kunskaper i informationssäkerhet avgör ni.

Ändrade behörigheter inom två dagar (s. 5)

• Er rutin – Sverum ger underlaget. Tvådagarsgränsen gäller behörigheter i Trafikverkets egna informationssystem, och det är ni som meddelar beställaren.
• Sverum: i Sverum gäller en återkallning direkt och stänger öppna dokument inom sekunder, och ett slutdatum stänger åtkomsten vid den tidpunkten. Varje ändring loggas med tid, och loggen kan filtreras på behörighetshändelser och period.

Uppföljning och behörighetslistor (s. 5–6)

• Ni behöver visa: att ni följt upp behörigheterna varje kvartal eller månad, och på begäran vilka som har åtkomst och i vilket syfte.
• Sverum: varje projekt visar vilka som har och har haft åtkomst, med roll, mappbegränsning och slutdatum. Är beställaren kopplad som kund ser dess kontaktpersoner samma sak och kan få en loggrapport varje vecka eller månad. Rapporterna är avstängda som standard.
• Er rutin – Sverum ger underlaget: själva uppföljningen och syftet med varje persons åtkomst, som ni dokumenterar i er rutin. Vilka som har haft åtkomst och när hämtar ni ur projektet och loggboken.

Vem som haft behörighet, 3 eller 6 månader bakåt (s. 5–6)

• Sverum: varje tillägg, rolländring, ändrat slutdatum, återkallning och utgången åtkomst loggas med tid. Ur loggboken kan ni därför ta fram vem som hade åtkomst till ett projekt vid en viss tidpunkt. Loggboken sparas så länge projektet finns, även efter att det har stängts, och kan filtreras på projekt, händelsetyp och period.

Vilken information medarbetarna behandlat (s. 5–6)

• Sverum: loggboken visar öppningar, lästa sidor, aktiv lästid, uppladdningar och nedladdningar, per person och fil. Filtrera på person och period och exportera som CSV eller PDF. Varje rad bär en kontrollsumma, så att exporten kan kontrolleras utan Sverum.
• Filer anges med nummer i loggen, aldrig med namn. Den som själv får öppna filen ser namnet i loggvyn. Organisationens ägare och säkerhetsansvariga, och projektägare för sina projekt, kan se och exportera loggen.

Säker överföring (s. 6)

• Ni behöver visa: att överföringen är skyddad och följer det ni kommit överens om vid startmötet.
• Sverum: kan vara ett av sätten ni föreslår. Överföring bara över HTTPS med TLS 1.2 eller senare, filer krypteras redan i webbläsaren, och åtkomsten är personlig. Om sättet godtas avgör beställaren.

Digital signering och lagringsmedia (s. 6–7)

• Er rutin. Signering av färdiga handlingar och fysiska lagringsmedier hanterar ni enligt det ni kommer överens om med beställaren.

Incidenter och sårbarheter (s. 8–9)

• Er rutin – Sverum ger underlaget: rapporteringen till beställaren.
• Sverum: meddelar er utan onödigt dröjsmål om en säkerhetsincident som påverkar er data, och senast inom 24 timmar vid en personuppgiftsincident (biträdesavtalet punkt 9). Loggboken hjälper er att svara på vilken information som omfattas och vem som öppnat den.

Kontroll av efterlevnad (s. 9–10)

• Ni behöver visa: att ni kan svara på beställarens kontroller, och att underleverantörer i alla led tillåter dem.
• Sverum: ni, eller en oberoende granskare med tystnadsplikt, får granska Sverum efter överenskommelse, i regel högst en gång per år (biträdesavtalet punkt 10). Vill beställaren själv granska Sverum, kontakta oss så stämmer vi av upplägget.

Avveckling och överlämning (s. 10–11)

• Ni behöver visa: att ni kan lämna över all information från uppdraget och hjälpa till efter avtalets slut.
• Sverum: vid överlämningen laddar de roller som projektet tillåter ned filerna, en fil i taget, och loggen exporteras som CSV eller PDF.
• Lämna över innan ni stänger projektet. När det stängs förstörs nyckeln, så att filerna inte går att återskapa. Loggboken och ett intyg om stängningen finns kvar. När ert avtal med Sverum upphör kan ni exportera er data under 30 dagar.

Sverum som underleverantör

Enligt avsnittet Användning av tjänsteleverantörer räknas en tjänst som Sverum som underleverantör. Innehåller ert avtal det kravet behöver beställaren godkänna Sverum innan uppdragets information läggs där. Enligt bilagan svarar ni för att era underleverantörer följer de krav som gäller, och leverantörsunderlaget ger er det som behövs för den bedömningen.

Det här behöver beställaren veta:

• Lagring: all data lagras i Sverige, hos Sverums underbiträde BeeByte AB. Det är en underleverantör i nästa led. Ett byte meddelas minst 30 dagar i förväg.
• Support och åtkomst: Sverum tar inte del av innehållet utöver vad som krävs för att tillhandahålla tjänsten, avhjälpa fel på er begäran eller uppfylla lag. Appen har ingen administratörsroll för Sverum som ger åtkomst till kundernas projekt. Krypteringen är serverbaserad, inte från ände till ände.
• Certifiering: kontrollerna mäts mot ISO/IEC 27001:2022 bilaga A och Säkerhetspolisens vägledningar för informationssäkerhet. Sverum är inte certifierat.

Allt detta finns i leverantörsunderlaget. Ni kan lämna länken till beställaren.

Säkerhetsskyddsklassificerade uppgifter

För säkerhetsskyddsklassificerade uppgifter gäller säkerhetsskyddsavtalet i stället för bilagan (s. 2), och de omfattas inte av den här sidan. I Sverum får sådana uppgifter bara behandlas om ni först har ingått ett säkerhetsskyddsavtal med Sverum (villkoren punkt 3.3). Ett uppdrag kan ha både klassificerade och oklassificerade delar. Läs mer om Sverum och säkerhetsskydd.

Vanliga frågor