Bilagan har inga punktnummer. Hänvisningarna anger avsnitt och sida i version 1.0: bransch.trafikverket.se/contentassets/754483e930434ebbbbf3de26b6bf964e/tmall-1588---avtalsbilaga-avseende-informationssakerhet-till-branschwebben.pdf
Före startmötet
- Vi vet vilka krav i bilagan som ingår i avtalet, och om informationen har skyddsbehov eller högre skyddsbehov. Inledande text, s. 1
- Vi vet om uppdraget innehåller säkerhetsskyddsklassificerade uppgifter. De hanteras enligt säkerhetsskyddsavtalet. Omfattning, s. 2
- Vi har ett ledningssystem för informationssäkerhet, eller arbetar enligt ett, på den nivå avtalet kräver. Ledningssystem för informationssäkerhet, s. 2–3
- Vi har utsett en kontaktperson i informationssäkerhetsfrågor, med mandat att fatta beslut, och meddelat beställaren. Kontaktperson, s. 3
- Vi har listat alla underleverantörer som ska hantera beställarens information och begärt godkännande. Krav på underleverantörer, s. 4
- Vi har listat de tjänster för lagring, samarbete och dokumenthantering vi ska använda, och leverantörer vars support har åtkomst, och begärt godkännande. Användning av tjänsteleverantörer, s. 4–5
- Personalen i uppdraget har kompetens i informationssäkerhet och sekretess, och vi vet vilka utbildningar beställaren kräver. Kompetenskrav, s. 7
Vid startmötet
- Vi har gått igenom informationssäkerhetskraven med beställaren innan uppdraget börjar. Genomgång av krav och samråd, s. 3
- Vi har bokat samråd. Vid högre skyddsbehov minst två gånger per tolvmånadersperiod. Genomgång av krav och samråd, s. 3
- Vi har fått beställarens kontaktlista för incidenter, även utanför kontorstid. Kontaktperson, s. 4
- Vi har kommit överens om hur information ska överföras mellan oss och beställaren. Säker överföring av information, s. 6
- Vi har kommit överens om metod för digital signering, om beställaren kräver det. Digital signering, s. 6
Under uppdraget
- Material sprids inte och används inte utan beställarens skriftliga medgivande. Allmänna krav, s. 2
- Bara personer i uppdraget som behöver uppgifterna har behörighet. Behörighet för åtkomst till information, s. 5
- Ändrade eller upphörda behörigheter i Trafikverkets system meddelas beställaren senast inom två dagar. Behörighet för åtkomst till information, s. 5
- Vi följer upp behörigheterna varje kvartal eller månad, enligt avtalet, och kan ta fram behörighetslistor med syfte. Behörighet för åtkomst till information, s. 5–6
- Vi kan redovisa vem som haft behörighet minst 3 eller 6 månader bakåt, och vilken information medarbetarna behandlat 1 eller 3 månader bakåt. Behörighet för åtkomst till information, s. 5–6
- Lagringsmedia krypteras, kräver lösenord, genomsöks efter skadlig kod och skickas rekommenderat. Hantering av lagringsmedia, s. 7
- Vi har en rutin för att rapportera incidenter utan onödigt dröjsmål, och för NIS-rapportering om den gäller. Incidentrapportering, s. 8–9
- Vi informerar beställaren utan dröjsmål om sårbarheter. Misstänkta eller konstaterade sårbarheter, s. 9
- Våra underleverantörer i alla led tillåter beställarens kontroller. Kontroll av efterlevnad, s. 9–10
Vid avslut
- Vi kan lämna över all information som tagits fram i uppdraget, och ta fram en avvecklingsplan om beställaren begär det. Åtgärder vid avtalets upphörande, s. 10
- Nyckelpersoner finns tillgängliga för överlämningen, i högst sex månader efter att avtalet upphört. Åtgärder vid avtalets upphörande, s. 10–11
Delar ni handlingar i Sverum kan loggboken ge underlaget för redovisningen av behörigheter och behandlad information. Tjänsten behöver då själv godkännas som tjänsteleverantör, se leverantörsunderlaget.