Mognadstrapporna

Varje område skattas i fem steg. De lägsta stegen beskriver ett starkt beroende av en enskild leverantör – t.ex. drift i Azure eller på egna Microsoft-servrar med MSSQL. De högsta beskriver full rådighet: öppen källkod, öppna standarder och drift som organisationen själv – eller tillsammans med andra – kontrollerar.

Stegen är generella: 1 Beroende → 2 Medveten (kartlagt och data säkrad) → 3 Kravställd (EU-drift, egen IdP, öppna gränssnitt) → 4 Öppen (öppen källkod med support) → 5 Rådig (öppen källkod i hela stacken, samförvaltad).

Produktnamnen är exempel att utvärdera, inte rekommendationer att upphandla. Kontrollera alltid juridisk kontroll, ägarförhållanden och licens.

Diarium och ärendehantering

Systemet där ärenden registreras, handläggs och diarieförs – ofta kärnan i myndighetsutövningen och kopplat till e-arkivet. (Lager 7 · Verksamhetssystem & data)

1. 1Beroende. Proprietärt system som driftas i hyperscaler-moln (Azure/AWS) eller internt på Windows Server med MSSQL.
   • Tjock Windows-klient och/eller Office-tillägg (Outlook, Word) krävs för att arbeta.
   • Inloggning enbart via Active Directory eller Entra ID.
   • Export av ärenden och handlingar är begränsad eller kostar extra.
   • Ingen exitplan – vi vet inte hur vi skulle byta.
2. 2Medveten. Fortfarande proprietärt, men vi vet var och av vem det driftas och har säkrat vår data.
   • Driftplats, underleverantörer och tillämplig lag är dokumenterade i en beroendekarta.
   • Webbklient finns som fungerar i vanlig webbläsare.
   • Fullständig export i öppna format (PDF/A, XML enligt FGS, CSV/JSON) är testad.
   • Exitklausul och dataexport vid avtalsslut finns i avtalet.
3. 3Kravställd. Systemet uppfyller Rådigs kravkatalog: svensk/EU-drift utan tredjelandskontroll, egen IdP och öppna gränssnitt.
   • Drift i Sverige/EU hos leverantör som inte kontrolleras från tredjeland – eller på egen plattform.
   • SSO via OIDC/SAML mot egen identitetsplattform (t.ex. Keycloak), inte bara Entra ID.
   • Öppen databas (PostgreSQL) och dokumenterade API:er; inga hårda M365-beroenden.
   • E-arkivleverans enligt FGS (t.ex. till ESSArch eller annat öppet e-arkiv).
4. 4Öppen. Ärendehantering byggd på öppen källkod med kommersiell support, i egen eller svensk drift.
   • Öppen källkod-lösning, t.ex. Open Zaak + Open Formulieren (Common Ground, NL), eller ett ärendeflöde på Alfresco Community/Nextcloud – med avtalad svensk/EU-support.
   • Körs containeriserat (Kubernetes) på egen plattform eller hos svensk molnleverantör (t.ex. Safespring, Elastx, Cleura).
   • Integrationer via öppna API:er och öppen integrationsplattform (t.ex. Apache Camel).
   • Exitvägen är dokumenterad och övad.
5. 5Rådig. Hela stacken är öppen källkod och samförvaltas med andra offentliga aktörer.
   • Linux, PostgreSQL, Kubernetes och applikation – allt öppen källkod.
   • Koden delas och samutvecklas med andra organisationer (t.ex. via Sambruk eller offentligkod.se).
   • Öppna standarder genom hela kedjan: ODF, PDF/A, FGS, OIDC.
   • Organisationen kan själv – eller med valfri leverantör – drifta, vidareutveckla och flytta systemet.

E-post och samarbete

E-post, kalender, filer, dokumentsamarbete, chatt och videomöten – den digitala arbetsplatsen. (Lager 5 · Digital arbetsplats)

1. 1Beroende. Microsoft 365 i Azure (Exchange Online, Teams, SharePoint/OneDrive) är enda plattformen.
   • All e-post, filer och möten ligger i amerikanskt kontrollerat moln (omfattas av CLOUD Act).
   • Dokument skapas i OOXML (docx/xlsx) och kräver Office.
   • Ingen alternativ kanal om tjänsten stängs av eller priset höjs.
2. 2Medveten. Microsoft-plattform i egen drift (Exchange Server, SharePoint Server, filservrar på Windows Server) – eller M365 med tydliga undantag.
   • Data ligger i egna datacenter eller sekretessklassad information hålls utanför molnet.
   • Fortfarande låst till Microsofts licenser, protokoll och klienter.
   • Beroenden och exitväg är kartlagda.
3. 3Kravställd. Öppna format och protokoll är standard och öppna verktyg är i pilot vid sidan av Microsoft.
   • ODF och PDF/A är standardformat; IMAP/CalDAV/CardDAV är påslaget.
   • Pilot med t.ex. Nextcloud + Collabora Online, Element/Matrix och Jitsi/OpenTalk i någon förvaltning.
   • Nya tjänster väljs webbaserade så att klienten (OS) kan bytas senare.
4. 4Öppen. E-post och samarbete körs på öppen källkod hos svensk/EU-leverantör eller i egen drift.
   • E-post/kalender: Open-Xchange + Dovecot eller grommunio.
   • Filer och dokument: Nextcloud (eller OpenCloud) med Collabora Online; LibreOffice på klienten.
   • Chatt och video: Element/Matrix, Jitsi, OpenTalk eller BigBlueButton.
   • Microsoft 365 finns kvar endast som dokumenterade undantag.
5. 5Rådig. Hela digitala arbetsplatsen är öppen källkod, i egen eller samverkansdrift.
   • Paketerad svit (t.ex. openDesk eller motsvarande samverkanslösning) i egen/svensk drift.
   • Inga M365-licenser kvar; Linux-klienter möjliga eftersom allt fungerar i webbläsaren.
   • Federation med andra organisationer via öppna protokoll (Matrix, e-post, CalDAV).
   • Exitplan och dataportabilitet är testade.

Identitet och inloggning (IAM/SSO)

Katalog, inloggning (SSO), flerfaktorsautentisering, behörigheter och certifikat – navet som allt annat hänger på. (Lager 3 · Identitet & katalog)

1. 1Beroende. Entra ID (Azure AD) är enda identitetsleverantör – med Conditional Access, Intune och Microsoft Authenticator.
   • Stängs kontot av slutar i princip alla system att fungera.
   • Behörighetsstyrning och MFA ligger helt hos Microsoft.
2. 2Medveten. Active Directory på egna Windows-servrar är master, med ADFS eller synk till Entra ID för SSO.
   • Katalogen finns i egen drift, men inloggning till molntjänster går via Entra ID.
   • Certifikat via AD CS, GPO för klientstyrning.
   • Vi vet vilka system som är beroende av Entra ID.
3. 3Kravställd. En fristående öppen identitetsplattform (Keycloak) är införd och används för nya system.
   • Nya system ansluts via OIDC/SAML till Keycloak, inte direkt till Entra ID.
   • MFA via öppna standarder (FIDO2/WebAuthn, TOTP).
   • AD finns kvar som katalog under övergången.
4. 4Öppen. Öppen IdP är primär för alla system och katalogen är öppen källkod.
   • Keycloak eller Zitadel som enda IdP; SCIM-provisionering till systemen.
   • Katalog i Univention Nubus/OpenLDAP eller Samba AD.
   • MFA via privacyIDEA och FIDO2-nycklar; e-legitimation (BankID/Freja) via federation.
   • Entra ID används bara för kvarvarande undantag.
5. 5Rådig. Hela identitetskedjan är öppen källkod i egen eller svensk drift – inga Entra-beroenden.
   • Katalog, IdP, MFA och PKI (t.ex. EJBCA, step-ca) i öppen källkod.
   • Lösenord/hemligheter (Passbolt, Vaultwarden, OpenBao) och privilegierad åtkomst (Apache Guacamole) i egen drift.
   • Federation med andra aktörer via öppna standarder (SAML/OIDC).
   • Exit och återställning av identitetsplattformen är övade.

Övriga verksamhetssystem

Resten av systemportföljen: ekonomi, HR, e-tjänster, e-arkiv, GIS, BI/datalager, integrationer m.m. (Lager 6–7 · Integration & verksamhetssystem)

1. 1Beroende. De flesta system är proprietära, i hyperscaler-moln eller internt på Windows Server + MSSQL, och vi vet inte alltid var de driftas.
   • Svenska leverantörers SaaS ligger ofta i Azure/AWS – beroendet syns inte i avtalet.
   • Tjocka Windows-klienter, Power BI, Power Platform och Office-tillägg är vanliga.
   • Data är svår att få ut.
2. 2Medveten. Portföljen är kartlagd: vi har en beroendekarta och vet var varje system driftas och av vem.
   • Beroendekarta med driftplats, underleverantörer och avtalsslut för varje system.
   • Rådigs sju krav ställs i nya upphandlingar.
   • Avvikelser dokumenteras med omprövningsdatum.
3. 3Kravställd. Kraven ställs vid varje avtalsförnyelse och flertalet system uppfyller dem.
   • Webbklient, SSO mot egen IdP, öppna API:er och fullständig export.
   • Drift i Sverige/EU utan tredjelandskontroll.
   • Flytt från MSSQL till PostgreSQL och från Power BI till t.ex. Apache Superset är påbörjad.
4. 4Öppen. Merparten körs på öppen plattform i egen eller svensk drift, och öppen källkod väljs när den finns.
   • Linux, PostgreSQL och Kubernetes som standardplattform.
   • Exempel: Open ePlatform för e-tjänster, ESSArch för e-arkiv, QGIS/GeoServer för GIS, Apache Superset för BI, Apache Camel för integration, Baserow/Grist i stället för Power Apps.
   • Exitplan finns för varje kritiskt system.
5. 5Rådig. Öppen källkod är förstahandsval i hela portföljen och utvecklas tillsammans med andra.
   • Egenutvecklad och upphandlad kod publiceras (t.ex. på offentligkod.se).
   • Samutveckling och samförvaltning med andra offentliga aktörer.
   • Kvarvarande proprietära system är dokumenterade undantag med omprövningsdatum.