Bruksvilkår for Digdir Labs

1. Om sandkassen i Digdir Labs

Digitaliseringsdirektoratet (Digdir) tilbyr tilgang til en sandkasse for leverandører som ønsker å utvikle og drifte tjenester på vegne av offentlige virksomheter, gjennom egne løsninger og i relasjon til Digdirs fellesløsninger.

Det overordnede formålet med sandkassen er å tilby et trygt og avgrenset testmiljø der leverandører kan utvikle, integrere og prøve ut systemer mot relevante fellesløsninger uten å påvirke produksjonsdata eller reelle brukere.

All bruk av sandkassen skal være i tråd med sandkassens overordnede formål.

Bruksvilkårene aksepteres innenfor rammen av unntaket i forskrift om offentlige anskaffelser § 2-5. Dette innebærer at tilgangen til sandkassen ikke skal utelukke leverandører fra å delta i senere anskaffelser eller etablering av ordinære kundeforhold for løsninger/tjenester som leverandører ønsker å tilby til kunder.

2. Avtaleparter

Digdir er ansvarlig for tilgjengeliggjøring av sandkassen.

Tilgang til sandkassen er begrenset til leverandører som vil levere produkter og/eller tjenester til offentlig sektor. Slike parter benevnes i det videre som virksomheter.

3. Ingen fortrinnsrett i senere konkurranser

Virksomheters tilgang til og utprøving i/av sandkassen gir ingen enerett, eksklusivitet, fortrinnsrett eller forrang til å levere varer eller tjenester til offentlige kunder i Digdir eller overfor Digdir som sådan.

En eventuell senere anskaffelse av kommersielle leveranser overfor Digdirs kunder/tjenesteeiere vil bli gjennomført i tråd med regelverket for offentlige anskaffelser og alminnelige prinsipper om likebehandling og konkurranse, med de kvalifikasjons- og tildelingskriteriene som følger av den aktuelle konkurransen.

4. Digdirs ansvar

Digdir har ansvar for innretning, drift, forvaltning og videreutvikling av sandkassen.

Digdir stiller til rådighet relevant dokumentasjon knyttet til sandkassen. Digdir tilbyr ikke spesifikt tjenestenivå for testmiljøene som hører inn under denne sandkassen.

Digdir kan endre produktene som inngår som del av sandkassen. Slike endringer kan være endring av testmiljø, forbedring av funksjonalitet, endring av grensesnitt, oppgradering av programvare og/eller maskinvare med mere.

Virksomhetens ansvar

Sandkassen skal gi virksomheter et realistisk, sikkert og kontrollert miljø for å utvikle og verifisere integrasjoner mot Digdirs fellesløsninger før løsningene tas i bruk i produksjon

Virksomhetene plikter å ivareta prinsipper for bruk av testmiljø som tilbys i sandkassen, herunder:

• Syntetiske testdata

Virksomhetene skal kun bruke fiktive eller syntetiske testdata som er godkjent for miljøet. Reelle personopplysninger, taushetsbelagte opplysninger, sikkerhetsgradert informasjon og produksjonsdata skal ikke registreres eller overføres.

• Tydelig skille mellom test og produksjon

Virksomhetene skal holde testklienter, API-nøkler, sertifikater, endepunkter og konfigurasjon adskilt fra produksjonsmiljøet. Testlegitimasjon skal ikke kunne brukes i produksjon, og produksjonslegitimasjon skal ikke benyttes i sandkassen.

• Minste nødvendige tilgang

Tilgang skal gis etter prinsippet om minste privilegium, herunder:

• bare nødvendige API-er
• bare nødvendige scopes
• bare aktuelle tjenester og ressurser
• bare nødvendige testpersoner og testorganisasjoner
• tidsbegrenset tilgang når det er hensiktsmessig

• Virksomhetene er ansvarlig for egen løsning

Virksomhetene er ansvarlig for:

• sikkerheten i egen kode og infrastruktur
• forsvarlig oppbevaring av nøkler og hemmeligheter
• kontroll med egne brukere og tilganger
• korrekt bruk av API-er
• logging og sporbarhet
• at bruken er i samsvar med vilkårene

Tilgang til sandkassen innebærer ikke at virksomhetenes løsninger er godkjent, sertifisert eller klar for produksjon.

• Om produksjonslikhet

Sandkassen bør være representativ, men kan avvike fra produksjon når det gjelder:

• funksjonalitet
• datagrunnlag
• kapasitet og ytelse
• tilgjengelighet
• responstider
• integrasjoner
• versjoner
• sikkerhetsmekanismer

• dataenes levetid

• Kontrollert bruk

Virksomhetene skal ikke:

• gjennomføre lasttesting uten særskilt avtale
• utføre sikkerhetstesting eller penetrasjonstesting uten skriftlig tillatelse
• forsøke å omgå tilgangskontroller
• søke etter eller utnytte sårbarheter utenfor avtalt testomfang
• påvirke andre leverandørers testdata eller testforløp
• bruke sandkassen til konkurrerende kommersiell drift

• Ingen avhengighet av varige testdata

Testdata, instanser, dialoger, meldinger og logger kan bli endret eller slettet. Virksomhetene skal ikke bruke sandkassen som arkiv eller eneste oppbevaringssted for testresultater.

• Sporbarhet og åpenhet

Alle kall bør kunne knyttes til:

• virksomheten
• testklient
• bruker eller systemidentitet
• tidspunkt
• korrelasjons-ID
• relevant testscenario

Virksomhetene skal oppgi nødvendige tekniske opplysninger ved feilretting og hendelseshåndtering, men skal ikke sende private nøkler, klienthemmeligheter eller andre autentiseringshemmeligheter til support.

• Ansvarlig rapportering av sårbarheter

Virksomhetene skal så raskt som praktisk mulig informere Digdir om hendelser i tilknytning til testmiljøene, eller i egne tjenester som kan ha betydning for testmiljøene.

Virksomhetene skal melde inn alle hendelser via servicedesk@altinn.no.

• Nødvendig kompetanse

Virksomhetene må selv sørge for å inneha nødvendig kompetanse for å gjennomføre eget arbeid i forbindelse med integrasjonen mot testmiljøene som tilbys.

6. Taushetsplikt

Forvaltningslovens taushetspliktbestemmelser kommer til anvendelse for Digdir, testbrukere og eventuelle underleverandører partene benytter.

Partene, og eventuelle underleverandører, skal ta nødvendige forholdsregler for å hindre at uvedkommende får innsyn i eller kan bli kjent med taushetsbelagt materiale eller informasjon.

Om nødvendig skal det undertegnes taushetserklæring. Det skal i tilfelle angis hvilke opplysninger som omfattes av taushetsplikten, og hvordan den skal ivaretas.

Taushetsplikten gjelder også etter sandkassens opphør. Ansatte eller andre som fratrer sin tjeneste hos en av partene eller deres underleverandører, skal pålegges å bevare taushet om forhold som er nevnt ovenfor, også etter fratredelsen.

Digdir er et forvaltningsorgan som er underlagt regelverk som blant annet setter rammer for arkivering, offentlighet og innsyn. Testbrukere av sandkassen er innforstått med Digdir kan ha plikt til å gi innsyn i eller på annen måte offentliggjøre informasjon i tråd med blant annet offentleglova og forvaltningsloven.