Bruksvilkår for Difis felleskomponenter Versjon 1.2 gjeldende fra 17.11.2014 1 Felleskomponenter fra Difi Difi forvalter flere nasjonale felleskomponenter som offentlige virksomheter skal 1 eller kan benytte for å tilby bedre tjenester og effektivisere driften. Disse bruksvilkår for Difis felleskomponenter regulerer generelle bestemmelser som gjelder for alle I tillegg er det utarbeidet spesielle bruksvilkår for hver av Før virksomheten kan ta i bruk felleskomponenter fra Difi, skal bemyndiget representant for virksomheten akseptere disse bruksvilkår for Difis felleskomponenter og de spesielle bruksvilkår for de felleskomponentene som tas i bruk. 2 Virksomheter som kan benytte felleskomponentene Følgende virksomheter kan benytte seg av felleskomponentene: Offentlig virksomhet og virksomheter som utfører oppgaver på vegne av, og som helt eller delvis er finansiert av, det offentlige. Dette omfatter blant annet alle sentrale og lokale statlige organer, herunder tilsyn, ombud og direktorater, alle fylkeskommuner, kommuner og kommunale etater, samt offentlig eide selskaper som bare leverer tjenester til det offentlige (egenregi). I tillegg omfattes private virksomheter som treffer vedtak etter forvaltningsloven, og private virksomheter som yter tjenester etter avtale med og på vegne av det offentlige, men da begrenset til den delen av virksomheten som omfattes av forvaltningsloven eller utføres på vegne av det offentlige. Det skal også være mulig å knytte til andre virksomheter eller utøvere av aktiviteter, som ikke faller direkte inn under avgrensningene ovenfor, men som likevel må anses som offentlig virksomhet. Offentlig virksomhet må i denne sammenheng avgrenses mot virksomhet som anses som ervervsvirksomhet i henhold til konkurranseog statsstøtteregelverket. Relevante momenter i denne vurderingen vil blant annet være om virksomheten faller inn under forvaltningslovens og/eller offentlighetslovens virkeområde, om de aktuelle tjenester utøves i allmennhetens interesse, om tjenestene tilbys i konkurranse med private aktører, om det offentlige helt eller delvis finansierer tjenestene, og om det tas betalt 1 Jfr. Digitaliseringsrundskrivet P-4/2013 for tjenestene fra sluttbrukerne utover det som er nødvendig for dekning av utøverens kostnader. Det er Difi som avgjør om en virksomhet kan benytte Statsaksjeselskaper og offentlig eide virksomheter som helt eller delvis driver i konkurranse med private virksomheter, kan ikke benytte felleskomponentene, med mindre de treffer vedtak etter forvaltningsloven eller utfører oppgaver på vegne av, og helt eller delvis finansiert av det offentlige, men da begrenset til den delen av virksomheten som omfattes av forvaltningsloven eller utføres på vegne av det offentlige. De virksomhetene som benytter felleskomponentene, benevnes i bruksvilkårene som «kunde». 3 Samarbeid Det er opprettet flere samarbeidsorganer for å gi kundene mulighet til å delta i den videre utvikling av 3.1 Samarbeidsportal Samarbeidsportalen er den primære informasjons- og varslingskanalen fra Difi om Difi forvalter og drifter Samarbeidsportalen inneholder blant annet oppdatert teknisk dokumentasjon, kontaktinformasjon, driftsinformasjon, møteinnkallinger og -referater og relevante rapporter og statistikker. Kunden får tilgang til samarbeidsportalen når bruksvilkårene er godtatt. Kunden har ansvar for å holde listen over kontaktpunkter i egen virksomhet og annen påkrevd informasjon om egne tjenester oppdatert i Spesielt viktig er varslingspunkt for kundens tjenester, da dette varslingspunktet vil motta varsler fra Difi ved kritiske og alvorlige hendelser. 3.2 Styringsråd Styringsrådet er et rådgivende organ for Difi og skal særlig behandle viktige saker vedrørende Mandat for styringsrådet for Difis felleskomponenter er tilgjengelig på
3.3 Brukerråd Brukerrådet skal diskutere status, endringsønsker og videreutviklingsprosjekter for felleskomponentene, samt annet av relevans for kundenes bruk av Mandat for brukerrådet for Difis felleskomponenter er tilgjengelig på 3.4 Integrasjons- og sikkerhetsforum Integrasjons- og sikkerhetsforumet skal bidra til å holde integrasjons- og sikkerhetsansvarlig hos kundene oppdatert på tekniske forhold ved Mandat for integrasjons- og sikkerhetsforumet for Difis felleskomponenter er tilgjengelig på 3.5 Brukerstøtteforum Brukerstøtteforum skal bidra til å effektivisere og koordinere brukerstøtten overfor sluttbruker og er et forum for informasjons- og erfaringsutveksling mellom Difis og kundenes brukerstøttefunksjoner. Mandat for brukerstøtteforumet for Difis felleskomponenter er tilgjengelig på 4 Difis oppgaver 4.1 Difis overordnede oppgaver Difi har ansvaret for forvaltning, drift og videreutvikling av Difi skal ivareta kundenes interesser på en god måte og skal i drift og videreutvikling av felleskomponentene søke å ivareta kundenes samlede og omforente behov. 4.2 Difis oppgaver i ordinær drift 4.2.1 Planer og rapporter Difi skal sørge for at kunden får god informasjon om aktuelle saker, tema og aktiviteter knyttet til Informasjon presenteres på I tillegg vil det bli gitt informasjon ved møter i de fora som er beskrevet i kapittel 3. Difi vil utarbeide følgende planer og rapporter: Årsplan På bakgrunn av innspill fra kundene, se punkt 5.2, skal Difi utarbeide og holde oppdatert en årsplan. I årsplanen skal høyvolumsperioder, kritiske perioder og andre aktiviteter som krever særskilt oppmerksomhet i forvaltningen av felleskomponentene, inngå. Årsplanen er tilgjengelig på Difi skal utarbeide en leveranseplan som gir en oversikt over leveransene som er planlagt for Leveranseplanen viser planlagte nye versjoner og planlagt ny funksjonalitet for Leveranseplanen er tilgjengelig på Månedsrapport Difi skal månedlig utarbeide en statusrapport for Rapporten skal blant annet inneholde statistikk for bruk av felleskomponentene, tilgjengelighet og responstider, og gi en oversikt over registrerte hendelser i perioden. Rapporten gjøres tilgjengelig på samarbeidsportalen innen den 20. i påfølgende måned. Årsrapport Difi skal utarbeide en årsrapport for Rapporten skal blant annet inneholde statistikk for bruk av felleskomponentene, tilgjengelighet og responstider, og gi en oversikt over registrerte hendelser gjennom året. Årsrapporten skal publiseres på samarbeidsportalen innen 30. januar påfølgende år. 4.2.2 Informasjon til sluttbruker Difi skal utarbeide og fortløpende oppdatere brukerrettet informasjon om felleskomponentene som kunden skal benytte i sin kontakt med sluttbrukerne. Informasjonen kan gjøres tilgjengelig på kundens nettside og/eller i eget informasjonsmateriell (brosjyrer, brukerveiledninger med mer). Oppdatert informasjonsmateriell er tilgjengelig på 4.2.3 Brukerstøtte Difi drifter en sluttbrukerorientert brukerstøtte for Brukerstøtten besvarer spørsmål fra sluttbruker vedrørende bruk av felleskomponentene og videreformidler og håndterer innrapporterte hendelser. Åpningstidene for brukerstøtten er ordinære virkedager kl. 08.00-15.30. Onsdag før skjærtorsdag, julaften og nyttårsaften er åpningstiden kl. 08.00-12.00. I romjulen er åpningstiden kl. 09.00-15.00. Ved henvendelser til brukerstøtte på telefon skal sluttbruker normalt få kontakt med en operatør innen 50 sekunder. Ved henvendelser på e-post skal sluttbrukeren normalt få svar innen en virkedag. Leveranseplan
4.2.4 Planlagte endringer Difi kan endre tjenestene som inngår som en del av Slike endringer kan typisk være forbedring av funksjonalitet, endring i grensesnittet mot kunde, oppgradering av programvare og maskinvare og mindre endringer i tjenestenivå. Gjennomføring av endringer skal være planlagt. I forbindelse med planlagte endringer skal det utarbeides risiko- og konsekvensanalyse av endringen, testprosedyrer for endringen samt en detaljert aktivitets- og tidsplan, med mindre dette vil være urimelig i forhold til endringens omfang og kompleksitet. Difi skal sørge for at kunden får god informasjon om endringer som kan ha betydning for kunden. Dersom endringen påvirker kundene, skal det så langt som mulig tas hensyn til kritiske perioder for berørte kunder. Informasjon om planlagte endringer legges ut på 4.2.5 Hasteendringer Dersom det inntreffer en hendelse som medfører at tjenestene som inngår som en del av felleskomponentene ikke kan driftes tilfredsstillende og i tråd med vilkårene, har Difi rett og plikt til å gjennomføre hasteendringer for å gjenopprette ordinær drift. Hvis hasteendring igangsettes uten risiko- og konsekvensvurdering, skal Difi gjøre slik vurdering i ettertid. Resultater av risiko- og konsekvensvurderinger av hastendringer skal gjøres tilgjengelig på Hvis det avdekkes risiko for at det kan inntreffe hendelser som følge av hasteendringen, skal det gjennomføres tester for å avdekke dette, og relevante tiltak skal iverksettes. 4.3 Difis oppgaver ved videreutvikling av felleskomponenter (større funksjonelle endringer) Difi har ansvar for å styre og koordinere videreutvikling av Difi skal under planlegging av ny større funksjonalitet i felleskomponentene involvere brukerrådet. Ved behov kan det opprettes en referansegruppe, hvor styringsrådets medlemmer og eventuelt andre kunder inviteres til å delta. Styringsrådet skal behandle konkrete forslag for utvikling av ny større funksjonalitet med tilhørende finansieringsplan før et utviklingsprosjekt besluttes iverksatt. 4.4 Hendelseshåndtering 4.4.1 Prioritering av hendelser etter alvorlighetsgrad En hendelse er et ikke planlagt avbrudd eller reduksjon i kvalitet i en tjeneste i en felleskomponent. Alle hendelser skal registreres i Difis saksflytverktøy og prioriteres etter alvorlighetsgrad, i forhold til risiko for redusert kvalitet på tjenesten i en felleskomponent og mulige følger av hendelsen. Difi benytter følgende kategorier, dvs. alvorlighetsgrader, ved hendelseshåndtering: Kategori Beskrivelse A - Kritisk En hendelse skal kategoriseres som kritisk dersom hele eller vesentlige deler av en felleskomponent er utilgjengelig, og det ikke finnes en midlertidig løsning på hendelsen. En hendelse skal alltid kategoriseres som kritisk dersom sikkerheten i løsningen er betydelig svekket, eller dersom det er et sikkerhetsbrudd som er omdømmekritisk for en av partene. B - Alvorlig En hendelse skal kategoriseres som alvorlig dersom hendelsen medfører redusert tilgjengelighet og/eller sikkerhet som gjør arbeidet vanskeligere for sluttbrukeren av felleskomponenten og/eller kunden. Det kan finnes en midlertidig løsning på den alvorlige hendelsen. C - Mindre alvorlig En hendelse skal kategoriseres som mindre alvorlig dersom hendelsen har liten betydning for sluttbrukeren av felleskomponenten og/eller kunden, og hendelsen kan løses innen gitte frister. Det finnes en midlertidig løsning, og partene kan akseptere hendelsen i en kortere periode. 4.4.2 Tilgjengelighet og responstid Difi har beredskap for å håndtere kritiske og alvorlige hendelser 24 timer/7 dager i uken/365 dager i året. 4.4.3 Varsling ved hendelser Etter at Difi har identifisert og kategorisert en hendelse, blir den varslet på Varsling til kundene for øvrig skjer i henhold til gjeldende rutiner etter hendelsens kategori. For kritiske og alvorlige hendelser skal kundens varslingspunkt for
tjenesten varsles, så raskt som praktisk mulig. Difi informerer kundene om videre håndtering. Fortløpende informasjon om hendelser gis på samarbeidsportalen, som er hovedkanalen for varsling og kommunikasjon mot kundene. Dersom hendelsen involverer kunden, plikter kunden å være tilgjengelig for Difi for best mulig håndtering av hendelsen. 4.4.4 Håndtering av informasjon ved hendelser Ved hendelser knyttet til felleskomponentene skal Difi håndtere informasjon overfor sluttbruker og presse med mindre partene avtaler noe annet for det enkelte tilfellet. 4.5 Krise- og beredskapsplaner Difi skal påse at det foreligger krise- og beredskapsplaner for drift av felleskomponentene og at slike planer også er etablerte og oppdaterte hos Difis leverandører. 4.6 Behandling av personopplysninger Hvis Difi skal behandle personopplysninger på vegne av kunden, skal det inngås databehandleravtale, se spesielle bruksvilkår og tilleggstjenester for Difis felleskomponenter. 5 Kundens oppgaver 5.1 Kundens oppgaver ved integrasjon Kunden skal følge integrasjonskrav og etablerte standarder som fastsatt av Difi, se nærmere beskrivelse i spesielle bruksvilkår for den enkelte felleskomponent. Kunden skal stille med nødvendig kompetanse og dekke egne kostnader for å gjennomføre eget arbeid i forbindelse med integrasjonen mot Kunden er ansvarlig for sikkerheten i egne tjenester. Kunden skal gjennomføre risikovurdering for hver tjeneste som ønskes tilknyttet Risikovurderingene skal på forespørsel fremlegges for Difi. Før tjenestene kan gå i produksjon, skal kunden ha testet integrasjonen mot felleskomponentene i henhold til integrasjonskravene i de relevante spesielle bruksvilkår. 5.2 Planer og informasjon Informasjon og markedsføring Kunden er ansvarlig for informasjon om og markedsføring av egne tjenester som er tilknyttet Kunden skal benytte brukerrettet informasjon utarbeidet av Difi som beskrevet i punkt 4.2.2. Kundens tjenester Kunden skal til enhver tid sørge for at Difi har oversikt over kundens tjenester som er tilknyttet Alle tjenestene skal tidfestes og kort beskrives. Kundegruppe, estimert bruksvolum og kundens angivelse av eventuell periode hvor det er kritisk for tjenesten å ha høy tilgjengelighet, skal oppgis. 5.3 Nye eller endrede tjenester Kunden skal fortløpende informere Difi om eventuelle endringer knyttet til kundens tjenester, herunder vesentlige endringer i estimert bruksvolum. 5.4 Andre endringer hos kunden Dersom kunden planlegger endringer i egne systemer som vil påvirke integrasjonen mot felleskomponentene, skal kunden varsle Difi i god tid. Partene skal i fellesskap planlegge hvordan endringene skal implementeres med sikte på minst mulig belastning og forstyrrelse for Kunden må stille med nødvendig kompetanse for å gjennomføre eget arbeid i forbindelse med integrasjonen mot Kunden dekker selv alle kostnader ved integrasjon og gjennomføring av endringer i egne systemer. 5.5 Brukerstøtte Kunden skal ha nødvendig brukerstøtte overfor sluttbruker for egne tjenester. 5.6 Varsling Kunden skal så raskt som praktisk mulig informere Difi om hendelser i tilknytning til felleskomponentene eller i egne tjenester som kan ha betydning for Difis kontaktpunkt for slike meldinger fremgår på Dersom det oppstår en kritisk eller alvorlig hendelse hos kunden, kan Difi koble tjenesten fra felleskomponentene inntil kunden har dokumentert overfor Difi at hendelsen er utbedret, eller relevante tiltak er iverksatt. 5.7 Krise- og beredskapsplaner Kunden skal ha nødvendige krise- og beredskapsplaner. 6 Innsyn og revisjon Difi skal gjennom revisjon og verifikasjon sikre at tilknyttede leverandører overholder avtalte forpliktelser.
Difi skal på forespørsel fremlegge dokumentasjon fra gjennomførte revisjoner av felleskomponentene dersom kunden ved kvalitetsrevisjon eller sertifisering av egne tjenester, eller i forbindelse med etterlevelse av rettslige forpliktelser, etterspør dette. Kunden kan også be om ytterligere informasjon og bistand i henhold til de avtaler Difi har med sine leverandører. I samråd med styringsrådet kan det opprettes en revisjonskomité bestående av utvalgte kunder. Revisjonskomitéens mandat fastsettes ved opprettelse. 7 Ansvar for underleverandører Dersom en av partene engasjerer underleverandører til å utføre oppgaver som følger av disse bruksvilkår for Difis felleskomponenter eller spesielle bruksvilkår for den enkelte felleskomponent, er parten fullt ut ansvarlig for utførelsen av disse oppgavene på samme måte som om parten selv stod for utførelsen. 8 Taushetsplikt Forvaltningslovens taushetspliktbestemmelser kommer til anvendelse for Difi, kunden og eventuelle underleverandører partene benytter. Partene, og eventuelle underleverandører, skal ta nødvendige forholdsregler for å hindre at uvedkommende får innsyn i eller kan bli kjent med taushetsbelagt materiale eller informasjon. Om nødvendig skal det undertegnes taushetserklæring. Det skal i tilfelle angis hvilke opplysninger som omfattes av taushetsplikten, og hvordan den skal ivaretas. Taushetsplikten gjelder også etter tjenestenes opphør. Ansatte eller andre som fratrer sin tjeneste hos en av partene eller deres underleverandører, skal pålegges å bevare taushet om forhold som er nevnt ovenfor, også etter fratredelsen. 9 Kundens bruksrettigheter Kunden har en ikke-eksklusiv rett til å benytte felleskomponentene etter aksept av disse bruksvilkår for Difis felleskomponenter og spesielle bruksvilkår for den enkelte felleskomponent, se kapittel 1. Bruksretten er saklig begrenset til formålet med den enkelte felleskomponent, de rettigheter som følger av bruksvilkårene og underliggende avtaler, samt god forvaltningsskikk. 10 Mislighold 10.1 Reklamasjon Hvis en part ikke følger opp plikter og ansvar som følger av bruksvilkår for Difis felleskomponenter og spesielle bruksvilkår for den enkelte komponent, anses dette som mislighold. Den part som mener det foreligger mislighold, skal dersom man ønsker å gjøre misligholdet gjeldende, reklamere skriftlig til den annen part uten ugrunnet opphold. 10.2 Rett og plikt til retting av mislighold Den part som har misligholdt sine plikter etter vilkårene, har rett og plikt til å utbedre forholdet så raskt som praktisk mulig. Ved vesentlig mislighold fra kunden kan Difi koble tjenesten fra felleskomponentene inntil kunden har dokumentert overfor Difi at misligholdet er rettet. 10.3 Erstatning 10.3.1 Difis erstatningsansvar Difi er ikke ansvarlig for tap som kunden lider på grunn av mislighold eller feil i felleskomponentene med mindre dette skyldes vesentlig mislighold, og det foreligger grov uaktsomhet eller forsett fra Difis side. Ansvaret er under enhver omstendighet begrenset til kundens direkte tap og oppad begrenset til kr 20 000 per skadetilfelle. Difis ansvar for feil begått av leverandører er uansett begrenset til det beløp som Difi oppnår fra leverandøren som erstatning for kundens tap i hvert enkelt tilfelle. 10.3.2 Tap som følge av mislighold eller feil hos Difis leverandører Kundens tap som skyldes mislighold eller feil hos en leverandør som Difi har avtale med, vil i henhold til avtale mellom Difi og leverandøren kunne regnes som direkte tap som utløser krav på erstatning fra leverandøren. Leverandørens erstatningsansvar må vurderes konkret i hvert enkelt tilfelle. Kunden må fremsette sitt krav for Difi, som vurderer om det er grunnlag for å fremme krav mot leverandøren. 10.3.3 Avgrensning mot indirekte tap Det kan ikke kreves dekning for indirekte tap, med mindre det foreligger forsett.
11 Endring av bruksvilkårene Difi skal ved endring av disse bruksvilkår for Difis felleskomponenter og spesielle bruksvilkår for den enkelte felleskomponent fremlegge endringsforslag til behandling i styringsrådet. Kunden kan fremsette forslag om endring av bruksvilkårene skriftlig til Difi. Dersom Difi støtter forslaget, skal Difi fremlegge endringsforslaget til behandling i styringsrådet. Difi skal informere om endringer i bruksvilkårene på 12 Oppsigelse Difi kan ikke avvikle felleskomponentene uten at det foreligger instruks fra et overordnet organ om avvikling av eller overdragelse av forvaltningsansvaret for den aktuelle felleskomponent. Avvikling/overdragelse skal i slike tilfeller skje med ett års skriftlig varsel. Avvikling kan skje for den enkelte komponent eller alle samlet. Opplysninger som på opphørstidspunktet er lagret i felleskomponentene på vegne av den enkelte kunde, behandles som fastsatt i spesielle bruksvilkår for den enkelte felleskomponent. Oppsigelse fra kundens side er regulert i spesielle bruksvilkår for den enkelte felleskomponent. 13 Tvisteløsning Eventuelle konflikter eller uenigheter mellom partene knyttet til samarbeidet skal søkes løst gjennom dialog mellom partene. Dersom situasjonen ikke blir avklart ved dialog mellom partene innen rimelig tid og kunden er en statlig enhet, skal situasjonen avklares utenrettslig og på alminnelig forvaltningsmessig måte. Dersom situasjonen ikke blir avklart ved dialog mellom partene innen rimelig tid og kunden er en selvstendig juridisk person, kan søksmål reises for de alminnelige domstoler. Oslo vedtas som rett verneting.