Processen för förnyande av certifiering
När ska certifieringen förnyas?
Certifieringen ska förnyas när giltighetstiden för det tidigare intyget över bedömning av informationssäkerheten eller kravöverensstämmelsen går ut. Certifieringen kan behöva förnyas också när betydande ändringar görs i informationssystemet eller kraven på informationssystemet förändras väsentligt.
När betydande ändringar görs i systemet eller kraven förändras väsentligt medan intyget över bedömning av informationssäkerheten är i kraft kan man göra en auditering av ändringarna.
Leverantören av informationssystemtjänsten ska ge FPA aktuell information om vilka krav i samtestningen som uppfyllts i anslutning till Kanta-tjänsterna och vilka specifikationsversioner genomförandet grundar sig på.
Tidsplan och behov av samtestning
Informationssystemleverantören ska kontakta FPA och bedömningsorganet för informationssäkerhet sex månader innan kravöverensstämmelsen föråldras (THL:s föreskrift 4/2021).
Samtestning med Kanta-tjänsterna visar specifikt för varje system vilka samtestningar som behövs för förnyande av certifieringen. Det kan också hända att ingen samtestning behövs före auditeringen av informationssäkerheten.
Förutsättningen är då att informationssystemet genomförts enligt de uppdaterade specifikationerna för Kanta-tjänsterna.
Säkerställ en smidig samtestning
För att processen för förnyande av certifieringen ska löpa smidigt och utan dröjsmål ska du anmäla dig till samtestningen senast två månader före den planerade starten.
Informationssystemleverantören ska se till att de funktioner som ska samtestas har testats heltäckande i det egna systemet. Informationssystemleverantören ansvarar också för att THL:s systemblankett (THL:s föreskrift 5/2021, bilaga 4) fylls i noggrant.
För en smidig samtestning är det också viktigt att fylla i testfallstabellerna för Kanta-samtestning noggrant.
Auditering av informationssäkerheten
Informationssäkerheten auditeras av ett bedömningsorgan, som utfärdar ett intyg över bedömning av informationssäkerheten för högst tre år.
När informationssäkerheten har auditerats ska du skicka en registeranmälan med bilagor till Valvira. Närmare anvisningar fås av Valvira.
