Almennt

Stafrænt Ísland f.h. fjármála- og efnahagsráðuneytisins er rekstraraðili Straumsins. Straumurinn, sem byggir á X-Road, er gagnaflutningslag fyrir örugg samskipti milli upplýsingakerfa og lýtur miðlægri stjórnun rekstraraðila. Stjórnunin felst í því að rekstraraðili metur og samþykkir umsókn þjónustuþega um aðild að Straumnum og setur reglur og viðmið um notkun Straumsins. Rekstraraðili heldur jafnframt úti miðlægum öryggisþjóni (e. central server) og gefur út auðkenningarskilríki fyrir öryggisþjóna þjónustuþega (e. security server).

Þjónustuþegi rekur eigin öryggisþjón vegna auðkenndra og dulkóðaðra samskipta innan Straumsins. Miðlægur öryggisþjónn rekstraraðila staðfestir tengingar og kemur á dulkóðuðum samskiptum milli aðila, skráir tímasetningar og svör við samskiptabeiðnum.

Skilmálar þessir mynda samkomulag þjónustuþega og rekstraraðila um gæðakröfur, aðgengi og viðhald vegna notkunar á Straumnum.

1. Skilgreiningar

Í skilmálum þessum, þar sem samhengi texta leyfir, skulu eftirfarandi hugtök skilgreind með þeim hætti sem hér segir:

Aðgerðaskrá: Skrá í tímaröð um það sem gert er í gagnavinnslu.

Rekstraraðili: Stafrænt Ísland í umboði fjármála- og efnahagsráðuneytis.

Skilríki: Rafræn auðkenningarskilríki sem rekstraraðili gefur út til þjónustuþega sem setur þau upp og endurnýjar áður en gildistími þeirra rennur úr.

Skrá: Miðlæg skrá yfir aðila Straumsins, undirkerfi þeirra og öryggisþjóna.

Straumurinn: Gagnaflutningslag fyrir örugg og rekjanleg rafræn samskipti milli þjónustuþega. Straumurinn byggir meðal annars á X-Road lausninni.

Tæknilýsing: Gildandi tækni- og öryggisleiðbeiningar vegna Straumsins, aðgengileg á docs.devland.is.

Miðlun: Miðlun gagna frá upplýsingaveitanda til upplýsingaþega (gagnasamskipti).

Miðlægur öryggisþjónn: Þjónn sem heldur utan um skráningu aðila, undirkerfa og öryggisþjóna og birtir undirritaðar miðlægar stillingar og traustupplýsingar. Gagnasamskipti fara beint milli öryggisþjóna aðila og fara ekki um miðlæga þjóninn (e. Central Server).

Þjónustuþegi: Aðili sem hefur fengið samþykkta tengingu við Strauminn, upplýsingaveitandi og/eða upplýsingaþegi.

Vefþjónusta: Þjónusta þjónustuþega sem tengir öryggisþjón og upplýsingakerfi viðkomandi.

Þjónusta: Miðlun upplýsinga

Upplýsingaveitandi: þjónustuþegi sem miðlar upplýsingum til meðlima Straumsins (e. service provider)

Upplýsingaþegi: þjónustuþegi sem sækir upplýsingar yfir Strauminn til upplýsingaveitanda (e. service consumer)

Öryggisþjónn: einn eða fleiri X-Road þjónar þjónustuþega sem tengjast öðrum öryggisþjónum innan Straumsins með tilstuðlan miðlægs öryggisþjóns Straumsins. (e. security server).

X-Road: Opinn hugbúnaður sem þróaður er af NIIS-stofnuninni (e. Nordic Institute for Interoperability Solutions). X-Road er miðstýrt gagnaflutningslag fyrir upplýsingakerfi og er í senn tæknilegt umhverfi og skipulag sem tryggir örugg gagnasamskipti á milli upplýsingakerfa.

2. Aðgangur

Þjónustuþegi skal sækja um aðild að Straumnum hjá rekstraraðila. Með umsókn sinni undirgengst þjónustuþegi skilmála þessa.

Rekstraraðila er heimilt að synja umsókn um aðgang að Straumnum ef rekstraraðili telur m.a. að starfsemi umsækjanda sé þess eðlis að hún samræmist ekki umfangi eða hlutverki Straumsins eða umsækjandi hefur ekki fullnægjandi tæknilega innviði til að notast við Strauminn. Þjónustuþega er heimilt að afturkalla umsóknina án skýringar.

Á grundvelli samkomulags aðila um aðgang þjónustuþega að Straumnum setur þjónustuþegi upp öryggisþjón og tilkynnir til rekstraraðila sem skráir öryggisþjóninn í öryggisþjóninn í miðlæga skrá Straumsins.

Þegar þjónustuþegi hefur sett upp öryggisþjón skal hann óska eftir útgáfu nauðsynlegra skilríkja frá rekstraraðila þannig að unnt sé að staðfesta samskiptabeiðnir til og frá öryggisþjóni. Óheimilt er að nota Strauminn með öðrum skilríkjum en þeim sem rekstraraðili hefur gefið út. Auðkenni og upplýsingar um aðila, undirkerfa og öryggisþjóna eru skráð í miðlæga skrá Straumsins.

3. Skyldur aðila

3.1 Rekstraraðili

Rekstraraðili tryggir virkni miðlægra eininga Straumsins og annast rekstur þeirra. Rekstraraðili heldur skrá um þjónustuþega, undirkerfi og öryggisþjóna, birtir miðlægar stillingar og viðheldur sameiginlegri traustumgjörð Straumsins. Rekstraraðili annast jafnframt sameiginlega vöktun og stuðning vegna miðlægra eininga eftir því sem nánar er skilgreint í tæknilýsingu.

Rekstraraðili hefur ekki aðgang að innihaldi þeirra gagna sem þjónustuþegar senda sín á milli nema um slíka vinnslu hafi verið samið sérstaklega. Rekstraraðili ber ekki ábyrgð á vöktun eða rekstri vefþjónusta og bakendakerfa einstakra þjónustuþega.

Rekstraraðili tilkynnir um fyrirhugaðar breytingar eða takmarkanir á notkun Straumsins eins fljótt og auðið er. Rekstraraðili skilgreinir og birtir viðhaldsglugga vegna minniháttar viðhalds en tilkynnir þjónustuþegum sérstaklega um stærri uppfærslur sem geta valdið þjónusturofi með hæfilegum fyrirvara.

3.2 Þjónustuþegi

Þjónustuþegi skal setja upp öryggisþjón, skrá hann og nauðsynleg skilríki hjá rekstrara.

Þjónustuþegi skal fylgjast með og tryggja að upplýsingar um sig hjá rekstraraðila séu ávallt réttar. Þjónustuþegi skal fylgja öllum fyrirmælum rekstraraðila um; uppsetningu, notkun og öryggisráðstafanir á Straumnum eins og þær eru tilgreindar í tæknilýsingu.

Þjónustuþegi er ábyrgur fyrir uppfærslum öryggisþjóns. Öryggisþjónn skal á hverjum tíma keyra á útgáfu X-Road sem studd er af NIIS. Innan sömu meginútgáfu skal öryggisþjónn að hámarki vera tveimur undirútgáfum (e. minor versions) á eftir útgáfu miðlægra þjóna Straumsins. Þjónustuþegi skal nota nýjustu studdu viðhaldsútgáfu (e. patch version) innan þeirrar undirútgáfu sem hann keyrir.

Þjónustuþegi er ábyrgur fyrir uppfærslum öryggisþjóns. X-Road útgáfa öryggisþjóns skal aldrei vera meira en tveimur útgáfum á eftir útgáfu miðlægs öryggisþjóns.

Þjónustuþegi er ábyrgur fyrir endurnýjun skilríkja og skal endurnýja þau eigi sjaldnar en á tveggja ára fresti.

Þjónustuþegi ber ábyrgð á notkun öryggisþjóns.

Þjónustuþegi skal halda aðgerðaskrá. Þjónustuþegi skal skipa þjónustufulltrúa sem hefur aðgang að aðgerðaskránni og eftirlit með notkun og samskiptum um Strauminn.

Þjónustuþegi skal innleiða nauðsynlegar öryggisráðstafanir, raunlægar og kerfislægar, til að tryggja öryggi upplýsingakerfis. Öryggisráðstafanir skulu taka mið af alþjóðlegum viðmiðum um bestu framkvæmd.

Þjónustuþegi ber, við notkun á Straumnum sem upplýsingaveitandi, ábyrgð á:

(i) að upplýsingum sé einungis miðlað samkvæmt beiðni eða samkomulagi þar um;

(ii) að umfang þeirra upplýsinga sem miðlað er sé í samræmi við fyrirliggjandi gagnalýsingu;

(iii) að þjónustuþega sé heimilt að miðla viðkomandi upplýsingum.

Þjónustuþegi ber ábyrgð á að honum sé heimilt að sækja tilteknar upplýsingar, að aðgangsstýring í eigin kerfum sé fullnægjandi og að meðferð upplýsinganna eftir móttöku samræmist lögum á hverjum tíma.

3.2.1 Þriðji aðili - undirverktaki

Ef þjónustuþegi semur við þriðja aðila um rekstur á öryggisþjón eða aðgengi að X-Road sem þjónustu, skal hann tryggja að þriðji aðili þekki og starfi í samræmi við skilmála þessa. Þjónustuþegi skal upplýsa rekstraraðila um breytingar á högun vegna samnings við þriðja aðila með að minnsta kosti 30 daga fyrirvara. Ef breyting er nauðsynleg vegna bráðs öryggisatviks skal tilkynna hana eins fljótt og unnt er.

Þjónustusamningur við þriðja aðila skal vera skriflegur og afmarka á skýran hátt hlutverk og skyldur aðila vegna Straumsins. Þar skal tilgreina með skýrum hætti þá þjónustu sem þjónustuþega er veitt, svo og þau kerfi og búnað sem notaður er vegna Straumsins.

Þrátt fyrir útvistun samkvæmt ákvæði þessu ber þjónustuþegi áfram ábyrgð á að skilmálar og lágmarkskröfur Straumsins séu uppfyllt.

4. Virkniprófanir og/eða útgáfa þjónustu

Tímasetningar virkniprófana og/eða útgáfu þjónustu í raunumhverfi á Ísland.is eru skipulagðar í samvinnu þjónustuveitanda og viðkomandi þjónustuþega, en skulu ekki fara fram á föstudögum, um helgar eða á opinberum frídögum.

5. Ábyrgð

Rekstraraðili ber ekki ábyrgð á tjóni sem hlýst af vanþekkingu, misskilningi eða misnotkun þjónustuþega. Þá ber rekstraraðili ekki ábyrgð á tjóni sem stafar af því að búnaður þjónustuþega virkar ekki sem skyldi.

Rekstraraðili ber ekki ábyrgð á tjóni vegna óleyfilegrar notkunar, t.d. ef óviðkomandi aðili hefur komist yfir aðgang þjónustuþega, eða ef ekki hefur tekist að tilkynna rekstraraðila um misnotkun á vefþjónustunni, eða grun um slíkt.

Rekstraraðili ber hvorki beint né óbeint ábyrgð á tjóni sem orsakast af fyrirvaralausri lokun Straumsins, t.d. vegna bilana sem rekja má til sambandsleysi, rofs á fjarskiptum eða annarra truflana sem kunna að verða á rekstri vefþjónustunnar og eru ófyrirsjáanlegar eða óhjákvæmilegar vegna óviðráðanlegra aðstæðna (force majeure). Verði einhver mistök, truflanir eða tafir á Straumnum, sem rekja má til framangreindra aðstæðna, skal ábyrgð rekstraraðila takmarkast við að lagfæra slík mistök, truflanir eða tafir, svo fljótt sem auðið er.

Rekstraraðili ber eingöngu ábyrgð á tjóni birtingaraðila ef það má rekja til stórkostlegs gáleysis eða ásetnings starfsmanna rekstraraðila. Ábyrgð rekstraraðila nær í slíku tilviki eingöngu til beins tjóns en aldrei til afleidds tjóns sem verða kann af þessum sökum, s.s. rekstrarstöðvunar, tapaðra viðskipta eða álitshnekkis.

Notandi skal halda rekstraraðila skaðlausum af hvers konar tjóni, kröfum, frá viðtakanda, aðgerðum, skaða, ábyrgðum, sektum, refsingum og kostnaði (þ.m.t. lögfræðikostnaði) sem rekstraraðili kann að verða fyrir vegna eða í tengslum við aðgerðir eða aðgerðarleysi birtingaraðila, hvort sem það stafar af vanrækslu, ásetningi eða gáleysi birtingaraðila í tengslum við notkun á Straumnum eða sem leiðir af broti gegn samkomulagi aðila. Skaðleysisábyrgð þessi takmarkar ekki með neinum hætti önnur samningsbundin eða lögbundin réttindi sem rekstraraðili kann að njóta gagnvart birtingaraðila og hugsanlegar bætur eða skaðleysisgreiðslur réttlæta ekki brot á skyldum og skuldbindingum birtingaraðila.

Um tjón vegna brota gegn lögum nr. 90/2018 um persónuvernd og vinnslu persónuupplýsinga fer samkvæmt 51. gr. laganna og 82. gr. reglugerðar Evrópuþingsins og ráðsins (ESB) 2016/679, eins og þau gilda hverju sinni.

6. Greiðslur

Þjónusta Stafræns Íslands vegna reksturs miðlægs öryggisþjóns innan Straumsins, sú skilríkjaþjónusta sem rekstraraðili útvegar og X-Road hugbúnaðurinn eru þjónustuþega aðgengileg án endurgjalds. Þjónustuþegi ber sjálfur kostnað af eigin öryggisþjóni, hýsingu, rekstri, samþættingum og þjónustu þriðju aðila.

7. Rekstraröryggi

Aðilar skuldbinda sig til að stuðla að öruggum rekstri Straumsins og vinna jafnframt sameiginlega að viðgerðum ef rekstrartruflanir verða.

Þjónustuþega og rekstraraðila ber að tilkynna gagnaðila án tafar ef grunur leikur á óviljandi, óheimilli eða ólöglegri vinnslu upplýsinga eða ef grunur er uppi um hvers konar öryggisbrest við meðferð á upplýsingum sem miðlað er með Straumnum. Tilkynninguna skal senda á almennt netfang viðkomandi aðila (í tilviki birtingaraðila, island@island.is). Í slíkri tilkynningu skal viðkomandi aðili lýsa eðli brestsins, þ. á m. áætluðum fjölda skráðra einstaklinga sem það varðar og notkun upplýsinganna. Þá skal viðkomandi aðili lýsa líklegum afleiðingum brestsins og þeim ráðstöfunum sem hann hefur gert eða fyrirhugað að gera vegna öryggisbrestsins.

Rekstraraðili mun tilkynna þjónustuþega ef bilanir eða nauðsynlegar uppfærslur sem varða Strauminn koma upp. Komi til þess að Straumurinn liggi niðri af óviðráðanlegum ástæðum mun rekstraraðili jafnframt tilkynna birtingaraðila um slíkt. Þjónusta rekstraraðila fer almennt fram á skrifstofutíma en verði rof á tengingu við Strauminn skal rekstraraðili bregðast við tilkynningu þess efnis eins fljótt og auðið er.

Rekstraraðili getur rofið aðgang þjónustuþega að þjónustunni tímabundið án viðvörunar ef rökstuddur grunur vaknar um óheimila vinnslu upplýsinga, öryggisbrest eða ef rekstraraðili telur ljóst að búnaður þjónustuþega standist ekki kröfur rekstraraðila um notkun Straumsins.

Ef rekstraraðili eða þjónustuþegi verður fyrir einhverjum hindrunum við að uppfylla samkomulagið gagnvart gagnaðila af ástæðum sem honum eru óviðráðanlegar, þá frestast viðkomandi skyldur til þess tíma er slíkar hindranir eru afstaðnar og aðilar samkomulagsins geta uppfyllt umsamdar skyldur sínar.

8. Breytingar á skilmálum

Rekstraraðili áskilur sér einhliða rétt til að gera breytingar á skilmálum þessum og skulu þær tilkynntar birtingaraðila í rafrænni tilkynningu með að minnsta kosti 30 daga fyrirvara sem send skal til birtingaraðila með sannanlegum hætti áður en ný eða breytt ákvæði taka gildi. Auk þess eru nýir eða uppfærðir skilmálar birtir á heimasíðu rekstraraðila.

Rekstraraðila er þó heimilt að gera breytingar á skilmálum með skemmri fyrirvara ef slíkar breytingar á skilmálum eru nauðsynlegar samkvæmt lögum eða vegna hættu á öryggisbrest. Í slíkum tilvikum þar sem fyrirvarinn kann að vera skemmri skal rekstraraðili leitast við að tilkynna slíkar breytingar eins fljótt og mögulegt er.

Skilmálar þessir voru síðast uppfærðir: 16.09.2026