sou · GVB347 · 2008-01-01 00:00:00 — ningar av företag där medlemskap sker på inbjudan och i regel inte är öppen, exempelvis . Sådana sam- manslutningars standarder kan i princip jämställas med företags- standarder och är bara delvis relevanta för utredningen. Öppen programvara eller källkod Det händer att användning av begreppen öppen standard respektive öppen programvara leder till viss förvirring. Det kan dels vara svårt att skilja det ena begreppet från de andra, dels vara svårt att veta vad för slags öppenhet som avses för standarden respektive program- met. Medan det som regel inte svårt att skilja på vad som är en standard mot vad som är en programvara, så blir det märkvärdigt oklart när dessa refereras till som öppna. En standard är i grova drag en specifikation medan en program- vara är en datorbaserad kod, och öppen kan i grova drag förstås som motsatsen till proprietär i båda fallen, vilket medför ägande och möjlighet att licensiera ut rättigheter. För utredningens vidkommande förstås öppen programvara och öppen källkod som synonymt med det engelska Open Source Soft- ware. Vi gör alltså ingen distinktion mellan de båda uttrycken, men vi använder för enkelhetens skull genomgående begreppet öppen programvara. Utredningen ansluter sig därmed till Statskontorets definition av öppen programvara som en programvara där källkoden är fritt tillgänglig och där programmet fritt kan använ- das, förändras, förbättras, kopieras och distribueras av alla.TPF5FPT Ett annat förekommande begrepp är öppet dokumentformat, vilket avser dokumentformat som baseras på formell standard. Öppen standard och dess olika kriterier Benämningen öppen standard förstås vara synonym med formell standard. Epitetet öppen anspelar antingen på att den formella stan- darden rent allmänt är mer öppen än en proprietär leverantörsstan- dard, eller på att formella standarder utvecklas och görs tillgängliga under principer av öppenhet. 5TP PT Öppen programvara, Statskontoret 2003:8. Det ska också sägas att det finns avvikande meningar i vilka krav man ska ställa på en standard för att den ska kunna kallas öppen. I IT-propositionen beskrivs öppen standard som: en standard som i princip är möjlig för alla att ta del av och använda, som utvecklas i en allmänt accepterad och öppen miljö, som tas fram enligt en konsensusmodell samt offentliggörs, förvaltas och under- hålls.TPF6FPT uttalade Global Standards Collaboration (GSC) en gemen- sam uppfattning om vad som avses med öppen standard.TPF7FPT GSC är en sammanslutning av tolv standardiseringsorganisationer på kommunikationsområdet, och man menar att standarder är öppna om de möter följande kriterier (förkortat): 1.Standarden är utvecklad eller godtagen och upprätthållen i en kollaborativ process som bygger på konsensus. 2.Processen är transparent. 3.Materiellt påverkade och intresserade parter utesluts inte från processen. 4.Standarden bygger på en policy om /FRAND (fair, reasonable and non-discriminatory) för immaterialrätter som kan tillåta licensiering utan kompensation. 5.Standarden publiceras och görs tillgänglig för allmänheten till rimlig eller ingen kostnad. Den tyska arkitekturdokument SAGA anger ett antal minimikrav på öppenhet för att en standard ska komma ifråga för att rekommenderas i federala IT-lösningar. I SAGA ställs dock inga krav på utvecklingsprocessen utan endast på tillgänglig- het och användarrättigheter. Inom den formella standardiseringen hänvisar många till följande definition, fastställd av Telecommunication Standardization Advi- sory Group (TSAG): Open Standards are standards made available to the general public and are developed (or approved) and maintained via a collaborative and consensus driven process. Open Standards facilitate interoperability and data exchange among different products or services and are intended for widespread adoption. 6TP PT PropT . Därefter beskrivs ett antal begrepp som påverkar öppenheten – reasonably balanced, due process, intellectual property rights (IPR), quality and level of detail, publicly available och on-going support. Definitionerna kräver inte att det ska vara gratis att delta i utvecklingen av standarder men det ska vara öppet på kända villkor för alla intresserade att delta. Det kan också innebära att alla möten ska vara öppna och all information ska vara allmänt tillgänglig, antingen eller efter fastslagna mognadsgrader. Det innebär också i regel att beslut tas när man skapat konsensus och att det finns ett röstningsförfarande för majoritetsbeslut. En konsensusmodell utesluter inte att det finns ett röstnings- förfarande eller invändningar mot beslutet. Hur konsensus beskrivs och hanteras skiljer sig mellan olika organisationer. ISO/IEC defi- nierar konsensus enligt följande: General agreement, characterized by the absence of sustained opposi- tion to substantial issues by any important part of the concerned inte- rests and by a process that involves seeking to take into account the views of all parties concerned and to reconcile any conflicting argu- ments.TPF8FPT I formella såväl som informella standarder kan patent eller annan immaterialrätt (IPR) tillåtas ingå mot löfte från patentägaren att denna före omröstning redovisar sina krav på motprestationer och att den inte senare ändrar dessa. För att standarden ändå ska betraktas som öppen krävs vanligen att eventuella licenser görs till- gängliga på lika villkor och utan diskriminering, dvs. Definitioner av öppen standard för vanligen också med sig krav på rimliga eller inga avgifter för att någon ska få ta del av standarder i sammandrag eller i sin helhet, med all nödvändig dokumentering. Olika organisationer hanterar restriktioner olika. Öppen är säl- lan detsamma som gratis, och kostnaderna hanteras ibland genom att man tar ut medlemsavgifter. bekostas standardiserings- arbetet genom att man tar betalt för publikationer, och ibland kos- tar det pengar att använda en standard. I samtliga fall minskar öppenheten i någon mening, men så länge villkoren är rimliga och icke-diskriminerande brukar restriktionen godtas. Krav som anses vara nödvändiga för att standarder ska kunna användas tenderar att motsvara sådana som ställs på formella stan- darder, dvs. krav som specificeras av de erkända standardiserings- 8TP PT ISO/IEC Guide 2:1991. Bland kravställarna finns dock avvikelser, exem- pelvis i form av krav på frånvaro av patent i standarder, kostnadsfri licensiering, kostnadsfritt publicerade dokument osv. Sådana posi- tioner är förknippade med några viktiga osäkerheter – dels kan de rättsliga konsekvenserna ge oönskade resultat och är svåra att för- utse, dels är effekterna på rådande affärsmodeller och på den befintliga marknaden för standarder och standardisering oklar. 2.2.2IT-standarder, en fråga om interoperabilitet Det saknas övertygande definitioner som placerar begreppen inter- operabilitet, kompatibilitet, interkonnektivitet och integration i ett sammanhang, trots att de kan sägas höra till samma familj av begrepp som beskriver sammanhang i komplexa system.TPF9FPT Ett av de mer betydelsefulla skälen att standardisera informationsteknik är att man därmed säkerställer att olika delar kan samverka; fysiska apparater och sladdar ska fungera ihop och metoder för att över- föra data måste vara oberoende av vem som tillverkat apparaterna. Utöver det behövs samstämmighet i presentation av överförda data och t.o.m. viss tolkning av dem. Den här förmågan till samverkan kallas i regel interkonnektivitet eller interoperabilitet. Av dessa båda är interoperabilitet det mer förekommande begreppet, vilket kan bero på att interkonnektivitet uppfattas som att det bara handlar om att sladdar ska passa ihop medan interoperabilitet antyder en generisk funktion som svar på krav på en mer sammansatt samverkan av begrepp, tjänster och verksamheter. Interkonnektivitet kan förstås som en nödvändig men inte tillräcklig förutsättning, för kompatibilitet, och kompati- bilitet kan ses som en motsvarande förutsättning för interoperabi- litet. Man kan säga att interoperabilitet är en nödvändig förutsättning för fungerande informationsteknik, och för interoperabilitet är standarder en nödvändig, men inte tillräcklig, förutsättning. definierar interoperabilitet enligt följande: a state which exists between two application entities when, with regard to a specific task, one application entity can accept data from the other 9TP PT I den mån dessa begrepp hör till en familj kan dess anfader kanske beskrivas som och det ramverk för systemutveckling som han presenterade 1987 (A framework for information systems architecture. systems journal Vol 26, no. 3, 1987). and perform that task in an appropriate and satisfactory without the need for extra operator intervention.TPF10FPT Lite mindre ordrikt definierar ISO och IEEE interoperabilitet som: the ability of two or more systems to exchange data, and to mutually use the information that has been exchanged. För proprietära system av det större slaget – där kanske de mest framträdande exemplen är de omfattande affärshanteringssystem som många företag använder (SAP, Movex och liknande) – är inte interoperabilitet en utmaning på samma sätt som det är en utma- ning för öppna system. Det proprietära systemet är inte heterogent och interoperabilitet är därför inte aktuellt. För dessa är i stället utmaningen integration – av verksamheter, mål, mått och metoder medelst ett bra införande och nyttiggörande av datorsystemet. För det öppna systemet kan integration också vara ett åtråvärt mål, men då är interoperabilitet en förutsättning som först måste lösas. Inom den offentliga förvaltningen är interoperabilitet en av för- utsättningarna för ett fungerande informationsutbyte. För att betona att utmaningen rör ett öppet Internet snarare än mer slutna proprietära system, beskriver vi interoperabilitet som förmågan till samordning i heterogena system bestående av flera lokala nätverk. Också standardiseringsorganisationerna har definitioner av vad man avser med interoperabilitet, och mycket energi har lagts ner på att definiera begreppet och beskriva vad det består av. En före- kommande struktur är att skilja på teknisk interoperabilitet, seman- tisk interoperabilitet och organisatorisk interoperabilitet. När det finns behov av ytterligare preciseringar kan man däremellan lägga in syntaktisk interoperabilitet och rättslig interoperabilitet. I en artikel i tidskriften systemTPF11FPT ger författarna en ännu mer detaljerade hierarki av interoperabilitet: fysisk (hårdvara, sig- naler, bitar), empirisk (koder, brus), syntaktisk (data, protokoll), semantisk (signifikans, tolkning), pragmatisk (information, förstå- else) eller social/kulturell (kunskap, normer) interoprabilitet. för interoperabilitet kan sägas bestå av standarder eller riktlinjer som beskriver hur organisationer eller funktioner inom en organisation bestämt sig för att arbeta tillsammans. Det betyder bl.a. att man måste säkerställa att man är överens om hur 10TP PT 14300:1999. 11TP PT Arkitektursamverkan mellan myndigheter, nr 2, 2005. betydelsen av specifika data ska tolkas, dvs. att man kan skapa semantisk interoperabilitet. Exempel på sådant är att man enats om att begreppet pris avser enhetspris och inte faktiskt pris (eller vice versa). I arbetet att uppdatera European Interoperability Framework (EIF) 1.0 till EIF 2.0 i EU-programmet , har före- dragit att man skiljer ut interoperabilitet för teknik och system som en fråga om interkonnektivitet. Teknik innefattar där hårdvara (t.ex. dator eller lagring), transport av bitar (t.ex. , WiFi eller ), överföring av meddelanden (t.ex. HTTPS eller FTP), och vidareföring (transfer) av meddelanden (t.ex. IP eller IPv6). Till lagret system räknar sådant som kan räknas som data, applikationer och presentation. För kommunikation ingår meddelandeinteraktion (t.ex. SOAP eller REST) och meddelande- syntax (t.ex. CSV, MIME, eller XML). Dessa områden, som hänvisar till som en fråga om interkonnektivitet, kallas ibland lite förenklat för pipes and wires. De europeiska standardise- ringsorganisationerna, särskilt ETSI, har varit mest aktiva på dessa områden.TPF12FPT Över lagren för teknik och system lägger ett lager som omväxlande kallats organisation och business. Medan de två föregå- ende lagren, teknik och system, uppfattas vara en fråga för inter- konnektivitet, beskrivs detta lager som ett område för interopera- bilitet. Till detta lager förs semantik (till vilket man räknar infor- mation och process) samt organisation. Kommunikation på denna nivå anses bestå av komponenterna meddelandesemantik (t.ex. X12, EDIFACT, ebXML eller XBRL), strategisk inriktningen på (alignment) affärsprocesser och organisation. Semantisk interoperabilitet har på Europanivå i mindre utsträck- ning varit integrerad i arbetsprogram, medan de i stället återfinns i olika sektoriella initiativ TPF13FPTsom e-hälsa.TPF14FPT För att uppnå önskvärd interoperabilitet och stimulera konkurrens och utveckling kan det behövas väl avvägd lagstiftning eller riktlinjer. I enlighet med det föreslår ett annat europeiskt pro- gram, MODINIS, governance som ett lager för interoperabilitet, utöver områdena teknik, semantik och organisation/business. 12TP PT Commission staff working document, Follow-up of the Recommendations of the, Task Force on ICT Sector Competitiveness and ICT Uptake. 13TP PT e-Business Interoperability platform. 14TP PT 251. Den flyende gränsen mellan teknik, programvara, verksamhet, mål och användarnas beteende gör det svårt att dra fasta skiljelinjer mellan vad som är interkonnektivitet, kompatibilitet, interoperabi- litet respektive integration. Klart är dock att krav på interoperabi- litet och utvecklingen av inom-, och mellanstatliga förvaltnings- tjänster, medför diverse utmaningar för ett öppet och heterogent Internet. Standardisering för ökad interoperabilitet är inte okomplicerat och innebär flera utmaningar. Kanske den mest centrala utmaningen är att ökade krav på inter- operabilitet på allt högre nivåer av komplexitet också väcker ökad risk att misslyckas. Interoperabilitet som, förutom teknik, också inkluderar semantiska ensningar av verksamheter, processer och mål, är ingen enkel sak att åstadkomma. Utfallet av ett sådant inte- roperabilitetsarbete är stort och viktigt, men det är också en kost- sam och svår sak att åstadkomma, vilket man bör vara medveten om. Interoperabilitet på högre nivåer berör också frågor som i grun- den är kulturella och sociala med tydliga skillnader mellan EU:s medlemsstater. Begreppsstandarder är synnerligen politiska, efter- som de handlar om att ensa förvaltningsprocesser mellan länder och traditioner. Tekniska standarder utpekas ibland för att vara ett uttryck för den verkliga forskningsfronten inom ett område. Möj- ligen är en parallell till det en internationell begreppsstandard som är ett uttryck för det politiskt möjliga. Ytterligare en utmaning är att begreppsstandarder kan medföra andra krav på dynamik och kontinuerlig uppdatering av både bety- delseglidningar och språklig utveckling. Standardisering för interoperabilitet berör dessutom delvis andra områden än traditionell standardisering, om man kan tala om en sådan, med delvis andra aktörer och sakägare. Frågan om vem som ska finansiera och dra fördelarna av standardiseringsarbetet och påföljande standarder återstår också att besvara. Några ytterligare utmaningar är följande: Den snabba utvecklingen av teknik och av användares förvänt- ningar är ännu en utmaning. Konsensusskapandet drivs ännu längre, med en ytterligare skärp- ning av redan existerande problem som följd, Användningen av öppen programvara ökar, där interoperabili- tet kan tänkas ha väldigt annorlunda förutsättningar. Inom EU erbjuds offentliga medel till de europeiska standardise- ringsorganisationerna som stöd till aktiviteter som ska pröva stan- darders interoperabilitet, genom praktiska s.k. plugtests och lik- nande aktiviteter. Andra än formella organisationer har dock inte möjlighet att söka dessa medel, vilket kan snedvrida marknaden. Standardiseringsorganisationer samverkar med varandra och drar nytta av standarder som utvecklats av andra och man för samman flera standarder i ett och samma sammanhang i vad som kallas pro- filer. European Information and Indu- stry Association (EICTA) är en europeisk organisation för ICT- branschen som har behandlat frågan om profilering av standarder. Profilering är ett växande område och utgör en stor del av exem- pelvis ETSI:s arbete. Profileringsarbetet är grannlaga, eftersom komplexiteten växer när flera standarder ska samverka i sammanhang som inte alltid kan förutses. EICTA pekar på tre faser i profilering som alla är av bety- delse för att garantera interoperabilitet, vilket är en av profilernas verkliga poänger: 1.val av standarder när flera alternativa standarder är möjliga 2.strategi för komponering av standarder och specificering av ett litet antal kombinationer som motsvarar kraven i punkt 1. 3.Urval av alternativa egenskaper, som tar hänsyn till effekten av att flera standarder i kombination ökar antalet alternativ för egenskaper. 2.2.3Certifiering: bedömning av överensstämmelse med standard En standard är, som tidigare nämnts, i grunden en överenskom- melse uttryckt i en specifikation om hur någonting ska vara beskaffat i något visst avseende. En viktig fråga blir då hur man kan avgöra (verifiera) att en vara eller tjänst som uppges uppfylla vad som står i specifikationen verkligen gör det. En sådan verifiering har på svenska fått namnet bedömning av överensstämmelse, vilket är en översättning från engelskans conformity assessment. Många standarder har ett avsnitt som anger kriterier för när standarden ska vara uppfylld, och beroende på vad standarderna handlar om, kan kriterierna vara mer eller mindre detaljerade. Det finns t.ex. standarder för testmetoder inom ett visst område, exem- pelvis användbarhet hos konsumentelektronik. För standarder om hälsa och säkerhet är det i stället avgörande att det finns fastställda mät- och testmetoder kopplade till kriterierna. En central fråga för tilltron till samt tidsåtgången och kostna- derna för bedömning av överensstämmelse är vem som gör bedöm- ningen. Det kan vara köparen, tillverkaren eller en tredje, obero- ende, part. Köparen är naturligtvis fri att göra hur den vill för att före köpet övertyga sig om att en produkt överensstämmer med standard. Tillverkaren kan å sin sida göra en s.k. egendeklaration (suppliers declaration of conformity), där denne intygar och specifi- cerar i vilken grad produkten överensstämmer med en given upp- sättning kriterier. Kriterierna kan finnas i någon typ av standard. I finns t.ex. IT-företagens miljödeklaration, som är en egendeklaration mot en specifikation är överenskommen mellan IT-företagen och ett antal kommuner. Ett annat exempel är For- mat (ISO/IEC 23025), som är en egendeklaration av användbarhet hos programvaror. Det finns därutöver en standard (ISO/IEC 17050) som ställer vissa övergripande krav på egendeklarationer och på dem som utfärdar dem. I Svenska Miljöinstitutets rapport verifierbara miljökrav skiljer man på företagsintyg, där företaget bestyrker på heder och samvete att ställda krav uppfylls, och egendeklaration, där företaget därutöver öppet tillhandahåller de uppgifter som behövs för att någon utomstående ska kunna göra en verifiering. använder beteckningen andrapartsdeklaration när en kund kontrollerar sin leverantör, vanligen när en leverantör kontrollerar sin underleverantör. När en oberoende part gör bedömningen brukar man tala om en tredjepartscertifiering. Ett certifikat är i detta sammanhang ett intyg utfärdat av en därtill behörig tredje part. En egendeklaration är inte ett certifikat i denna mening, inte heller de intyg eller diplom som utdelas t.ex. till personer som genomgått en viss projektledarutbildning, och en certifiering kan vara frivillig eller obligatorisk. För obligatoriska certifieringar ska bedömaren vara ackrediterad, dvs. fått behörighet att utfärda intyg om överensstämmelse (certifikat). I utfärdas sådana ackre- diteringar av SWEDAC. Allmänna krav som ska uppfyllas för att bli ackrediterad för certifiering av produkter anges i standarden EN 45011 General requirements for bodies operating product certification systems. Begreppet produkter innefattar här både varor och tjänster. Utredningsförslagen återkommer i kapitel 13 med överväganden och förslag när det gäller allmänna rekommendationer om standar- der i offentlig förvaltning. 3Allmänt om standardiserings- organisationer och den svenska standardiseringsstrukturen Det finns ingen allmänt accepterad hierarki eller ordning av olika standardutvecklande organisationer. En historisk beskrivning kan dock ge vägledning till någon form av ordning.TPF1FPT De standardutvecklande organisationerna tar sin början om- kring 1880 då flera handelsorganisationer, särskilt i , började utveckla standarder för sina verksamhetsområden. IEEE är ett exempel på en organisation med sådana rötter. Standarder visade sig vara en viktig nyttighet i framväxten av industrisamhället, och tillkom organisationer med standardisering som sitt enda syfte – en del med internationella ambitioner, som ISO och ITU, andra med nationen som verksam- hetsplats, som SIS i . Konsortier är en ganska sentida företeelse; den egentliga till- växten av industrigemensamma ambitioner som uttrycktes i kon- sortieform skedde först . Inom områden som data/IT upplevdes en ökad utvecklingshastighet, som en del inte tyckte att de etablerade internationella organisationerna hängde med i . Förutom att konsortierna tycktes vara snabbare, fyllde de också andra behov hos marknaden, som i sin tur ökade insyn och kontroll när företagen själva kunde besluta om hur och vad som skulle släp- pas igenom. 1TP PT Uppdelningen bygger på främst , (2006) Study on the specific policy needs for ICT standardisation. 1st Interim Report, : Field expert position papers, , . Allmänt om standardiseringsorganisationer och den svenska standardiseringsstrukturen SOU 2007:47 Ett sätt att sortera standardiseringsorganisationerna skulle alltså kunna vara: handelsorganisationer (exempelvis IEEE) formella organisationer (exempelvis ISO) konsortier (exempelvis Bluetooth SIG). Vid en sådan uppdelning saknas dock en viktig grupp standardise- ringsorganisationer som tillkommit och som inte kan beskrivas som något av ovanstående, nämligen organi- sationer med internationell närvaro och som utvecklar standarder för teknik som är viktig i alla länder, exempelvis IETF för Internet och W3C för webben. Dessa är mer lika formella standardiserings- organisationer än konsortier, eftersom de inte är sammanslutningar av företag och ofta har formella principer för att garantera öppen- het, och de är inte handelsorganisationer. Å andra sidan är de verk- samma på begränsade områden och bortom nationalstaters insyn och kontroll, likt konsortier. Vårt förslag är att förekommande standardiseringsorganisatio- ner skiljs åt på det sätt som finns beskrivet i kapitel 2: Erkända standardiseringsorganisationer, dvs. sådana organisatio- ner som erkänns av forum som EU och WTO och som ut- vecklar formella standarder. Andra standardiseringsorganisationer, dvs. sådana organisationer som har till sin huvudsakliga uppgift att utveckla standarder, som har allmänt tillgängliga regler för sin verksamhet, som i kraft av sin historia är internationellt accepterade och som inte är formella standardiseringsorganisationer. Konsortier, dvs. sammanslutningar av företag med syfte att del- vis eller i huvudsak utveckla standarder eller profiler av stan- darder. På IT-området utvecklas viktiga standarder av alla dessa organisa- tionstyper. Apparaternas elektriska komponenter standardiseras av IEC medan deras andra komponenter och funktioner standardise- ras av ISO. Kommunikationer standardiseras av t.ex. ITU, IEEE, IETF och ett antal konsortier, regionalt av , ETSI m.fl. och i vid behov av ITS.