Tillitsramverket för Svensk e-legitimation är det regelverk som myndigheten DIGG använder för att beskriva hur mycket man kan lita på en e-legitimation. Det delar in e-legitimationer i tillitsnivåer och sätter krav på varje nivå: hur identiteten en gång fastställdes, hur inloggningen skyddas och hur utgivaren drivs.
Nivåerna
Ramverket omfattar tillitsnivå 2, 3 och 4. Det finns ingen nivå 1, eftersom Sverige redan på nivå 2 kräver tvåfaktorsinloggning. Nivå 4 ger det starkaste skyddet, och varje högre nivå ärver kraven från nivåerna under. BankID och Freja är godkända på nivå 3, medan den statliga Sverige-id nådde nivå 4 under 2026.
Kopplingen till eIDAS
DIGG anger själv hur de svenska nivåerna förhåller sig till eIDAS. Väsentlig (Substantial) motsvarar svensk tillitsnivå 3, och Hög (High) kan likställas med svensk tillitsnivå 4. eIDAS lägsta nivå, Låg, ligger under svensk nivå 2.
Det är dock en "motsvarar", inte ett likhetstecken. På vissa punkter är de svenska kraven strängare än eIDAS, till exempel kravet på personligt besök vid förnyelse på den högsta nivån.
Varför nivån spelar roll
Att välja tillitsnivå handlar om att matcha säkerheten mot vad som står på spel. En underskrift som ska hålla rättsligt eller en åtgärd inom kundkännedom ställer högre krav än att läsa sin egen orderhistorik. Att kräva högsta nivå för allt gör tjänsten onödigt tung, och att kräva för lite gör den sårbar. Tillitsramverket ger ett gemensamt språk för att lägga sig rätt.