prop · GM03116 · 1999-01-01 00:00:00 — produkter som kan användas för både civila och militära ändamål, avser att förhindra att känsliga produkter och teknik exporteras till sådana mottagare som kan antas använda dem för att framställa massförstörelsevapen eller för annat fredshotande syfte. I stället för strategiska produkter används ibland uttrycket varor med dubbla användningsområden eller dual use-produkter. Kryptoteknik är en sådan högteknologisk produkt, som kan störa svenska säkerhetsintressen. Exportkontrollen av strategiska produkter har en annan karaktär än kontrollen av krigsmateriel. För handel med krigsmateriel gäller ett generellt förbud mot utförsel utan särskilt tillstånd. För strategiska produkter gäller däremot presumtionen att export skall tillåtas. 33 länder (flertalet samt bl.a. , och ) ingår 1996 etablerade Wassenaar-arrangemanget som samarbetar om exportkontroll av krigsmateriel och produkter med dubbla användningsområden, däribland kryptoprodukter. Inom EU har rådet med stöd av artikel 113 i EG-fördraget beslutat förordning (EG) nr 3381/94 av om upprättandet av en gemenskapsordning för kontroll av export av varor med dubbla användningsområden. Förordningen innebär i huvudsak att tillstånd krävs för export (dvs. utförsel ut ur EU) av sådana varor som finns förtecknade i bilaga I till rådets beslut 94/942/GUSP av . För produkter upptagna i bilagorna IV och V till samma beslut krävs tillstånd för utförsel till annat EU-land, dvs. för dessa produkter gäller f.n. inte frihandel inom EU. Den svenska exportkontrollen av strategiska produkter styrs av på området. I har rådsförordningen och rådets beslut kompletterats genom lagen (1998:397) om strategiska produkter och genom förordningen (1998:400) om strategiska produkter. Ansvaret för tillämpningen av den svenska exportkontrollen ligger hos (). I kryptofrågor samråder ISP med totalförsvarets experter. Om man önskar exportera en kryptoprodukt av viss beskaffenhet från skall en skriftlig ansökan lämnas till ISP. För kryptoteknik kan man ansöka om två slags tillstånd, globalt och individuellt. Globalt tillstånd gäller för en produkt och till ett visst antal länder medan individuellt tillstånd gäller för en speciell utförsel. 3 Vissa internationella frågor 3.1 Samarbetet inom EU Frågor om kryptografi behandlas i Europeiska unionens tre pelare (den inre marknaden, säkerhetspolitik och rättsligt samarbete). Åtgärder inom en pelare påverkar förutsättningarna för och behoven av åtgärder i de båda andra. När det gäller kryptografi verkar för att en nödvändig samordning kommer till stånd. Den s.k. (on ) på IT- säkerhetsområdet, har rådets uppgift att verka för samarbete och samordning. Elektroniska signaturer Kommissionen lade fram ett förslag om en gemensam ram för elektroniska signaturer, KOM (1998) 297 slutlig. Direktivförslaget syftar till att främja användandet av elektroniska signaturer på den inre marknaden, och därmed stödja utvecklingen av elektronisk handel. Detta skall ske genom en rättslig ram för användning av elektroniska signaturer och genom att signaturerna erkänns rättsligt. I direktivförslaget finns regler om certifikat och elektroniska signaturer. Kvalificerade certifikat och avancerade elektroniska signaturer förses med speciella villkor och regler som anger skyldigheter och rättigheter som innehavarna åtnjuter. Direktivförslaget innehåller också regler om marknadstillträde för certifieringsinstanser, som i direktivförslaget benämns Providers (CSP), dvs. sådana instanser som tillhandahåller signaturtjänster. Reglerna innebär att medlemsstaterna inte får göra tillhandahållandet av signaturtjänster beroende av tillstånd i förväg. Frivilliga ackrediteringssystem är dock tillåtna, vilket innebär ett system för bedömning av överensstämmelse med uppställda krav. Medlemsstaterna skall se till det finns lämplig tillsyn av verksamhet för signaturtjänster. Medlemsstaterna får dock ställa ytterligare krav på användningen av elektroniska signaturer i den offentliga sektorn. En elektronisk signatur, som uppfyller vissa krav, skall anses likvärdig med en handskriven underskrift. Detta gäller dock endast på de områden där medlemsstaterna har bestämt sig för att acceptera användningen av elektroniska signaturer. Direktivförslaget innehåller även regler om skadeståndsansvar för certifieringsinstanser som tillhandahåller signaturtjänster och utfärdar kvalificerade certifikat. Rådet antog en gemensam ståndpunkt avseende direktivförslaget . Efter det att har behandlat rådets gemensamma ståndpunkt kan rådet slutligt ta ställning till förslaget. Export av varor och teknik med dubbla användningsområden Kommissionen har lagt fram ett förslag (KOM (1998) 257 slutlig) till en ny förordning för kontroll av export av varor och teknik med dubbla användningsområden. I förslaget uppger kommissionen att den nuvarande ordningen inte fungerar på ett tillfredsställande sätt. Det har inte upprättats en fullt trovärdig kontrollordning på gemenskaps-nivå för export till tredje land. Kommissionen anser också att den nuvarande ordningen måste förenklas vad gäller handeln inom EU. har i två domar, meddelade , fastställt att gemenskapen har exklusiv behörighet i fråga om exportkontroll av varor med dubbla användningsområden. Enligt domstolen omfattas bestämmelser om restriktioner för exporten till tredje land av varor med dubbla användningsområden av artikel 113 i EG-fördraget. Kommissionens förslag till ny förordning inbegriper även kontroll av tekniköverföring via elektroniska medier, telefax och telefon. Förslaget likställer fysisk överföring av teknik med överföring av teknik med hjälp av elektroniska media, fax och telefon. Enligt nu gällande ordning är kontrollen begränsad till att endast gälla fysisk överföring, t.ex. då en ritning skickas med post. Om ritningen i stället skickas som fax eller e- post finns det ingen kontroll av överföringen. Förslaget innebär att en lucka i lagstiftningen på gemenskapsnivå täpps till. För området kryptografi skulle detta förslag påverka skyldigheten att söka licens för att exportera kryptoprodukter via elektroniska media till destinationer utanför EU. Ett annat förslag av betydelse för kryptografin är att licens för att få föra ut en kryptoprodukt till ett annat EU-land ersätts med ett anmälningsförfarande i efterhand. Detta förslag skulle kunna medföra att företag i kan få hela den inre marknaden som sin hemmamarknad. En sådan hemmamarknad blir storleksmässigt likvärdig med den amerikanska hemmamarknaden för kryptoprodukter. Kommissionens förslag bereds i en ad hoc-grupp i rådet. Ett ställningstagande väntas . När detta har skett behöver det svenska regelverket ses över och anpassas till den nya förordningen. Brottsbekämpning Inom EU:s tredje pelare har diskussioner inletts i rådet om brottsbekämpande myndigheters befogenheter i samband med brottslingars användning av kryptering. har godkänt vissa slutsatser om kryptering och brottsbekämpning. Rådet noterade att brottsbekämpande myndigheter är oroade av att den allmänna tillgången till kryptotjänster för konfidentialitet allvarligt kan påverka kampen mot grov brottslighet och terrorism om det inte finns möjlighet, när så är nödvändigt och lämpligt, att från fall till fall skaffa sig laglig tillgång till privata konfidentialitetsnycklar. Rådet har därför enats om att noga bevaka i vilken utsträckning grova brottslingar och terrorister använder sig av kryptoteknik. En av flera möjliga metoder, som kunde tillgodose brottsbekämp- ningens intressen, skulle enligt rådets uppfattning kunna vara främjandet av tjänster för konfidentialitet, med innebörd att en dekrypteringsnyckel eller annan information deponeras hos en tredjepart. Brottsbekämpande organ kan även komma att kräva laglig tillgång till dekrypteringsnycklar i de fall där det är nödvändigt att dekryptera material som har beslagtagits. Rådet medger att en rad åtgärder, inbegripet lagstiftning, kan komma att krävas för att skydda medborgarna mot grov brottslighet och terrorism. Alla sådana åtgärder måste emellertid vara väl avvägda och övriga viktiga intressen måste beaktas. De måste framför allt fullt ut beakta eventuella menliga återverkningar samt behovet av skydd för medborgerliga fri- och rättigheter och vikten av att garantera den inre marknadens funktion så att den elektroniska handeln kan utvecklas på bästa sätt. Eventuella åtgärder för att möjliggöra tillgång till dekrypteringsnycklar måste därför även innefatta starka säkerhetsgarantier. Enligt rådets uppfattning är det viktigt att det skapas en allmän förståelse för de brottsbekämpande organens behov i de fall kryptotjänster används i konfidentialitetssyfte. Rådet har därför enats om att utarbeta en resolution om kryptografi och brottsbekämpning som komplement till det arbete som pågår på annat håll inom rådet. I resolutionen kommer medlemsstaterna att uppmanas att ta hänsyn till brottsbekämpningens behov vid utarbetandet av sina nationella strategier. 3.2 Wassenaar-arrangemanget och nya EU-regler har en översyn skett av varulistorna för den exportkontroll som Wassenaar-arrangemanget fastställer. Dessa varulistor används vid tillämpningen av EG-förordningen om kontroll av export av varor med dubbla användningsområden. Den nya varulistan för informationssäkerhet, som länderna enades om , är uppbyggd så att det tydligt anges vilken utförsel av kryptoprodukter som skall kontrolleras och därmed också vad som inte är under kontroll. En avsikt är att personer och företag som önskar exportera kryptoprodukter skall kunna få en tydlig vägledning. En annan avsikt är att länderna skall kunna kontrollera exporten på ett likartat sätt. Reglerna skall inte vara svåra att tolka. Ett exportföretag skall varken diskrimineras eller gynnas av det egna landet, jämfört med företag i andra länder. De nya reglerna innebär att en stor del av den nuvarande användningen av kryptografi i världen är fri från kontroll. Endast kryptoprodukter med en nyckellängd som överstiger 56 bitar för symmetriska kryptosystem eller överstiger 512 bitar för asymmetriska kryptosystem är föremål för exportkontroll. Dessa begränsningar skall ses över . I listan anges också några väsentliga undantag från kontroll. Kryptoprodukter som den enskilde användaren för med sig till utlandet för eget bruk är t.ex. undantagna från exportkontrollen. En särskild not om kryptografi (som innefattar både programvara och hårdvara) har tillkommit, som undantar s.k. massmarknadsprodukter från kontroll. Noten gäller sådana produkter som säljs utan restriktioner över disk, via postorder, elektroniskt eller via telefon. Användaren skall inte kunna ändra den kryptografiska funktionen och han skall själv kunna installera programvaran utan väsentlig medverkan av försäljaren. Vidare gäller för symmetriska kryptosystem att de inte skall kunna skapa nycklar som överstiger . På begäran skall också leverantören kunna visa upp teknisk information om kryptoprodukten för berörd myndighet i det egna landet. 64-bitarsgränsen i kryptografinoten gäller fram till . Om inte deltagarna i Wassenaar- arrangemanget då har kommit överens om de fortsatta reglerna faller denna begränsning bort. Även fortsättningsvis gäller bestämmelsen att kryptoprogramvaror, som är allmänt tillgängliga ( in the public domain ) skall vara undantagna från exportkontroll. Med allmänt tillgänglig avses att en programvara har gjorts allmänt tillgänglig utan restriktioner för dess vidare spridning. Regeringen anser att programvaror som var allmänt tillgängliga vid reglernas ikraftträdande skall undantas från exportkontroll. Om någon utan tillstånd senare har gjort kryptoprogramvaror tillgängliga i strid mot gällande bestämmelser, bör däremot utförseln fortsatt kontrolleras. Rådet har genom beslut (1999/193/GUSP) ändrat bilagorna till den nuvarande EG-förordningen om kontroll av export av varor med dubbla användningsområden i enlighet med överenskommelsen i Wassenaar-arrangemanget. Ändringen, som trädde i kraft , innebär bl.a. att massmarknadsprodukter, oavsett styrka, både hårdvara och mjukvara, omfattas av den inre marknadens fria rörlighet. Som nämnts har kommissionen lagt fram ett förslag till en ny förordning om upprättande av en gemenskapsordning för kontroll av export av varor och teknik med dubbla användningsområden, vari föreslås att all kryptoteknik skall kunna säljas på den inre marknaden på för leverantören ungefär samma villkor som på den egna hemmamarknaden. Det är viktigt i samband med denna liberalisering att alla EU-länder har en likartad tillämpning av kontrollen vid vidareexport av kryptoprodukter till tredje land utanför unionen. I detta syfte har kommissionen föreslagit ett konsultationsförfarande mellan myndigheterna i produktens ursprungsland och i exportlandet samt ett stärkt informationsutbyte. 3.3 för ekonomiskt samarbete och utveckling () har antagit riktlinjer för kryptografi (/GD(97)204); se bilaga 3). Riktlinjerna har påverkat flera länders och organisationers arbete med att utforma en politik på kryptografiområdet. och har, tillsammans med några andra länder, tagit initiativ till att vid sidan av utforma mera konkreta åtgärder som ett led i att få fram en global infrastruktur för användning av kryptografi. Avsikten är att användare i olika länder skall kunna kommunicera med varandra även då deras kommunikation är signerad och krypterad. deltar i dessa diskussioner. Efter den ministerkonferens om elektronisk handel som genomfördes i har inlett planeringen av ett internationellt möte om förutsättningar och möjligheter att få till stånd regler och lösningar för säker identifiering av handelsparter. Mötet planeras komma att genomföras i av tillsammans med näringslivsorganisationer, EU samt medlemsländer i Cooperation. 3.4 I Recommendation No. R (95) 13 concerning problems of criminal procedural law connected with information technology sägs bl.a. att åtgärder bör övervägas i syfte att vid brottsundersökningar minimera de negativa effekterna av användning av kryptografi, så att den legitima användningen av kryptografi inte påverkas mer än vad som är oundgängligen nödvändigt. Rekommendationen anger dock inte vilka åtgärder som bör genomföras. har inlett ett arbete om Crime in cyberspace som tar sin utgångspunkt i rekommendation R (89) 9 om datorrelaterad brottslighet och i den ovan nämnda rekommendation R (95) 13. Det nya arbetet syftar till att arbeta fram en konvention. 3.5 Utvecklingen i andra länder I flera länder pågår arbete med att utforma en kryptopolitik. Diskussionerna har i huvudsak gällt frågan om hur man skall kunna tillgodose både användarnas och de rättsvårdande myndigheternas behov och huruvida man skall bygga upp en infrastruktur för nyckeladministration där s.k. tillförlitliga tredje parter (TTP:er) tillhandahåller säkerhetstjänster till användare, bl.a. hantering av kryptonycklar. En lösning som diskuterats är att privata konfidentialitetsnycklar skall deponeras hos en tillförlitlig tredje part. Förvaring av privata konfidentialitetsnycklar bedömer emellertid många som kontroversiell, eftersom den som får tillgång till en sådan nyckel kan dekryptera vissa meddelanden. I de länder där nyckeldeponering övervägts har en huvudfråga varit om den bör vara frivillig eller obligatorisk. hade tidigare ett obligatoriskt system som var kopplat till tillståndskrav för att få importera och använda kryptografi i landet. beslöt den franska regeringen att liberalisera import och användning samt gå över till ett frivilligt system. I har administrationen lanserat tekniska system som möjliggör obligatorisk nyckeldeponering. har politiken emellertid inriktats på att främja frivilliga system. Andra länder där man verkar för att främja eller etablera frivillig nyckeldeponering är , , , och , men det finns olikheter mellan de lösningar som övervägs. I , där regeringen har låtit utreda frågan om nyckeldeponering, har föreslagits att regeringen skall nöja sig med att avvakta utvecklingen. I flera länder, där man diskuterar hur frivilliga system skall utformas övervägs bl.a. följande: - om de instanser/organ som svarar för deponering och återskapande måste vara tredjepartsinstanser, - om större organisationer får ha egna interna instanser, - om tredjeparts- och interna instanser själva får välja om de vill bli auktoriserade eller om detta skall vara obligatoriskt, - om staten eller någon annan organisation på marknaden skall auktorisera tredjeparts- och interna instanser, - om auktoriserade tredjeparts- eller interna instanser kan ålägga användaren att deponera sin privata konfidentialitetsnyckel hos instansen eller om detta är frivilligt för användaren. Ett antal länder har krav på tillstånd för import eller användning av kryptoteknik eller har villkorat användningen till vissa av staten godkända procedurer eller produkter för att användare skall få kryptera inom landet. Exempel på länder med reglering av användning eller införsel av kryptoteknik är (användning/import), inkl. (im- port), (import), (import), (användning/import), (användning/import), (användning), (im- port) och (import). 4 Regeringens överväganden och slutsatser Regeringens bedömning: föreligger det inte skäl att begränsa användningen av kryptoteknik i . Alla skall ha rätt att själva välja sådan teknik. Import av kryptoteknik skall förbli fri. Det finns fortsatta säkerhetspolitiska skäl att förhindra spridning av kryptoteknik till olämpliga mottagare i vissa andra länder. Skulle utvecklingen motivera skärpta regler kommer regeringen att överväga lämpliga åtgärder för att skapa möjligheter till laglig åtkomst i klartext av krypterad information för brottsbekämpande och kontrollerande myndigheter. politik bör präglas av flexibilitet och lyhördhet i syfte att kunna möta en ökad efterfrågan på säker kryptoteknik, förändringar i andra länders politik och den fortsatta tekniska utvecklingen på området. Skälen för regeringens bedömning Bakgrund Det kan konstateras att ett flertal olika synsätt kommer fram i diskussionen om användningen av kryptoteknik. - Användare (en myndighet, ett företag, en enskild) betonar friheten att kryptera information och skydda den mot obehörig insyn eller mot brottslig verksamhet och vill i det avseendet inte utsättas för några inskränkningar. Användare har , liksom samhället i övrigt, intresse av att polisen har förmåga att i sin brottsbekämpande verksamhet kunna dekryptera meddelanden för spaning och bevissäkring. - Användare vill ha ett starkt skydd av den information som skickas eller lagras i krypterad form. Han vill också kunna rädda sådan information om hans privata konfidentialitetsnyckel skulle förkomma och vill då kunna få tillgång till en kopia av nyckeln. Rättsvårdande myndigheter måste få använda tvångsmedel för att få laglig tillgång till sådana privata nycklar. - Användare vill, vid eventuell deponering av sin privata konfidentialitetsnyckel, att den förvaras på ett säkert och förtroendefullt sätt. Om denna nyckel måste deponeras utanför användarens kontroll minskar förtroendet. Användaren kan då föredra ett annat sätt för förmedling av meddelanden än datakommunikation, t.ex. kurirpost eller en personlig resa. - Rättsvårdande myndigheter har intresse av att användare skyddar sig med starka kryptosystem för att försvåra eller förhindra brottslig verksamhet. kan en fri tillgång till kryptoteknik för att skydda data och meddelanden leda till att viss brottsbekämpning försvåras eller förhindras. - Staten, som ansvarar för rikets säkerhet och skyddar samhället mot terrorism och annan brottslighet, har klassificerat kryptoteknik som en teknik med både civil och militär användning, vars utförsel ur landet bör kontrolleras. Andra anser att export av kryptoteknik inte behöver kontrolleras. Elektronisk handel och annan elektronisk kommunikation har vuxit fram som betydelsefulla användningsområden för den moderna informationstekniken. Det medför nya affärsmöjligheter och nya arbetssätt som ger tillväxt och sysselsättning. ställs stora krav på säkerhet i överföring av meddelanden och dokument samt på säker identifiering av användarna. Detta kan åstadkommas med stöd av kryptografi. Det finns således ett allmänt intresse av att användarna får tillgång till starka kryptosystem och att det finns förutsättningar för bruk av elektroniska signaturer och för skydd av konfidentialitet. Regeringens bedömning är att en bred användning av kryptografi ökar tilliten till kommunikationssystemen. Risken för missbruk av kryptografi är inte heller av sådant slag att det föreligger skäl att begränsa användningen. Alla skall ha rätt att själva välja kryptoteknik och importen av kryptoteknik skall förbli fri. Som tidigare nämnts, se avsnitt 2.2, används elektroniska signaturer för att säkerställa identitet och skydda dokument mot förvanskning. En central fråga vid utformandet av svenska regler för elektroniska signaturer är hur hanteringen av certifikat och kryptonycklar skall utformas. En s.k. certifieringsinstans är det organ som tillhandahåller signaturtjänster. Organet utställer och signerar certifikat som anger vem som är innehavare av den öppna signaturnyckeln. Certifieringsinstansens roll är alltså avgörande för tilliten till elektroniska signaturer. Vissa grundläggande krav behöver därför ställas på sådana instansers inre organisation samt på de certifikat och nycklar som de utfärdar. Användarna har ett behov av säkra elektroniska signaturer och tillgång till en öppen marknad för signaturtjänster. Hur ett system för tillsyn och kontroll av signaturtjänster kommer att se ut i måste ses mot bakgrund av de regler som det kommande EG-direktivet om elektroniska signaturer uppställer. Utgångspunkten är att medlemsstaterna inte får införa obligatoriska tillståndsvillkor för signaturverksamhet. Däremot finns möjlighet att utforma frivilliga ackrediteringssystem. Staten kommer att kunna fungera som förebild i sitt eget användande av signaturtjänster. Inom har arbete påbörjats med att skyndsamt ta fram handlingsmöjligheter och förslag till en framtida struktur och organisation av signaturtjänster. Detta arbete kommer att bedrivas i nära samarbete med myndigheter, näringsliv och intresseorganisationer på området. Brottsbekämpning m.m. Kryptografi är ett viktigt hjälpmedel för att förhindra eller försvåra brottslig verksamhet. Användare som skyddar sin information med stöd av kryptografi bidrar till att förebygga brott. Kryptoteknik kan dock även användas i brottsligt syfte. Brottsbekämpande myndigheter har därför ett behov av att vid tvångsmedelsanvändning, t.ex. husrannsakan och beslag, få tillgång till krypterad information i klartext, samt vid hemlig teleavlyssning få tillgång till privata konfidentialitetsnycklar, utan den misstänktes vetskap, för att kunna dekryptera meddelanden. Kontroll- eller tillsynsmyndigheter har likaså behov av att vid revision och annan kontroll eller tillsyn få tillgång i klartext till lagrad och krypterad information. De nuvarande reglerna om tvångsmedel skulle erbjuda brottsbekämpande och kontrollerande myndigheter vissa möjligheter att från särskilda organ som tillhandahåller tjänster för hantering av certifikat och kryptonycklar få tillgång till t.ex. privata konfidentialitetsnycklar som deponerats eller annan information som finns om det särskilda organets kunder. Husrannsakan, vittnesförhör eller liknande åtgärder kan också användas för att åstadkomma detta. Sådan tvångsmedelsanvändning sker med stöd av lag och i kontrollerade former. Det är angeläget att den teknik som används i ett särskilt fall inte utgör hinder för sådan legal åtkomst. Kryptonycklar avsedda för elektroniska signaturer bör inte användas för att också skydda konfidentialitet, eftersom en privat signaturnyckel inte bör deponeras. I stället bör separata signaturnycklar och konfidentialitetsnycklar användas. Brottsbekämpande och andra utredande myndigheters möjligheter till laglig åtkomst i klartext till krypterad information måste säkerställas.