prop · GN03117 · 2000-01-01 00:00:00 — I de moderna informationssystemen är det oftast svårt att vara helt övertygad om att den information som skrivs in och som kan iakttas före elektronisk signering också är korrekt representerad av den datamängd som blir signerad i en komplicerad matematisk process vars närmare detaljer inte kan iakttas eller kontrolleras direkt. Skyddet för den hemliga nyckeln Den mest centrala frågan att ta ställning till när det gäller utrustning för elektroniska signaturer, gäller skyddet av den hemliga nyckeln. Man brukar här tala om hårda respektive mjuka lösningar. Med hårda lösningar menar man då en speciell utrustning som tillverkats enligt mycket strikta metoder och som innehåller ett skyddande fysiskt skal mot olika former av attacker. Aktiva ( smarta ) kort är den mest använda formen. För en närmare diskussion om fördelar med att använda aktiva kort för elektroniska signaturer hänvisas till departementspromemorian Digitala signaturer en teknisk och juridisk översikt (Ds 1998:14), kapitel 3 och 5 samt bilaga 2. Lösningar där man i stället med vanlig datorutrustning och speciell programvara försöker skydda en hemlig nyckel (med t.ex. kryptering) kallas på motsvarande sätt mjuka och är ofta billigare och enklare att införa, men säkerheten är mer svårbedömbar. I många elektroniska signatursystem har man någon form av metod för att försöka verifiera att den behöriga innehavaren av signeringsnyckeln verkligen är närvarande. Den helt dominerande metoden är att ett lösenord erfordras. Med aktiva kort, mobiltelefoner eller andra mindre, handburna enheter har detta lösenord i allmänhet reducerats till ett antal tecken (t.ex. fyra siffror). Denna typ av verifiering, som inte ensam duger till att unikt identifiera en person, kan dock i många fall tillsammans med övriga skyddsåtgärder anses vara tillräcklig för detta syfte. Man bör betona att i system med sådana handburna signeringsverktyg som aktiva kort, så är det det fysiska innehavet som är den väsentligaste skyddsfaktorn. En annan metod för att öka säkerheten som diskuterats en hel del som ersättning för en säkerhetskod, men sällan prövats i samband med signeringssystem, är att använda någon form av biometrisk mätutrustning. En sådan utrustning kan t.ex. känna igen den behöriga innehavarens tumavtryck. Den pragmatiska lösning som i allmänhet tillämpas är att använda olika skyddsåtgärder, inte minst vanliga fysiska lås, som skall säkerställa att den persondator och den programvara som används är rimligt säkra. Det är också viktigt att uppmärksamma skyddet av övrig signerings- utrustning. I begreppet utrustning måste man här inkludera all den pro- gramvara som används för den aktuella tillämpningen. 4.4 Standardisering, ackreditering, certifiering Standarder och standardiseringsarbete har ökat i betydelse för stora delar av samhället. En stor mängd varor och tjänster är utformade enligt internationell eller nationell standard. Tack vare olika standarder passar t.ex. glödlampan i sockeln, filmen i kameran, skruven i muttern osv. Ett system med i princip frivilliga överenskommelser mellan olika intressenter om vilka standarder som skall tillämpas har vuxit fram. Ursprungligen togs standarder fram av näringslivet, huvudsakligen för att sänka tillverkningskostnaderna. stod det dock klart att standardisering och tillverkarens egenkontroll inte var tillräckligt för att garantera säkerheten och den tekniska kvaliteten hos olika tillverkares produkter. Därför skapades olika, frivilliga certifieringssystem. Med certifiering (av överensstämmelse) menas en handling utförd av en tredje part, som visar att tillräcklig tilltro uppnåtts om att en vederbörligen identifierad produkt, process eller tjänst är i överensstämmelse med en bestämd standard eller med ett annat regelgivande dokument. Standarder utnyttjas för att harmonisera tekniska regler som har betydelse för skydd av liv, hälsa och miljö och är således en angelägenhet även för myndigheter och andra offentliga organ. Standardisering har numera en mycket stor betydelse för den fria rörligheten för varor och tjänster över nationella gränser. Internationella standardiseringsorganisationen (ISO) är en världs- omfattande sammanslutning av nationella standardiseringsorgan. Tillsammans med International Electrotechnical Commission (IEC), som täcker standardisering inom det elektrotekniska området, utgör ISO världens största icke-statliga system för frivilligt industriellt och tekniskt samarbete på internationell nivå. Resultatet av ISO:s arbete utgörs av ISO-standarder eller riktlinjer. Internet Task Force (IETF) är dock den internationella organisation som ligger bakom i stort sett alla förekommande standarder som rör elektroniska signaturer. Centralorgan för standardisering i är Standardiseringen i (SIS), som har till uppgift bl.a. att främja och fastställa svensk standard. SIS är en fristående ideell förening, vars stadgar är fastställda av staten. All fastställd svensk standard har prefixet SS. Om det rör sig om en svensk standard som överför global standard utan ändringar blir prefixet t.ex. SS-ISO. Överförd europeisk standard betecknas SS-EN. SIS och dess auktoriserade standardiseringsorgan inom olika fackområden deltar aktivt i utarbetandet av internationella standarder, dels inom ISO och IEC, dels i de europeiska standardiseringsorganen Comité Européen de Normalisation (), Comité Européen de Normalisation Electrotechnique (CENELEC) och European Tele- communications (). Det bör dock poängteras att standarder inom IT-området, där utvecklingen är mycket snabb, i praktiken oftare sätts av de dominerande leverantörerna och av andra organisationer än av de ovan beskrivna standardiseringsorganen. presenterade 1985 en vitbok med ett program för förverkligande av den inre marknaden, innefattande bl.a. fri rörlighet för varor. Programmet resulterade senare i den reformering av som skedde genom Europeiska enhetsakten. En ny metod för harmonisering av medlemsstaternas lagstiftning om produkter ( the New Approach ) anvisades. Enligt denna skall direktiven endast fastställa de väsentliga säkerhetskrav som produkterna skall uppfylla med hänsyn till skydd för liv, hälsa eller miljö m.m. Det överlåts sedan till de europeiska standardiseringsorganen att utarbeta harmoniserade frivilliga standarder med närmare tekniska specifikationer för produkten. En produkt som tillverkas i enlighet med dessa standarder skall förutsättas uppfylla de väsentliga kraven i direktivet. Tillverkarens egenkontroll i kombination med en försäkran från tillverkaren om att tillämpliga standarder har följts skall normalt vara en tillräcklig kontrollåtgärd. Produkter som kan medföra stor risk för hälsa och säkerhet skall dock i normalfallet kontrolleras av ett tredjepartsorgan. Detsamma gäller när en tillverkare inte har tillämpat harmoniserade standarder eller då sådana saknas. Det skall räcka med att en sådan kontroll sker i ett land för att få tillträde till hela den inre marknaden. Efter förslag i vitboken antog EG också en resolution om en helhetssyn för provning och certifiering3. I denna anges riktlinjer för hur EG:s system för bestyrkande av överensstämmelse skall utformas. Som ett komplement till den nya metoden föreskrivs hur ömsesidiga erkännanden av provningar och certifieringar mellan medlemsstaterna skall komma till stånd samt gemensamma villkor och regler för laboratorier och för certifierings- och kontrollorgan. De tredjepartsorgan som får utföra en sådan bedömning som omtalats ovan skall anmälas till Europeiska gemenskapernas kommission. Organen kallas därför anmälda organ. Dessa kan vara både offentliga och privaträttsliga organ som av medlemsstaten bedömts ha tillräcklig kompetens för uppgiften. Det anmälda organet utför bedömningen på uppdragsbasis och får normalt självt bestämma avgiften för detta. För att skapa förtroende för provningar och bevis om överensstämmelse, oavsett i vilket land de utförts, har de europeiska standardiseringsorganen, på EG:s vägnar, utarbetat enhetliga standarder för kompetensen hos provnings-, certifierings- och kontrollorgan. Dessa återges i den europeiska . Att kraven är uppfyllda kan visas genom s.k. ackreditering. Med ackreditering menas ett formellt erkännande av att ett organ (t.ex. ett laboratorium, ett certifieringsorgan eller ett besiktningsorgan) är kompetent att utföra specificerade uppgifter, såsom provningar, kalibreringar, mätningar eller certifieringar. I har Styrelsen för teknisk kontroll (SWEDAC) i uppgift att svara för bedömning av kompetensen hos laboratorier, certifieringsorgan och kontrollorgan. Liksom SIS deltar i det internationella standardiseringsarbetet är SWEDAC engagerat i uppbyggnaden av de europeiska systemen för ömsesidigt godtagande av provning och kontroll samt i utformandet av enhetliga regler för bedömning av kompetens hos de organ som utför teknisk kontroll. Detta sker främst inom ramen för organisationen (). Inom EA finns multilaterala avtal om ömsesidigt erkännande av ackrediteringssystem och om erkännande av kompetens och därigenom av certifikat och system. I har det beskrivna öppna systemet med anmälda organ genomförts genom lagen (1992:1119) och förordningen (1993:1065) om teknisk kontroll. Enligt dessa får både offentliga och enskilda organ som uppfyller kraven på kompetens utföra certifierings-, provnings- och besiktningsuppgifter och konkurrera om uppdragen. SWEDAC har till uppgift att i samråd med berörda sektorsmyndigheter bedöma om de organ som önskar bli anmälda uppfyller kraven. Som huvudregel gäller att organen skall kunna visa att de uppfyller kraven i EN 45 000-serien. Enligt lagen och förordningen om teknisk kontroll gäller dessutom som huvudprincip att kraven även för ackreditering av organ som utför annan kontroll, besiktning och certifiering än de som föreskrivs i EG-direktiven skall baseras på EN 45 000-serien. Av särskilt intresse i detta sammanhang är den provning och certifiering av produkter som sker frivilligt, utan att det krävs i EG- direktiv eller i nationella föreskrifter det s.k. frivilliga området. vanligt och krav på produkter finns ofta formulerade i standarder mot vilka frivillig certifiering kan ske. Det är viktigt att påpeka att certifiering inte bara sker av produkter, utan också av t.ex. kvalitetssystem, ledningssystem, personal, eller av verksamheten i allmänhet. Det är utan tvivel en fördel om det även inom det frivilliga området tillämpas likartade former för provning och certifiering. I EG:s system för bedömning av överensstämmelse har man också tagit fasta på att tekniken för att bedöma om en produkt överensstämmer med vissa uppställda krav är densamma oavsett om bedömningen sker utifrån tvingande regler eller frivilliga former. I sitt meddelande av En helhetssyn på certifiering och provning markerade EG- kommissionen att ömsesidiga erkännanden inte bara är av intresse för den reglerade sektorn utan i lika hög grad har betydelse inom det frivilliga området. Även frivillig provning och certifiering kan, om den skiljer sig åt i olika länder, medföra betydande handelshinder. Problemen med att skapa ömsesidiga godtaganden är desamma inom de reglerade och de frivilliga områdena, nämligen att skapa förtroende för att de berörda organen är kompetenta och oberoende. 5 Direktivet om ett gemenskapsramverk för elektroniska signaturer 5.1 Allmänt Anledningen till att kommissionen lade fram ett förslag till direktiv var bl.a. att den befarade att skilda juridiska och tekniska strategier i medlemsstaterna beträffande elektroniska signaturer skulle utgöra ett allvarligt hinder för den inre marknaden och hindra utvecklingen av nya ekonomiska verksamheter som är kopplade till elektronisk handel. Olika bestämmelser i medlemsstaterna om rättsligt erkännande av elektroniska signaturer och om auktorisering av dem som tillhandahåller certifikat för elektroniska signaturer skulle skapa betydande sådana hinder. Syftet med direktivet är att underlätta användningen av elektroniska signaturer och bidra till deras rättsliga erkännande. Avsikten är att fastställa ett rättsligt ramverk för elektroniska signaturer och vissa certifikattjänster för att säkerställa en väl fungerande inre marknad. Direktivet omfattar inte frågor om ingående eller giltighet av avtal om formkrav föreskrivs och påverkar inte heller bestämmelser som reglerar användningen av dokument (artikel 1). Regelverket för elektroniska signaturer är avsett att stärka förtroendet för och ge ett allmänt godtagande av den nya tekniken. I direktivet definieras signaturer som uppfyller vissa specificerade krav som avancerade elektroniska signaturer . Ett intyg i elektronisk form som kopplar ihop en person med uppgifter, såsom koder eller öppna kryptografiska nycklar, som verifierar en signatur samt bekräftar personens identitet kallas som redan nämnts certifikat (se avsnitt 4.3.3). Den tredje part som utfärdar certifikatet och som således går i god för att den uppgivne undertecknaren verkligen är den som påstås kallas tillhandahållare av certifikattjänster . Ett certifikat som innehåller i en bilaga uppräknade uppgifter och som utfärdats av en tillhandahållare av certifikattjänster som uppfyller kraven i en annan bilaga benämns kvalificerat certifikat . Dessa och flera andra definitioner ges i artikel 2. Den metod som används i direktivet är att ge avancerade elektroniska signaturer, som baseras på ett kvalificerat certifikat och som dessutom skapas av en säker anordning för skapande av signaturer (se nedan), en viss rättsverkan. Dessa signaturer skall anses uppfylla kraven på en signatur i förhållande till uppgifter i elektronisk form på samma sätt som en handskriven signatur uppfyller samma krav i förhållande till uppgifter på papper och skall godtas som bevis vid rättsliga förfaranden. Vidare stadgas att andra elektroniska signaturer under vissa förutsättningar inte får förvägras rättslig verkan eller giltighet som bevis vid rättsliga förfaranden (artikel 5). Villkoren för marknadstillträde för tillhandahållare av certifikattjänster och den tillsyn som skall ske regleras i artikel 3. Fri rörlighet för certifikattjänster behandlas i artikel 4 och skadestånd i artikel 6. I artikel 7 regleras behandlingen av certifikat utfärdade i länder utanför gemenskapen, medan artikel 8 behandlar frågor om dataskydd. I övrigt ges regler om den kommitté för elektroniska signaturer som skall biträda kommissionen (artikel 9 och 10), om uppgifter som skall anmälas till kommissionen (artikel 11), om en översyn av direktivet efter dess ikraftträdande (artikel 12) samt om genomförande och ikraftträdande (artikel 13 15 ). Vid direktivets utformning var målsättningen att regleringen skulle vara teknikneutral, att certifikattjänster skulle kunna tillhandahållas utan krav på förhandstillstånd samt att elektroniska signaturer skulle få rättslig verkan. 5.2 Tillämpningsområde Av ingressen till direktivet (punkt 16) framgår att elektroniska signaturer som används endast inom system som grundar sig på frivilliga civilrättsliga avtal mellan ett bestämt antal deltagare (s.k. slutna system) inte faller under direktivets tillämpningsområde. Direktivreglerna avser därför bara tillhandahållare av certifikattjänster som riktar sig till allmänheten . Avtalsparters frihet att sinsemellan komma överens om i vilken mån och på vilka villkor de godkänner elektroniskt signerade uppgifter påverkas alltså inte av direktivet. Av ingressen till direktivet (punkt 9) och av definitionen av tillhandahållare av certifikattjänster framgår vidare att dessa tillhanda- hållare inte bör vara begränsade till att endast utfärda och hantera certifikat. Även andra tjänster som har anknytning till elektroniska signaturer bör kunna erbjudas, såsom registrerings-, tidsstämplings-, katalog-, databehandlings- och konsulttjänster. För tillhandahållare av certifikattjänster och för produkter med anknytning till elektroniska signaturer föreskriver direktivet en fri inre marknad, vilket gäller för alla sorters elektroniska signaturer, certifikattjänster och signaturprodukter . Direktivet omfattar inte frågor som avser ingående eller giltighet av avtal eller andra rättsliga förpliktelser om den nationella lagstiftningen eller gemenskapslagstiftningen föreskriver vissa formkrav. Det påverkar heller inte bestämmelser och begränsningar i nationell lagstiftning eller gemenskapslagstiftning som reglerar användningen av dokument. 5.3 Definitioner En elektronisk signatur definieras som uppgifter i elektronisk form som är fogade till eller logiskt knutna till andra elektroniska uppgifter och som används som metod för autenticering. För att en signatur skall få kallas avancerad elektronisk signatur krävs att den är knuten uteslutande till undertecknaren, vilken kan identifieras genom signaturen, att den är skapad med medel som undertecknaren kan behålla uteslutande under sin egen kontroll samt att den är kopplad till de uppgifter den avser på ett sådant sätt att alla efterföljande ändringar av uppgifterna kan upptäckas. Genom direktivet införs vidare en rad tekniska termer såsom uppgifter för skapande av signaturer och uppgifter för signaturverifiering , som avser unika uppgifter såsom koder eller krypteringsnycklar som används för att skapa respektive verifiera en elektronisk signatur. Program- eller hårdvara för att använda uppgifterna för att skapa en signatur respektive uppgifterna för signaturverifiering benämns anordning för skapande av signaturer respektive anordning för signaturverifiering . För att få kallas säker anordning för skapande av signaturer skall anordningen uppfylla de krav som anges i bilaga III till direktivet. Anordningarna skall enligt denna säkerställa att uppgifterna för att skapa signaturen i praktiken enbart kan förekomma en gång och att sekretessen för uppgifterna är säkerställd inom rimliga gränser. Vidare skall uppgifterna för att skapa signaturen med rimlig garanti inte kunna härledas och signaturen vara skyddad mot förfalskning med den teknik som finns tillgänglig . Ett ytterligare krav är att uppgifterna för att skapa signaturen kan skyddas på ett tillförlitligt sätt, så att andra inte kan komma åt dem. Slutligen stadgas att anordningen inte får förändra de uppgifter som skall signeras eller hindra att dessa uppgifter presenteras för undertecknaren före undertecknandet. Beträffande signaturverifiering finns en bilaga IV till direktivet, som innehåller rekommendationer för säker signaturverifiering. Som tillhandahållare av certifikattjänster definieras som nämnts inte endast den som utfärdar certifikat, utan även den som tillhandahåller andra tjänster som har anknytning till elektroniska signaturer. Kvalificerade certifikat Kvalificerade certifikat är sådana certifikat som uppfyller kraven i direktivets bilaga I och som utfärdas av en tillhandahållare av certifikattjänster som uppfyller kraven i direktivets bilaga II. Certifikatet skall bl.a. innehålla uppgift om att det har utfärdats som ett kvalificerat certifikat, uppgifterna för signaturverifiering som motsvarar de uppgifter för skapande av signaturer som undertecknaren har kontroll över samt uppgift om certifikatets giltighetstid (se vidare i bilaga I). Bilaga II innehåller krav på pålitlighet, ett säkert och snabbt system för återkallande, identitetskontroll av den till vilken ett certifikat utfärdas, kompetent personal, användandet av pålitliga system och produkter som garanterar teknisk säkerhet, konfidentialitet beträffande uppgifter för skapande av signaturer, m.m. (se vidare i bilaga II). Certifikatutfärdaren skall dessutom förfoga över tillräckliga ekonomiska medel för att bedriva verksamheten i enlighet med direktivets krav, i synnerhet för att kunna uppfylla eventuell skadeståndsskyldighet. De certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten skall nämligen vara ansvariga för skada, åtminstone i den utsträckning som anges i artikel 6. Nämnas kan också att utfärdaren enligt bilaga II måste informera den som ansöker om ett certifikat om villkoren, inklusive eventuella begränsningar för certifikatet, förekomsten av ett frivilligt ackrediterings- system samt förfarande för klagomål och avgörande av tvister. Vidare är utfärdaren förbjuden att lagra eller kopiera uppgifter för skapande av signaturer. 5.4 Marknadstillträde Medlemsstaterna får inte göra tillhandahållandet av certifikattjänster beroende av förhandstillstånd. Med förhandstillstånd menas enligt ingressen till direktivet inte endast alla tillstånd som kräver ett beslut från de nationella myndigheterna innan tillhandahållaren av certifikattjänster får tillhandahålla dessa tjänster, utan också alla andra åtgärder med samma verkan. Det står dock medlemsstaterna fritt att införa eller behålla frivilliga ackrediteringssystem som syftar till att höja nivån på tillhandahållandet av certifikattjänster. Frivillig ackreditering definieras i direktivet som sådana tillstånd i vilka de rättigheter och skyldigheter fastställs som är specifika för tillhandahållandet av certifikattjänster och som på begäran av den berörda tillhandahållaren av certifikattjänster skall utfärdas av de offentliga eller privata institutioner som ansvarar för utarbetandet och övervakningen av dessa rättigheter och skyldigheter. Tillhandahållaren av certifikattjänster får inte utöva rättigheterna enligt tillståndet förrän denne har erhållit beslutet från institutionen. Medlemsstaterna är skyldiga att införa ett system som gör det möjligt att övervaka de tillhandahållare av certifikattjänster som är etablerade på deras territorium och som utfärdar kvalificerade certifikat till allmän- heten. I direktivet ges inga närmare regler för hur denna övervakning skall vara organiserad eller hur sträng den skall vara. I ingressen påpekas att övervakningssystem upprättade inom den privata sektorn inte utesluts. Vad gäller säkra anordningar för skapande av signaturer föreskriver direktivet att medlemsstaterna skall utse särskilda organ som skall avgöra om anordningarna överensstämmer med bilaga III. I direktivet ges en möjlighet för medlemsstaterna att förena användningen av elektroniska signaturer inom den offentliga sektorn med högre krav än vad som följer av direktivet. 5.5 Fri rörlighet Medlemsstaterna får inte begränsa tillhandahållandet av certifikattjänster med ursprung i andra medlemsstater. De skall också säkerställa att det råder fri rörlighet på den inre marknaden för produkter för elektroniska signaturer som överensstämmer med direktivet. Ett beslut av ett organ i en medlemsstat att en anordning för skapande av signaturer överensstämmer med kraven i bilaga III skall erkännas av samtliga medlemsstater. Kommissionen får fastställa och offentliggöra referensnummer till allmänt erkända standarder för produkter för elektroniska signaturer. Medlemsstaterna skall då utgå från att dessa produkter överensstämmer med kraven i direktivet. 5.6 Rättslig verkan Det finns två nivåer av rättsligt erkännande av elektroniska signaturer beroende på den tekniska säkerhet som signaturen anses ha. Den rättsliga verkan för avancerade elektroniska signaturer som baseras på ett kvalificerat certifikat och som skapas av en säker anordning för skapande av signaturer har beskrivits i avsnitt 5.1. För övriga elektroniska signaturer gäller att dessa inte får förvägras rättslig verkan eller giltighet som bevis enbart på grund av att signaturen är i elektronisk form, inte är baserad på ett kvalificerat certifikat eller ett certifikat som utfärdats av en ackrediterad tillhandahållare av certifikattjänster, eller inte är skapad av en säker anordning. I ingressen anges att direktivet inte påverkar nationella domstolars behörighet att fastslå om det föreligger överensstämmelse med kraven i direktivet. Det anges även att direktivet inte inverkar på nationella bestämmelser om fri bevisprövning. Frågan om vilken betydelse detta har för tolkningen av direktivets bestämmelser om elektroniska signaturers rättsliga verkan diskuteras vidare i avsnitt 6.11.