prop · GN03117 · 2000-01-01 00:00:00 — Borttagandet av definitionen medför följdändringar i definitionerna av elektronisk signatur och avancerad elektronisk signatur. Det saknas behov av att införa begreppet digital stämpel eller liknande, som diskuterats ovan. Direktivet förutsätter att en fysisk person är knuten till signaturen. Det hindrar visserligen inte ett system med elektroniska stämplar för juridiska personer eller certifikat som anger att signaturen innehas av en identifierad person som är behörig firma- tecknare för en juridisk person (s.k. rollcertifikat). Något särskilt behov av att reglera detta synes emellertid inte finnas. I stället kan redan gällande regler om rättshandlingsförmåga, fullmakt och behörighet att företräda juridiska personer tillämpas. En elektronisk signatur bör i lagen definieras på samma sätt som i direktivet. Ett flertal remissinstanser menar att det bör förtydligas att en elektronisk signatur, till skillnad från en avancerad eller kvalificerad elektronisk signatur (se nedan) bara är en teknisk metod och inte behöver vara knuten till en fysisk person. Regeringen delar den uppfattningen och föreslår att ordet undertecknare , som enligt definitionen är en fysisk person, byts ut mot utställare , som kan vara såväl en fysisk som en juridisk person. påpekar att förslagets definition av elektronisk signatur avviker något från hur begreppet definierats i direktivet. I direktivet anges att en elektronisk signatur används som en metod för autentisering . Med autentisering torde avses inte bara identitetskontroll av undertecknaren, utan även kontroll av att innehållet inte förvanskats. Regeringen föreslår därför ett tillägg i definitionen i förhållande till promemorians förslag. Definitionerna av avancerad elektronisk signatur , och certifikat kan lämpligen hämtas direkt från direktivet. Såsom några remissinstanser påpekar kan dock användningen av orden alla efterföljande ändringar i punkten d) misstolkas så att det skall kunna upptäckas vilka olika ändringar som eventuellt har gjorts. Det som skall kunna upptäckas är dock bara att en ändring av den elektroniska handlingen har gjorts. I förhållande till promemorians förslag har därför orden alla efter- följande strukits. Genom kravet att en avancerad, och därmed också en kvalificerad, signaturer skall vara knuten till en undertecknare och genom definitionen av undertecknare framgår att en sådan signatur till skillnad från en enkel elektronisk signatur alltid måste vara knuten till en fysisk person. Rent tekniskt är det dock, vilket påpekar, inte signaturen i sig som är knuten till undertecknaren utan dennes hemliga nycklar (signaturframställningsdata) i kombination med dennes certifikat. En undertecknare är den fysiska person som innehar en anordning för signaturframställning. I promemorian föreslogs att en undertecknare skulle definieras som den som har kontroll över en anordning för signaturframställning. Många remissinstanser påpekar dock att det bör förtydligas att undertecknaren måste vara en fysisk person. Några remissinstanser menar även att definitionen kan tolkas så att det räcker med att någon just för tillfället råkar ha kontroll över anordningen för att denne skall anses som undertecknare. De menar därför att direktivets definition den som innehar är att föredra framför den som föreslogs i promemorian. Regeringen delar uppfattningen att det bör förtydligas att undertecknaren måste vara en fysisk person och att det är lämpligare att använda ordet innehar än har kontroll över . Naturligtvis kan undertecknaren med stöd av vanliga regler om rättshandlingsförmåga, fullmakt och behörighet representera en annan fysisk eller juridisk person. Det behöver därför inte, som i direktivet, anges särskilt. Uppgifter för skapande av signaturer ( den hemliga nyckeln i det öppna nyckelsystemet) och uppgifter för signaturverifiering (den öppna nyckeln) föreslås ersättas med signaturframställningsdata , respektive signaturverifieringsdata . Dessa begrepp är visserligen varken korta eller särskilt lättbegripliga vid första anblicken. De är dock i överensstämmelse med vad som föreslås i andra nordiska länder och ger en god bild av vad som avses. Användandet av ordet data i stället för uppgifter torde, som tidigare nämnts, bidra till en bättre beskrivning av företeelserna. I promemorian användes begreppet privata krypterings- nycklar. förordar dock att begreppet hemliga krypteringsnycklar i stället används, vilket regeringen finner lämpligt. Begreppen anordning för skapande av signaturer och säker sådan anordning kan i princip definieras såsom det angetts i direktivet, med de ändringar som följer av det föregående. Regeringen har dock, liksom i promemorian, valt att använda begreppet anordning för signatur- framställning . Såsom påpekar fyller dock ordet konfigurerad inte någon funktion. Det måste förutsättas att all maskin- och programvara som är avsedd att användas för ett visst ändamål också är konfigurerad för detta ändamål. Anordning för signaturverifiering kommer inte att regleras i lagen, varför det saknas skäl att införa begreppet. Direktivet använder sig av begreppet tillhandahållare av certifikat- tjänster och inbegriper där inte bara de som utfärdar certifikat utan också de som tillhandahåller andra tjänster som har anknytning till elektroniska signaturer. Det som regleras i direktivet är dock begränsat till utfärdande av kvalificerade certifikat och i viss mån garanterande av annans certifikat som kvalificerade. Exempelvis rör kraven i direktivets bilaga II endast tillhandahållare av certifikattjänster vilka utfärdar kvalificerade certifikat. Det finns därför inte behov av att i lagen skapa en definition som omfattar mer än de som utfärdar certifikat eller garanterar annans certifikat, lämpligast genom termen certifikatutfärdare . I den mån man i annat sammanhang önskar reglera även andra tjänster, såsom registrering av återkallande, tidsstämpling, kryptering för konfidentialitet eller diverse konsulttjänster, låter sig detta väl göras utan att här tynga lagtexten med en onödigt vid och diffus definition. Detta kan kanske också bidra till att minska den redan olyckliga förväxlingsrisken mellan de certifikat och den certifiering som här avses och det styrkande av certifikatutfärdarens kompetens som i sin tur kan ges av (eventuellt ackrediterade) certifieringsorgan. I promemorian återfanns inte begreppen kvalificerat certifikat och säker anordning för signaturframställning bland definitionerna, vilket ett flertal remissinstanser har kritiserat. Begreppen, vars innebörd behandlas i avsnitt 6.4 och 6.8, har därför definierats med hänvisning till de respektive bestämmelser där kraven anges. Direktivet vill ge de elektroniska signaturer som inte bara är avancerade utan också baserade på ett kvalificerat certifikat och skapade av en säker anordning för signaturframställning en särskild ställning. Det förefaller därför lämpligt att ge dessa signaturer en särskild benämning. Här har valts kvalificerade elektroniska signaturer . Det saknas anledning att i svensk lag införa den definition av frivillig ackreditering som ges i direktivet. Dess innebörd är oklar och ett införande skulle inte tjäna till annat än att tynga lagtexten och försvåra förståelsen av densamma (se avsnitt 6.7). Inte heller begreppet produkt för elektroniska signaturer fyller någon funktion i den svenska lagtexten. 6.4 Kvalificerade certifikat Regeringens förslag: Det skall anges i lagen vad som krävs för att ett certifikat skall anses ha en särskild säkerhetsnivå. Dessa certifikat skall betecknas kvalificerade certifikat . Promemorians förslag: Överensstämmer med regeringens förslag. I promemorian föreslogs dock inte någon bestämmelse avseende certifikat utfärdade av en certifikatutfärdare etablerad utanför . Remissinstanserna: Remissinstanserna tillstyrker förslaget eller lämnar det utan erinran (se dock under avsnitt 6.1). Skälen för regeringens förslag: I direktivet regleras en särskild, högre nivå på certifikat som benämns kvalificerade certifikat . De krav på vad certifikatet måste innehålla som anges i bilaga I till direktivet bör också anges i den svenska lagtexten. Likaså bör i enlighet med direktivet anges att endast certifikat som utfärdats av en certifikatutfärdare som uppfyller vissa i lagen angivna krav är kvalificerade certifikat. I kravet på att kvalificerade certifikat måste ha visst innehåll ligger att detta innehåll skall vara tillgängligt för den mottagare som förlitar sig på certifikatet. När denne tar emot ett signerat meddelande måste han således kunna tillgodogöra sig denna information, antingen genom att han ser certifikatet, där all nödvändig information finns, eller genom att informationen på annat sätt presenteras i samband med att han mottar en elektronisk handling. Inte minst viktiga är uppgifter om begränsningar för certifikatet vad gäller användningsområde eller värdet på de transaktioner för vilka certifikatet kan användas. I direktivet anges i artikel 4.1 att medlemsstaterna inte får begränsa tillhandahållandet av certifikattjänster med ursprung i andra medlems- stater. I artikel 7.1 anges även att medlemsstaterna skall säkerställa att certifikat som utfärdas som kvalificerade certifikat till allmänheten av certifikatutfärdare som är etablerade i ett tredje land, under vissa förutsättningar, betraktas som rättsligt likvärdiga med certifikat som utfärdats av certifikatutfärdare etablerade inom EES. De särskilda förutsättningar som krävs för detta är att certifikatutfärdaren uppfyller kraven i direktivet och har ackrediterats i en medlemsstat, att en certifikatutfärdare som är etablerad inom EES garanterar certifikatet, eller att certifikatet eller certifikatutfärdaren har erkänts genom ett bilateralt eller multilateralt avtal (se avsnitt 5.5 och 5.8). Genom den inledande bestämmelsen i 1 § har lagens tillämpningsområde begränsats till sådana certifikatutfärdare som är etablerade i (se avsnitt 6.2). För att inte lagen skall innebära begränsningar för certifikatutfärdare etablerade i andra länder i strid med artikel 4.1 och 7.1 bör det införas en bestämmelse som innebär att även certifikat utfärdade av sådana, under vissa förutsättningar skall anses vara kvalificerade. 6.5 Utfärdande av kvalificerade certifikat Regeringens förslag: Det skall anges i lagen vad som krävs av en certifikatutfärdare för att denne skall få kalla sina certifikat kvalificerade. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: Remissinstanserna tillstyrker förslaget eller lämnar det utan erinran (se dock under avsnitt 6.1). Bland andra iD2 Technologies, och menar att det inte bör krävas att det i certifikatet anges en elektronisk signatur som skapats av en fysisk person. Skälen för regeringens förslag: En certifikatutfärdares uppgift är att som en betrodd part intyga att vissa signaturverifieringsdata hör till en viss undertecknare. Nyckelordet i sammanhanget är betrodd . För att certifikatutfärdarna skall bli betrodda krävs att de bedriver verksamheten med erforderlig garanti för pålitlighet. Direktivet ställer krav endast på de certifikatutfärdare som utfärdar kvalificerade certifikat. Det saknas anledning att i svensk lagstiftning ställa krav på en vidare krets av certifikatutfärdare än dessa. (Vad gäller skadeståndsskyldigheten kan det däremot finnas anledning att mer ingående diskutera om en reglering bör träffa en vidare krets, se avsnitt 6.9.2.) I bilaga I h) till direktivet anges att certifikatet måste innehålla certifikatutfärdarens avancerade elektroniska signatur. Den definition av avancerad elektronisk signatur som anges i lagen innebär att en sådan måste vara kopplad till en fysisk person. Bland andra iD2 Technologies, och påpekar dock att en certifikatutfärdare vanligtvis torde vara en juridisk person och därför inte kan skapa en avancerad elektronisk signatur. De menar att även om en fysisk person med stöd av vanliga fullmaktsregler alltid kan signera å certifikatutfärdarens vägnar, så skulle ett sådant krav innebära stora praktiska problem för certifikatutfärdarna. Regeringen anser att syftet med direktivets krav på denna punkt varit att den elektroniska signatur som certifikatutfärdaren använder måste ha en tillräckligt hög säkerhetsnivå, men inte att den nödvändigtvis måste vara knuten till en fysisk person. Regeringen föreslår därför att det i certifikatet måste anges antingen en avancerad elektronisk signatur (som är knuten till en fysisk person med behörighet att företräda certifikatutfärdaren), eller en elektronisk signatur med motsvarande säkerhetsnivå (som kan vara knuten till certifikatutfärdaren själv). Med motsvarande säkerhetsnivå avses alltså att det måste vara möjligt att identifiera vilken juridisk person som skapat signaturen (utställaren), att signaturen är skapad med hjälpmedel som endast utställaren kontrollerar och att signaturen är knuten till andra elektroniska data på ett sådant sätt att ändringar av dessa data kan upptäckas. De krav som direktivet ställer på certifikatutfärdare som utfärdar kvalificerade certifikat (bilaga II), bör ställas också i den svenska lagen. Detta innebär krav på bl.a. pålitlighet, system för säker och snabb spärrning av certifikat, säker identitetskontroll av undertecknaren, kompetent personal samt användande av pålitliga system och produkter som garanterar teknisk säkerhet. Vad gäller kravet på användandet av pålitliga system och produkter bör vidare anges att det skall anses uppfyllt om de överensstämmer med standarder för produkter för elektroniska signaturer som kommissionen offentliggjort referenser till (artikel 3.5 i direktivet). Certifikatutfärdaren åläggs bl.a. att bevara all relevant information om certifikatet . Den information som skall bevaras omfattar dock inte signaturframställningsdata. Eftersom det är väsentligt för tilltron till elektroniska signaturer att det bara är undertecknaren som har tillgång till signaturframställningsdata (hemliga nycklar o.d.) förbjuds certifikatutfärdaren att bevara och lagra sådana data. För att förtydliga detta har, på förslag från Kammarrätten i , det andra stycke i 8 § som föreslogs i promemorian i regeringens förslag flyttats till 10 §, som behandlar certifikatutfärdarens informationshantering. Certifikatutfärdaren åläggs även att, innan denne ingår avtal om att utfärda ett kvalificerat certifikat, skriftligen informera motparten om vissa särskilt väsentliga uppgifter. Med uttrycket att informationen skall lämnas skriftligen avses här att den inte får lämnas muntligen, men dock elektroniskt. Innebörden av begreppet skriftligen diskuteras bl.a. i betänkandet Elektronisk dokumenthantering, SOU 1996:40, avsnitt 5.3 och 5.4. 6.6 Standardisering För att elektroniska signaturer ska få en bred användning är det väsentligt att ha en gemensam syn på vilka tekniska krav som skall gälla i olika avseenden och bygga upp system som kan samverka med varandra. Tekniska standarder har här en viktig roll att fylla och kan underlätta för användare av systemen och göra det möjligt att bedöma signaturernas säkerhet. Tekniska standarder kan ange precisa krav för produkter för elektro- niska signaturer, såsom t.ex. anordningar för signaturframställning och signeringsalgoritmer, och för certifikatutfärdande och andra certifikat- tjänster. Standardisering underlättar också bedömningen av om ett speci- fikt system eller en viss produkt uppfyller de krav som man vill ställa för den aktuella tillämpningen. Tekniska standarder möjliggör vidare interoperabilitet, dvs. att utrust- ningen hos avsändare och mottagare av elektronisk kommunikation är sådan att de faktiskt kan förstå varandras meddelanden. Det önskvärda är att det utvecklas ett informationssamhälle där man helst globalt eller åtminstone inom en definierad intressesfär kan utbyta och verifiera elek- troniskt signerade handlingar. Myndigheternas elektroniska gränsyta mot omvärlden skulle bli ohanterlig om antalet metoder som används för elektroniska signaturer inte begränsas. Kommissionen gav i uppdrag åt de europeiska stan- dardiseringsorganen och andra organisationer att analysera de framtida behoven av standardisering enligt direktivet, med avseende på produkter för elektroniska signaturer och tjänster som finns tillgängliga på markna- den. Det ingick i uppdraget att föreslå en plan för att utveckla de stan- darder som behövs. Detta resulterade i Signature Standardization Initiative (EESSI) som presenterat en rapport . Analysen i rapporten visar att området är mycket komplext. Ett hundratal existerande relevanta standarder identifierades. Trots detta var slutsatsen att många viktiga specifikationer behöver utvecklas med hög prioritet (se vidare under avsnitt 6.7). Rapporten följdes av ett mandat från kommissio- nen till de europeiska standardiseringsorganen (, CENELEC och ETSI) att följa upp , i syfte att förse marknaden med standarder till stöd för genomförandet av direktivet. I mandatet ingår också att bilda en särskild rådgivande grupp, kallad , för att ge rekommendationer till den rådgivande kommitté som skall inrättas enligt direktivet (se av- snitt 5.10). Kommittén skall konsulteras av kommissionen när denna skall klargöra kraven i direktivets bilagor och kriterierna för utseende av de organ som skall avgöra om säkra anordningar för skapande av signaturer överensstämmer med kraven i bilaga III. Kommittén skall också konsulteras om de allmänt erkända standarder för produkter för elektroniska signaturer som kommissionen skall fastställa och offentliggöra referensnummer till. 6.7 Ackreditering och certifiering Regeringens bedömning: Lagen (1992:1119) om teknisk kontroll ger redan nu en möjlighet till frivillig ackreditering av certifieringsorgan med det syfte som anges i direktivet. Promemorians bedömning: Överensstämmer med regeringens be- dömning. Remissinstanserna: Remissinstanserna delar promemorians bedömning eller lämnar den utan erinran. Skälen för regeringens bedömning: Enligt direktivet kan medlems- staterna införa frivilliga ackrediteringssystem som syftar till att höja nivån på tillhandahållandet av certifikattjänster. Inom direktivets svår- genomträngliga definition av frivillig ackreditering torde rymmas det system för ackreditering och, inte minst, certifiering under ackreditering, som tillhandahålls genom lagen (1992:1119) om teknisk kontroll. Mot bakgrund av att direktivet uttryckligen förbjuder varje form av för- handstillstånd torde de rättigheter och skyldigheter som nämns i definitionen vara rättigheten att kalla sig ackrediterad/certifierad och skyldigheten att leva upp till den nivå som krävs för ackredite- ring/certifiering. Syftet med ackreditering (jfr avsnitt 4.4) är att skapa tilltro till de tjänster som de ackrediterade organen presterar. Härigenom skapas också tilltro till provningsintyg, certifikat m.m., som bl.a. gör det möjligt att godta sådan dokumentation från ett annat land utan förnyad kontroll. Därmed har ackreditering fått en viktig roll för att främja fri rörlighet av varor och tjänster på den inre marknaden. I detta arbete gäller som en viktig princip att statliga förhandsgodkännanden skall undvikas. Det hindrar inte att krav ställs på provning och kontroll. Bedömning av över- ensstämmelse ses dock som en teknisk uppgift utanför den offentligrätts- liga sfären. En ackreditering är alltid frivillig. Aktörer på marknaden vill ofta ha bevis på att varor och tjänster uppfyller ställda krav. Provning eller kon- troll utförda av organ med särskild påvisad kompetens kan vara ett sätt att åstadkomma detta. Att ackreditering i sig är frivillig hindrar inte att ett ackrediteringssystem kan utnyttjas för att åstadkomma legalt tvingande regler om provning och kontroll, vilket ibland har skett i . Tvånget har då bestått i ett åliggande att anskaffa ett provningsintyg eller certifikat från ett ackrediterat organ. Ett sådant intyg eller certifikat får därmed rättsverkningar utan att förhållandet mellan utfärdaren och be- ställaren får någon offentligrättslig prägel. Staten tar själv inget ansvar för dokumentet på annat sätt än genom att ålägga beställaren att anskaffa dokumentet från ett organ som uppfyller av staten uppställda kvalitets- krav. I knyts dessa kvalitetskrav normalt till ett krav på ackredi- tering. Så behöver dock inte alltid vara fallet. Inom EU har man und- vikit att ställa formella krav på ackreditering och i stället formulerat kvalitetskrav som ibland knyts till standarder. För certifieringsorgan kan således krävas att organet skall uppfylla kraven i t.ex. standarden EN 45 011. Detta behöver dock inte visas med ackreditering, även om ackreditering är det normala sättet att styrka att kravet är uppfyllt. Inom ramen för EG:s produktdirektiv skall medlemsländerna utse s.k. anmälda organ för uppgifter som innefattar provning och certifiering. Inte heller här uppställs krav på ackreditering, men det anges att ett organ som är ackrediterat skall antas uppfylla kraven. I finns det nationella ackrediteringssystemet reglerat i lagen om teknisk kontroll. Där finns också regler om utseende av anmälda organ enligt EG-regler. Grundläggande för både ackreditering och utse- ende av anmälda organ är att systemen är öppna för alla organ som begär det och kan visa sin kompetens enligt ställda krav. Anmälda organ skall granskas av SWEDAC på samma sätt som vid ackreditering. Som har framgått ovan har certifikaten en stor betydelse i den ordning som regleras i direktivet. Tilltron till certifikaten får därmed central bety- delse och medlemsländerna förutsätts på olika sätt främja kvaliteten på erbjudna certifikat. I enlighet med vanliga EG-rättsliga principer förbjuds krav på förhandstillstånd. Medlemsländerna får dock enligt en uttrycklig bestämmelse utnyttja frivilliga ackrediteringssystem, som då skall vara objektiva, öppna och icke-diskriminerande. En ordning med ackreditering av organ för certifiering av certifikat- utfärdare ligger helt inom ramen för SWEDAC:s verksamhet enligt lagen om teknisk kontroll. Någon ordning för ackreditering av den här typen av certifieringsorgan finns ännu inte helt färdig men kan relativt lätt inrättas. Den befintliga standarden EN 45 012 kan med små justeringar användas för ackreditering av certifieringsorgan för att certifiera certifikatutfärdare. Dessutom är standarder för att ackreditera certifieringsorgan för produktcertifiering under utarbetande. Vidare finns det redan i viss mån standarder som kan användas vid certifiering av certifikatutfärdare vad gäller lednings- och säkerhets- system, såsom den brittiska BS 7799, del 1 (Code of practise for Infor- mation Security management) och ISO TR 13335 (Guidelines for the Management of Information Technology Security-GMITS). finns även en svensk standard, baserad på den brittiska SS 62 77 99. Det finns även standarder som i princip kan användas för certifiering av framställning av kvalificerade certifikat (t.ex. X.509). ger redan nu en möjlighet till frivillig ackreditering av certifieringsorgan med det syfte som anges i direktivet. Det finns därmed ingen anledning att i lagen om certifikat för elektro- niska signaturer införa regler om ackreditering eller certifiering. Skyldig- heten enligt direktivet att informera kommissionen och andra medlems- stater om ackrediterade nationella tillhandahållare av certifikattjänster följer av grunderna för förordningen (1994:2035) om vissa skyldigheter för myndigheter vid ett medlemskap i unionen. Eftersom ackreditering är frivillig, finns det inte något hinder att utan ackreditering bedriva certifiering av certifikatutfärdare. 6.8 Anordningar för signaturframställning Regeringens förslag: Det skall anges i lagen vad som krävs för att en anordning för signaturframställning skall vara säker.