prop · GN03117 · 2000-01-01 00:00:00 — Det får anses vara önskvärt att marknaden i så stor omfattning som möjligt begagnar sig av de kvalificerade certifikat som direktivet etable- rar. Ett gemensamt europeiskt och i bästa fall globalt användande av dessa certifikat skulle leda till en allmän acceptans och förtroende för de signaturer som baseras på sådana certifikat, vilket skulle vara till fördel för elektronisk handel och andra användningsområden. För den certi- fikatutfärdare som önskar undgå den tillsyn som direktivet och lagen stipulerar kan det emellertid vara frestande att inte kalla sina certifikat för kvalificerade, trots att de uppfyller kraven i lagen. Om certifikatutfärda- ren kan bygga upp ett förtroende för sina certifikat i alla fall, finns kanske inget behov av att kalla certifikaten kvalificerade. Stora administrativa krav på den som utfärdar kvalificerade certifikat till allmänheten skulle förstärka en sådan utveckling. Det skulle också kunna förhindra framväxandet av öppna system. Slutsatsen av detta resonemang är att det bör införas ett tillsynssystem i statlig regi, men där tillsynen är marknadsorienterad och inte innebär en tung administration för dem som uppträder på marknaden. befogenheter m.m. En grundläggande förutsättning för att kunna utöva tillsyn är att veta vem som skall kontrolleras. Certifikatutfärdare som avser att utfärda kvalifice- rade certifikat till allmänheten bör därför i samband med att de startar verksamheten vara skyldiga att anmäla till tillsynsmyndigheten att så sker. Detta står inte i strid med förbudet mot förhandstillstånd. Med utgångspunkt från den kravkatalog som ställs upp i lagen för certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten blir myndighetens uppgift att ingripa mot dem som inte uppfyller kraven. Myndigheten bör därvid ha befogenhet att kräva in de handlingar och upplysningar som behövs för tillsynen. Om anmälningspliktig verksam- het bedrivs utan att anmälan skett eller brister i verksamheten upptäcks bör myndigheten kunna utfärda förelägganden om rättelser. Dessa före- lägganden bör också kunna förenas med vite. Till slut bör tillsyns- myndigheten, om inte föreläggande räcker, kunna förbjuda den som begår upprepade eller allvarligare överträdelser att utfärda certifikat till allmänheten som anges vara kvalificerade. Myndighetens befogenheter får dock inte utövas på ett sådant sätt att de i praktiken utgör ett hinder för att ta sig in på marknaden och därmed liknar ett krav på förhandstillstånd. Ett gradvis upptrappat användande av förelägganden, förenade med vite torde dock inte anses utgöra sådana hinder. måste det också anses rimligt att tvinga en certifikatutfärdare att upphöra med sin verksamhet, om denne t.ex. på ett flagrant sätt nonchalerar lagens krav eller efter upp- repade förelägganden underlåter att följa dessa. Avgörande för om åtgärderna kan anses vara förenliga med direktivets förbud mot hinder som liknar krav på förhandstillstånd torde vara att det föreligger proportionalitet mellan överträdelserna och åtgärderna. Tillsyn certifiering Tillsynen kan i praktiken utformas som stickprovskontroller och under- sökningar sedan någon anmält misstänkta felaktigheter hos en certifikat- utfärdare. I den mån en certifikatutfärdare valt att certifiera sin organisa- tion eller sina produkter mot en vedertagen standard kan myndigheten i stor utsträckning nöja sig med den kontroll som certifieringen innebär. I det praktiska tillsynsarbetet kan myndigheten också använda sig av accepterade standarder för att jämföra om de tekniska lösningarna eller organisationen uppfyller föreskrivna krav. Det är dock väsentligt att myndigheten inte binder sig vid någon särskild teknik. Även system som inte ansluter sig till någon standard kan mycket väl uppfylla de krav på säkerhet m.m. som uppställs i lagstiftningen. Marknadskontroll Reglerna i lagen om att anordningar som anges vara säkra anordningar för signaturframställning får släppas ut på marknaden eller användas endast om vissa organ bedömt att de överensstämmer med lagens krav (se avsnitt 6.8) innebär att tillsynsmyndigheten också har att utöva viss marknadskontroll. 7 Val av tillsynsmyndighet bedömning: bör utses till till- synsmyndighet. Promemorians bedömning: Överensstämmer med regeringens be- dömning. Remissinstanserna: Flertalet remissinstanser delar bedömningen att bör utses till tillsynsmyndighet. , , , och IT- företagen anser dock att Styrelsen för ackreditering och teknisk kontroll (SWEDAC) eller vore lämpligare. menar att är mest lämpligt. Ingen remissinstans har förordat att en ny myndighet skall inrättas. har ställt sig positiv till att utses till tillsynsmyndighet. Varken SWEDAC, eller Patent- och registrerings- verket har haft någon erinran mot detta. Skälen för regeringens bedömning Som framgår av avsnitt 6.12 föreslår regeringen att direktivets krav på ett lämpligt system för övervakning av certifikatutfärdare skall genomföras genom att en statlig myndighet ges i uppdrag att utöva tillsyn. Vilken myndighet som skall utses till tillsynsmyndighet ankommer på regeringen att bedöma. Regeringen finner det dock lämpligt att för information här avge sin syn på detta. En möjlighet vore att inrätta en ny myndighet för den aktuella tillsyns- uppgiften. Certifikatutfärdande för elektroniska signaturer är en ny verk- samhet som inte omfattas av den tillsyn som finns inom förvaltningen. En sådan myndighet skulle även kunna ta hand om andra uppgifter inom området för informationssäkerhet, som är spridda på flera myndigheter. Mot detta talar att kompetens på området redan har byggts upp inom dessa myndigheter. Det går vidare inte att över- blicka vilken omfattning tillsynsarbetet kommer att få. Det troliga är dock att det kommer att innebära en tämligen begränsad uppgift, som inte motiverar inrättandet av en ny myndighet. Ingen remissinstans har heller förordat en sådan lösning. Det lämpliga är därför att lägga uppgiften på en befintlig myndighet. I promemorian föreslogs att skulle utses till tillsynsmyndighet. Flertalet remissinstanser delar den bedömningen. Några förordar dock i stället att SWEDAC, eller utses. Vid valet av myndighet bör bl.a. myndighetens vana vid hantering av tillsynsärenden och dess IT-kompetens beaktas. Vidare krävs en analys av myndighetens instruktion och karaktär. Se avsnitt 7 i promemorian där olika myndigheters uppgifter och verksamhet beskrivs. Val av myndighet skall kontrollera att de certifikatutfärdare som ut- färdar kvalificerade certifikat till allmänheten uppfyller lagens krav, innebärande bl.a. att de bedriver verksamheten med den pålitlighet som krävs och att de kvalificerade certifikaten innehåller de uppgifter som stadgas i lagen. Myndigheten skall också ingripa mot den som betecknar ett certifikat som utfärdas till allmänheten som kvalificerat, utan att de förutsättningar som ges i lagen är uppfyllda samt utöva marknadskontroll beträffande säkra anordningar för signaturframställning. Ingen av de ovan nämnda myndigheterna besitter helt den kom- petens som krävs för att utföra de aktuella tillsynsuppgifterna. En förut- sättning är att kompetens tillförs verksamheten och att kunskap byggs upp inom den myndighet som utses för ändamålet. är främst en registreringsmyndighet och har inga sedvanliga tillsynsuppgifter. Att utöva tillsyn över certi- fikatutfärdare ligger långt ifrån verkets nuvarande myndighetsuppgifter. är en utpräglad tillstånds- och tillsynsmyndighet som verkar på ett område som kännetecknas av en mycket hög IT- användning. Tillsynen i fråga gäller dock verksamhet på ett vidare område än enbart den finansiella sektorn. SWEDAC:s huvuduppgift att ackreditera bl.a. certifieringsorgan inne- bär kontroll och tillsyn av de ackrediterade organen. Såsom några remiss- instanser anför kan praktiska skäl tala för att samma myndighet bör ansvara för tillsyn både över certifieringsorganen och över certifikat- utfärdarna, såväl certifierade som icke certifierade. Kontrollen kan i praktiken komma att vila på internationella standarder som SWEDAC kan vara väl förtrogen med. Såsom flera andra remissinstanser påpekar skulle detta dock innebära en dubbelroll för SWEDAC, som enligt rege- ringens mening vore olämplig. SWEDAC skulle utöva tillsyn över certi- fikatutfärdare som är bedömda av organ som SWEDAC ackrediterat, dvs. bedömt som kompetenta. En liknande dubbelroll skulle gälla beträffande marknadskontrollen. Vidare skulle tillsynen inte bara avse de som certifierats eller ackrediterats utan alla som utfärdar kvalificerade certifikat till allmänheten. Det skulle därför framstå som onaturligt att tilldela SWEDAC uppgiften att utöva tillsyn av systemet i sin helhet. har erfarenhet av tillsynsuppgifter och över- vakar den tekniska infrastrukturen som bärare av tele- och datakommunikation. Myndigheten har tillbaka byggt upp såväl juridisk som teknisk kompetens på området för elektroniska signa- turer. Vidare har stor erfarenhet av standardi- seringsarbete inom telesektorn och en god insyn i standardiseringsarbetet för elektroniska signaturer. Tillsyn över certifikatutfärdare skulle bredda Post- och tillsynsuppgifter från att vara teknikinriktade till att också täcka en funktion där det förmedlade innehållet står i fokus. har uttryckt oro för att certifikatutfärdare som utövar tillsynspliktig verksamhet och som vill bli certifierad riskerar att få genomgå dubbla kontroller under två parallella kontrollsystem. Till- synsmyndighetens verksamhet torde dock i allt väsentligt kunna koncent- reras på de icke certifierade certifikatutfärdarna. Ytterligare en omstän- dighet som talar för att välja som tillsynsmyndig- het är att övriga nordiska länder har bestämt eller lutar åt att utse sina motsvarigheter till tillsynsmyndigheter. Det skulle därför underlätta det nordiska samarbetet på området att utse . En samlad bedömning leder enligt regeringens uppfattning till att är mest lämpad för uppgiften att bedriva tillsyn över certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten. Såsom ett flertal remissinstanser påpekar är det dock viktigt att samråder och samarbetar med SWEDAC, Finansinspektio- nen och andra berörda myndigheter. 8 Finansieringen av tillsynsmyndighetens verksamhet Regeringens förslag: I lagen skall det införas en bestämmelse som ger regeringen rätt att föreskriva om skyldighet för certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten att betala en avgift för tillsynsmyndighetens verksamhet enligt lagen. Befogenheten skall kunna delegeras till myndigheten. Promemorians förslag: Överensstämmer med regeringens förslag. Remissinstanserna: anför att utvecklingen mot en bred användning av kvalificerade certifikat riskerar att hämmas om kost- naderna blir för höga. menar att det möjligen är bäst att inledningsvis avvakta med att införa avgifter till dess verksamheten har nått en sådan omfattning att den själv kan bära kostnaderna för detta. Skälen för regeringens förslag: Det framstår som mest naturligt att låta tillsynsverksamheten finansieras genom avgiftsuttag från dem som berörs av verksamheten och för vilka den i vissa avseenden får anses vara till nytta. Det bör därför i lagen öppnas en möjlighet för regeringen eller efter regeringens bemyndigande tillsynsmyndigheten, att införa ett avgiftssystem. Frågan om och i vilken omfattning det är lämpligt att ta ut avgifter får sedan avgöras av regeringen. 9 Sekretessfrågor Regeringens förslag: Ett tillägg skall göras till 5 kap. 3 § sekretess- lagen för att tillgodose behovet av sekretesskydd för sådana koder o.d. som möjliggör kontroll av om data i elektronisk form har förvanskats. Promemorian: Frågan behandlades inte i promemorian. Regeringens förslag grundar sig i stället på betänkandet Elektronisk dokument- hantering SOU 1996:40 (se avsnitt 3). Utredningens förslag: Överensstämmer i huvudsak med regeringens förslag. Remissinstanserna: Flertalet av de remissinstanser som yttrat sig över promemorian lämnar frågan om behovet av sekretess utan kommentar. ombudsmän () kritiserar dock att promemorian saknar en diskussion om behovet av sekretessbestämmelser hos tillsynsmyndig- heten och menar att situationer skulle kunna uppkomma där sekretess- bestämmelser behövs. Flertalet av de remissinstanser som yttrat sig över betänkandet tillstyrker förslaget eller lämnar det utan erinran. menar dock att sekretessen borde vara tidsbegränsad. Skälen för regeringens förslag: Användningen av elektroniska sig- naturer på myndighetsområdet förutsätter att hemliga nycklar och anknytande uppgifter för bl.a. elektronisk signering och autenticering kan skyddas mot insyn. Behovet av sekretess kan finnas såväl hos till- synsmyndigheten som hos en statlig certifikatutfärdare eller något annat offentligt organ. Enligt 5 kap. 2 § sekretesslagen gäller sekretess för uppgift om säker- hetsåtgärd med avseende på bl.a. telekommunikation (punkt 3) och behö- righet att få tillgång till upptagning för ADB eller annan handling (punkt 4), om det kan antas att syftet med åtgärden motverkas om upp- giften röjs. Enligt 3 § samma kapitel gäller sekretess också för uppgift som lämnar eller kan bidra till upplysning om chiffer, kod eller liknande metod som har till syfte att underlätta befordran eller användning i allmän verksamhet av uppgifter utan att föreskriven sekretess åsidosätts, om det kan antas att syftet med metoden motverkas om uppgiften röjs. I den mån s.k. smarta kort eller liknande används så att signering och liknande sker i kortet utan att nyckeln exponeras, torde nyckeln inte anses vara förvarad hos myndigheten, eftersom den inte är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avslyssnas eller annars upp- fattas (2 kap. 3 § TF). När nyckeln är tillgänglig för överföring i uppfattbar form är den visserligen en allmän handling, men den är sekretessbelagd om den används på sätt som sägs i 5 kap. 3 § sekretesslagen. Används den för informationssäkerhet vid telekommunikation i t.ex. ett allmänt datanät eller i s.k. behörighetskontrollsystem kan i stället 5 kap. 2 § sekretess- lagen tillämpas. Beträffande säkerhetsåtgärder som är inriktade endast på att verifiera om en handling härrör från angiven utställare utan att bereda sekretesskydd, skydd för telekommunikation eller skydd för åtkomst till ADB-upptagningar torde det emellertid inte finnas någon tillämplig bestämmelse om sekretess. Detsamma gäller om hemliga koder m.m., utan att en viss utställare pekas ut, används för att skydda vissa data- mängder mot manipulation. Det är väsentligt för tilltron till elektroniska signaturer att sådana uppgifter kan hållas hemliga. Regeringen menar därför att det för sådana koder o.d. behövs ett skydd och föreslår ett tillägg till 5 kap. 3 § sekretesslagen om sekretess för koder m.m. som har till syfte att göra det möjligt att kontrollera om data i elektronisk form har förvanskats. I betänkandet föreslogs att ordet uppgifter skulle användas. På inrådan från Lagrådet föreslår regeringen dock att det mer adekvata begreppet data i elektronisk form används. Det begreppet används också i definitionen av elektronisk signatur (se avsnitt 6.3) Det saknas skäl att tidsbegränsa sekretessen. Av 16 kap. 1 § sekretesslagen framgår att den grundlagsskyddade rätten att fritt meddela uppgifter och underrättelser för publicering (meddelarfriheten) är begränsad när tystnadsplikten följer av bl.a. 5 kap. 3 § samma lag. Regeringen menar att meddelarfriheten bör begränsas även för de uppgifter som är aktuella. 10 Ikraftträdande Regeringens förslag: Lagen om kvalificerade elektroniska signaturer skall träda i kraft . Certifikatutfärdare som redan före ikraftträdandet utfärdar sådana certifikat som medför anmälningsplikt enligt 8 § skall dock inte behöva göra anmälan före . Vidare skall 15 § inte tillämpas i fråga om avtal som träffats före ikraftträdandet. Promemorians förslag: Överensstämmer i huvudsak med regeringens förslag. Remissinstanserna: iD2 Technologies anför att kvalificerade certifikat inte kan finnas förrän lagen trätt i kraft och att punkt 2 i den föreslagna övergångsbestämmelsen därför inte fyller någon funktion. Skälen för regeringens förslag: Enligt artikel 13 i direktivet skall medlemsstaterna sätta i kraft de bestämmelser i lagar och andra för- fattningar som är nödvändiga för att följa direktivet senast efter det att direktivet har trätt i kraft. Enligt artikel 14 träder direktivet i kraft som det offentliggörs i Europeiska gemen- skapernas officiella tidning, vilket skedde . Det skall således vara genomfört i medlemsstaterna . Den svenska lagen bör emellertid kunna träda i kraft . I promemorian angavs att certifikatutfärdare som redan före ikraft- trädandet utfärdar kvalificerade certifikat till allmänheten bör få rådrum att uppfylla kravet att anmäla verksamheten till tillsynsmyndigheten och att det därför borde anges att skyldigheten inträder först efter det att lagen trätt i kraft. Såsom iD2 Technologies anger i sitt remiss- yttrande kan det dock inte utfärdas några kvalificerade certifikat innan lagen trätt i kraft. Däremot kan det naturligtvis utfärdas certifikat som uppfyller alla krav och som så fort lagen träder i kraft skulle få kallas för kvalificerade. Sådana certifikat skulle utan en övergångsbestämmelse behöva anmälas . Regeringen föreslår därför att för sådana certifikat som medför anmälningsskyldighet enligt lagen skall anmälningsskyldigheten gälla först . Förslaget att 15 § som innebär att skadeståndsbestämmelsen är tvingande till förmån för den som förlitar sig på ett certifikat inte skall tillämpas på eventuella avtal som träffats före ikraftträdandet har tillkommit på inrådan från Lagrådet. Med hänsyn till att det endast i undantagsfall torde finnas ett sådant avtal i de öppna system som lagen avser (se avsnitt 6.2 och 6.9.2), torde bestämmelsen dock inte få någon större praktiskt betydelse. 11 Kostnader Regeringens bedömning: De föreslagna ändringarna torde inte leda till några ökade kostnader för det allmänna. Promemorian: Frågan behandlades inte i promemorian. Remissinstanserna: efterlyser en analys av förslagets betydelse för måltillströmningen i de allmänna förvaltningsdomstolarna. Kammarrätten i menar att en prövning av mål enligt lagen kan komma att ta i anspråk icke helt obetydliga resurser hos domstolen. Skälen för regeringens bedömning: Domstolsprövning med anledning av lagen förväntas bli ytterst begränsad och bedöms därför inte påverka förvaltningsdomstolarnas resursbehov. Den verksamhet som tillsynsmyndigheten skall bedriva enligt lagen kommer att finansieras genom avgifter. Regeringen bedömer att förslaget inte heller på något annat sätt kommer att leda till ökade kostnader för det allmänna. 12 Författningskommentar 12.1 Förslaget till lag om kvalificerade elektroniska signaturer Allmän bestämmelse 1 § I paragrafen lämnas upplysning om lagens syfte, huvudsakliga innehåll och tillämpningsområde. Angivandet av lagens syfte har tillkommit på förslag från Lagrådet och bidrar till att förklara valet av lagens namn. Lagen gäller sådana certifikatutfärdare som är etablerade i och som utfärdar kvalificerade certifikat till allmänheten (se avsnitt 6.2). Inga krav ställs alltså på certifikattjänster med ursprung i andra länder. Därigenom genomförs delvis artikel 4 i direktivet, som bl.a. stadgar att varje medlemsstat skall tillämpa de nationella bestämmelserna på tillhandahållare av certifikattjänster som är etablerade på dess territorium. Se även kommentaren till 7 §. Definitioner 2 § Paragrafen, som motsvaras av artikel 2 i direktivet, upptar definitioner av vissa begrepp som återkommer i lagen och har kommenterats utförligt i avsnitt 6.3. Beträffande elektronisk signatur kan anmärkas att lagtexten, liksom direktivet, inte begränsar sig till digitala data, vilket var fallet i kommis- sionens ursprungliga förslag till direktiv. Den helt övervägande delen av den praktiska tillämpningen av elektroniska signaturer kommer emeller- tid att avse digitala data. Definitionen torde inne- bära att alla elektroniska identifieringar som är logiskt knutna till ett elektroniskt meddelande omfattas, från biometriska identifieringsmetoder till enkla engångskoder. Även elektronisk post omfattas av begreppet. Med definitionen av undertecknare avses inte den som orättmätigt kommit över en anordning för signaturframställning, utan den som utpekas i certifikatet och som därmed rätteligen innehar anordningen. Signaturframställningsdata är vad som i det öppna nyckelsystemet benämns den hemliga nyckeln. En anordning för signaturframställning är den utrustning som används för att frambringa en elektronisk signatur. Anordningen använder signa- turframställningsdata och kan i praktiken utgöras av t.ex. ett s.k. smart kort där signaturframställningsdata finns lagrade. När en elektronisk sig- natur skall framställas förs kortet in i en kortläsare som är kopplad till en datamaskin och en särskild kod anges. På det sättet skapas viss garanti för att den elektroniska signaturen inte kan användas utan att innehavaren av kortet är närvarande. Signaturverifieringsdata motsvaras i det öppna nyckelsystemet av den öppna nyckeln. För att kunna använda en elektronisk signatur i ett öppet system, såsom Internet, där parterna inte känner varandra i förväg, finns det ett behov för parterna att kunna inhämta information om varandras signaturverifie- ringsdata (öppna nyckel). Ett certifikat innehåller uppgifter om vem som är innehavare av en elektronisk signatur. Certifikatet är ett elektroniskt intyg som anger sambandet mellan en undertecknares (nyckel- innehavares) identitet och dennes signaturverifieringsdata (öppna nyckel). Säkra anordningar för signaturframställning 3 5 §§ 3 § motsvarar artikel 2.6 samt bilaga III till direktivet. 4 § motsvarar artikel 3.5 och 5 § motsvarar artikel 3.4 och delvis artikel 4.2. Genom hänvisningen till bestämmelserna i lagen (1992:1119) om teknisk kon- troll genomförs också artikel 11.1.b delvis. Med uttrycket i praktiken menas att risken för att de signaturframställningsdata som avses skulle förekomma mer än en gång skall vara försvinnande liten. Bestämmelserna har behandlats i avsnitt 6.8. Kvalificerade certifikat 6 § Genom första stycket genomförs artikel 2.10 samt bilaga I till direktivet. Bestämmelsen behandlas i avsnitt 6.4. Av första punkten följer att det måste framgå av själva certifikatet att det är ett kvalificerat sådant. Det räcker alltså inte med att certifikat- utfärdaren bara anger detta i sin marknadsföring eller på annat sätt. I andra punkten i första stycket krävs det bl.a. att certifikatutfärdaren anger i vilket land utfärdaren är etablerad. Etableringslandet har bety- delse bl.a. för om certifikatutfärdaren omfattas av lagen. Dennes egna angivande av etableringsland är ett led i bedömningen av vilka nationella bestämmelser som är tillämpliga (jfr kommentaren till 1 §), vilket kan vara en viktig upplysning för den som skall förlita sig på certifikatet. I tredje punkten ges möjligheten att ange undertecknaren med en pseudonym, om det framgår att det är fråga om en pseudonym. Värdet av en sådan signatur kan emellertid antas vara begränsat. Det avgörande för om en mottagare skall förlita sig på en signatur torde vara att det omedel- bart framgår vem som innehar signaturen (jfr kommentaren till 17 §). Enligt fjärde punkten krävs att om det finns särskilda uppgifter om undertecknaren som är relevanta för ändamålet med certifikatet, så skall dessa anges. Det kan t.ex. vara fråga om certifikat som skall användas för kommunikation med vissa organisationer och det är väsentligt att ange kundnummer, försäkringsnummer eller dylikt. Kravet i femte punkten innebär att signaturverifieringsdata (den öppna nyckeln i PKI-lösningar) måste finnas i certifikatet.