sou · GXB386 · 2009-10-19 00:00:00 — v.vilka regler som ska tillämpas när nämnden eller någon som upphandlats av nämnden utfärdar intyg från en identitetsfederation, c.bestämma vilka e-legitimationer som ska godtas som Svensk e-legitimation, Svensk e-tjänstelegitimation, Svenskt server- certifikat och Svenskt stämpelcertifikat, d.verka för enhetliga användargränssnitt och hand- lingsmönster för legitimering och elektronisk underskrift m.m.och samordna och reglera funktioner för kontroll av identitet, e-legitimationer, certifikat och juridisk behörig- het, så att dessa funktioner blir enkla att förstå och förenliga med gällande rätt, och e.tillhandahålla funktioner åt myndigheter för legitimering, underskrift och stämpling och andra gemensamma elektro- niska tjänster. ha tillgång till teknisk och juridisk kompetens för att – på begäran – kunna ge sakkunnigt biträde genom utlåtande om en åtgärds riktighet, en handlings äkthet eller annan fråga som rör funktioner och tillit inom det samordnade området. 3.Personliga e-legitimationer och e-tjänstelegitimationer ska kunna användas inom hela den offentliga sektorn och utformas för att kunna användas även inom näringslivet. 4.Statliga myndigheter som tillhandahåller e-tjänster där an- vändare legitimerar sig eller skriver under med stöd av e- legitimation, ska använda de funktioner som samordning tillhandahåller, om det inte finns särskilda skäl för att identifiera och kontrollera äkthet eller behörighet eller utföra någon annan samordnad funktion i annan ordning. 5.Kommunala och landstingskommunala myndigheter, som har eller inför e-tjänster där användare legitimerar sig eller skriver under med stöd av e-legitimation, bör också kunna använda de funktioner som samordningsfunktionen tillhandahåller. 6.Programvaror för användarnas kontakter med myndigheternas e-tjänster samt infrastrukturtjänster för identitetsfederation, underskriftshantering, utfärdande av e-legitimationer och spärrkontroll och gemensamma elektroniska tjänster m.m. ska utformas så att de görs förenliga med öppna standarder och i övrigt ger stöd för teknisk interoperabilitet. upphandla tjänster för kontroll av elektronisk identitet och elektronisk underskrift utifrån motsvarande principer för valfrihet som tillämpas enligt lagen (2008:962) om valfrihetssystem. Samordningsfunktionen ska tillhandahålla dessa tjänster åt myndigheter enligt författning. D. Integritetsskydd och informationssäkerhet, m.m. E-legitimationer, elektroniska underskrifter, identitetsfedera- tioner och tillhörande funktioner ska utformas med ut- gångspunkt från att ett starkt skydd ska ges för den personliga integriteten och för informationssäkerheten. , federationslösningen och anknytande funktioner som delegationen föreslagit behöver regleras i författning. Dessa och en enhetlig terminologi behöver närmare redovisas i de författningsförslag som utarbetas. genom en ändring i förordningen (2007:780) med instruktion för . Där föreskrivs att beslut i vissa frågor ska fattas av en särskild nämnd. I förordningen ges regler om nämndens sammansättning och under vilka förutsättningar den är beslutför samt information om vissa regler i förvaltningslagen. Delegationens föreslag till strategi för myndigheternas fortsatta arbete och förslaget att i förordning ge grundläggande föreskrifter för området behöver förenas med konkreta förslag till författnings- Detta gäller för såväl samordningsfunktionen som federationslösningen och anknytande funktioner som delegationen i förenklingssyfte föreslår att myndigheter ska kunna ta i bruk, utan att respektive myndighet behöver sluta avtal med de privat- rättsliga subjekt som tillhandahåller de grundläggande tjänsterna. Från praktiska utgångspunkter framträder här en icke önskvärd bild utifrån en jämförelse med de hinder och den tidsutdräkt som följde när tekniker, verksamhetsutvecklare, jurister och beslutsfattare m.fl. skulle förstå och skapa en gemensam bild av e- legitimationer och tillhörande infrastruktur. Federationslösningen befinner sig på motsvarande sätt i stöpsleven och för denna typ av lösning finns inte ens några vedertagna svenska begrepp. Variationsmöjligheterna vid ett införande är betydande. Därför behöver vissa avgränsningar göras för att kunna föreslå regler på området. Den från författnings- och begriplighetssynpunkt enklaste fråg- an tas upp först, nämligen hur en reglering för att etablera den föreslagna samordningsfunktionen bör utformas. Därefter ges en beskrivning av federationer och föreslås en terminologi för området, följd av ett förslag till reglering i förordning. 7.6.3Etableringen av ett samordningsfunktion Behoven av en samordningsfunktion har redan redovisats. Det har också föreslagits att en sådan funktion ska inrättas som en själv- ständigt beslutande nämnd inom , att nämnden bör - svara inför ledning men att det bör ha ett självständigt ansvar för fattade beslut. Samordningsfunktionen bör etableras genom ändringar i förordningen (2007:780) med instruktion för , där det bör föreskrivas att beslut i vissa frågor ska fattas av en särskild nämnd, . Av betydelse för hur en sådan funktion ska regleras blir bl.a. myndighetsförordningen (2007:515), det av Utredningen om översyn av verksförordningen avlämnade betänkandet Från verksförordning till myndighetsförordning (SOU 2004:23) samt förvaltningskommittés slutbetänk- ande Styra och ställa – förslag till en effektivare statsförvaltning (SOU 2008:118). Härav framgår att det inte finns några generella instruktioner för i vilka fall en enhet bör ges formen av en egen myndighet respektive när den bör utformas som en egen funktion eller organ inom en myndighet. Enligt den bedömning som förvaltningskommitté gjort i sitt slutbetänkande ska särskilda beslutsorgan användas restriktivt, först efter att fördelarna noga vägts mot nackdelarna.12 Utredningen om översyn av verksförord- ningen uppmärksammade endast i förbigående att exempel finns på organ inom myndigheter där uppgifterna är av sådan karaktär att det kunde ha varit lämpligt att organet utgjort en självständig myndighet.13 Det nämndes bl.a. att det kan vara mindre lämpligt att ett organ inom en myndighet har ett uppdrag som inte omfattas av myndighetens övergripande uppdrag, utövar tillsyn över myndig- heten14 eller ger instruktioner till eller på liknande sätt griper in i myndighetens verksamhet.15 Som skäl för att det skulle vara mera passande med ett organ inom en myndighet jämfört med en egen myndighet nämns när kollektivt beslutsfattande bör införas och att en organisation som särskilt organ under en myndighet ger möjlig- het för organet att koncentrera sig på sakfrågor.16 Som redovisats finns det betydande fördelar med att placera de aktuella funktionerna under en befintlig myndighet som har erfor- derlig teknisk infrastruktur och specialistkompetens för uppgifter av berört slag. Dessa effektivitets- och kostnadsvinster med en funktion inordnad under måste anses överväga eventuella vinster bestående i det oberoende som skulle motivera ett nytt opartiskt organ. Det övergripande regelverket för alla centrala förvaltningsmyn- digheter är myndighetsförordningen (2007:515). Utöver vad som där sägs om personalansvarsnämnd finns emellertid inga före- skrifter om särskilda organ under en myndighet. Istället anges normalt i myndighets instruktion att det organet ska finnas, vilka uppgifter och vilket ansvar det ska ha samt antal ledamöter i organet och hur dessa utses. Regeringens styrning av särskilda organ varierar. Det före- kommer att regeringen inte bara bestämmer organets uppgifter 12SOU 2008:118 s. 138. 13SOU 2004:23 s. 158. 14Som framgått ovan är en avgörande skillnad mellan en myndighet och ett organ inom en myndighet att en myndighet, till skillnad från ett organ inom myndigheten, ansvarar inför regeringen. 15Som exempel kan nämnas att det för att öka rättsäkerheten och säkra likabehandlingen skapats en egen myndighet fristående från för att utöva tillsyn över arbetslöshetsförsäkringen (prop. 2001/02:151 s. 52 och Ds 2001:75). 16Jfr SOU 2004:23 s. 129. utan även utser ledamöter och ordförande.17 Ett sätt för regeringen att försäkra sig om en särskild sammansättning vid visst besluts- fattande, som förvaltningskommitté nämner, är att i berörd myndighets instruktion ange den sammansättning i vilken en fråga ska hanteras eller att samråd ska ske med vissa berörda intressenter.18 Av vikt för här aktuella frågor är att samordningsfunktionens ledamöter har tillräcklig sakkunskap och kompetens på området. Detta gäller för hela det område som organet föreslås svara. Bland ledamöterna bör dessutom finnas representanter från såväl statliga som kommunala organ, liksom representanter med olika erfarenhet och bakgrund. Som berörts ovan har arbetet med frågor kring e- legitimationer krävt omfattande tid och resurser. I ljuset härav finns skäl att föreskriva att nämndens ledamöter ska ha särskild sakkunskap och erfarenhet från berört område. En lämplig sammansättning är enligt e-delegationens mening att minst två ledamöter ska vara jurister eller verksamhetsansvariga med särskilda kunskaper och erfarenheter från att införa regler på området och att två ska ha särskilda kunskaper och erfarenheter rörande tekniska tillämpningar på området. En av de frågor som förvaltningskommitté uppmärk- sammade var att problem kan uppkomma i relationen mellan en myndighets ledning och den särkskilda beslutsfunktion som är organiserat under myndigheten, bland annat på grund av att funktionen fattar egna beslut, medan myndigheten ytterst ansvarar för dess verksamhet.19 För att förebygga detta bör relationen och ansvarsfördelningen mellan myndigheten och den särskilda funktionen regleras tydligt i myndighetens instruktion.20 Nämnden bör ansvara för och fatta beslut i frågor som regleras i en särskild förordning; den föreslagna ändringen i förordningen (2003: 770) om statliga myndigheters elektroniska informations- utbyte. Detta bör framgå av förordningen (2007:780) med instruktion för . Nämndens ansvarsområde blir genom denna hänvisning tydligt avgränsat, utan att dess uppgifter behöver specificeras i instruktion. Utredningen om översyn av verksförordningen föreslog att det i verksförordningen skulle föreskrivas följande: 17SOU 2008:118, bilaga 7 s. 244. 18SOU 2008:118, bilaga 7 s. 246. 19SOU 2008:118, bilaga 7 s. 245. Om regeringen har föreskrivit att det inom myndigheten skall finnas ett särskilt organ, beslutande eller rådgivande, är organet ansvarigt för sin verksamhet inför myndighetens ledning. Det särskilda organet har dock ett självständigt ansvar för de beslut som fattas inom organet. Myndighetens ledning är inför regeringen ansvarig för att det särskilda organet tilldelas medel och resurser i övrigt för sin verksamhet samt för att verksamheten bedrivs på sätt som anges i 6 §. Bestämmelsen kom emellertid inte att inflyta i verksförordningen. Skälet till detta torde ha varit att frågan ansågs behöva regleras separat i varje myndighets instruktion. Som Utredningen om över- syn av verksförordning påpekar behövs dock en sådan regel, vilket stämmer överens med förvaltningskommittés påpekanden om vikt av tydlighet i ansvarshänseende. På motsvarande sätt bör det uttryckligen framgå om nämnden är rådgivande eller beslutande.21 Regler av detta slag bör alltså tas in i instruktion. Slutligen bör det uttryckligen anges när nämnden är beslutför. Med beaktande av vad som sagts ovan om behov av kompetens och sakkunskap bör nämnden inte vara beslutför om inte ordförande eller vice ordförande är närvarande. I övrigt föreslås att förvaltningslagens regler om omröstning m.m. gälla. Arbetet med frågor om identifiering i elektronisk miljö har blivit alltmer intensivt. En expertgrupp inom på området för in- formationssäkerhet och persondataskydd har tagit fram en rapport om elektronisk identitetshantering där de generella koncept och frågor som aktualiserats vid elektronisk identitetshantering har redovisats (DSTI/ICCP/(2008)10/FINAL). Här finns inte utrymme för en sådan generell genomgång. Beskrivningen begränsas därför till den syn på federationer som föreslås för svenska myndighetstjänster. För att underlätta förståelsen för redan aktiva på området lämnar vi en kort jämförelse med dagens användning av e-legitima- tioner. 21 Jfr SOU 2004:23 s. 156 ff. E-legitimationer och PKI jämfört med en federationslösning En förenklad beskrivning av skillnader mellan traditionell använd- ning av e-legitimationer – en s.k. Public (PKI) – och den struktur för federationer som föreslås visar det sig att det centrala för PKI är elektroniska legitimationshandlingar; s.k. e-legi- timationer eller certifikat som de kallas med en mera teknisk term. De ges ut av s.k. certifikatutfärdare (CA), som med hjälp av e- legitimationen knyter individen till ett för individen unikt nyckelpar. Detta nyckelpar gör det, förenklat beskrivet, möjligt att identifiera användaren elektroniskt. En CA identifierar emellertid innehavare endast när legitimationen ges ut. Därefter tillhandahål- ler CA funktioner för spärrkontroll, t.ex. spärrlistor eller en kon- trollfunktion on-line så att den förlitande parten kan kontrollera att individen är den han eller hon utger sig för att vara; jfr att kontrollera identitet genom att granska någons utseende mot en vanlig legitimation. Vid identifiering med stöd av en federationstjänst tar förlitande part däremot inte del av någon legitimation för att avgöra vem an- vändaren är. Tillhandahållaren av federationstjänsten gör kon- trollerna åt förlitande part och lämnar ett elektroniskt intyg i varje enskilt fall med uppgift om vem som identifierats. Förlitande part behöver endast ta del av intyget och överväga om uppgifterna från federationstjänsten kan anses trovärdiga. På motsvarande sätt identifierar sig individen i varje enskilt fall för den som tillhanda- håller federationstjänsten – inte för den som tillhandahåller t.ex. en e-tjänst – och identitetskontrollen utförs genom federations- tjänsten. Till dessa skillnader kommer att signaturdirektivet22 och signa- turlagen tar sikte på elektroniska underskrifter – inte identifiering (eller, mera korrekt beskrivet, legitimering för att förlitande part ska kunna identifiera innehavaren med stöd av den av CA utfärdade e-legitimationen). För federationer gäller istället att intygen från en federationstjänst vanligtvis inte har utformats för att stödja elek- tronisk underskrift utan endast för att den som levererar tjänsten på ett enkelt och standardiserat sätt ska kunna lämna en elektronisk handling till förlitande part med vissa uppgifter rörande viss individ. Detta utesluter emellertid inte att en federationstjänst 22 och rådets direktiv /93/EG av om ett gemenskapsramverk för elektroniska signaturer. skulle kunna ge visst stöd även för elektronisk underskrift eller rättshandlingar genom identifiering för uppgiftslämnande. Som ett resultat av att införa federationstjänster skulle myn- digheter som tillhandahåller e-tjänster enkelt kunna införa olika lösningar för att identifiera användaren i sin tjänst, såväl e-legitima- tioner som t.ex. dosor för engångslösenord och kodbrickor. För förlitande part räcker det att kunna hantera de intyg som översänds från federationstjänsten i varje enskilt fall. För att delegationen ska kunna lämna tydliga och konkreta förslag behövs begrepp för de funktioner som ska finnas inom en federa- tionslösning och gemensamma beskrivningar så att en enhetlig förståelse kan nås. Delegationen förordar följande begrepp och beskrivningar för en svensk federationslösning. En identitetsfederation eller kort och gott en federation kan be- skrivas som en infrastruktur som gör det möjligt för förlitande parter att ha tilltro till uppgifter om identitet m.m. som lämnas i elektroniska intyg. Det är alltså fråga om en samordnad funktion för identifiering av individer inom en gemensam identitetsstruktur. Varje identitetsfederation behöver ha ett regelverk som gäller för de identitetsintygsgivare och förlitande parter som ingår i federa- tionen. Inom en federation ska dessutom en gemensam profil användas för att beskriva identitet m.m. För att stödja e-tjänster ska federationer skapas för identifiering av individer 1.som agerar för egen räkning, respektive 2.är knutna till organisationer. Dessa federationer ska tillhandahålla federationstjänster för identifiering och bör kunna utvidgas till att stödja kontroller av elektroniska underskrifter. Högst i den hierarki som styr en federation finns den s.k. federations- samordnaren; dvs. den som bestämmer vilka regler och vilka identitetsprofiler som ska tillämpas inom federationen. Bland de regler och krav som ska bestämmas kan nämnas vad som 1.utgör en godkänd identifiering, med eller utan e-legitimation, av individ, 2.är en för federationen godkänd e-legitimation, 3.krävs av en förlitande e-tjänsteleverantörer för att ta del av identitetsintyg – s.k. biljetter enligt standarden SAML23 – från identitetsintygsgivare () som är anslutna till federationen 4.kan användas som identitetsprofil i form av en specifikation för att beskriva den legitimerade individens identitet m.m., 5.krävs av identitetsintygsgivare () som utfärdar identitets- intyg inom federationen, och 6.krävs av en anvisningstjänst () som dirigerar användare till lämplig identitetsintygsgivare för att bli identifierad mot en e-tjänst. Federationssamordnaren ska även säkerställa att det grundläggande behovet av identitetsintygsgivare, anvisningstjänster och register över godkända identitetsintygsgivare, anvisningstjänster och e-tjän- steleverantörer finns tillgängliga så att federationen kan tillhandahålla lämpliga federationstjänster. En registerhållare för ett register över ett eller flera attribut som definieras i federationens identitetsprofil, t.ex. SPAR för person- nummer och för uppgift om firmatecknare i aktiebolag. Vid kontroll av om en person som innehar en e-tjänstelegi- timation är firmatecknare i ett aktiebolag bör som exempel Bolags- verket utgöra registerhållare eftersom verket enligt lag för det register som har rättsverkan. Ska innehavaren av e-tjänste- 23 Security Assertion Markup Language (SAML 2.0) är en XML-baserad standard för utbyte av information för identifiering och bemyndiganden mellan en IdP och en förlitande part (tillhandahållare av elektroniska tjänster). legitimationen istället agera med stöd av fullmakt kan registret istället föras av någon som på civilrättsliga grunder hanterar fullmakten, t.ex. återkallelser. Här kan register av annat slag också aktualiseras, t.ex. över läkare eller andra med roller som för sär- skilda fall för med sig viss verkan. Under federationssamordnaren finns identitetsintygsgivare () som har till uppgift att på uppdrag av en e-tjänsteleverantör utfärda elektroniska identitetsintyg. Procedurerna skiljer sig mellan federationstjänster som stöder identifiering respektive kontroll av elektroniska underskrifter eller juridisk behörighet och liknande. Vid identifiering specificerar e-tjänsteleverantören vilka upp- gifter om identitet m.m. som ska intygas samt vad som krävs för att en godtagbar identifiering ska anses ha skett. Identitetsintygs- givaren identifierar användaren med en godkänd lösning och in- hämtar när så efterfrågas identitetsattribut från lämplig registerhål- lare och returnerar dessa i ett identitetsintyg. Den som till- handahåller en e-tjänst som stöds av en federation kan välja mellan att i samverkan med användaren av e-tjänsten identifiera lämplig identitetsintygsgivare eller att hänvisa användaren till en anvis- ningstjänst med uppgift att dirigera användaren till en lämplig identitetsintygsgivare. När stöd ska ges för kontroll av elektroniska underskrifter specificerar e-tjänsteleverantören vilken e-legitimation som använts för att kontrollera den elektroniska underskriften samt vilka identitetsattribut som ska intygas i det begärda identitetsintyget. Identitetsintygsgivaren hämtar om så behövs efterfrågade identi- tetsattribut från registerhållare och tar in dem i identitetsintyget. Förlitande part (FP) Förlitande part tillhandahåller elektroniska tjänster (e-tjänster) och är den enda part som, med undantag av användaren själv, får begära och erhålla identitetsintyg. En e-tjänsteleverantör måste godtas av federationen för att få vara mottagare av identitetsintyg. Det ska dessutom finnas regler och rutiner så att identitetsuppgifter lämnas ut endast till förlitande parter som hanterar personuppgifter på ett godtagbart sätt. Användaren är den individ som för egen räkning eller som företrädare för annan identifieras eller lämnar en elektroniskt underskriven handling till en e-tjänsteleverantör. Den som tillhandahåller en e-tjänst som stöds av en federation kan välja mellan att i samverkan med användaren av e-tjänsten identifiera lämplig identitetsintygsgivare eller att hänvisa använda- ren till en anvisningstjänst med uppgift att dirigera användaren till en lämplig identitetsintygsgivare. En samlad bild över begrepp och aktörer Med utgångspunkt från dessa beskrivningar kan föreslagna begrepp ställas samman på följande sätt. 1.Användaren ansluter till en e-tjänst och accepterar e-tjänstens begäran om legitimering. 2.Användaren vidarebefordras av e-tjänsten till en anvisnings- tjänst. 3.Anvisningstjänsten bestämmer, utifrån användarens förmåga och e-tjänstens krav, vilken identitetsintygsgivare som är bäst lämpad för legitimering och anvisar användaren till denna intygsgivare. 4.Användaren legitimerar med en e-legitimation eller identifierar sig på annat sätt för anvisad identitetsintygsgivare och erhåller ett elektroniskt stämplat identitetsintyg efter det att identitets- intygsgivaren har verifierat användarens e-legitimation samt när så behövs har inhämtat uppgifter från en registerhållare. 5.Identitetsintyget överlämnas till e-tjänsten som bevis om att en godkänd identifiering ägt rum. Identifiering av individ med stöd av identitetsintygsgivare () En identitetsintygsgivare inrättas som kan kontrollera alla typer av e-legitimationer som myndigheterna godtar . Denna IdP sluter avtal med utfärdarna av dessa e-legitimationer för att med stöd av dem kunna identifiera användare och kontrollera underskrifter. Denna IdP ges i uppdrag att också sluta avtal med andra utfärdare av e-legitimationer, identitetsintygsgivare och registerhållare som ska ingå i den federationslösning som införs. Identifiering av individ som företräder annan Situationen blir mer komplicerad när den individ som identifieras agerar i egenskap av företrädare för annan, t.ex. en juridisk person eller en släkting. Vid e-tjänstelegitimering bör en rad olika e- legitimationer av delvis skiftande art godtas – allt från personliga e- legitimationer utgivna av nuvarande ramavtalsleverantörer, befint- liga lösningar inom myndigheter och organisationer som exempel- vis SITHS-certifikat24 till nya e-tjänstelegitimationer, som införs för att tillgodose behovet av e-tjänstelegitimationer för såväl små som stora organisationer. En av de uppgifter som identitetsintygsgivaren ska förmedla är en juridiskt relevant koppling till en organisation. Uppgifter av detta slag behöver tillhandahållas från olika källor. Uppgift om firmatecknare lämnas normalt av registerförande myndighet. I andra fall kan uppgifter tillhandahållas av en aktör som har fullmakter i sitt förvar (eller av organisationen själv). Antalet informationskällor kan leda till att många identitetsintygsgivare kan behöva delta i federationen. Detta ställer speciella krav på anvisningstjänster. Med elektronisk identifiering i tjänsten följer dessutom behov av reservförfaranden, t.ex. när en anställd glömt sin legitimation hemma, och ett tillfälligt reservkort behöver registreras. Elektronisk identifiering för att agera för en juridisk persons räkning för med sig ytterligare identitetsattribut där bl.a. personlig identifierare kan ersättas med organisationsnummer i förening med anställningsnummer eller liknande.