sou · GXB386 · 2009-10-19 00:00:00 — Samordningsfunktionen upphandlar och utformar system och tjänster för det samordnade området, föreskriver eller annars bestämmer regler för området, vilka e-legitimationer som godtas som Svensk e-legitimation, Svensk e-tjänstelegitimation, Svenskt servercertifikat och Svenskt stämpelcertifikat och utvecklar enhetliga användargränssnitt. Samordningsfunktionen tillhandahåller dessutom funktioner åt myndigheter – inom hela den offentliga sektorn – för legitimering, underskrift och stämp- ling. ges stöd för motsvarande utveckling inom näringslivet. Lösningarna ska omfatta även den som är underårig eller saknar personnummer. Det föreslagna samordningsfunktionen ska dessutom ha tillgång till teknisk och juridisk kompetens på området och verka för att använda programvaror görs enhetliga. Statliga myndigheter ska normalt använda de funktioner som samordningsfunktionen tillhandahåller. Detsamma bör kunna gälla för kommunala och landstingskommunala myndigheter. Som framgår av avsnitt 7.1 har dagens försörjningsmodell fört med sig frågor om brister i affärsmodellen och lösningarna för upp- handling. Verva har i sitt arbete sammanfattat dessa frågor under rubrikerna Funktion och legitimitet, Affärsmässig mångsidig- het och Teknisk mångsidighet. Med funktion och legitimitet menas här att alla ska kunna anskaffa en e-legitimation, att e- legitimationen ska vara välkänd, lättanvänd, ha hög legitimitet, gå att använda även utanför , vara öppen för privata e-tjänster, vara känd för hög kvalitet och säkerhet samt ge skydd för användares personliga integritet. Med affärsmässig mångsidighet menas att lösningen ska vara öppen för olika finansieringsmodeller och olika klasser av legitimationer medan teknisk mångsidighet betyder att lösningarna ska följa öppna standarder, kunna användas för kommunikation över nationsgränser, vara anpassade för skyddet av användares personliga integritet och för användning av personer med funktionsnedsättningar samt kunna införas för e- tjänster utan att förlitande myndigheter behöver anpassa sina gränssnitt och hantera kompletterande information om användare, t.ex. om behörighet. Stöd ska ges för såväl kvalificerade som avan- cerade elektroniska signaturer och begreppen Svensk e-legitimation och Svensk e-tjänstelegitimation ska införas och definieras. En samordningsfunktion kan delvis lösa berörda komplikation- er. Samordningsfunktionen ska ta fram och tillhandahålla funk- tioner och tjänster åt anslutna myndigheter, hantera förhållandet till utfärdare på ett för såväl förvaltningen som användarna sam- manhållet sätt och utgöra en europeisk kontaktpunkt; en s.k. Trusted Node. Nya och attraktiva e-tjänster ska införas. En och samma e-legitimation ska kunna användas för kontakter med hela den offentliga sektorn och i e-tjänster som tillhandahålls av näringslivet. Det behövs ett användarcentrerat synsätt för att lyckas med detta och e-tjänster ska kunna användas oberoende av funktionshinder. 7.5.2Det område som samordnas Det behöver klargöras vad som ska omfattas av en samordning – i det följande det samordnade området – för att beslut ska kunna fattas om en samordningsfunktion, vilka tjänster som en sådan funktion ska tillhandahålla och hur myndigheterna i övrigt ska hantera federationstjänster och e-legitimationer m.m. på ett långsiktigt hållbart sätt. Delegationen uppmärksammar behovet av en tydlig målsättning för svensk infrastruktur på området. Delegationen föreslår, som redovisas i avsnitt 7.2, att målsättningen för arbetet med en svensk infrastruktur bör vara att befintlig och ny teknik ska användas för att – på det sätt som är mest effektivt – förse myndigheter och an- vändare med de funktioner som behövs och att dessa rutiner ska kunna göras enkla att förstå och förenliga med gällande rätt, utan omfattande författningsändringar och utbildningsinsatser. Denna målsättning bör omfatta lösningar för både fysiska och juridiska personer, såväl med svensk hemvist respektive etableringsort, som med utländsk sådan när aktörer som hör hemma utanför har behov av att nå svenska myndigheters e-tjänster. Samordningsfunktionen bör ges uppgiften att upphandla och utforma system och tjänster för det område som samordnas samt föreskriva eller annars bestämma de regler som ska gälla och vilka e-legitimationer som ska finnas. Samordningsfunktionen bör dessutom se till att de användar- gränssnitt som myndigheter använder för legitimering, underskrift och stämpling m.m. blir enhetliga. Dessa gränssnitt och funktioner bör användas inom hela den offentliga sektorn och vara möjliga att bruka även inom näringslivet. Samordningsfunktionen ska också tillhandahålla funktioner åt myndigheter för legitimering, under- skrift och stämpling som kan tas i bruk i deras e-tjänster samt utföra tidsstämpling åt anslutna myndigheter. Samordningsfunktionen ska vidare ha tillgång till teknisk och juridisk kompetens på området och verka för att använda program- varor görs enhetliga. Statliga myndigheter ska normalt använda de funktioner som samordningsfunktionen tillhandahåller. Detsamma bör gälla för kommunala och landstingskommunala myndigheter. En teknisk strategi för e-legitimationer, elektroniska underskrifter och anknytande funktioner bör förverkligas i med stöd av den föreslagna samordningsfunktionen, genom i huvudsak följande åtgärder. Fortsatt drift av befintliga system: De system som finns för legiti- mering och elektronisk underskrift bör bibehållas och utvecklas så att nuvarande och framtida behov tillgodoses. Befintliga system synes – med undantag för komplikationer rörande personer som inte har hemvist här samt alternativa krav på affärsmodell – kunna täcka de behov som finns av personliga e-legi- timationer och stämpelcertifikat inom offentlig sektor. Ett fortsatt stöd för befintliga system bör emellertid inte medföra att nya lösningar från marknaden hindras, om de kan accepteras av en samordningsfunktion. bör hanteringen av befintliga system förenklas och moderniseras med stöd av funktioner som samordningsfunktionen tillhandahåller, t.ex. federationer. Federationer: Tjänster för identifiering med stöd av federationer bör införas. Samordningsfunktionen ska införa funktioner och rutiner för att stödja myndigheternas identitetskontroller, godta tekniker för elektronisk legitimering och identifiering som samordningsfunktionen har godkänt som svensk e-legitimering och utfärda elektroniska intyg enligt lämplig öppen standard för federationstjänster, om (a) fysisk persons identitet, (b) juridisk persons identitet och (c) anknytning till organisation och behörig- het m.m. Harmoniserade rutiner för kontroll: Samordningsfunktionen ska sträva efter att identiteter, e-legitimationer och elektroniska under- skrifter ska kunna kontrolleras med hjälp av en enhetlig teknisk infrastruktur så att infrastrukturen för federationer kan användas inte bara vid legitimering utan även för kontroller av elektroniskt underskrivna eller stämplade handlingar. Svensk e-tjänstelegitimation: Samordningsfunktionen ska upp- handla en lösning för svensk e-tjänstelegitimation, med informa- tion om organisationstillhörighet, så att sådana kan ges ut till personer som har anknytning till företag och organisationer som är registrerade i . Själva legitimationen ska inte innehålla uppgift om behörighet att företräda organisationen eftersom sådana uppgifter kan hanteras genom den föreslagna federationen. Till lösningen ska höra sådana reservrutiner att användare kan sköta sina arbetsuppgifter även vid tillfällig eller varaktig förlust av e- tjänstelegitimationen. Enhetliga användargränssnitt: Samordningsfunktionen ska verka för att användare i olika e-tjänster ska möta enhetliga användar- gränssnitt för federationstjänster, elektronisk legitimering och elektroniska underskrifter. Denna samordning ska i huvudsak ske genom att samordningsfunktionen utreder i vilken mån mark- nadens standardlösningar för klientgränssnitt kan tillämpas7 och förmår aktörerna eller i upphandlingar kräver att de ska införa en gemensam klient för dessa funktioner. bör arbetet för enhetliga användargränssnitt fördjupas med avseende på dialogen mellan e-tjänster och användarna av dem. Det bör övervägas om e- legitimationer kan förenas med en användarvänlig visuell presentation så att bl.a. användningsområde, utfärdare och innehavare kan utläsas intuitivt och begripligt. Internationell samverkan: Samordningsfunktionen skall verka för internationell samverkan och utveckling av standardisering samt verka för att de svenska lösningarna i möjligaste mån anpassas så att svenska e-tjänster kan tillhandahållas åt medborgare i andra EU-länder och att t.ex. personer i kan ges tillgång till e- tjänster i andra EU-länder.8 Standardisering: En harmoniserad infrastruktur för e-legitima- tioner och elektroniska underskrifter bör bygga på befintliga öppna standarder, profiler för tillämpning av befintliga standarder samt utveckling av nya öppna standarder där det behövs för att uppnå långsiktiga mål. Tidsstämpling: Samordningsfunktionen ska säkerställa tillgång till en tidsstämplingstjänst för att visa ett dokuments eller en elek- tronisk underskrifts existens , t.ex. i samband med mottagning och kontroll av elektroniska underskrifter eller stämplar. Denna funktion ska utformas för att förenkla långtids- lagring och möjliggöra enhetliga och förutsägbara rutiner. 7Flera medlemmar av har utvecklat s.k. klienter, s.k. Selector program. En svaghet med dessa klienter är att de enbart inriktar sig på legitimering, bygger på idén om den aktiva användaren som aktivt väljer vilka identitetsattribut som ska styrkas (claims) samt tillämpar WS-Trust som protokoll istället för ren SAML. Det är viktigt att noga väga behovet av skräddarsydda lösningar mot nödvändigheten att till viss del acceptera de lösningar som marknadsledande IT leverantörer enas om. 8De strategiska EU projekten , PEPPOL or epSOS bör följas i syfte att anpassa den svenska infrastrukturen till dessa projekt och dess piloter samt till strategiska projekt i grannländer. 7.5.4Delegationens allmänna bedömning av en federationslösning Ett antal projekt och aktiviteter inom använder federa- tionstjänster som en gemensam bas för att skapa teknisk inter- operabillitet i den komplexa av lösningar för elektronisk identifiering.9 Funktioner av detta slag gör det möjligt att införa en enhetlig lösning i för identifiering i e-tjänster och att uppnå den flexibilitet som aktörerna efterfrågar. Med stöd av den föreslagna samordningsfunktionen blir det möjligt att in- föra en gemensam infrastruktur som gör det möjligt att bibehålla och utveckla nuvarande lösningar, medan användarna utifrån en federationslösning kan ges ett enhetligt användargränssnitt för identifiering i e-tjänster. Användarna kan härvid tillåtas att legi- timera sig med många olika typer av e-legitimationer. Symmetriska lösningar, t.ex. med dosa för engångslösenord, kan också godtas om de administreras så att de ger en tillräcklig säkerhetsnivå.10 En federationslösning kan dessutom tillgodose användarnas behov av reservrutiner genom att t.ex. en tillfällig e-legitimation enkelt kan kopplas till en individ. Den standardiserade hanteringen inom federationstjänster av intyg om identitet kan också användas för anknytande uppgifter om t.ex. behörighet eller reglerad befattning såsom läkare eller advokat och därmed hantera kontroller oberoende av om användaren agerar för egen eller för en orga- nisations räkning. En utmaning är emellertid hur behovet av elektroniska under- skrifter ska kunna tillgodoses. Kan federationslösningen inte an- vändas för kontroll av underskrifter måste en annan, parallell teknisk lösning införas. Den lösning som skapas bör både ta tillvara på den federationslösning som införs som man beaktar krav på långtidslagring av elektroniska underskrifter. Här kan ledning hämtas från det arbete som bedrivs i och 9Exempelvis har ledande utvecklat lösningar för den s.k. Infor- mation Card tekniken – en teknik som bygger på federation med användaren i centrum. EU- kommissionens ansträngningar på området för identifiering genom pilotförsök inom är helt baserade på federationer. Vidare har universiteten genom projektet , som är byggt på federationer, varit framgångsrika i sina ansträngningar att skapa en gemensam infrastruktur för identifiering. Som Verva redovisat stöds dessa rutiner numera av en standardiserad och spridd teknisk lösning betecknad SAML 2.0. 10Med symmetrisk lysning menas här att den som utfärdar den elektroniska identiteten åt användaren också har tillgång till den hemlighet – t.ex. ett lösenord, en s.k. skrapkod eller ett engångslösenord från en dosa – som användaren brukar för att visa sin identitet; jfr däremot de asymmetriska lösningarna för e-legitimationer med en publik och en privat nyckel. samt pågående standardiseringsarbete inom inter- nationella organ. Särskilt intressant är möjligheten att med stöd av tidsstämpling och notariatsfunktioner kunna begränsa behovet av att på nytt, , kontrollera den elektroniska underskriftens äkthet. Här kan det räcka med ett elektroniskt stämplat intyg om att underskriften har kontrollerats initialt och redan då visat sig vara äkta. En förnyad kontroll kan grundas på stämpeln, istället för en mängd olika utfärdares e-legitimationer, spärrkontrollfunktioner och anknytande information som myn- digheter knappast kan bevara , i vart fall inte sett ur ett inter- nationellt perspektiv. En sådan lösning är delvis densamma som förordas av i rapporten underskrivna handlingar (2006:1). 7.5.5Delegationens förslag till inriktning Med utgångspunkt från den redovisade bedömningen av vilken tek- nisk strategi som drivs internationellt och har valts av utvecklings- projekt inom Europeiska unionen återstår det att avgöra hur det samordnade området bör avgränsas för svensk del och vilken inriktning e-förvaltningens arbete bör ges på området. En strategi för en långsiktigt hållbar infrastruktur på området kräver ett samlat grepp där regeringen – utöver ett införande av en samord- ningsfunktion och en reglering i författning – tar ställning till vissa grundläggande frågor. Med hänsyn till den centrala roll som den föreslagna samord- ningsfunktionen avses ha och att regeringens beslut om inriktning för arbetet måste ges en konkret utformning, framstår det som lämpligt att delvis beskriva det samordnade området utifrån vad samordningsfunktionen ska göra. En uppgift för denna funktion bör vara att upphandla system och tjänster som ska tillhandahållas i enlighet med den i avsnitt 7.4 berörda författningsregleringen. Härigenom undgås den omväg, kring avrop och avtalsslut för varje myndighet, som har fört med sig en omfattande och kostsam admi- nistration. Genom att samordningsfunktionen tillhandahåller dessa funktioner i enlighet med regler i författning förenklas hanteringen. Uppgiften för samordningsfunktionen att upphandla sådan funktionalitet bör tydligt framgå av ett strategibeslut, som utifrån vad som redan nu är bekant, kan preciseras till att avse system och tjänster för identitetsfederationer, e-legitimationer, e-tjänstelegi- timationer elektronisk underskrift och elektronisk stämpling samt kontroll av juridisk behörighet. Eftersom det inte går att i alla delar förutse vad samordningsfunktionen behöver tillhandahålla åt anslutna myndigheter bör uppräkningen dessutom kompletteras med en allmänt formulerad skyldighet att upphandla stödjande infrastruktur (punkt C 1. a. i avsnitt 7.6.1). Samordningsfunktionen ska, som framgått, tillhandahålla detta stöd så att anslutna myndigheter i juridisk mening anses tillhanda- hålla funktionerna åt användare och själva anses utföra åtgärder i ärenden som vidtas med stöd av samordningsfunktionen. En central del blir här att även från ett regelperspektiv tillhandahålla enhetliga och samordnade funktioner (jfr punkt B 2. e. i avsnitt 7.6.1). Samordningsfunktionen ska därför föreskriva eller annars, med utgångspunkt från vad som i det enskilda fallet utgör det lämpligaste styrmedlet, bestämma regler och rutiner för vad som utgör en godkänd legitimering, vilka identitetsintygsgivare som ska godtas, hur ett intyg från en identitetsleverantör ska vara beskaffat, vilka nivåer som ska finnas för identitets-, äkthets- och behörig- hetskontroll samt vilka regler som ska tillämpas när sam- ordningsfunktionen eller någon som upphandlats av denna funktion utfärdar intyg från en identitetsfederation (punkt C 1. b. i avsnitt 7.6.1). Detta regelarbete behöver knytas till samordningsfunktionens utveckling och anskaffning av konkreta tekniska och administrativa lösningar för anslutna myndigheters e-tjänster (jfr SAMSET- projektets arbetssätt och de av e-nämnden antagna vägledning- arna). Här blir det betydelsefullt att samordningsfunktionen ges den normgivningskompetens som funktionen behöver för att effektivt kunna utföra sina uppgifter. Den tröghet vid författnings- regleringen som Statskontoret varnat för i sitt remissvar får inte bli verklighet. Med hänsyn till den snabba utvecklingen på området bör samordningsfunktionen dessutom ges rätt att bestämma och föreskriva vilka federationstjänster och e-legitimationer som ska godtas av myndigheter och vad som utgör Svensk e-legitimation, Svensk e-tjänstelegitimation, Svenskt servercertifikat och Svenskt stämpelcertifikat (punkt C 1. c. i avsnitt 7.6.1). En annan betydelsefull del i samordningsfunktionens uppdrag är att fortsätta den utveckling som inletts för att utveckla användar- gränssnitt som är begripliga och förenliga med gällande rätt (punkt C 1. d. i avsnitt 7.6.1).11 Samordningsfunktionen ska dessutom tillhandahålla utvecklade och upphandlade funktioner åt anslutna myndigheter (punkt C 1. e. i avsnitt 7.6.1). Dessa lösningar ska vara långsiktigt hållbara och utformas så att skillnader i olika leverantörers tekniska lösningar – enkelt uttryckt – byggs bort sett från anslutna myndigheters och användares perspektiv. För att säkerställa en sund och hållbar utveckling av regler och funktioner behöver samordningsfunktionen tillgång till erforderlig teknisk, administrativ och juridisk kompetens. Detta är en självklarhet och behöver inte anges särskilt i ett strategibeslut. Däremot kan anslutna myndigheters, domstolars och andras aktörers behov av sakkunnigt biträde behöva uppmärksammas, t.ex. när en identifierings riktighet eller en handlings äkthet ifrågasätts. En felaktig hantering av en bevisfråga kan – t.ex. vid en obefogad invändning eller ett missvisande påstående som får spridning – riskera allmänhetens tillit till en hel infrastruktur. Detsamma kan bli följden av privata sakkunnigas påståenden, om de sprider en missvisande bild och får stå oemotsagda. Genom att säkerställa erforderlig kompetens för att snabbt kunna möta nya påståenden och förutsättningar kan erforderligt stöd ges till anslutna myndig- heter och till t.ex. domstolar om de behöver sådan sakkunskap i ett mål eller ett ärende (punkt C 2. i avsnitt 7.6.1). Förebyggande åtgärder kan också visa sig viktiga för att inte rubba allmänhetens tillit till en lösning som från sakliga utgångspunkter är tillräcklig för de tillämpningar där den används. De funktioner som samordningsfunktionen utformar och upp- handlar ska vidare ges en sådan generell och allmänt användbar ut- formning att de kan brukas inom hela den offentliga sektorn. Detta gäller särskilt för federationstjänster, personliga e-legitimationer, e- tjänstelegitimationer och den föreslagna funktionen för tidsstämp- ling. Lösningarna bör utformas så att de kan användas inom näringslivet eller i vart fall ge stöd för en sund och kostnadseffektiv utveckling av sådana lösningar för privaträttsliga mellanhavanden (punkt C 3. i avsnitt 7.6.1). 11 Jfr arbete med en vägledning för användargränssnitt som uppfyller legala krav (e-nämnden 04:03). Denna vägledning är utformad som ett komplement till den grundläggande vägledningen och syftar till att samordna myndigheternas användargränssnitt så att medborgaren känner igen sig i olika e-tjänster och till att tydliggöra juridiskt relevanta punkter i processen så att de elektroniska tjänsterna stämmer överens med de juridiska kraven. innefatta möjligheter för den som är underårig eller saknar person- nummer att identifiera sig och skriva under elektroniskt – utan att denne måste vända sig till någon viss, t.ex. en bank. För att effektivisera samordningen av statliga myndigheter som tillhandahåller e-tjänster som stöds av federationstjänster för identifiering eller där användare med annat stöd legitimerar sig eller skriver under elektroniskt, bör det dessutom göras obligatoriskt att använda de funktioner som samordningsfunktionen tillhandahåller. Undantag bör gälla endast om det inte finns särskilda skäl för att identifiera och kontrollera äkthet eller behörighet i annan ordning. Detta bör beträffande statliga myndigheter kunna föreskrivas i förordning (punkt C 4. i avsnitt 7.6.1). Detsamma bör i princip kunna gälla för kommunala och landstingskommunala myndigheter. Med hänsyn till de stora skillnaderna mellan det statliga och det kommunala området och förutsättningarna för en sådan reglering på lägre nivå än i lag bör ett strategibeslut i denna del dock formuleras mera försiktigt (punkt C 5. i avsnitt 7.6.1). För den samordning som föreslås är det dessutom viktigt att de programvaror som används för användarnas kontakter med myndigheternas e-tjänster samt infrastrukturtjänster för identitets- federation, underskriftshantering, utfärdande av e-legitimationer, spärrkontroll och tidsstämpling utformas så att de blir förenliga med öppna standarder och i övrigt ger stöd för teknisk inter- operabilitet. Även detta bör framgå av ett strategibeslut (punkt C 6. i avsnitt 7.6.1). Delegationen föreslår således följande för elektronisk identifiering och elektroniska underskrifter m.m. 1.En funktion ska inrättas för att samordna myndigheternas befattning med identitetsfederationer, e-legitimationer, elek- troniska underskrifter och gemensamma elektroniska tjänster, m.m. 2.Funktionen ska inrättas som ett självständigt beslutande nämnd inom (. myndighet bildas inte. 3.Nämnden ska ansvara för sin verksamhet inför ledning men ha ett självständigt ansvar för de beslut som fattars. de funktioner som nämnden tillhandahåller åt myndigheter ska regleras i författning. 2.En reglering ska införas byggd på följande förutsättningar: Nämnden sluter avtal med tillhandahållare av tjänst- er för identifiering (s.k. identitetsintygsgivare, ), utfärdare av e-legitimationer m.fl. som tillhandahåller tjänster inom det område som ska samordnas. b.Nämnden säkerställer tillgång till relevanta funk- tioner för identifiering, elektronisk underskrift samt äkthets- och behörighetskontroll åt myndigheter som ansluts till dessa tjänster. c.En ansluten myndighet anses i juridisk mening själv tillhandahålla funktioner åt användare och i juridisk mening utföra en åtgärd som vidtas i ett ärende med stöd av samordningsfunktionen. Nämnden och nämndens mellanhavanden med an- slutna myndigheter författningsregleras så att avtal eller över- enskommelser endast undantagsvis behöver träffas med myndigheter. e.Regeringen överlåter åt nämnden att meddela före- skrifter om bl.a. nämndens verksamhet och vilka identitets- intygsgivare, e-legitimationer m.m. som ska finnas och godtas av myndigheter samt om den närmare hanteringen i övrigt. f.Beteckningarna Svensk e-legitimation och Svensk e- tjänstelegitimation ges skydd mot användning som kan a. upphandla system och tjänster för i.e-legitimationer och e-tjänstelegitimationer, ii.elektronisk underskrift och elektronisk stämpling, kontroll av juridisk behörighet, och v. stödjande teknisk infrastruktur och gemensamma elek- troniska tjänster, b.föreskriva eller annars bestämma regler för i.vad som utgör en godkänd legitimering, ii.vilka identitetsintygsgivare som godtas, iii.hur ett intyg från en identitetsintygsgivare ska vara beskaffat, vilka nivåer som ska finnas för identitets-, äkthets- och behörighetskontroll, och