sou · GYB3104 · 2010-12-23 00:00:00 — Betänkande av Utredningen om bildande av en e-legitimationsnämnd SOU och Ds kan köpas från kundtjänst. För remissutsändningar av SOU och Ds svarar på uppdrag av . Beställningsadress: kundtjänst 106 47 Orderfax: Ordertel: E-post: Internet: Svara på remiss. Hur och varför. Statsrådsberedningen (SB PM 2003:2, reviderad ) – En liten broschyr som underlättar arbetet för den som ska svara på remiss. Broschyren är gratis och kan laddas ner eller beställas på Textbearbetning och layout har utförts av , FA/kommittéservice. Regeringen beslutade (dir. 2010:69) att tillkalla en särskild utredare för att förbereda och genomföra bildandet av en nämndmyndighet för samordning av statens och kommunernas hantering av metoder och tjänster för elektronisk identifiering och signering (e-legitimationer). Generaldirektören förordnades att vara särskild utredare från . anställdes som utredningssekreterare från . Utredningen har antagit namnet Utredningen om bildande av en e-legitimationsnämnd. Instruktion för - delredovisning I och promemorian Verksamhetsplan för -delredovisning II. Utredningen överlämnar härmed betänkandet och Svensk e-legitimation (SOU 2010:104). Uppdraget är härmed slutfört. Förslag till lag om valfrihet för Svensk e-legitimation .......... Utredningens uppdrag och arbete ................................ E-legitimationer i – bakgrund ........................... Begränsningar i nuvarande modell.......................................... En ny nationell modell för e-legitimationer................... Aktörer inom Infrastrukturen för Svensk e-legitimation .... E-tjänsteleverantörer inom offentlig sektor........................... Attributsintyg och innehåll.......................................... Behov av reglering ........................................................ Behörighetshantering med stöd av attribut ............................ Ett nytt valfrihetssystem för offentlig sektor................... 4.1.2 Behov av valfrihetssystem för Svensk e- Valfrihetssystem för identitetsintygstjänster ......................... 4.2.1 En lag om valfrihet för Svensk e-legitimation............. 4.2.2 Kontrakt inom valfrihetssystemet är 4.2.3 Samordnat inrättande av valfrihetssystemet................ Ett regelverk för infrastrukturen för Svensk e- Flera samverkande regleringar................................................. 5.2Utkast till förordning om Infrastrukturen för Svensk e- Valfrihetslag och civilrättslig reglering ................................... 5.3.1 En lösning genom avtal................................................. Identitetsutfärdare och användare ............................... Nämnden, e-tjänsteleverantörerna och Anvisningstjänsten respektive infrastrukturcertifikat ........... Behov av överväganden................................................. Signaturlagen och signaturtjänsten .............................. Utfärdarens ansvar för intyg.................................................... Informationssäkerhet och persondataskydd ................... Informationssäkerheten behöver prioriteras.......................... Persondataskyddet ska säkerställas......................................... 7.2.1 Frågor av central betydelse .......................................... 7.2.2 Inga personuppgifter i registren .................................. Personuppgifter inom infrastrukturen........................ 7.2.4 Personuppgiftsansvar och begränsningar av 7.2.5 Bättre skydd genom tekniska anpassningar ................ Anvisnings- och signaturtjänster................................. En ny svensk affärsmodell....................................................... Affärs- och betalmodell.............................................. Användare och medlemmar ....................................... 8.4.3 Internationell samverkan och eventuellt Uppbyggande av verksamheten ................................. 8.6.2 Organisation av genomförande och bemanning....... 8.7.1 Förutsättningar för att finansiera verksamheten ...... Budget 2011–2013....................................................... 8.7.3 Övergång från anslagsfinansiering till Risker med affärsmodellen ......................................... En motsvarande infrastruktur för privat sektor.............. Förslag till lösning.................................................................. Förslag till lag om valfrihet för Svensk e-legitimation......... Bilaga 2 Förordning med instruktion för (2010:1497) ................ Bilaga 3 Regeringens beslut om förordnande av ledamöter Bilaga 4 Begrepp och definitioner.................................... Bilaga 5 Utkast till förordning om Infrastrukturen för Bilaga 6 Regelverk för Infrastrukturen för Bilaga 7 Förslag till riktlinjer för federationsoperatörer ....... Bilaga 8 Behörighetshantering med stöd av attribut........... Teknisk sammanfattning av infrastrukturen för Specifikation av metadata................................. Dagens lösning för e-legitimationer fungerar relativt väl och i en internationell jämförelse är det förhållandevis många medborgare i som kan utföra legitimering och underskrift i en elektronisk miljö. Myndigheter, landsting och kommuner har också, i samverkan med utfärdarna av e-legitimationer, infört dialoger och användargränssnitt för e-legitimering som fungerar och en samsyn har vuxit fram kring bl.a. rätts- och administrativa frågor. Dagens system har dock brister. Det finns ingen sammanhållen och enhetlig infrastruktur för identifiering vilket försvårar och förmodligen hämmar utvecklingen av e-tjänster. En samordnad infrastruktur för användning av e-legitimationer underlättar och förenklar för den offentliga sektorn och bör främja en utveckling av e-tjänster. Dagens modell är ett system som inte öppnar upp för möjliga nya aktörer att komma in på marknaden och därigenom bidra till en mångfald. Vidare bygger dagens modell för e- legitimationer på en upphandling som går ut per och som inte kan förlängas. Den i utredningen föreslagna modellen för Svensk e-legitimation med en federation skapar en sådan sammanhållen och förenklad infrastruktur och bidrar till en fortsatt utveckling av e-legitima- tioner i på ett antal områden. Inom infrastrukturen för Svensk e-legitimation ska alla e-legitimationer som uppfyller uppställda krav kunna användas av medborgare och anställda i organisationer för åtkomst till förvaltningens e-tjänster. Utredningen beskriver i rapporten hur en sådan infrastruktur kan skapas och regleras. Syftet med infrastrukturen är inte att förhindra existerande identitetslösningar utan att skapa förutsättningar, regelverk, m.m. för användning av existerande och tillkommande lösningar för identifiering. för signering utanför området för den aktuella identitetslösningen. Detta möjliggörs genom ett enhetligt gränssnitt mot infra- strukturen för Svensk e-legitimation. Regeringen har beslutat om inrättande av en . Den övergripande målsättningen med bildandet av en är att skapa förutsättningar för en väl fungerande Svensk e-legitimation som kan skapa stark tillit till verksamheten såväl i som internationellt. Svensk e- legitimation ska möjliggöra för såväl användare som offentlig sektor att på ett effektivt sätt etablera och nyttja e-tjänster vilka kräver e-legitimationer och eller signering. I förverkligandet av målbilden ingår att skapa en affärsmodell för Svensk e-legitimation som bygger på ett antal aktörer i samverkan – , användare i form av privatpersoner och anställda i organisationer, identitetsutfärdare, e-tjänsteleverantörer samt attributsutfärdare. Förvaltningens e-tjänsteleverantörer kommer i infrastrukturen att på ett förenklat sätt få tillgång till e-legitimationstjänster genom – - vilket bland annat kommer att underlätta integration och hantering av tjänster. Genom utredningens förslag skapas en infrastruktur för den offentliga sektorn. En viktig uppgift för blir att verka för att en motsvarande och samverkande infrastruktur etableras även för den privata sektorn. Det är först då en sådan samverkande infrastruktur etablerats som Svensk E-legitimation kan användas för både offentliga och privata e-tjänster. Attributsutfärdarna kommer som medlemmar i modellen spela en viktig roll som källa till kompletterande information. Enligt förslaget ska infrastrukturen byggas med hjälp av flera samverkande regelverk, delvis inrättade genom författning, delvis skapade genom civilrättsliga avtal efter upphandling. Med anledning av den bedömning som gjordes i Instruktion för – delredovisning I (Fi 2010:05), att de av regeringen uppställda målen inte kan realiseras genom de upphandlingsförfaranden som anges i lagen (2007:1091) om offentlig upphandling, föreslås i utredningen att det inrättas en ny lag enligt vilken får inrätta valfrihets- system för Svensk e-legitimation. ska fastställa reglerna för infrastrukturen men det är olika aktörer på marknaden som ska ta fram och erbjuda identifieringstjänster och andra tjänster, t ex E-legitimationer. Det kan antas att det inom ramen för Svensk e-legitimation kommer att erbjudas olika alternativ av e-legitimationer och det är väsentligt att användarna får en valmöjlighet mellan olika alternativ. Utredningen föreslår därför att det inrättas ett valfrihetssystem baserat på reglerna i lagen (2008:962) om valfrihetssystem. Utredningen gör bedöm- ningen att inrättandet av valfrihetssystemet ska anses vara en tilldelning av avtal genom tjänstekoncession. I utredningen redovisas även ett förslag till regelverk för den föreslagna infrastrukturen. Regelverket avses styra parternas civil- rättsliga mellanhavanden genom att föras in i de avtal som ingår med dem som ansluts till infra- strukturen för Svensk e-legitimation. Regelverket specificerar villkoren för de olika tjänster som kommer att tillhandahållas. Utredningen föreslår att en förordning om infrastrukturen för Svensk e-legitimation skapas. Förordningen syftar till att etablera infrastrukturen för svensk e-legitimation inom den offentliga förvaltningen och att samordna och förenkla e-tjänsteleverantörer- nas användning av funktioner för elektronisk legitimering och elektronisk underskrift. Förordningen ska bland annat definiera de centrala begrepp som används inom infrastrukturen. En infrastruktur för identifiering bör ta sin utgångspunkt i ett tillitsramverk byggt på internationell standard och medge den flexibilitet som den föreslagna infrastrukturen för Svensk e- legitimation och internationell samverkan kräver. bör vidare verka för att standardiseringsarbetet inom ISO/IEC leder till resultat som är förenliga med behoven inom den föreslagna infrastrukturen för identifiering. Om dessa resultat nås bör följa denna internationella standard. Vid en tillämpning av dessa internationella normer har det, såvitt framkommit, visat sig ändamålsenligt att för Svensk e-legitimation kräva en tillitsnivå som motsvarar nivå 3 (AL3) eller högre, vilket också är den nivå som ligger närmast de av ramavtalsleverantörerna utgivna e-legitimationerna. Som ett led i att skapa en långsiktig, hållbar och teknikneutral grund för identifiering har utredningen valt att inte reglera hur bärare skall utformas eller på annat sätt peka på någon särskild teknik för själva e-legitimationshandlingen, utan tar fasta på att säkerställa att identifieringen sker på ett betryggande sätt. Abstraktionslagret med identitetsintyg gör det möjligt för e- legitimationsutfärdare att helt fritt utforma och utveckla lösningarna så länge de uppfyller säkerhetskraven i tillitsramverket. ska genom sin verksamhet skapa och utveckla modellen för Svensk e-legitimation baserat på följande utgångspunkter: att en affärs- och prismodell skapas som är enkel, transparent och långsiktig. Den ska leda till mer förutsägbara och om möjligt lägre kostnader än i dagens ramavtalsmodell att det ska vara enkelt för statlig myndighet, landsting eller kommun att få tillgång till tjänster för elektronisk identifiering och signering. En statlig myndighet, landsting eller kommun ska genom en part – – få tillgång till alla tjänster som omfattas av modellen att en statlig myndighet, landsting eller kommun i så liten utsträckning som möjligt själv ska behöva ha kompetens och funktioner för att kunna använda tjänster för elektronisk identifiering och signering i verksamheten att modellen bör, om det med hänsyn till övriga förutsättningar är möjligt, stödja teknikneutralitet samt bygga på lösningar som utvecklas av marknaden. Befintliga e-legitimationer bör, eventuellt med viss anpassning för att klara vald tillitsnivå, fungera i den nya modellen att alla aktörer på marknaden som uppfyller relevanta krav ska kunna bli leverantörer i den nya modellen Inom Svensk e-legitimation finns ett antal grundläggande tjänster, där vissa handlas upp och tillhandahålls via och andra tillhandahålls från godkända medlemmar i modellen. Dessa tjänster kan indelas i följande grupper: register- tjänster, e-legitimationer, anvisningstjänst, attributsintygstjänst och signeringstjänst. Det är fortfarande under utredning hur vissa av dessa tjänster ska utformas, val av teknisk lösning samt ifall de ingår i prismodellen som en bastjänst eller ifall en extra avgift kommer att utgå. Verksamhetsplanen för omfattar vilket motsvarar den period då nämndens verksamhet samt infrastrukturen för Svensk e-legitimation ska byggas upp. Målsättningen är att , och senast per utgången av ha infrastrukturen för Svensk e-legitimation i drift. För att nå dit innefattar genomförandeplanen en lång rad aktiviteter där några av de mer väsentliga är författnings- förändringar, inrättande av ett valfrihetssystem, framtagande av avtal, utveckling av teknisk infrastruktur och tjänster, uppdatering av affärsmodellen, inrättande av ett säkerhets- och tillitsramverk, genomförande av säkerhets- och andra kontroller samt detaljering av övergångsplan. Övergångsplanen är kritisk för att få en smidig övergång från nuvarande modell till den framtida modellen. En annan viktig del i nämndens arbete är att genomföra ett stort antal samverkans- och förankringsaktiviteter med såväl offentliga som privata e-tjänsteleverantörer, identitetsutfärdare, attributs- utfärdare samt andra viktiga intressenter för att på bästa sätt vidare- utveckla och bygga önskad modell för e-legitimationer i . Affärsmodellen för Svensk e-legitimation syftar till att skapa en modell som fungerar effektivt med nyttor och incitament för aktörerna. Det är vidare viktigt att modellen är utvecklingsbar och kan anpassas efter nya förutsättningar. Den prismodell som tagits fram som en del av affärsmodellen har utgått ifrån att den totala ersättningen till identitetsutfärdarna bör motsvara nuvarande marknadsstorlek i initialskedet. Tillväxten i marknaden förväntas ske genom att ytterligare myndigheter, landsting och kommuner ansluter sig till systemet. E-tjänste- leverantörernas avgifter ska vara förutsebara, överskådliga och därmed enkla att budgetera. De kostnader som nämnden har som är direkt relaterade till drift av Svensk e-legitimation bör finansieras via avgifter. Den viktigaste källan till finansiering i modellen utgörs av fasta årsavgifter som betalas av e-tjänsteleveran- törerna till . Huvuddelen av dessa avgifter betalas därefter ut till identitetsutfärdarna utifrån prestation mätt som respektive aktörs marknadsandel i modellen, beräknat som antal utfärdade identitetsintyg per unik användare och tidsenhet, jämfört med totala antalet utfärdare intyg. Därtill kommer såväl identitetsutfärdare som attributsutfärdare att betala en årlig avgift för att täcka administrativa kostnader och tillsyn. Identitets- utfärdarna fastställer själva inom ramen för regelverket villkoren för utfärdandet av e-legitimationer och dessa villkor kan innefatta en anskaffningsavgift för användaren. Svensk e-legitimation ska kunna utfärdas såväl till en medbor- gare – s.k. privat e-legitimation – som till anställda eller uppdrags- tagare – s.k. e-tjänstelegitimation. Medan användaren själv får an- skaffa privat e-legitimation är det arbets- eller uppdragsgivaren som ansöker om och tilldelar den anställde en e-tjänstelegitimation. E- tjänstelegitimationerna ligger inom regelverket men utanför val- frihetssystemet och är inte ersättningsgrundande i affärsmodellen. föreslås i utredningen initialt bemannas med fyra årsarbetskrafter. då Svensk e-legitimation ska etableras och infrastrukturen utvecklas kommer visst projektarbete krävas, vilket bör kunna hanteras med hjälp av externa resurser. Drift och förvaltning av infrastrukturen för Svensk e-legitimation föreslås upphandlas på marknaden. kommer under en inledande upp- byggnadsperiod behöva anslagsstöd för att finansiera verksamhet- en. Hur lång blir är beroende av i vilken takt nuvarande e-tjänsteleverantörer väljer att anslutas till Svensk e- legitimation. Vid anslutning av nuvarande aktörer i samband med lanseringen 2011 beräknas täckning för nämndens kostnader direkt relaterade till drift av Svensk e-legitimation kunna uppnås 2014. Även om detta scenario ej kan uppnås bör det när verksamheten nått ett normaltillstånd vara möjligt att finansiera den operativa delen av verksamheten via avgifter. Visst utvecklings- arbete, omvärldsbevakning, internationella relationer och liknande bedöms även fortsatt behöva finansieras via anslag. Som framgår av betänkandet har utredningen valt att ta ställning till flera svåra frågor och med relativt hög detaljeringsgrad för att tydliggöra områdets komplexitet och bredd och för att få igång en aktiv dialog kring frågeställningarna. Nämnden tar nu vid där utredningen slutar. Det ligger i sakens natur att fortsatt dialog och djupare analys kommer att kunna resultera i modifieringar av olika slag. 1.1Förslag till lag om valfrihet för Svensk e-legitimation Härigenom föreskrivs följande. 1 § får besluta att tillhandahålla valfrihets- system för tjänster som upphandlas för elektronisk identifiering. Med valfrihetssystem menas ett förfarande där användaren har rätt att välja den leverantör som ska utföra tjänsten och som godkänt och tecknat kontrakt med. 2 § tillhandahåller valfrihetssystem enligt denna lag ska myndigheten tillämpa lagen (2008:962) om valfrihetssystem. I stället för det som sägs i 2 kap. 3 § första meningen, 6 och 7 §§ lagen om valfrihetssystem ska med 1.leverantör menas den som på marknaden tillhandahåller tjänster som nämns i 1 §, 2.tjänst menas sådan tjänst som nämns i 1 §, och 3.upphandlande myndighet menas . ska dock inte tillämpa 9 kap. 2 § lagen om valfrihetssystem när nämnden tillhandahåller valfrihetssystem enligt denna lag. 3 § En kommun eller ett landsting får uppdra åt att på kommunens eller vägnar besluta om godkännande av sökande och ingående av kontrakt enligt denna lag eller på annat sätt genomföra och avsluta ett inrättande eller en förändring av ett valfrihetssystem enligt denna lag. Denna lag träder i kraft den [ ] 2011 1Utredningens uppdrag och arbete Regeringen beslutade att tillkalla en särskild utredare för att förbereda och genomföra bildandet av en nämnd- myndighet för samordning av statens och kommunernas hantering av metoder och tjänster för elektronisk identifiering och signering (e-legitimationer). Utredningens uppdrag framgår av kommitté- direktivet (dir. 2010:69), se bilaga 1. Utredningen har antagit namnet Utredningen om bildande av en e-legitimationsnämnd. Utredningen har enligt direktivet i sin första delredovisning lämnat förslag till en instruktion för . har utredningen lämnat förslag till verksamhetsmål och verksam- hetsplan för 2011-2013 jämte en beskrivning av en ny nationell e- legitimationsmodell benämnd Svensk e-legitimation. Regeringen har beslutat om förordning med instruktion för , se bilaga 2, och förordnade av nämndens ledamöter, se bilaga 3. I detta betänkande, och Svensk e- legitimation, finns utredningens författningsförslag om ett nytt val- frihetssystem samt uppdaterade förslag och beskrivningar av verksamhetsplan för och Svensk e- legitimation. Uppdraget är härigenom avslutat. Utredningens uppdrag och arbete Utredningen inledde sitt arbete . Utredningen har i olika omfattning haft samråd med Kommuner och Landsting och de myndigheter som ingår i E-delegationen – inklusive dess arbetsgrupp och – samt med Datainspektionen, , Datainspektionen och Domstolsveket. Därtill har utredningen haft samråd med , , CEHIS och .SE. Utredningen har haft tre samrådsmöten med de leverantörer som omfattas av ramavtal Elektronisk identifiering (eID) 2008 och två möten med s.k. infratjänstleverantörer. Vidare har utredningen tillsammans med , , anordnat ett näringslivsseminarium med ett åttiotal deltagare. Utredningen har medverkat i två informationsmöten som har anordnat samt som föredragshållare på BankID-dagen. Utredningen har varit på studiebesök hos Difi (Direktoratet for forvaltning og IKT) i och utredningssekreteraren har deltagit i internationella konferenser om e-legitimationer i och . Utredningen har gett Setterwalls Advokatbyrå och (som i sin tur anlitat underkonsulterna 3xA , och ) i uppdrag att bistå utredningen med att ta fram förslag till en ny nationell modell för elektronisk identifiering och signering (e-legitimationer). , Sunet, har bistått konsultgruppen i deras arbete. I uppdraget har ingått att ta fram förslag till den nya verksamhetsplan, finansieringsform (affärs- och prismodell) och mål för verksamheten samt kravspecifikationer, föreskrifter, avtal och annat underlag som behövs för att den nya e-legitimations- modellen ska kunna genomföras i sin helhet av den nybildade nämnden. Utredningen har tagit fram begrepp och definitioner avseende Svensk e-legitimation, se bilaga 4. 2E-legitimationer i – bakgrund I takt med att medborgarna blivit allt mer kunniga användare av Internet har utvecklingen i tagit ett nytt steg mot tydliga och standardiserade förutsättningar för e-tjänster. Verksamhets- utvecklingen bygger på samlad kunskap hos individer, organisationer, företag och den offentliga förvaltningen som kan komplettera varandra. Målet för verksamhetsutvecklingen är inte längre att bara öka den interna nyttan eller nyttan för användare av e-tjänsterna utan att skapa största möjliga totala nytta för samhället i samverkan med andra aktörer.1 Ett stort antal myndigheter, landsting och kommuner tillhanda- håller e-tjänster som kräver en säker elektronisk identifiering. Utöver identifiering behövs också metoder för att säkert signera handlingar elektroniskt inom vissa områden för att kunna vidareutveckla e-tjänster i förvaltning och infrastruktur. Dagens användande varierar stort mellan olika organisationer varför det fortsatt förväntas finnas potential för tillväxt i marknaden. 2.2Begränsningar i nuvarande modell Dagens modell för e-legitimation anses relativt framgångsrik och svensk e-förvaltning har betraktats som en av de främsta i världen. Många medborgare i om kan utföra legitimering och underskrift i en elektronisk miljö. Myndigheter, landsting och kommuner har också, i samverkan med utfärdarna av e-legitima- tioner, infört dialoger och användargränssnitt för e-legitimering 1 Strategi för myndigheternas arbete med e-förvaltning, 2009. E-legitimationer i – bakgrund som fungerar och en samsyn har vuxit fram kring bl.a. rätts- och administrativa frågor. finns brister i dagens system. Det finns ingen samman- hållen och enhetlig infrastruktur för identifiering vilket försvårar och förmodligen hämmar utvecklingen av e-tjänster inom den offentliga sektorn. En samordnad infrastruktur för användning av e-legitimationer skulle underlätta och förenkla för den offentliga sektorn och främja utvecklingen av e-tjänster. Dagens modell är inte öppen för möjliga nya aktörer att komma in på marknaden och därigenom bidra till en mångfald. Vidare bygger dagens modell för e-legitimationer på en upphandling som går ut per och som inte kan förlängas. Dagens användning av metoder för identifiering och signering bygger på ramavtalsupphandlingar, genomförda av Kammar- kollegiet, från vilka statliga myndigheter och kommuner kan göra avrop.