sou · GYB3104 · 2010-12-23 00:00:00 — Vid utfärdandet av tjänstelegitimationer tillkommer dock ofta en rad andra tjänster som exempelvis kopplingar till organisation, roll, rutiner för reservförfaranden för att hantera förluster av e-tjänstelegitimationer, inpassering, fysiska legitimationer med fotografi, SIS-märkning etc. Specifikationer kring vad dessa e-tjänstelegitimationer ska innehålla kan variera mellan olika organisationer varför de ur ett upphandlings- och utförarperspektiv föreslås hanteras separat. avser ej att styra över detta. Attributsutfärdarna kan delta i modellen och på så sätt underlätta användandet av deras e-tjänster. För en aktör att vara införd i registret bör innebära att affärsmöjligheterna för attributs- utfärdarna ökar. Attributsutfärdarnas möjlighet att ta betalt för attributsintyg regleras inte av Svensk e-legitimation. Eventuell intäkt från e-tjänsteleverantörerna vid betaltjänster sker enligt bilateralt överenskomna affärsupplägg. Årsavgiften ska täcka administrativa kostnader vid hantering av metadata samt årligt registerunderhåll och uppskattas till 5 000 SEK. Avgiftens nivå motiveras med att det är viktigt för modellens framgång att relevanta attributsutfärdare ansluts. Alla prisnivåer angivna ovan är förslag för tillitsnivå 3 enligt tillitsramverket. Om och i så fall när fler tillitsnivåer introduceras i modellen kan ytterligare prisnivåer komma att införas relaterade till dessa. I det fallet finns möjlighet att påverka de sammanlagda kostnaderna genom att nyttja lägsta möjliga tillitsnivå efter tjänstens behov. Ytterligare utredning är nödvändig innan beslut kan tas kring hur signaturtjänsten ska hanteras och därmed eventuella konsekvenser för hur tjänsten ska hanteras i affärsmodellen. Väljs exempelvis en central modell och tjänsten ses som en extratjänst som e-tjänsteaktörer kan välja att nyttja kommer tjänsten antagligen att finansieras separat via en avgift. Avgifter beskrivna i detta avsnitt beslutas av . Målsättningen med bildandet av är att skapa förutsättningar för en väl fungerande Svensk e-legitimation med stark tillit såväl i som internationellt. Svensk e- legitimation ska möjliggöra för såväl användare av e-tjänster som e- tjänsteleverantörer i offentlig sektor att på ett effektivt sätt etablera och nyttja e-tjänster vilka kräver e-legitimationer. Nämnden ska vidare verka för att en parallell modell skapas inom näringslivet med målsättningen att användarna ska kunna använda sina Svensk e-legitimationer även där. inrättas som ett självständigt beslut- ande organ med uppgift att samordna myndigheternas befattning med e-legitimationer, elektroniska underskrifter och gemensamma elektroniska tjänster. ska samordna myndigheternas, lands- tingens och kommunernas arbete med och användning av metoder och tjänster för elektronisk identifiering och signering, vilket har beskrivits i avsnitt 3. ska säkerställa att nödvändiga tjänster och funktioner för e-legitimationer finns tillgängliga för den offentliga förvaltningen. I detta ingår: att styra, utveckla och svara för den verksamhet som faller inom ramen för Svensk e-legitimation. Hit hör, i de delar verksamhet- en inte regleras i lag eller förordning att säkerställa att nödvändiga tjänster och funktioner (t.ex. identitetsintygsgivare, anvisningstjänster samt register över godkända identitetsintygsgivare och e-tjänsteleverantörer) finns tillgängliga för förvaltningen att tillse att de aktörer som ansluts följer regelverket för Svensk e-legitimation Även i fortsättningen bör förvaltningen använda sig av tjänster och metoder som utvecklas och tillhandahålls av aktörer på marknaden. Det är viktigt att nämndens organisation och verksamhet utformas på ett sådant sätt att goda förutsättningar ges för konkurrens och för utvecklingen av ytterligare tjänster. Nämnden bör därför tillhandahålla tjänster till myndigheter, landsting och kommuner endast om det är nödvändigt för att säkerställa förvaltningens tillgång till elektronisk identifiering och signering under de förutsättningar och med de mål som angivits. Utförandet av sådana tjänster bör i normalfallet upphandlas på marknaden. Nämnden ska samverka med berörda myndigheter, landsting och kommuner samt näringsliv, leverantörer och andra intressenter. Särskilt viktigt är att kommuner och landsting i sådan samverkan får möjlighet att utvecklas i samma riktning som de statliga myndigheterna. Målsättningen är att främja en ökad penetration av e-legitimationer i samhället samt att främja användandet av dessa. Användarna ska därigenom på ett effektivt och säkert sätt få tillgång till samt kunna använda e-tjänster vilka kräver e-legitimering eller signering. Detta gäller såväl för privatpersoner som anställda vilka i sin yrkesroll behöver kunna legitimera sig för att utföra vissa aktiviteter elektroniskt. Målsättningen med verksamheten är att etablera en modell för Svensk e-legitimation som e-tjänsteleverantörerna känner stor tillit till och vilket förenklar för dem i utveckling och drift av e-tjänster där e-legitimationer är ett krav. Det ligger i E-legitimations- nämndens intresse, och nämnden föreslås verka för, att samtliga myndigheter, landsting och kommuner för vilka denna typ av e- tjänster är relevanta ansluter sig till modellen. Målsättningen med den nya modellen är att skapa valfrihet för användaren och mångfald vad gäller identitetsutfärdare. Nämnden ska verka för inrättandet av ett valfrihetssystem där användare kan välja e-legitimationsutfärdare och där nuvarande så väl som nya identitetsutfärdare kan anpassa alternativt bygga sin verksamhet efter definierade krav med mål om anslutning till Svensk e- legitimation. Attributsutfärdarna är en viktig aktör i Svensk e-legitimation och står för mycket av det utökade värdet. Målsättningen är att i modellen ansluta de attributsintygsutgivare som är av allmänt SOU 2010:104 Verksamhetsplan för intresse och kan tillföra modellen viktig information, som exempelvis och . Dagens leverantörer av E-förvaltningsstödjande tjänster innehar en viktig roll i modellen inte minst i form av att stödja offentlig sektor med det arbete som bedrivs med att förbättra och ta fram nya e-tjänster, med att göra nödvändiga förändringar under övergångsfasen till den nya modellen samt som eventuella attributsutfärdare i den nya modellen. Inom Svensk e-legitimation finns ett antal grundläggande tjänster, där vissa tillhandahålls via och andra direkt från godkända medlemmar i modellen, vilka kan indelas i följande grupper En central del i modellen för Svensk e-legitimation utgörs av de register som innehåller information om identitetsutfärdare (utfär- dare av e-legitimationer och identitetsintyg), e-tjänsteleverantörer och attributsutfärdare. Denna funktion eller tjänst är viktig för att skapa tillit mellan aktörerna inom Svensk e-legitimation. Registren publicerar bl.a. varje aktörs (identitetsutfärdare, e-tjänsteleverantör och eventuella attributsintygsgivare) certifikat så att utställarens elektroniska stämpel kan verifieras i varje identitets- och attributs- intyg. ansvarar för utfärdarregistret och säkrar att det kommer alla e-tjänsteleverantörer tillhanda. Nämnd- en ansvarar även för e-tjänsteleverantörsregistret för offentlig sektor, vilket identitetsutfärdarna är beroende av samt för att verka för en lösning kommer tillstånd inom näringslivet. De register som ansvarar för ska vara i drift i samband med att nämnden blir operativ, troligen och senast . Den tekniska driften av Svensk e-legitimations register för identitetsutfärdare samt e-tjänsteleverantörer ska upphandlas av . E-legitimationer utfärdas till individer och organisationer vilka är godkända som medlemmar i e-legitimation. Utfärdare av e-legitimationer till privatpersoner ska upphandlas enligt inrättande av ett valfrihetssystem. bidrar i såväl upphandlings- som ansökningsprocesserna för identitetsutfärdare. E-legitimationstjänsten ska finnas tillgänglig i anslutning till att nämnden går i operativ drift. Användningen av e-tjänstelegitimationer som har upphandlats utanför valfrihetssystemet, via avtal direkt mellan de involverade parterna utan nämndens inblandning, är inte ersättningsgrundande. Anvisningstjänsten anvisar användaren utifrån utfärdarregistret till sin identitetsutfärdare för att på ett enhetligt sätt förenkla användningen för den enskilda användaren. Anvisningstjänsten kan vara såväl central som lokal. Utveckling av en anvisningstjänst handlas upp externt. Drift av anvisningstjänst bör kunna ingå som en del i den upphandling som görs kopplat till drift och underhåll av nämndens register. Attributstjänster kompletterar uppgifter om såväl fysiska som juridiska personer utöver den information som lämnas i identitets- intyg. Attributstjänster som anses vara av allmänt intresse ansluts till infrastrukturen för Svensk e-legitimation. E-tjänsteleverantörer kan även inhämta attributsintyg från attributstjänster som ej är medlemmar i e-legitimation genom att upprätta bilateral SOU 2010:104 Verksamhetsplan för tillit och överenskommelse mellan e-tjänsteleverantör och attributsintygsutgivare. De mest centrala attributsintygsutgivarna, primärt medlem- marna i Svensk e-legitimation, bör vara anslutna i samband med att går i operativ drift. En signeringstjänst kommer att ingå som en del i E-legitimations- nämndens serviceutbud. Det krävs ytterligare utredningsarbete innan det är klart hur signeringstjänsten ska se ut och därmed även hur en realistisk plan ser ut när den kan vara tillgänglig på marknaden. Driften av e-signeringstjänsten kommer antagligen att upphandlas externt, formerna för detta ingår som del i den fortsatta utvecklingen av tjänsten. 8.4.3Internationell samverkan och eventuellt kompletterande områden verksamhet kan i tillägg till områdena ovan efter beslut även komma att innehålla andra delar. Exempel på detta kan vara det utvecklingsarbete som sker inom EU kring internationell standardisering och samverkan med andra EU- länder. Ett flertal aktiviteter kan komma att inordnas under e- legitimationsnämndens verksamhet för att uppfylla denna instruktion Den svenska implementeringen av för gräns- överskridande användning av e-legitimationer föreslås övergå i fortsatt drift efter det att avslutas . Den fortsatta driften behöver förvaltas och eventuellt utvecklas för att möta framtida behov En standard för ett tillitsramverk som avses ligga till grunden för ett svenskt tillitsramverk för svensk e-legitimation skall tas fram inom ramen för ISO 29115. Aktiviteten beräknas pågå minst fram EU-projekt inom området såväl som aktiviteter inom EU- programmet behöver bevakas och kan komma att kräva ett svenskt engagemang Den tjänst som utvecklas av inom ramen för den svenska kontaktpunkten för att stödja svenska myndigheters befattning med signerade handlingar från utlandet behöver förvaltas efter utveckling och pilotdrift. kan det övervägas om nämnden ska få ansvaret att förvalta denna tjänst Standarder och normer för e-legitimationer och elektroniska signaturer kommer under 2011-2013 att på uppdrag av EU- kommissionen att utvecklas för att stödja införandet av tjänstedirektivet. Här finns behov av svenskt engagemang och påverkan Även andra områden kan i den fortsatta utvecklingen komma att övervägas huruvida de bör ingå som en del i nämndens verksamhetsområde, exempelvis; Standardisering och regelverk för stämpelcertifikat Standardisering och regler för servercertifikat ska inrätta ett valfrihetssystem för svensk E-legitimation samt upphandla tekniska tjänster mm. Vid både inrättandet av valfrihetssystemet och upphandlingen av tekniska tjänster bör , utifrån eventuellt regerings- beslut om att Kammarkollegiet ska stödja med dessa upphandlingar, ta tillvara på Kammarkollegiets kompetens och erfarenheter inom relevanta områden. Vid fast- ställande av hur stödet från Kammarkollegiet lämpligen ska utformas får bland annat beaktas de uppgifter som ska ha avseende valfrihetssystemet . När det gäller inrättande av valfrihetssystemet är denna upp- handlingsform tämligen ny och det finns därför inte så stor samlad erfarenhet på området. Detta förhållande måste beaktas vid planeringen av den tid och de resurser som kan beräknas erfordras för arbetet. Inför ett inrättande är det väsentligt att fortsätter med ett samråd med aktörerna på marknaden. Valfrihetssystemet måste innefatta de tekniska och andra krav som ska ställas på Identitetsutfärdarna för anslutning. Dessa krav ska vara förutsägbara och rimliga och de måste inom ramen för den föreslagna lösningen i största möjliga utsträckning beakta de förhållanden som gäller för marknaden så att det blir ett naturlig utvecklingssteg från dagens lösningar till den lösning som föreslås av utredningen. Särskild uppmärksamhet bör ägnas åt de frågeställningar som kan uppkomma vid en övergång från dagens struktur till den nya strukturen. En fortsatt utveckling kan förväntas ske på det tekniska området och det är viktigt att de villkor som gäller för identitets- utfärdarna utformas så att de möjliggör förändringar av villkoren föranledd av teknisk och annan utveckling. För att uppnå förutsebarhet och god planering måste samråd ske med identitets- utfärdarna även på detta område. Den ersättningsmodell som föreslagits tar sin utgångspunkt i dagens förhållande. Området kan dock förväntas få en stark tillväxt med nya e-tjänster och fler användare. En sådan utveckling kan innebära att det för valfrihetssystemet kommer att finnas behov av att i delar förändra och utveckla ersättnings- modellen. Även på detta område måste avtalsvillkoren för anslutning till valfrihetssystemet innefatta möjlighet till utveckling av ersättningsmodellen. Sådana förändringar måste dock ske som ett resultat av förhandlingar mellan parterna. För att inte hämma en utveckling på området måste både E-tjänsteleverantörer och Identitetsutfärdare långsiktigt uppfatta ersättningarna som skäliga och rimliga. Elektronisk identifiering och signering är centrala funktioner för e- förvaltningen för samhället. Det är viktigt att myndigheten har ett högt förtroende och en hög legitimitet i hela den offentliga förvaltningen, näringslivet samt hos de enskilda användarna. Det är vidare angeläget att verksamheten bedrivs med en stor grad av självständighet gentemot de myndigheter som använder nämndens tjänster eller vars verksamhet i övrigt påverkas av dess beslut. Verksamheten ska organiseras som en nämndmyndighet som placeras hos . Enligt författningsförslaget ska ledas av en nämnd. Nämndens ordförande och övriga ledamöter utses av regeringen för en bestämd tid. ska ha ett kansli med ansvar för det löpande arbetet. Kansliet ska ha en kansliansvarig som utses av myndigheten i samråd med . ska också upplåta lokaler för myndighetens kansli samt sköta administrativa och handläggande uppgifter åt myndigheten.8 Personalen ska vara anställd i . Kansliansvarig ska ansvara för arbetsledning avseende personalens arbete med nämndens uppgifter. verksamhet kan delas in i ett antal huvudprocesser och ansvarsområden som krävs för att driva nämndens verksamhet, se översiktsbild nedan. Ledning och utveckling av Drift och underhåll av Tillit, kvalitet och säkerhet 8 Promemoria, . Ansvarsområdena indikerar den typ av kompetens som krävs för att utöva nämndens roll och därmed vilken typ av kompetens som behöver rekryteras. Beskrivningen av roller ska dock ej direkt översättas i bemanningens storlek. kan vidare besluta att utföra delar av dessa uppgifter i egen regi medan andra handlas upp externt. Ledning och utveckling av ska ledas av en nämnd. Ledamöterna deltar i nämndmöten tillsammans med kansliansvarig och fattar beslut i de frågor där nämnden har beslutanderätt. Mötena leds av nämndens ordförande. Beroende på vilka ämnen som avhandlas kan även ytterligare personer adjungeras vid specifika tillfällen. Beslut och överenskommelser dokumenteras och distribueras. Enligt förslaget får myndigheten i arbetsordning eller särskilda beslut överlämna till ordföranden eller kansliansvarig att avgöra ärenden som är av administrativ art och andra ärenden som är av sådan art att de inte behöver prövas i nämnden och eventuellt skyndsamma ärenden. Genom detta förslag skapas möjlighet till en högre grad av flexibilitet vid avgörande av ärenden som är av administrativ eller enklare art. ansvarar för att genomföra de upp- handlingar som krävs för att utföra nämndens uppdrag. Nämnden bör för dessa upphandlingar, utifrån eventuellt regeringsbeslut om att Kammarkollegiet ska stödja med dessa upphandlingar, ta tillvara på Kammarkollegiets kompetens och erfarenheter inom relevanta områden. Problem som rapporteras in till ska hanteras inom ansvarsområdet för styrning och ledning. Problem- hanteringsprocessen inleds med att ett problem eller en avvikande händelse identifieras av eller av medlem- mar i modellen. Rapporterade händelser dokumenteras i en logg, därefter följer en analys och en kategorisering av rapporterade problem. Rapporterade incidenter skickas vidare till incident- hanteringsprocessen. Incidenter kan rapporteras in av identitetsutfärdare, e-tjänste- leverantörer och användare. Alla rapporterade incidenter registreras i en logg eller ett rapporteringssystem och prioriteras av . Nämnden ansvarar för att genomföra nöd- vändiga aktiviteter för att hantera incidenten, i samråd med/ tillsammans med den part som rapporterade incidenten, samt att utföra eventuella uppföljningsaktiviteter. ansvarar för att regelbundet samman- ställa incidenter, relaterade åtgärder för att hantera incidenten samt förslag för att undvika liknande händelser . Dessa sammanställningar presenteras sedan för ledamöter. Nya parter kan vara intresserade av att ansluta sig till Svensk e- legitimation. De aktörer som önskar bli medlemmar visar sitt intresse genom att skicka en ansökan till och en process som omfattar följande steg inleds, se även regelverket för Svensk e-legitimation: En identitetsutfärdare som önskar delta genomför nödvändiga aktiviteter för att bevisa att reglerna uppnås. Erforderliga kontroller genomförs av extern part, t.ex. en revisionsfirma. Intyg och dokumentation lämnas in till nämnden som kontrollerar dess riktighet Om reglerna är uppfyllda utgår en avgift som ska täcka administration och tillsyn för kommande verksamhetsår När kraven uppfyllts och avgiften betalats blir identitets- utfärdaren godkänd som medlem och registren uppdateras med relaterad metadata Identitetsutfärdare kan därefter använda begreppet Svensk e- legitimation Aktörer som är deltagare i Svensk e-legitimation kan komma att ändra omfattningen på sitt medlemskap, exempelvis gå från att vara en attributsutgivare till att bli en identitetsutfärdare. En sådan förändring innebär att aktören behöver genomgå de procedurer som krävs för att bli godkänd i sin nya roll. En aktör som är medlem i Svensk e-legitimation kan välja att lämna denna. Formerna för detta regleras i regelverket för Svensk e- legitimation. Situationer kan uppkomma då har miss- tankar om att en deltagare i Svensk e-legitimation inte uppfyller modellens legala, affärsmässiga eller tekniska krav. Nämnden har då möjlighet att initiera en kontroll för att undersöka om så är fallet. är förpliktigad till att godkänna denna kontroll och att bidra med den information och expertis som krävs för att ska kunna fullfölja sitt uppdrag. ansvarar inom ramen för Svensk e-legiti- mation för att anpassa, vidareutveckla och använda modellen för att beräkna hur betalströmmarna inom Svensk e-legitimation ska se ut. Nämnden ska erhålla underlag från såväl e-tjänsteleverantör i form av underlag för fakturering samt faktisk användning samt ut- färdande statistik från respektive identitetsutfärdare. avgifter och ersättningsnivåer inom Svensk e-legitimation sker på årsbasis enligt fastställda riktlinjer. Fakturering och utbetalning sker på kvartalsbasis. Alla förändringar ska godkännas av . Ett system för uppföljning av antal utfärdade identitetsintyg etableras exempelvis genom att respektive identitetsutfärdare regel- bundet rapporterar aktuellt utfall. I modellen för hur ersättningen beräknas bör mekanismer för att förhindra möjligt missbruk etableras. Hur modellen konkret ska utformas och upprättas bör utredas vidare efter att nämnden etablerats. ansvarar för att bearbeta marknaden, sprida budskapet om Svensk e-legitimation och kommunicera med externa parter. En viktig roll är att inrätta och driva ett antal forum och aktiviteter för samråd med viktiga intressenter inte minst e- tjänsteleverantörer inom offentlig sektor, identietsutfärdare, attributsutfärdare, användare samt initiera ett samarbete mellan aktörer inom det privata näringslivet, se vidare under genom- förandeplan. Kommunikation inom Svensk e-legitimation Tillit är ett huvudtema inom Svensk e-legitimation vilket bland annat förutsätter en god information kring regler, förändringar och andra viktiga frågor. Kommunikation med potentiella deltagare ska kommunicera kring och uppbygga ett intresse för modellen bland potentiella medlemmar. ska verka för att Svensk e-legitimation framställs på ett sakligt, korrekt och positivt sätt i media. Myndigheten ska på ett övergripande plan följa utvecklingen inom området. Myndigheten ska följa utvecklingen såväl i som internationellt när det gäller tekniska och administrativa lösningar för elektronisk identifiering och signering. Myndigheten ska vara kontaktpunkt gentemot organ med motsvarande ansvar i andra länder. Myndigheten föreslås ansvara för att utveckla samarbetet och informationsutbytet med dessa organ samt delta i internationellt standardiseringsarbete. Drift och underhåll av register ansvarar för att registren och dess innehåll är korrekt och tillförlitligt. Den tekniska driften av registren kan komma att upphandlas från extern part. Nämnden innehar relevant kompetens inom teknik och säkerhet för att kunna hantera frågeställningar samt kunna fungera som en professionell beställare. ansvarar för att sammanställa en tjänste- katalog för Svensk e-legitimation och för att hålla denna upp- daterad. Tjänstekatalogen presenterar de tjänster som nämnden till- handahåller samt presenterar gränssnitt, ansvar och servicenivåer. Autentiseringsmekanismer och protokoll som används inom Svensk e-legitimation ska testas för säkra att de fungerar bland dem som är anslutna. Inom nämndens ansvarsområde ingår även viss stödverksamhet. Nämnden hanterar administrativt definierade betalflöden i modellen, i form av anslutningsavgifter som tas in från e-tjänste- leverantörer, identitetsutfärdare och attributsutfärdare samt utbetalningar som görs till främst identitetsutfärdare. Inom administration ingår nödvändig stödverksamhet för myndigheten så som ekonomi, lön, HR och IT. För att hantera dessa områden används stöd från värdmyndigheten . Detta arbetsområde innebär att information från aktörerna inom Svensk e-legitimation samlas in och sammanställs till rapporter kring användning av modellens tjänster. Nätverket av aktörer används för att samla in information, som sedan anonymiseras och sprids för att tydliggöra användandet inom modellen. Rapporterna fungerar som en informationskälla kring utveckling av systemet, prioritering av initiativ samt för att upptäcka operationella problem. Tillit, kvalitet och säkerhet ska verka för att Svensk e-legitimation karaktäriseras av tillit, kvalitet och säkerhet. För nämndens arbete kommer det bland annat att vara viktigt att känslig information hanteras gäller strikt konfidentialitet och tystnadsplikt för anställda. Viktigt är att nämndens arkiv måste utformas med hänsyn till detta. Nämnden bör vidare utveckla en strategi för integritetsstödjande teknik. En beredskapsfunktion inordnas för att möta kraven i förordning (2006:942) om krisberedskap och höjd beredskap. Inom denna roll ingår vidare ett ansvar för nämnden totala informationssäkerhetsperspektiv vilket bl.a. omfattar fungerande processer för risk- och sårbarhetsanalyser, kontinuitetsplanering och krisberedskap, granskning och uppföljning (tillsyn).