sou · GYB3104 · 2010-12-23 00:00:00 — 1.15Utfärdar- och e-tjänsteregistren får inte innehålla personuppgifter såsom information om kommunikation mellan användare och e-tjänsteleverantörer, innehållet i identitets- eller attributintyg eller handlingar som ska skrivas under eller har undertecknats elektroniskt. 1.16I förordningen (2010:000) om Infrastrukturen för Svensk e-legitimation finns föreskrifter om registrering i utfärdar- och e-tjänsteregistren. 1.17E-legitimationsnämnden ska tillhandahålla en tjänst som tillför stöd, dels åt användare när de ska välja e-legitimation i en e-tjänst, dels åt den som tillhandahåller e-tjänsten beträffande vilken utfärdare av e-legitimationer som användaren valt (anvisningstjänst). ska svara gentemot användaren för dessa funktioner. 1.18E-legitimationsnämnden tillhandahåller inom ramen för Infrastrukturen för Svensk e-legitimation en tjänst som ger stöd för elektronisk underskrift av handlingar (signatur- tjänst). ska svara gentemot användaren för signaturtjänsten. 1.19E-legitimationsnämnden får överlämna den tekniska driften och skötseln av register och tjänster till under- leverantörer men ska svara för verksamheten som om nämnden hade utfört åtgärderna själv. 1.20E-legitimationer såsom certifikat, säkerhetsdosor och liknande som ansluts till Infrastrukturen för Svensk e- legitimation utfärdas för användare som privat e-legi- timation eller – i egenskap av anställd eller uppdragstagare – som e-tjänstelegitimation. 1.21Användare anskaffar privat e-legitimation från identitetsut- färdare som är anslutna till Infrastrukturen för Svensk e- legitimation. 1.22Myndigheter och andra organisationer anskaffar e-tjänste- legitimationer för sina arbets- och uppdragstagare från identitetsutfärdare som är anslutna till Svensk e- legitimation. 1.23Svensk e-legitimation och tillhörande identitetsintyg ska utfärdas i enlighet med kraven för tillitsnivå 3 eller högre i tillitsramverket [baserat på Kantara IAF, blivande ISO 29115], bilaga 9. 1.24E-tjänsteleverantören bestämmer vilken tillitsnivå för identifiering, vilket slag av elektronisk underskrift och vilka attribut som ska krävas av användare och dem som användare företräder. Användning av e-legitimationer m.m. 1.25En Svensk e-legitimation används vanligtvis på följande sätt mellan enskilda och e-tjänsteleverantörer. a)Privat e-legitimation används av fysiska personer när de kommunicerar för egen räkning. b)E-tjänstelegitimation används av fysiska personer när de kommunicerar i egenskap av anställda eller uppdragstagare. En användare kan emellertid bruka en privat e-legitimation även i egenskap av företrädare för annan och den som har tilldelats en e-tjänstelegitimation får, om arbets- eller uppdragsgivaren godtar det, bruka e-tjänstelegitimationen också för egen räkning. 1.26En användare som tilldelats en privat e-legitimation eller en e-tjänstelegitimation brukar den för 1)legitimering vid a)tillträde, för att elektroniskt få tillgång till uppgifter som får lämnas ut till honom eller henne och för att få skydd mot att obehöriga får tillgång till uppgifterna under sken av att vara honom eller henne, b)uppgiftslämnande, för att få lämna uppgifter elektroniskt och för att få skydd mot att obehöriga lämnar uppgifter under sken av att vara honom eller henne, 2)elektronisk underskrift, för att ställa ut elektroniska handlingar som är skyddade mot förfalskning och förnekande av elektronisk underskrift på liknande sätt som en handling som är undertecknad på traditionellt sätt. 1.27Genom en anvisningstjänst stöds funktioner för att använ- dare ska kunna välja en e-legitimation som har en säker- hetsnivå eller andra egenskaper som är förenliga med de krav som gäller för e-tjänsten. 1.28En myndighet använder identitetsintyg för att kontrollera 1)legitimering, a)vid tillträde, för att kunna ge tillgång till uppgifter elektroniskt så att inte obehöriga får ut uppgifterna, b)vid uppgiftslämnande, för att kontrollera vem som är ansluten när vissa uppgifter lämnas, och 2)elektronisk underskrift, för att granska om en handling som har undertecknats elektroniskt är utställd av den som anges som undertecknare. 1.29En myndighet använder ett attributsintyg för att kontrollera om en person har juridisk behörighet att agera för annans räkning, viss befattning eller annan roll eller egenskap eller på annat sätt är förknippad med något som en attributsutfärdare kan intyga. 1.30Infrastrukturen för Svensk e-legitimation regleras genom detta regelverk, när föreskrifter inte ges i lag eller för- fattning, och i följande avtal. Avtal efter upphandling av teknisk drift 1.31E-legitimationsnämnden tecknar leveransavtal med den som enligt upphandling rörande Infrastrukturen för Svensk e-legitimation ska sköta teknisk drift av a)utfärdarregister och e-tjänsteregister, b)anvisningstjänst, och c)signeringstjänst. Avtal efter upphandling av valfrihetssystem 1.32E-legitimationsnämnden tecknar efter upphandling av valfrihetssystem för Infrastrukturen för Svensk e- legitimation avtal med de a)identitetsutfärdare som uppfyller de krav som ställs upp inom valfrihetssystemet, och b)myndigheter som ansluter sig som e-tjänsteleverantörer och uppfyller föreskrivna krav. c)Dessa avtal ska innehålla de ramar som anges i bilaga 4 och 5. Avtal om e-legitimationer för fysiska personer 1.33En fysisk person som ansöker om en e-legitimation för att identifiera sig eller skriva under elektroniskt ska sluta avtal med utfärdaren av e-legitimationen. 1.34Juridiska personer som ansöker om e-tjänstelegitimationer för anställda eller uppdragstagare ska sluta avtal med en utfärdare som är ansluten till Svensk e-legitimation. Anslutning av identitetsutfärdare till Infrastrukturen för identifiering 1.35Anslutning av identitetsutfärdare till Infrastrukturen för identifiering sker efter ansökan hos genom att nämnden tecknar avtal med utfär- daren. 1.36Den som uppfyller kraven i ett förfrågningsunderlag enligt lagen (2011:000) om valfrihet för Svensk e-legitimation och godtar de juridiska, tekniska och administrativa vill- koren ska ha rätt att bli ansluten till Infrastrukturen för identifiering. Anslutning av attributsutfärdare till Infrastrukturen för identifiering 1.37Anslutning av attributsutfärdare till Infrastrukturen för identifiering sker genom a)beslut av , efter ansökan av en myndighet under regeringen, och b)avtal, efter ansökan av annan än myndighet under regeringen. 1.38En attributsutfärdare får anslutas till Infrastrukturen för identifiering om utfärdaren a)enligt lag eller författning ska registrera och tillhandahålla de uppgifter som avses lämnas i attributsintygen och uppgifterna är av generell betydelse från kontrollsynpunkt, eller b)det finns särskilda skäl från kontrollsynpunkt att ett visst slag av attribut från en viss utfärdare ska kunna lämnas inom Infrastrukturen för identifiering. 1.39Särskilda skäl från kontrollsynpunkt föreligger om det finns ett utbrett behov inom offentlig förvaltning av tillförlitlig åtkomst till uppgiften och den inte finns tillgänglig på fungerande sätt i annan ordning. 1.40E-legitimationsnämnden får i ett beslut om anslutning som villkor föreskriva att attributsutfärdaren ska följa de juridiska, tekniska och administrativa villkor som nämnden bestämmer. 1.41E-legitimationsnämnden får ingå avtal om anslutning av en attributsutfärdare endast om utfärdaren accepterar de juridiska, tekniska och administrativa villkoren för anslutning till Infrastrukturen för identifiering. Anslutning av e-tjänsteleverantörer till Infrastrukturen för identifiering 1.42Anslutning av e-tjänsteleverantörer till Infrastrukturen för identifiering sker genom a)beslut av , efter ansökan av en myndighet under regeringen, och b)avtal, efter ansökan av annan än myndighet under regeringen. 1.43E-legitimationsnämnden får i ett beslut om anslutning som villkor föreskriva att e-tjänsteleverantören ska följa de juridiska, tekniska och administrativa villkor som nämnden bestämmer. 1.44E-legitimationsnämnden får ingå avtal om anslutning av en e-tjänsteleverantör endast om utfärdaren accepterar de juridiska, tekniska och administrativa villkoren för anslutning till Infrastrukturen för identifiering. agerar som mellanman vid anslutning till Infrastrukturen för identifiering 1.45Vid anslutning genom avtal till Infrastrukturen för identifiering beslutar om till- delning av ramavtal och tecknar upphandlingskontrakt för e-tjänsteleverantörernas räkning så att ett kontrakts- förhållande uppkommer mellan e-tjänsteleverantören och varje identitetsutfärdare och attributsutfärdare som genom avtal ansluts till Infrastrukturen för identifiering; jfr 3 § lagen (2011:000) om valfrihet för Svensk e-legitimation. 1.46Vid anslutning genom beslut av gäller de villkor som följer av beslut. Anslutning av e-tjänsteleverantörer till signaturtjänsten 1.47Anslutning av e-tjänsteleverantörer till signaturtjänsten sker genom a)beslut av , efter ansökan av en myndighet under regeringen, och b)avtal, efter ansökan av annan än myndighet under regeringen. 1.48E-legitimationsnämnden får i ett beslut om anslutning som villkor föreskriva att e-tjänsteleverantören ska följa de juridiska, tekniska och administrativa villkor som nämnden bestämmer. 1.49E-legitimationsnämnden får ingå avtal om anslutning av en e-tjänsteleverantör endast om utfärdaren accepterar de juridiska, tekniska och administrativa villkoren för anslutning till signaturtjänsten. Aktivering efter beslut eller avtal om anslutning 1.50Identitetsutfärdares, attributsutfärdares och e-tjänste- leverantörers anslutningar och funktioner, som samverkar med Infrastrukturen för Svensk e-legitimation, får inte aktiveras förrän de testats och funnit att de fungerar på ett tillförlitligt sätt. Tillförlitliga regler och rutiner 1.51Utfärdare av Svensk e-legitimation, identitetsutfärdare och attributsutfärdare ska tillämpa sådana regler och rutiner att det – utifrån tillämplig tillitsnivå – finns fog för att lita på de e-legitimationer, identitetsintyg och attributsintyg som tillhandahålls. Dessa rutiner regleras från tekniska, administrativa och operativa utgångspunkter i tillitsram- verket (bilaga 9). 1.52Identitetsutfärdare som är anslutna till Infrastrukturen för Svensk e-legitimation ska utfärda e-legitimation till den som ansöker i enlighet med detta regelverk. [Identitets- utfärdare får dock uppställa särskilda villkor för utfärdande om villkoren är icke-diskriminerande och rör ett berättigat intresse hos identitetsutfärdaren.] Svensk e-legitimation får utfärdas endast efter skriftlig ansökan i traditionell form. Ansökan ska vara undertecknad på traditionellt sätt, med intyg om att lämnade uppgifter är riktiga och fullständiga. 1.53Om en sökande har legitimerat sig eller skrivit under enligt det förenklade förfarande som anges i 1.60 får en sådan underskrift eller legitimering för uppgiftslämnande ersätta ett förfarande enligt 1.52. 1.54Vid ansökan om en e-legitimation enligt en lägre tillitsnivå än nivå tre får den sökande identifieras enligt de förenklade förfaranden som anges. 1.55En ansökan om Svensk e-legitimation ska innehålla de uppgifter som är nödvändiga för att identitetsutfärdaren ska kunna tillhandahålla sådan legitimation och utfärda identitetsintyg. 1.56Utfärdaren ska i avtal med den som ansöker om Svensk e- legitimation som villkor föreskriva att användaren ska skydda sin e-legitimation och sin personliga kod enligt 1.93 och när det är tillämpligt välja programvara och utrustning enligt vad som anges i 1.92. 1.57Utfärdaren ska informera den som ansöker om Svensk e- legitimation om avtalsvillkorens innehåll. En utfärdare som vill införa villkor som inte finns med i ansöknings- handlingen ska tydligt hänvisa till villkoren och utforma rutinerna så att villkoren kommer sökanden tillhanda innan denne undertecknar eller annars ingår avtal med utfärdaren. 1.58Utfärdaren ska tillhandahålla uppgifter om avtal, villkor, policies, utfärdardeklarationer, regelverk och anknytande uppgifter till anslutna användare, arbets- och uppdrags- givare, e-tjänsteleverantörer och andra som behöver uppgifter i samband med kontroller av legitimeringar eller handlingars äkthet. Kontroll av sökandens identitet 1.59Utfärdare av Svensk e-legitimation ska kontrollera den sökandes identitet vid ett personligt besök, på likvärdigt sätt som vid en ansökan om en traditionell identitets- handling. 1.60Om en sökande redan har identifierats vid ett personligt besök för att få använda bank på Internet eller någon liknande tjänst för ekonomiskt eller rättsligt betydelsefulla mellanhavanden får utfärdaren identifiera den sökande genom denna tjänst i stället för enligt 1.59. En sådan för- enklad rutin får dock inte användas om den har spärrats eller om det annars kan antas att den inte fungerar på ett tillförlitligt sätt. Kontroll av uppgifter och utlämnande av Svensk e-legitimation 1.61En utfärdare av en e-legitimation ska 1)kontrollera att ansökan om e-legitimation är behörigen undertecknad på papper eller lämnad elektroniskt enligt 1.53 – eller enligt 1.54 om det är förenligt med den aktuella tillitsnivån – och att de uppgifter som den sökande lämnar enligt är fullständiga och stämmer överens med uppgifter som finns registrerade i ett officiellt register, och 2)tillhandahålla e-legitimationer på ett säkert sätt. 1.62Om en utfärdare tillhandahåller en e-legitimation, som användaren ska inneha och en personlig kod som användaren ska bruka för att aktivera legitimationen, ska dessa befordras 1)i separata försändelser och lämnas ut till sökanden vid personligt besök hos utfärdaren eller ett ombud för utfärdaren, eller 2)genom ett elektroniskt förfarande som är förenligt med 6.3 eller 6.4 om detta kan förenas med den tillämpliga tillits- nivån. 1.63Utfärdare av Svensk e-legitimation ska tillhandahålla en tjänst där användaren kan spärra sin e-legitimation (spärrtjänst). Tjänsten ska ha god tillgänglighet och utfärdaren ska behandla anmälan om spärr skyndsamt. En myndighet som tillhandahåller en e-tjänst ska också kunna anmäla spärr av en e-legitimation. Identitets- utfärdaren ska spärra e-legitimationen efter en bedömning utifrån angivna skäl [och enligt vissa regler]. Särskilda regler för e-tjänstelegitimationer 1.64Bestämmelserna om personliga e-legitimationer gäller i tillämpliga delar även för e-tjänstelegitimationer. 1.65Identitetsutfärdare som är anslutna till Infrastrukturen för Svensk e-legitimation för att utfärda e-tjänstelegitimationer ska utfärda sådan legitimation till den som ansöker i enlighet med detta regelverk. [Identitetsutfärdare får dock uppställa särskilda villkor för utfärdande om villkoren är icke-diskriminerande och rör ett berättigat intresse hos identitetsutfärdaren.] 1.66En e-tjänstelegitimation får utfärdas endast efter skriftlig ansökan i traditionell form av en arbets- eller uppdrags- givare. Ansökan ska vara undertecknad på traditionellt sätt av arbets- eller uppdragsgivaren. Om denne är en juridisk person ska ansökan vara undertecknad av en behörig företrädare. Utfärdaren ska kontrollera att uppgifterna om behörighet är riktiga. 1.67Om en arbets- eller uppdragsgivare eller en behörig företrädare för denne har legitimerat sig eller skrivit under enligt förenklade förfarande som anges i 1.60 får en sådan underskrift eller legitimering för uppgiftslämnande ersätta ett förfarande enligt 1.52. 1.68Den arbets- eller uppdragsgivare som ansöker om en e- tjänstelegitimation a)bestämmer hur e-tjänstelegitimationen får användas, t.ex. om den får användas även utanför tjänsten, och b)får spärra e-legitimationen. 1.69[Närmare regler om uppgiftslämnande vid ansökan och utlämnande, RA-funktion] 1.70Utfärdaren får lämna ut en e-tjänstelegitimation endast till a)den som har legitimerat sig med en godkänd legitimations- handling eller på motsvarande sätt [enligt närmare regler på lägre nivå] och visat att han eller hon är behörig att företräda arbets- eller uppdragsgivaren, eller b)den användare för vilken e-tjänstelegitimationen utfärdats, om arbets- eller uppdragsgivaren skriftligen har godkänt att den lämnas ut direkt till amvändaren. Vid utelämnandet får förenklade rutiner enligt 1.67 användas. 1.71Den som utfärdar identitets- eller attributsintyg inom Infrastrukturen för identifiering ska innan ett intyg lämnas ha utfört kontroller i enlighet med kraven för den aktuella tillitsnivån, vilka anges i tillitsramverket (bilaga 9). 1.72Utfärdare och e-tjänsteleverantörer ska kontrollera varandras identitet och skydda sin kommunikation mot manipulationer och förfalskningar genom den hantering av certifikat och elektroniska stämplar som ingår i de tekniska och administrativa funktioner som utgör en del av de standardiserade rutinerna inom Infrastrukturen för identifiering. 1.73En utfärdare av Svensk e-legitimation ansvarar gentemot innehavare av Svensk e-legitimation regleras beträffande privat e-legitimation i avtal med användare och för e- tjänstelegitimationer i avtal med arbets- och uppdrags- givare. 1.74En identitetsutfärdares ansvar gentemot en e-tjänste- leverantör för uppgifter i identitetsintygen regleras i avtal som E-tjänsteleverantören i egenskap av mellanman sluter mellan identitetsutfärdare och e-tjänsteleverantören vid anslutning enligt avsnitt 4 ovan till Infrastrukturen för identifiering. 1.75Eftersom myndigheter under regeringen utgör samma juridiska person och sådana myndigheter ansluts genom beslut av ingås sådant avtal mellan staten och respektive utfärdare av identitetsintyg genom att [ ]. 1.76Attributsutfärdares ansvar för utfärdade intyg följer allmänna regler eftersom Infrastrukturen för Svensk e- legitimation endast tillhandahåller funktioner för att förmedla sådana intyg med stöd av de register och tran- sportmekanismer som hör till Infrastrukturen för identifiering. 1.77[Genom denna reglering kan rättsliga skillnader när användare betalar för legitimationen – öppet system – respektive e-tjänsteleverantören betalar för förlitandet – slutet system – hanteras]. Utformning av tekniska hjälpmedel 1.78Om identitetsutfärdaren förser användaren med tekniska hjälpmedel för att hantera e-legitimationen på ett tillförlitligt sätt ska sådana hjälpmedel utformas så att det krävs en aktiv handling för att legitimera sig eller skriva under. Rutinerna bör ta sikte på att likna de omständig- heter som användaren ställs inför när han eller hon 1)visar upp en traditionell legitimationshandling för identitetskontroll, eller 2)fattar en penna och skriver under. 1.79Tekniska hjälpmedel eller tjänster för att granska utkast inför underskrift eller att presentera underskrivna eller stämplade handlingar ska utformas så att de möjliggör 1)en tydlig och begriplig presentation av uppgifterna, och 2)att läsaren av utkast eller färdiga handlingar b)tydligt kan se all text och om texten är undertecknad respektive stämplad, samt c)inte ges skäl att förväxla i. den text som granskas, för att undertecknas eller stämplas, med annan text, ii.den underskrivna eller stämplade texten med oskyddad text eller med text som hör till andra dokument, eller iii.elektroniskt bestyrkta handlingar med andra handlingar. Motsvarande krav gäller för hjälpmedel eller tjänster som identitets- och attribututfärdare tillhandahåller för att presentera identitets- och attributsintyg. 1.80Om ett tekniskt hjälpmedel för granskning av handlingar stöder hantering av olika versioner eller liknande får underskrifter och stämplar inte presenteras så att det finns risk för att läsaren missförstår vad som har undertecknats eller stämplats. 1.81Utfärdare av Svensk e-legitimation ska bevara 1) ansökningshandlingar och handlingar som rör ut- lämnande, mottagande eller spärr av e-legitimationer. 2)avtal, policydokument och utfärdardeklarationer, och 3)övriga handlingar och uppgifter som kan behövas för att kontrollera legitimering och elektroniska underskrifter, identifiera personer och hantera insynsskydd. 1.82Handlingarna ska bevaras och skyddas som behövs för att tillgodose ändamålen med elektroniska underskrifter m.m. Tiden för bevarande ska inte understiga och material ska kunna tas fram i läsbar form under hela . Myndigheter och andra organ för vilka arkivlagen (1990:782) gäller får gallra allmänna handlingar endast om åtgärden har stöd i lag eller annan författning eller beslut om gallring. 1.83Identitetsutfärdare ska lämna ut information om enskilda händelser på begäran av den som behöver kontrollera en legitimering eller en underskrift. Arkiverat material får emellertid inte lämnas ut i strid mot lag eller författning eller avtal med innehavaren av e-legitimationen. 1.84En utfärdare av Svensk e-legitimation som upphör med sin verksamhet ska informera sina användare och berörda e-tjänsteleverantörer. Utfärdaren ska hålla arkiverat material tillgängligt. 1.85E-legitimationsnämnden ska [på motsvarande sätt som behövs bevara handlingar av betydelse för kontroller av identitet, handlingars äkthet eller annat av betydelse inom Infrastrukturen för Svensk e- legitimation]. 7.Regler för användare, m.m. Användare av Svensk e-legitimationer som sökande och innehavare 1.86Användare ska ansöka om e-legitimation hos en utfärdare av Svensk e-legitimation och lämna de uppgifter som är nödvändiga. Användaren ska underteckna ansökan i traditionell pappersbaserad form och intyga att lämnade uppgifter är riktiga och fullständiga. 1.87Om en sökande redan har identifierats vid ett personligt besök för att få använda bank på Internet eller någon liknande tjänst för ekonomiskt eller rättsligt betydelsefulla mellanhavanden får han eller hon använda elektroniska rutiner enligt 1.60. 1.88Innan ansökan sker ska den sökande ha beretts tillfälle att ta del av och spara utfärdarens villkor och information enligt 1.57 samt tydligt ange om han eller hon till någon del inte godtar villkoren. En innehavares ansvar mot utfärdaren och mot förlitande parter vid fel eller försummelse bör regleras i villkoren. 1.89En användare som ansöker om e-legitimation ska vidta de åtgärder som behövs för att utfärdaren ska kunna identifiera den sökande enligt 1.59 och 1.60. Mottagande och användning av e-legitimation 1.90Användaren ska behandla sin e-legitimation och sin personliga kod på ett tillförlitligt sätt enligt villkoren i användarens avtal med utfärdaren. 1.91En användare som väljer sin personliga kod får inte använda en sådan som är enkel att lista ut. 1.92En användare ska bruka de tekniska hjälpmedel som identitetsutfärdaren tillhandahåller enligt 1.78 – 1.80 så att legitimering och elektronisk underskrift sker med tillförlitliga rutiner. Skydd för e-legitimationer och personliga koder m.m. 1.93Användaren ska skydda sin e-legitimation så att ingen annan får tillgång till den och sin personliga kod så att ingen annan kan få reda på den. Dessa åtgärder består bl.a. i att 1)skydda datorer och annan utrustning där e-legitimationen förvaras eller används, 2)välja en personlig kod som inte är lätt att lista ut, och 3)hålla den personliga koden hemlig och inte anteckna koden på ett sätt eller på en plats som gör att den kan kopplas till e-legitimationen. 1.94En användare av en e-legitimation ska göra en spärr- anmälan efter att denne upptäckt att det finns anledning att spärra e-legitimationen. Användare av e-tjänstelegitimation som innehavare 1.95En användare av en e-tjänstelegitimation får använda den endast i enlighet med instruktioner från arbets- eller uppdragsgivaren. Arbets- eller uppdragsgivare som sökande m.m. 1.96En arbets- eller uppdragsgivare som anskaffar e-tjänste- legitimationer bestämmer inom ramen för sin arbets- ledningsrätt hur e-tjänstelegitimationen får brukas av användaren. 1.97En arbets- eller uppdragstagare ska göra en spärranmälan efter att denne upptäckt att det finns anledning att spärra en e-tjänstelegitimation som denne tilldelat en arbets- eller uppdragstagare. Anledning att spärra kan föreligga bl.a. om arbets- eller uppdragsförhållandet upphört eller en personlig kod kan ha blivit tillgänglig för någon annan.