prop · H30372 · 2015-12-21 00:00:00 — Det finns också allmänna bestämmelser om betrodda tjänster och kvalificerade betrodda tjänster samt särskilda bestämmelser om elektroniska underskrifter, elektroniska stämplar, elektroniska tidsstämplingar, elektroniska tjänster för rekommenderade leveranser och autentisering av webbplatser. Dessutom finns det bestämmelser om elektroniska dokument, dvs. ljud- och bildinspelningar och audiovisuella inspelningar samt annat innehåll som är lagrat i elektronisk form. Enligt artikel 6 ska medel för elektronisk identifiering under vissa förutsättningar omfattas av ömsesidigt erkännande. Det gäller sådana medel för elektronisk identifiering som är utfärdade inom ramen för ett system för elektronisk identifiering som har anmälts av en medlemsstat och förts upp på en särskild förteckning som offentliggörs av Europeiska kommissionen. System för elektronisk identifiering ska anmälas till kommissionen enligt ett särskilt förfarande som framgår av artikel 7–9. system som får anmälas, hur anmälan ska gå till och vilka krav som ställs Prop. 2015/16:72 på de anmälda systemen och de medel för elektronisk identifiering som utfärdas inom dessa. Förordningen innehåller i artikel 10 bestämmelser om hantering av säkerhetsincidenter i anmälda system och i artikel 11 regler om skadeståndsansvar för den anmälande medlemsstaten, den som har utfärdat medel för elektronisk identifiering och den part som har hand om autentiseringsförfarandet om de inte uppfyller sina skyldigheter enligt förordningen. Allmänna bestämmelser och tillsyn I artikel 13 i EU-förordningen finns bestämmelser om att tillhandahållare av betrodda tjänster under vissa förutsättningar är skadeståndsskyldiga. Där finns också vissa bevisbörderegler. I artikel 16 anges att medlemsstaterna ska fastställa bestämmelser om de sanktioner som ska tillämpas vid överträdelser av förordningen. Sanktionerna ska vara effektiva, proportionella och avskräckande. I artikel 17 och 18 finns bestämmelser om att varje medlemsstat ska utse ett tillsynsorgan som ska ha vissa angivna befogenheter och uppgifter. Tillhandahållare av betrodda tjänster ska enligt artikel 19 uppfylla vissa säkerhetskrav. De ska vidta lämpliga tekniska och organisatoriska åtgärder för att hantera säkerhetsriskerna hos de betrodda tjänster som de tillhandahåller och informera om integritetsincidenter. I artikel 20–24 finns särskilda bestämmelser om kvalificerade betrodda tjänster. Den som vill tillhandahålla sådana tjänster ska anmäla detta till tillsynsmyndigheten och lämna in en rapport med en överensstämmelsebedömning som är utfärdad av ett ackrediterat organ för bedömning av överensstämmelse. Om tillhandahållaren och dennes betrodda tjänster uppfyller förordningens krav, beviljas dessa status som kvalificerade och förs upp på en offentlig förteckning över kvalificerade tillhandahållare av betrodda tjänster och tjänster som dessa tillhandahåller. Det finns även ett förfarande för att återkalla en tjänstetillhandahållares eller tjänsts status som kvalificerad om kraven inte längre uppfylls. För kvalificerade tillhandahållare av betrodda tjänster gäller särskilda krav på kontroll av identiteten hos den till vilken ett kvalificerat certifikat utfärdas, på personalens utbildning och kunskaper, på ekonomin, på information om villkor för användning av tjänsten, på teknisk säkerhet och tillförlitlighet hos system, på tillförlitliga system för lagring av och tillgång till uppgifter samt kontroll av uppgifternas äkthet, på registrering och tillhandahållande av uppgifter som har utfärdats och tagits emot, på löpande planering för att kunna garantera tjänstens kontinuitet i fall av verksamhetens upphörande och på att, om kvalificerade certifikat utfärdas, upprätta och uppdatera en certifikatdatabas. EU-förordningen innehåller också krav på att kvalificerade tillhandahållare av betrodda tjänster återkommande ska granskas av ackrediterade 2015/16:72 organ för bedömning av överensstämmelse i syfte att kontrollera att de uppfyller förordningens krav. Elektroniska underskrifter och elektroniska stämplar I artikel 25–40 finns bestämmelser om rättslig verkan av elektroniska underskrifter och stämplar. Där anges också vilka krav som avancerade respektive kvalificerade elektroniska underskrifter och stämplar ska uppfylla, liksom vilka typer av underskrifter och stämplar som medlemsstaterna är skyldiga att godta i sina offentliga tjänster. Vidare finns det krav på anordningar för skapande av kvalificerade elektroniska underskrifter och stämplar, bl.a. när det gäller certifiering. Det finns också bestämmelser om validering av och bevarande av kvalificerade elektroniska underskrifter och stämplar. I artikel 41 och 42 finns bestämmelser om rättslig verkan av elektroniska tidsstämplingar och vilka krav som kvalificerade elektroniska tidsstämplingar ska uppfylla. Elektroniska tjänster för rekommenderade leveranser Artikel 43 och 44 innehåller bestämmelser om rättslig verkan av elektroniska tjänster för rekommenderade leveranser och om vilka krav som kvalificerade sådana tjänster ska uppfylla. I artikel 45 anges vilka krav som kvalificerade certifikat för autentisering av webbplatser ska uppfylla. I artikel 46 finns bestämmelser om rättslig verkan av elektroniska dokument. I artikel 50 anges att signaturdirektivet upphör att gälla . I artikel 51 finns vissa övergångsbestämmelser med anledning av detta. I svensk rätt saknas i stor utsträckning särskilda bestämmelser om elek- tronisk identifiering, betrodda tjänster, elektroniska stämplar, elektronis- ka tidsstämplingar, elektroniska tjänster för rekommenderade leveranser, autentisering av webbplatser och elektroniska dokument. I signaturlagen finns det bestämmelser om elektroniska underskrifter. Lagen har tillkommit i syfte att genomföra signaturdirektivet. också i ett antal författningar bestämmelser om att handlingar som ska vara undertecknade får undertecknas med avancerade elektroniska signa- turer enligt signaturlagen. Vidare förekommer det författningsbestäm- Prop. 2015/16:72 melser som endast allmänt hänvisar till elektroniska signaturer utan att ange att signaturen ska vara av en viss kvalitet. När det gäller elektronisk identifiering finns viss författningsreglering i socialförsäkringsbalken och i lagen (2013:311) om valfrihetssystem i frå- ga om tjänster för elektronisk identifiering. I 111 kap. 5 § andra stycket socialförsäkringsbalken anges att kontroll av användares identitet i självbetjäningstjänster ska ske med certifikat till vilka en säker identifieringsfunktion är knuten, om det är fråga om till- gång till personuppgifter. Vidare följer av 111 kap. 6 § första stycket i balken att en annan metod för identifiering får användas om den är till- räckligt säker med hänsyn till risken för integritetsintrång eller annan I övrigt saknas det författningsreglering som specifikt rör krav på me- del för elektronisk identifiering eller på hur elektronisk identifiering ska trädde lagen (2013:311) om valfrihetssystem i fråga om tjänster för elektronisk identifiering i kraft. Tillämpning av lagen är ett alternativ till upphandling enligt lagen (2007:1091) om offentlig upp- Lagen gäller när en upphandlande myndighet har beslutat att tillämpa valfrihetssystem i fråga om tjänster för elektronisk identifiering av enskilda i myndighetens elektroniska tjänster, har anslutit sig till ett system för säker elektronisk identifiering som tillhandahålls av E-legitima- tionsnämnden och uppdragit åt nämnden att i den upphandlande myndig- hetens namn administrera valfrihetssystemet. Valfrihetssystem enligt lagen innebär att enskilda har rätt att använda e-legitimationer från valfri leverantör som har godkänt och tecknat kontrakt med. En förutsättning för att kontrakt ska kunna tecknas är att leverantören uppfyller de krav som har fastställts i Lagen om valfrihetssystem i fråga om tjänster för elektronisk identifi- ering innehåller endast allmänna bestämmelser om annonsering och för- frågningsunderlag, ansökan, uteslutning av sökande, godkännande av sö- kande och ingående av kontrakt, information, rättsmedel och tillsyn. gleringen av de krav som ställs på medlen för elektronisk identifiering och på hur den elektroniska identifieringen ska gå till finns alltså inte i lagen utan framgår av det förfrågningsunderlag som ska finnas. Signaturlagen innehåller bestämmelser om säkra anordningar för signa- turframställning, om kvalificerade certifikat för elektroniska signaturer och om utfärdande av sådana certifikat. Med en elektronisk signatur avses data i elektronisk form som är foga- de till eller logiskt knutna till andra elektroniska data och som används för att kontrollera att innehållet härrör från den som framstår som ut- ställare och att innehållet inte har förvanskats. Lagen skiljer mellan avan- cerade och kvalificerade elektroniska signaturer. En avancerad elektronisk signatur är knuten uteslutande till en undertecknare, gör det möjligt att identifiera undertecknaren, är skapad med hjälpmedel som endast undertecknaren kontrollerar och är knuten till andra elektroniska data på ett sådant sätt att förvanskningar av dessa data kan upptäckas. En kvalificerad elektronisk signatur är en avancerad elektronisk signatur som är baserad på ett kvalificerat certifikat och som är skapad av en säker anordning för signaturframställning. I signaturlagen anges vilka krav som säkra anordningar för signaturframställning ska uppfylla (3–5 §§). Vidare anges ett antal krav för att ett certifikat ska få kallas kvalificerat (6 och 7 §§), och på hur den som utfärdar kvalificerade certifikat ska bedriva sin verksamhet (8–11 §§). Det finns också krav på certifikatutfärdare att informera om begränsningar och andra villkor för användning av kvalificerade certifikat, om frivillig ackreditering eller certifiering och om förfaranden för klagomål och avgörande av tvister (12 §). En certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten ska under vissa förutsättningar ersätta skada som åsamkats den som förlitat sig på certifikatet (14 och 15 §§). I lagen anges även att om det i lag eller annan författning ställs krav på egenhändig underskrift eller motsvarande och om det är tillåtet att uppfylla kravet med elektroniska medel, ska en kvalificerad elektronisk signatur anses uppfylla kravet (17 §). Vid kommunikation med eller mellan myndigheter kan dock användningen av elektroniska signaturer vara förenad med ytterligare krav. Dessutom finns det i lagen vissa bestämmelser om behandling av personuppgifter (16 §), tillsyn (18–21 §§), avgifter (22 §) och överklagande (23 §). () är tillsynsmyndighet enligt signaturlagen. Den som avser att utfärda kvalificerade certifikat till allmänheten ska anmäla det till PTS. har tre utfärdare gjort en sådan anmälan. Lagbestämmelser som innebär att handlingar som ska vara undertecknade får undertecknas med avancerade elektroniska signaturer enligt signaturlagen finns i –11 § lagen (1978:599) om avbetalningsköp mellan näringsidkare m.fl., –1 kap. 4 § sparbankslagen (1987:619), –1 kap. 7 § lagen (1987:667) om ekonomiska föreningar, –1 kap. 9 § stiftelselagen (1994:1220), –2 kap. 7 § årsredovisningslagen (1995:1554), –1 kap. 7 § lagen (1995:1570) om medlemsbanker, –2 a § revisionslagen (1999:1079), –1 kap. 13 § aktiebolagslagen (2005:551), –9 kap. 3 § lagen (2007:1091) om offentlig upphandling, –9 kap. 3 § lagen (2007:1092) om upphandling inom områdena vatten, energi, transporter och posttjänster, –43 § konsumentkreditlagen (2010:1846), och –10 kap. 3 § lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet. Regeringen har i en lagrådsremiss föreslagit att 9 kap. Prop. 2015/16:72 3 § lagen om offentlig upphandling ska ersättas av 12 kap. 6–8 §§ i en ny lag om offentlig upphandling och att 9 kap. 3 § lagen om offentlig upphandling inom områdena vatten, energi, transporter och posttjänster ska ersättas av 12 kap. 6–8 §§ i en ny lag om upphandling inom försörjningssektorerna. Lagbestämmelser som endast allmänt hänvisar till elektroniska signaturer utan angivande av att signaturen ska vara av en viss kvalitet finns i –45 kap. 4 § , –111 kap. 1, 5 och 6 §§ socialförsäkringsbalken, –1 kap. 9 § bostadsrättslagen (1991:614), –8 kap. 3 a § årsredovisningslagen (1995:1554), –8 kap. 5 a § lagen (1995:1559) om årsredovisning i kreditinstitut och värdepappersbolag, –8 kap. 5 a § lagen (1995:1560) om årsredovisning i försäkringsföretag, –1 kap. 6 § lagen (2002:93) om kooperativ hyresrätt, –2 kap. 10 § lagen (2007:1091) om offentlig upphandling, –2 kap. 10 § lagen (2007:1092) om upphandling inom områdena vatten, energi, transporter och posttjänster, –2 kap. 2 § lagen (2008:962) om valfrihetssystem, –12 kap. 4 § försäkringsrörelselagen (2010:2043), –2 kap. 14 § lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet, och –11 § lagen (2014:105) om finansiering av partier. Regeringen har i en lagrådsremiss föreslagit att 2 kap. 10 § lagen om offentlig upphandling ska ersättas av 1 kap. 9 § i en ny lag om offentlig upphandling och att 2 kap. 10 § lagen om offentlig upphandling inom områdena vatten, energi, transporter och posttjänster ska ersättas av 1 kap. 8 § i en ny lag om upphandling inom försörjningssektorerna. I förslagen till nya bestämmelser finns det inga hänvisningar till elektroniska signaturer. Vidare finns det i 4 kap. 8 § fastighetsbildningslagen (1970:988), 11 § lagen (1978:599) om avbetalningsköp mellan näringsidkare m.fl. och 43 § konsumentkreditlagen (2010:1846) lagbestämmelser som innehåller termen signatur med innebörden elektronisk signatur. Det saknas lagstiftning som innebär att handlingar ska vara undertecknade med kvalificerade elektroniska signaturer. 7Kompletterande bestämmelser till EU-förordningen Behovet av kompletterande bestämmelser Regeringens bedömning: EU-förordningen bör kompletteras med be- stämmelser om granskning av kvalificerade tillhandahållare av betrod- da tjänster, om certifiering av anordningar för skapande av kvalificera- de elektroniska underskrifter m.m., om tillsyn och om överklagande. Promemorians bedömning överensstämmer med regeringens bedömning. Remissinstanserna instämmer i bedömningen eller lämnar den utan invändning. Skälen för regeringens bedömning: En EU-förordning är bindande i sin helhet och direkt tillämplig i varje medlemsstat. En sådan rättsakt varken ska eller får genomföras i eller omvandlas till nationell rätt. får alltså inte vidta några särskilda åtgärder för att införliva de materiella bestämmelserna i förordning om elektronisk identifiering med nationell rätt. Det är endast då svensk rätt kan anses strida mot förordningen, då förordningen föreskriver en skyldighet eller möjlighet att vidta lagstiftningsåtgärder på det nationella planet eller då det behövs andra nationella åtgärder till stöd för förordningens syfte som ändringar i svensk rätt aktualiseras. I promemorian görs bedömningen att EU-förordningens bestämmelser behöver kompletteras med nationella bestämmelser om granskning av kvalificerade tillhandahållare av betrodda tjänster och om certifiering av anordningar för skapande av kvalificerade elektroniska underskrifter m.m. Ingen remissinstans har haft någon invändning mot denna bedömning. Regeringen instämmer i promemorians bedömning, se vidare avsnitt 7.3 och 7.4. Vidare förutsätter EU-förordningen att medlemsstaterna vidtar vissa nationella åtgärder. Det gäller att utse tillsynsorgan och att införa bestämmelser om effektiva, proportionella och avskräckande sanktioner för överträdelser av förordningen. Dessutom behövs det regler om överklagande av tillsynsmyndighetens beslut. I promemorian föreslås kompletterande bestämmelser i dessa delar. Ingen remissinstans har haft något att invända mot behovet av sådana bestämmelser. Regeringen instämmer i promemorians bedömning, se vidare avsnitt 7.5 och 7.6. EU-förordningen ger i vissa delar medlemsstaterna möjlighet att vidta åtgärder. Enligt artikel 28.5 och 38.5 får medlemsstaterna fastställa nationella bestämmelser för tillfälligt upphävande av kvalificerade certifikat för elektroniska signaturer och kvalificerade certifikat för elektroniska stämplar. I används inte tillfälligt upphävande i certifikatbaserade betrodda tjänster. Det bedöms därför i promemorian att det inte finns behov av särskilda bestämmelser i denna del. Ingen remissinstans har haft någon invändning mot detta. Regeringen instämmer i promemorians bedömning. Enligt artikel 17.5 får medlemsstaterna kräva att tillsynsmyndigheten ska inrätta, underhålla och uppdatera en infrastruktur för betrodda tjänster. Modellen med att tillsynsmyndigheten har en särskild infrastruktur för betrodda tjänster används inte i . I promemorian bedöms att inrättandet av en sådan infrastruktur skulle medföra begränsade fördelar som inte står i proportion till de kostnader som uppbyggnaden av en ny infrastruktur skulle medföra och att en sådan infrastruktur därför inte bör inrättas. Ingen remissinstans har haft någon invändning mot detta. Regeringen instämmer i promemorians bedömning. På vissa ställen i EU-förordningen hänvisas till reglering i nationell rätt. I artikel 13 i förordningen finns vissa bestämmelser om skadestånd. 2015/16:72 punkt 3 i artikeln framgår att skadeståndsansvaret ska tillämpas i enlighet med nationella bestämmelser om skadestånd. Enligt skäl 37 i förordningen innebär detta att nationella bestämmelser om t.ex. definitionerna av skada, avsikt och oaktsamhet eller relevanta procedurregler inte påverkas. I promemorian bedöms att det inte behövs några skadeståndsrättsliga bestämmelser som kompletterar vad som gäller enligt skadeståndslagen (1972:207) och allmänna skadeståndsrättsliga principer. Ingen remissinstans har haft någon invändning mot bedömningen. Regeringen instämmer i promemorians bedömning. I artikel 25, 35, 41 och 46 i förordningen finns bestämmelser om vilken rättslig verkan och giltighet som bevis vid rättsliga förfaranden som elektroniska underskrifter, elektroniska stämplar, elektroniska tidsstämplingar, uppgifter som sänds och tas emot genom en elektronisk tjänst för rekommenderade leveranser och elektroniska dokument ska ha. Enligt skäl 22 och 49 till förordningen gäller i övrigt nationell rätt i fråga om vilken rättsverkan betrodda tjänster ska ha och om verkan av olika bevis. I promemorian bedöms att det inte behövs några kompletterande bestämmelser till EU-förordningen i dessa delar. Ingen remissinstans har haft någon invändning mot bedömningen. Regeringen instämmer i promemorians bedömning. 7.2En ny lag införs Regeringens förslag: De nationella bestämmelser som behövs för att komplettera EU:s förordning om elektronisk identifiering ska samlas i en ny lag. Termer och uttryck i lagen ska ha samma betydelse som i EU-förord- ningen. Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna stöder förslaget eller lämnar det utan invändning. Skälen för regeringens förslag: Som redovisats i avsnitt 6 finns det i signaturlagen vissa lagbestämmelser inom det område som EU:s förordning om elektronisk identifiering omfattar. Den lagen har dock införts för att genomföra signaturdirektivet och lagen täcker endast en del av EU- förordningens tillämpningsområde. Enligt artikel 50 i EU-förordningen upphör signaturdirektivet att gälla . Det föreslås därför i avsnitt 8.1 att signaturlagen ska upphävas. Mot den bakgrunden bör de lagbestämmelser som är nödvändiga till följd av EU-förordningen samlas i en ny lag med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering. I och med att lagen syftar till att komplettera EU-förordningens bestämmelser bör termer och uttryck i lagen ha samma betydelse som i EU- förordningen. Det bör införas en särskild bestämmelse om detta. 2015/16:72 7.3 Granskning av kvalificerade tillhandahållare Regeringens förslag: I lagen ska det anges att bestämmelser om ackreditering av sådana organ för bedömning av överensstämmelse som ska granska kvalificerade tillhandahållare av betrodda tjänster finns i förordning (EG) nr 765/2008 och i lagen om ackreditering och teknisk kontroll. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om krav för ackreditering av sådana organ, om hur bedömningar av överensstämmelse ska göras och om rapportering av bedömningar av överensstämmelse. Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna stöder förslaget eller lämnar det utan invändning. Skälen för regeringens förslag: Enligt artikel 20 jämförd med artikel 3.18 i EU-förordningen ska kvalificerade tillhandahållare av betrodda tjänster minst en gång granskas av ett organ för bedömning av överensstämmelse som är ackrediterat enligt och rådets förordning (EG) nr 765/2008. Vidare kan tillsynsmyndigheten när som helst begära att en sådan granskning utförs. Granskningen syftar till att kontrollera att tjänstetillhandahållarna och deras betrodda tjänster uppfyller förordningens krav. Granskningen ska utmynna i en rapport med en bedömning av överensstämmelse som ska överlämnas till tillsynsmyndigheten. I artikel 20 anges också att Europeiska kommissionen genom genomförandeakter får fastställa referensnummer till standarder för ackreditering av organ för bedömning av överensstämmelse, för rapporter om sådana bedömningar och för granskningsregler som ska följas vid bedömningarna. Ackreditering enligt förordning (EG) nr 765/2008 innebär att ett nationellt ackrediteringsorgan förklarar att ett organ för bedömning av överensstämmelse uppfyller kraven i harmoniserade standarder och, i förekommande fall, ytterligare krav. I är Styrelsen för ackreditering och teknisk kontroll (Swedac) nationellt ackrediteringsorgan. Ett organ som vill bli ackrediterat måste lämna en ansökan till Swedac som prövar och bedömer om organet uppfyller de krav som ställs i förordning (EG) nr 765/2008, lagen (2011:791) om ackreditering och teknisk kontroll med tillhörande förordning samt föreskrifter som Swedac har meddelat. Organet måste också uppfylla de sektorsspecifika myndighetsföreskrifter eller andra krav som organet ska arbeta i enlighet med. Ackreditering beviljas i form av ett ackrediteringsintyg som gäller eller tills vidare och som innehåller de villkor som gäller för ackrediteringen. Det följer av EU:s förordning om elektronisk identifiering att ackreditering av organ för bedömning av överensstämmelse ska ske enligt förordning (EG) nr 765/2008. Kompletterande bestämmelser till den förordningen finns i lagen (2011:791) om ackreditering och teknisk kontroll. Lagen gäller i princip all ackreditering som Swedac utför, oavsett om den föreskrivs i förordning (EG) nr 765/2008 eller sker på annan grund. I och med att EU:s förordning om elektronisk identifiering anger att organen för bedömning av överensstämmelse ska vara ackrediterade enligt för- ordning (EG) nr 765/2008 finns det därför inget behov av att i den nya Prop. 2015/16:72 lagen ange att ackreditering ska ske på det sättet. Däremot bör det i lagen införas en upplysningsbestämmelse om var det finns bestämmelser om ackreditering. EU:s förordning om elektronisk identifiering innehåller inte några bestämmelser om hur ackrediteringen ska gå till, t.ex. när det gäller vilken kontrollform som ska användas eller vilka krav som organen för bedömning av överensstämmelse ska uppfylla. Det saknas också bestämmelser om rapporteringen av bedömningar av överensstämmelse och om hur sådana bedömningar ska göras. EU-förordningen syftar till en harmonisering av regler för betrodda tjänster. Betrodda tjänster ska omfattas av fri rörlighet på den inre marknaden. För att kunna uppnå detta måste de krav som ställs på ackrediterade organ för bedömning av överensstämmelse och de regler som ska gälla för dessas verksamhet vara så enhetliga som möjligt inom unionen.