prop · H30372 · 2015-12-21 00:00:00 — I årsredovisningslagarna har man tagit hänsyn till att utbudet av elektroniska signaturer varierar över tiden beroende på utvecklingen av ny teknik och varierande kommersiella förutsättningar (prop. 2005/06:135 s. 27, 41 och 64 och prop. 2007/08:35 s. 51, 74 och 77). Vid upphandling är tanken att den upphandlande myndigheten eller enheten själv ska kunna välja vilken teknisk säkerhetsnivå som ska gälla (prop. 2001/02:142 s. 71 och 93, prop. 2006/07:128 del 1 s. 302 och 470, prop. 2008/09:29 s. 139 och prop. 2010/11:150 del 1 s. 346). Även inom socialförsäkringsområdet är syftet att skapa efterfrågad flexibilitet för aktuella myndigheter (prop. 2003/04:40 s. 34 och prop. 2008/09:200 s. 575). Mot denna bakgrund är det inte möjligt att i detta lagstiftningsärende formulera hänvisningarna i dessa lagar på samma sätt. I och med att signaturlagen upphävs anser regeringen att termen elektronisk signatur, som införts genom den lagen, bör utmönstras ur lagstiftningen. Vidare har det inte framkommit något som antyder att det uppstått några praktiska problem med att det i vissa lagbestämmelser allmänt hänvisas till elektroniska signaturer medan det i andra lagbestämmelser hänvisas till elektroniska signaturer enligt signaturlagen. Som angetts i avsnitt 4 har numera termen elektronisk signatur kommit att ersättas med elektronisk underskrift. Enligt regeringens bedömning är risken liten att 2015/16:72 det nu skulle uppstå några praktiska problem med att i enlighet med det allmänna språkbruket ersätta allmänna hänvisningar till elektroniska signaturer med hänvisningar till elektroniska underskrifter. Det finns inga hänvisningar i lag till kvalificerade elektroniska signaturer eller till elektroniska stämplar, elektroniska tidsstämplingar, elektroniska tjänster för rekommenderade leveranser eller kvalificerade certifikat för autentisering av webbplatser. Det finns därmed inget behov av följdändringar med anledning av EU-förordningens bestämmelser i dessa delar. I 111 kap. 5 § andra stycket socialförsäkringsbalken anges att kontroll av användares identitet i självbetjäningstjänster ska ske med certifikat till vilka en säker identifieringsfunktion är knuten, om det är fråga om tillgång till personuppgifter. har ifrågasatt en sådan detaljreglering när det håller på att införas ett nytt e-legitimations- system i , vilket inte förutsätter att certifikat används. Även föreslår att bestämmelsen utformas mer teknikneutralt. Av förarbetena till bestämmelsen framgår att termen certifikat här inte har samma betydelse som i signaturlagen, se prop. 2003/04:40 s. 34 f. och 49 och prop. 2008/09:200 s. 575. Med certifikat avses här helt enkelt en samling data i elektronisk form som unikt avser den person som innehar vissa verifieringsdata. Vidare följer av 111 kap. 6 § första stycket socialförsäkringsbalken att en annan metod för identifiering får användas om den är tillräckligt säker med hänsyn till risken för integritetsintrång eller annan skada. Mot denna bakgrund bedömer regeringen att det inte finns något behov av att ändra 111 kap. 5 § andra stycket i balken. Regeringens förslag: Regeringen eller, efter regeringens bemyndi- gande, tillsynsmyndigheten ska få meddela föreskrifter om skyldighet för tillhandahållare av betrodda tjänster att betala avgift för tillsyns- Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna stöder förslaget eller lämnar det utan invändning. Skälen för regeringens förslag: Enligt 22 § signaturlagen får rege- ringen eller, efter regeringens bemyndigande, tillsynsmyndigheten med- dela föreskrifter om skyldighet för certifikatutfärdare som utfärdar kvali- ficerade certifikat till allmänheten att betala avgift för tillsynsmyndighe- tens verksamhet enligt lagen. I förarbetena till lagen angavs att det fram- stod som mest naturligt att låta tillsynsmyndighetens verksamhet finansi- eras genom avgiftsuttag från dem som berörs av verksamheten och för vilka den i vissa avseenden får anses vara till nytta (prop. s. 66). Frågan om och i vilken omfattning det är lämpligt att ta ut avgifter överlämnades åt regeringen att avgöra. Ett avgiftssystem har införts. Av 10 § förordningen (2003:767) om fi- Prop. 2015/16:72 nansiering av Post- och verksamhet jämfört med 17 § Post- och föreskrifter (PTSFS 2013:6) om avgifter följer att certifikatutfärdare som utfärdar kvalificerade certifikat till allmänheten ska betala en årlig avgift om . Det framstår som lämpligt att behålla signaturlagens ordning att tillsynsmyndighetens verksamhet ska vara avgiftsfinansierad av dem som berörs av verksamheten. I den nya lagen bör det därför föras in en motsvarighet till 22 § signaturlagen. I EU:s förordning om elektronisk identifiering utökas tillsynsmyndighetens uppdrag till att avse tillsyn över alla betrodda tjänster, såväl kvalificerade som icke-kvalificerade. Möjligheten att ta ut avgifter bör därför utvidgas till att gälla alla tillhandahållare av betrodda tjänster. Dessutom bör den gälla tillsynsmyndighetens verksamhet enligt den nya lagen och föreskrifter som har meddelats med stöd av lagen samt enligt EU:s förordning om elektronisk identifiering och rättsakter som har meddelats med stöd av den förordningen. Närmare bestämmelser om avgiftssystemets utformning kan meddelas med stöd av bemyndigandet. Regeringens förslag: De nya bestämmelserna ska träda i kraft . ska lagen om kvalificerade elektroniska signaturer upphöra att gälla. Bestämmelserna om skadestånd i den upphävda lagen ska fortfarande gälla för skada som har åsamkats före upphävandet. Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna: Styrelsen för ackreditering och teknisk kontroll anser att det bör finnas möjlighet för organ för bedömning av överensstämmelse att redan före söka och få ackreditering för uppgiften att granska kvalificerade tillhandahållare av betrodda tjänster. anför liknande synpunkter och tillägger att flera andra åtgärder också behöver vidtas före för att den som vill tillhandahålla kvalificerade betrodda tjänster ska kunna göra detta senast . Skälen för regeringens förslag: Av artikel 52 i EU:s förordning om elektronisk identifiering följer att dess materiella delar ska börja tillämpas . Den nya lagen med kompletterande bestämmelser till förordningen om elektronisk identifiering liksom nödvändiga följdändringar bör därför träda i kraft . bör signaturlagen upphöra att gälla. Med anledning av vad Styrelsen för ackreditering och teknisk kontroll och har anfört konstaterar regeringen att ackreditering i avsaknad av EU-rättsliga regler måste bygga på de nationella föreskrifter 2015/16:72 som meddelas med stöd av den nya lagen. Med hänsyn till den korta tid som står till buds för att införa de kompletterande bestämmelser till EU- förordningen som behövs finns det inte utrymme för en sådan tidigareläggning av införandet av de nya bestämmelserna som efterfrågats. I artikel 51 i EU-förordningen finns vissa övergångsbestämmelser med anledning av att signaturdirektivet upphävs. Där anges att säkra anordningar för skapande av underskrifter, vilkas överensstämmelse har fastställts i enlighet med artikel 3.4 i signaturdirektivet, ska anses som kvalificerade anordningar för skapande av elektroniska underskrifter enligt EU-förordningen. Vidare anges att kvalificerade certifikat som har utfärdats för fysiska personer enligt signaturdirektivet ska anses som kvalificerade certifikat för elektroniska signaturer enligt EU-förordningen till dess att de löper ut. Det finns också bestämmelser om att den som utfärdar certifikat enligt signaturdirektivet har möjlighet att behålla sin status som kvalificerad tillhandahållare på grundval av en rapport om bedömning av överensstämmelse, om rapporten lämnas till tillsynsmyndigheten . Övergångsbestämmelserna i artikel 51 i EU-förordningen kommer att vara direkt tillämpliga. Det finns alltså inte något behov av kompletterande övergångsbestämmelser i dessa delar. Regeringen avser att noga följa arbetet med de förberedande åtgärder som behövs för att de betrodda tjänster som inte omfattas av övergångsbestämmelserna ska kunna bedömas i enlighet med EU-förordningen. I 14 § signaturlagen finns bestämmelser om att den som utfärdar kvalificerade certifikat till allmänheten under vissa förutsättningar ska ersätta den skada som åsamkats den som har förlitat sig på certifikatet. I 15 § anges att avtalsvillkor som i jämförelse med 14 § är till nackdel för den som förlitar sig på certifikatet är utan verkan mot denne. Dessa bestämmelser bör fortsätta att gälla för skada som har åsamkats före upphävandet av signaturlagen. Det bör införas en särskild övergångsbestämmelse om detta. När det gäller tillsynsåtgärder följer av allmänna principer att förelägganden och förbud som har meddelats med stöd av signaturlagen fortsätter att gälla efter upphävandet av den lagen. Det behövs därför inte någon särskild övergångsbestämmelse i den delen. Inte heller i övrigt finns det behov av ytterligare övergångsbestämmelser med anledning av signaturlagens upphävande. Syftet med EU:s förordning om elektronisk identifiering är att öka förtro- endet för elektroniska transaktioner på den inre marknaden genom att tillhandahålla en gemensam grund för ett säkert elektroniskt samspel mellan privatpersoner, företag och offentliga myndigheter och därigenom öka effektiviteten hos offentliga och privata digitala tjänster samt i elek- tronisk affärsverksamhet och e-handel inom EU. EU-förordningens regler är bindande och direkt tillämpliga. stämmelser som föreslås syftar till att komplettera EU-förordningens be- stämmelser så att den kan få fullt genomslag. Förslagen har utformats med utgångspunkt från att de förhållanden som signaturlagen har bidragit med när det gäller att öka förtroendet för elektroniska transaktioner ska tas till vara. Införandet av lagen i sig innebär inga åligganden för kommuner och landsting, och därmed inte några ekonomiska åtaganden för den kommunala och landstingskommunala sektorn. Antalet tillhandahållare av kvalificerade betrodda tjänster är begränsat och bedöms vara begränsat även i fortsättningen. Antalet tillhandahållare av icke-kvalificerade betrodda tjänster är mer svårbedömt både när det gäller hur många som är etablerade i och hur marknaden kommer att utvecklas. finns det 15–30 sådana tillhandahållare. Det finns en mycket begränsad eller ingen nationell efterfrågan på kvalificerade elektroniska underskrifter. Det finns däremot ett behov av sådana tjänster för gränsöverskridande användning. Det är därför viktigt att det finns tillhandahållare av kvalificerade betrodda tjänster på den svenska marknaden så att svenska företag kan köpa tjänster för att, t.ex. kunna lämna anbud i offentlig upphandling och skriva under elektroniska fakturor i de medlemsländer där det ställs formkrav på att kvalificerade betrodda tjänster används för sådana förfaranden. Behovet av andra kvalificerade betrodda tjänster än för underskrifter och stämplar är svårbedömt. Marknadens aktörer kan komma att påverkas av föreskrifter om krav för ackreditering och föreskrifter om certifiering av anordningar för skapande av kvalificerade elektroniska underskrifter och anordningar för skapande av kvalificerade elektroniska stämplar, i den mån dessa inte överensstämmer med befintliga ordningar på området. Enligt regeringens bedömning bör PTS vara tillsynsmyndighet och ha föreskriftsrätt på området. Utgångspunkten är att PTS uppgifter ska finansieras med avgifter, i likhet med vad som gällt för dess verksamhet som tillsynsmyndighet enligt signaturlagen. Uppgifterna består i arbete med tillsynsramverk, föreskrifter och processer, t.ex. avseende incidentrapportering. I promemorian bedömdes att borde ha ansvaret för dessa uppgifter. Med utgångspunkt från bl.a. detta har regeringen föreslagit ett tillskott på 2016–2019 för att stärka verksamhet med att genomföra EU- förordningen om elektronisk identifiering, se prop. 2015/16:1, utg. omr. 22, s. 120 och 129 f. Med hänsyn till den ändrade ansvarsfördelningen kan regeringen komma att återkomma med förslag till omfördelning av dessa medel. certifieringsorgan för it-säkerhet (CSEC) vid bör bli certifieringsorgan för anordningar för skapande av kvalificerade elektroniska underskrifter och för anordningar för skapande av kvalificerade elektroniska stämplar. CSEC:s arbete med att driva en nationell certifieringsordning för säkerhet i it-produkter och system är anslagsfinansierad, medan själva certifieringen av it-produkter är avgiftsfinansierad. Kostnaderna för det tillkommande arbetet bedöms bli blygsamma och förväntas rymmas inom ramen för redan tilldelat anslag för denna verksamhet och avgifter för tillkommande certifieringar. Behovet av eventuell utökning av anslaget kommer att följas upp. 2015/16:72 Styrelsen för ackreditering och teknisk kontroll (Swedac) är nationellt ackrediteringsorgan. Ett organ som vill bli ackrediterat måste lämna in en ansökan till Swedac som prövar och bedömer om organet uppfyller de krav som ställs i förordning (EG) nr 765/2008, lagen (2011:791) om ackreditering och teknisk kontroll med tillhörande förordning samt föreskrifter som Swedac har meddelat. Ackrediteringsverksamheten vid Swedac finansieras av kundernas avgifter, som ska täcka samtliga kostnader för ackrediteringen. Lagen innehåller bestämmelser om att tillsynsmyndighetens beslut får överklagas till allmän förvaltningsdomstol. Särskilt med hänsyn till att antalet leverantörer är begränsat väntas reglerna få så begränsad tillämpning att någon ytterligare måltillströmning av betydelse till de allmänna förvaltningsdomstolarna inte är att vänta. Arbetet bör rymmas inom befintliga ekonomiska ramar. Förslaget till lag med kompletterande bestämmelser till EU:s förordning om 1 § Denna lag kompletterar och rådets förordning (EU) nr 910/2014 av om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv /93/EG, i den ursprungliga lydelsen (EU:s förordning om elektro- nisk identifiering). Termer och uttryck i lagen har samma betydelse som i EU:s förordning om Övervägandena finns i avsnitt 7.2. Av första stycket framgår att syftet med lagen är att komplettera EU:s förordning om elektronisk identifiering. Lagen ersätter lagen (2000:832) om kvalificerade elektroniska signaturer (signaturlagen). I andra stycket klargörs att termer och uttryck i lagen har samma bety- delse som i EU-förordningen. En lista med definitioner finns i artikel 3 i Granskning av kvalificerade tillhandahållare av betrodda tjänster 2 § Bestämmelser om ackreditering av sådana organ för bedömning av överens- stämmelse som i enlighet med artikel 20 i EU:s förordning om elektronisk iden- tifiering ska granska kvalificerade tillhandahållare av betrodda tjänster, finns i och rådets förordning (EG) nr 765/2008 om krav för ackredi- tering och marknadskontroll i samband med saluföring av produkter och upp- hävande av förordning (EEG) nr 339/93 och i lagen (2011:791) om ackreditering och teknisk kontroll. Regeringen eller den myndighet som regeringen bestämmer får meddela före- 1. krav för ackreditering av organ för bedömning av överensstämmelse, 2. hur bedömningar av överensstämmelse ska göras, och 3. rapportering av bedömningar av överensstämmelse. Övervägandena finns i avsnitt 7.3. Av artikel 20.1 och 2 i EU-förordningen följer att kvalificerade tillhan- dahållare av betrodda tjänster minst , och därutöver på till- synsmyndighetens begäran, ska granskas av ett organ för bedömning av Organet ska vara ackrediterat för uppgiften enligt för- ordning (EG) nr 765/2008. Bestämmelsen i första stycket innehåller en upplysning om att ackreditering sker enligt förordning (EG) nr 765/2008 och lagen (2011:791) om ackreditering och teknisk kontroll, som kom- pletterar den förordningen. Enligt artikel 20.4 i EU-förordningen har Europeiska kommissionen möjlighet att genom genomförandeakter fastställa referensnummer till standarder för ackreditering av organ för bedömning av överensstäm- melse, hur bedömningar av överensstämmelse ska göras och hur rappor- 2015/16:72 tering av sådana bedömningar ska gå till. Med stöd av bestämmelsen i andra stycket blir det möjligt att meddela nödvändiga föreskrifter i den mån kommissionen inte utnyttjar sitt mandat att meddela genomförandeakter, och att meddela de eventuellt kompletterande föreskrifter som kan behövas för det fall mandatet utnyttjas. Bemyndigandet i punkt 1 har utformats på så sätt att det möjliggör kompletterande föreskrifter om krav för att organen ska ackrediteras. I 33 § lagen (2011:791) om ackreditering och teknisk kontroll finns bestämmelser om att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om själva ackrediteringen. 3 § Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om certifiering av anordningar för skapande av kvalificerade elektroniska underskrifter och anordningar för skapande av kvalificerade elektroniska stämplar. Övervägandena finns i avsnitt 7.4. Med stöd av paragrafen blir det möjligt att meddela de nationella föreskrifter om certifiering som kan behövas för att komplettera artikel 30 och 39.2 i EU:s förordning om elektronisk identifiering och de genomförandeakter som Europeiska kommissionen får anta enligt dessa bestämmelser. Föreskrifterna kan t.ex. röra certifieringsförfarandet och vilket förfarande som enligt artikel 30.3 b i förordningen får användas medan det pågår en sådan säkerhetsutvärdering som avses i led a i samma artikel. 4 § Den myndighet som regeringen bestämmer (tillsynsmyndigheten) ska 1.fullgöra tillsynsorganets uppgifter enligt EU:s förordning om elektronisk identifiering och rättsakter som har meddelats med stöd av den förordningen, och 2.utöva tillsyn över efterlevnaden av denna lag och föreskrifter som har meddelats med stöd av lagen. Övervägandena finns i avsnitt 7.5. Paragrafen har utformats enligt Lagrådets förslag. Medlemsstaterna ska enligt artikel 17 i EU-förordningen utse en tillsynsmyndighet. uppgifter enligt första punkten framgår i huvudsak av artikel 17 och 18 i EU-förordningen. Med stöd av andra punkten utövar tillsynsmyndigheten även tillsyn över lagen och föreskrifter som har meddelas med stöd av lagen. 5 § har rätt att på begäran få de upplysningar och handlingar som behövs för tillsynen. har också rätt att få tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, där verksamhet som står under tillsyn bedrivs. har rätt att få biträde av för tillsyn enligt första och andra styckena. Övervägandena finns i avsnitt 7.5. Paragrafen har utformats enligt Lag- Prop. 2015/16:72 rådets förslag. I paragrafen anges vilka befogenheter som tillsynsmyndigheten har. Paragrafen motsvarar i sak 19 § signaturlagen. I likhet med vad som angavs i förarbetena till den lagen (prop. 1999/2000:117 s. 80) bör uppgifter som huvudregel kunna hämtas in formlöst vid kontakter mellan tillsynsmyndigheten och aktörerna på marknaden. Normalt sett bör tillsynsmyndigheten också kunna få det underlag som behövs för tillsynen genom sådana kontakter som anges i första stycket. I vissa fall kan det dock vara befogat att med stöd av andra stycket få tillträde till platser där verksamhet bedrivs, t.ex. för olika kontroller. Att tillsynsmyndigheten kan vitesförelägga någon att lämna uppgifter eller tillträde följer av 6 §. I sista hand kan tillsynsmyndigheten få biträde av , se tredje stycket. 6 § får meddela de förelägganden och förbud som behövs för efterlevnaden av 1.EU:s förordning om elektronisk identifiering och rättsakter som har meddelats med stöd av den förordningen, och 2.denna lag och föreskrifter som har meddelats med stöd av lagen. Förelägganden och förbud får förenas med vite. får bestämma att beslut enligt första stycket ska gälla Övervägandena finns i avsnitt 7.5. Genom paragrafen, som kompletterar artikel 17.4 j och 20 i EU:s förordning om elektronisk identifiering, ges tillsynsmyndigheten möjlighet att vidta de åtgärder som är nödvändiga för att säkerställa att förordningen om elektronisk identifiering följs. Paragrafen har utformats så att den omfattar även delegerade akter och genomförandeakter som antas med stöd av EU-förordningen. Befogenheterna i första och andra styckena motsvarar dem som tillsynsmyndigheten haft enligt 20 § första stycket och 21 § signaturlagen. får själv bestämma när ett föreläggande ska förenas med vite. Det normala torde dock vara att myndigheten först försöker få till stånd en rättelse på frivillig väg. Bestämmelsen i tredje stycket motsvarar 23 § tredje stycket signaturlagen. Bestämmelsen är avsedd för situationer när det krävs skyndsamma åtgärder för att undvika skada. 7 § Regeringen eller, efter regeringens bemyndigande, tillsynsmyndigheten får meddela föreskrifter om skyldighet för tillhandahållare av betrodda tjänster att betala avgift för tillsynsmyndighetens verksamhet enligt denna lag. Övervägandena finns i avsnitt 9. Paragrafen gör det möjligt att införa ett avgiftssystem för att finansiera tillsynsmyndighetens verksamhet enligt 4 §. Paragrafen är utformad på motsvarande sätt som 22 § signaturlagen, men omfattar fler tjänstetillhandahållare. 8 § beslut enligt EU:s förordning om elektronisk identi- fiering och rättsakter som har meddelats med stöd av den förordningen, samt enligt denna lag och föreskrifter som har meddelats med stöd av lagen, får över- klagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. Övervägandena finns i avsnitt 7.6. I paragrafen regleras rätten att överklaga tillsynsmyndighetens beslut. Ordningen för överklagande är densamma som enligt 23 § första och andra styckena signaturlagen. 1.Denna lag träder i kraft . 2.Genom lagen upphävs lagen (2000:832) om kvalificerade elektroniska signaturer. 3.Bestämmelserna om skadestånd i 14 och 15 §§ i den upphävda lagen gäller dock fortfarande för skada som har åsamkats före upphävandet. Övervägandena finns i avsnitt 8.1 och 10. Dagen för ikraftträdande i punkt 1 överensstämmer med den dag då de materiella bestämmelserna i förordning om elektronisk identifiering ska börja tillämpas, se artikel 52.2 i förordningen. Enligt punkt 2 upphävs signaturlagen. I punkt 3 anges att den upphävda lagens bestämmelser om skadestånd ska fortsätta att gälla i fråga om skada som åsamkats före upphävandet. I fråga om skada som åsamkas efter denna tidpunkt gäller bestämmelserna i artikel 13 i EU-förordningen som komplement till skadeståndslagen (1972:207) och allmänna skadeståndsrättsliga principer. Lagarna följdändras med anledning av att signaturlagen upphävs. Övervägandena finns i avsnitt 8.2. Hänvisningar till avancerade elektroniska signaturer enligt 2 § signaturlagen ersätts med hänvisningar till avancerade elektroniska underskrifter enligt artikel 3 i EU:s förordning om elektronisk identifiering. Dessutom justeras vissa hänvisningar språkligt så att samtliga hänvisningar får en enhetlig utformning. Bestämmelser som endast allmänt hänvisar till elektroniska signaturer utan att ange att signaturen ska vara av en viss kvalitet, ändras språkligt så att hänvisningarna avser elektroniska underskrifter. Europeiska unionens officiella tidning L 257/73 OCH RÅDETS FÖRORDNING (EU) nr 910/2014 av om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv /93/EG OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DENNA FÖRORDNING med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artikel 114, med beaktande av Europeiska kommissionens förslag, efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten, med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande (1), i enlighet med det ordinarie lagstiftningsförfarandet (2), och av följande skäl: (1)Att bygga upp förtroendet för nätmiljön är avgörande för den ekonomiska och sociala utvecklingen.