prop · H30372 · 2015-12-21 00:00:00 — Som angetts ovan får kommissionen anta genomförandeakter som fastställer referensnummer till standarder som gäller ackreditering av organ för bedömning av överensstämmelse, rapporter om bedömning av överensstämmelse och granskningsregler som organen för bedömning av överensstämmelse ska följa vid bedömningarna. Det är inte obligatoriskt för kommissionen att anta sådana genomförandeakter och det är oklart huruvida genomförandeakter kommer att finnas på plats när EU-förordningen ska börja tillämpas. I den mån det då saknas EU-rättslig reglering måste det införas nationell reglering i stället. Det kan också finnas behov av nationell reglering även om kommissionen utnyttjar möjligheten att anta genomförandeakter, t.ex. i form av kompletterande bestämmelser till genomförandeakterna eller närmare föreskrifter i vissa avseenden som inte omfattas av genomförandeakter. En sådan reglering blir med nödvändighet av teknisk och detaljerad natur och lämpar sig därför mindre väl att läggas fast i lag. Det bör i stället anges i lagen att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om ackreditering av organ för bedömning av överensstämmelse, om rapportering av rapporter om bedömning av överensstämmelse och om hur bedömningar av överensstämmelse ska göras. Regeringen avser att i förordning ge PTS i uppdrag att meddela föreskrifter. För att inte harmoniseringssträvandet ska äventyras är det viktigt att de föreskrifter som kan komma att behövas i så stor utsträckning som möjligt tar hänsyn till internationellt standardiseringsarbete. Regeringens förslag: Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om certifiering av anordningar för skapande av kvalificerade elektroniska underskrifter och anordningar för skapande av kvalificerade elektroniska stämplar. Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna stöder förslaget eller lämnar det utan invändning. 2015/16:72 Skälen för regeringens förslag: Enligt artikel 30 och 39 i EU-förord- ningen ska medlemsstaterna utse lämpliga offentliga eller privata organ som certifierar att anordningar för skapande av kvalificerade elektroniska underskrifter och anordningar för skapande av kvalificerade elektroniska stämplar överensstämmer med förordningens krav på anordningarna i fråga. Certifiering av sådana anordningar innebär att de har bedömts uppfylla särskilda krav som ställs i standarder eller andra normerande dokument. Regeringen avser att i förordning utse certifieringsorgan för it-säkerhet vid att ansvara för certifieringen. Certifieringen ska bygga på ett förfarande för säkerhetsutvärdering som har utförts i enlighet med en standard för säkerhetsutvärdering av informationsteknikprodukter som har tagits upp i en särskild förteckning som Europeiska kommissionen upprättar genom genomförandeakter. Det anges inte i förordningen inom vilken tid kommissionen ska anta sådana genomförandeakter. Vid avsaknad av sådana standarder eller medan en säkerhetsutvärdering pågår får enligt förordningen ett annat förfarande användas, om det omfattar jämförbara säkerhetsnivåer och kommissionen underrättas om förfarandet. Bestämmelserna i innebär att det blir obligatoriskt med certifiering av anordningar för skapande av kvalificerade elektroniska underskrifter och anordningar för skapande av kvalificerade elektroniska stämplar. Förutom att det anges i förordningen att certifiering ska ske och att den ska bygga på standarder för säkerhetsutvärdering som kommissionen anger i genomförandeakter saknas reglering av certifieringsförfarandet. Mot denna bakgrund kan det finnas behov av nationella föreskrifter om certifiering, dels i den mån genomförandeakter saknas eller behöver kompletteras, t.ex. med regler om förfarandet för säkerhetsutvärderingen, dels i fråga om vilket förfarande som ska användas medan en säkerhetsutvärdering pågår. Dessa tekniska och detaljerade föreskrifter behöver inte framgå av lagen. I stället bör det anges i lagen att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om certifiering av anordningar för skapande av kvalificerade elektroniska underskrifter och anordningar för skapande av kvalificerade elektroniska stämplar. Regeringen avser att i förordning utse Myndigheten för samhällsskydd och beredskap att meddela föreskrifter om anordningarnas säkerhetsegenskaper (s.k. skyddsprofiler) och PTS att meddela de övriga föreskrifter om certifieringen som behövs. Regeringens förslag: En tillsynsmyndighet ska utöva tillsyn över efterlevnaden av EU:s förordning om elektronisk identifiering och rättsakter som har meddelats med stöd av förordningen samt över efterlevnaden av den nya lagen och föreskrifter som har meddelats med stöd av denna. ska ha rätt att på begäran få de upplysningar och handlingar som behövs för tillsynen och ha rätt att få tillträde till områden, lokaler och andra utrymmen, förutom bostäder, där verk- ska också ha rätt att få biträde av ska få meddela de förelägganden och förbud som behövs för tillsynen. Förelägganden och förbud ska få förenas ska få bestämma att dess beslut ska gälla ome- Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna: Kammarrätten i förordar att bestäm- melsen om att tillsynsmyndighetens beslut ska kunna gälla placeras i anslutning till bestämmelserna om tillsyn i stället för i anslut- ning till bestämmelserna om överklagande. nämnden förordar att det införs ett system med sanktionsavgifter vid överträdelser av EU-förordningen. sätter om det är tillräckligt med en vitessanktion för att uppfylla direk- tivets krav på sanktioner. Skälen för regeringens förslag: Enligt artikel 16 i EU:s förordning om elektronisk identifiering är medlemsstaterna skyldiga att fastställa regler om de sanktioner som ska tillämpas vid överträdelser av förord- Sanktionerna ska vara effektiva, proportionella och avskräckan- Enligt artikel 17.1 i EU-förordningen ska medlemsstaterna utse ett till- synsorgan (tillsynsmyndighet). Regeringen avser att i förordning utse PTS att vara tillsynsmyndighet. roll framgår av artikel 17.3. När det gäller kvali- ficerade tillhandahållare av betrodda tjänster ska tillsynen gå ut på att ge- nom såväl förebyggande verksamhet som kontroller i efterhand se till att tjänstetillhandahållarna och deras tjänster uppfyller förordningens krav. När det gäller icke-kvalificerade tillhandahållare av betrodda tjänster ska tillsynsmyndigheten agera när någon påstår att en tjänstetillhandahållare inte uppfyller kraven. uppgifter preciseras i artikel 17.4. tillsynsmyndigheten ska samarbeta på olika sätt med andra tillsynsmyn- digheter, analysera rapporter om överensstämmelsebedömning, lämna in- formation till Europeiska kommissionen, bedriva granskningsverksamhet samt bevilja status som kvalificerad tillhandahållare av betrodda tjänster (punkt a–h). Tillsynen ska bestå dels i att kontrollera att kvalificerade tillhandahållare av betrodda tjänster som upphör med sin verksamhet följer bestämmelserna om planering för detta och om hur information i sådana fall ska hållas tillgänglig (punkt i), dels i att ålägga tillhandahål- lare av betrodda tjänster som inte uppfyller kraven i förordningen att vid- ta rättelse (punkt j). Såvitt avser kvalificerade elektroniska signaturer gäller enligt nuvaran- de regler i 19 § signaturlagen att tillsynsmyndigheten har rätt att på begä- ran få de upplysningar och handlingar som behövs för tillsynen och få tillträde till områden, lokaler och andra utrymmen, utom bostäder, där det bedrivs verksamhet som står under tillsyn. Vid behov har myndigheten rätt att få biträde av kronofogdemyndigheten för denna tillsyn. 20 § första stycket i lagen får tillsynsmyndigheten meddela de föreläg- ganden och förbud som behövs för efterlevnaden av lagen eller av före- skrifter som meddelats med stöd av lagen. I 20 § andra stycket anges att ett föreläggande att upphöra med verksamhet som innebär utfärdande av kvalificerade certifikat endast får meddelas om mindre ingripande åtgär- der visat sig verkningslösa. Förelägganden och förbud får enligt 21 § för- enas med vite. Det är en uppgift för tillsynsmyndigheten att utforma en lämplig till- synsverksamhet med utgångspunkt från de uppgifter som framgår av EU- En grundläggande förutsättning för en fungerande tillsyn är att tillsynsmyndighetens initiativ och beslut är väl underbyggda. därför viktigt att tillsynsmyndigheten kan få tillgång till de upplysningar och handlingar som bedöms nödvändiga för tillsynen samt vid behov kan få tillträde där verksamhet som omfattas av EU-förordningen bedrivs. Därigenom säkerställs också att en effektiv tillsynsverksamhet kan upp- När tillsynsmyndigheten upptäcker brister i en verksamhet bör den kunna utfärda de förelägganden eller förbud som behövs för att rättelse Mot bakgrund av EU-förordningens krav på att det ska finnas effektiva, proportionella och avskräckande sanktioner bör förelägganden och förbud kunna förenas med vite. I artikel 20.3 i EU-förordningen finns särskilda bestämmelser om när tillsynsorganet kan återkalla en tjänstetillhandahållares eller en betrodd tjänsts status som kvalificerad. Någon motsvarighet till 20 § andra stycket signaturlagen behöver därför Signaturlagen innehåller inte härutöver några bestämmelser om straff I promemorian görs bedömningen att det inte är nödvändigt att införa sådana bestämmelser . instanser har ifrågasatt denna bedömning. Regeringen konstaterar att det saknas underlag för att nu införa ytterli- gare sanktioner än dem som föreslås i promemorian. kraven på tillhandahållare av betrodda tjänster i artikel 19–24 i EU- förordningen i stor utsträckning bedömningsmoment och lämplighets- överväganden som gör att överträdelser av förordningens bestämmelser ofta kan vara svåra att konstatera och kräva omfattande utredning. ringen bedömer därför att överträdelser av bestämmelserna lämpar sig mindre väl för ett system med sanktionsavgifter. Till detta kommer att själva grunden för en affärsverksamhet som går ut på att tillhandahålla betrodda tjänster är att samtliga inblandade parter hyser tillit till att tjänstetillhandahållaren uppfyller föreskrivna krav. marknaden har anledning att tro något annat, äventyras hela affärsverk- En kvalificerad tillhandahållare av betrodda tjänster som inte följer tillsynsmyndighetens rättelseförelägganden kan också bli av med sin status som kvalificerad, vilket innebär att kvalificerade tjänster inte Prop. 2015/16:72 längre får tillhandahållas. Detta torde i sig verka avhållande på överträ- delser av EU-förordningens bestämmelser. Sammanfattningsvis finns det inte anledning att införa ytterligare sanktioner, men regeringen är beredd att se över sanktionssystemet om det senare visar sig finnas ett behov av det. Enligt 23 § tredje stycket signaturlagen får tillsynsmyndigheten bestämma att beslut enligt lagen ska gälla . Antalet elektroniska transaktioner ökar stadigt i dagens samhälle. Med hänsyn till betrodda tjänsters centrala roll i skapandet och bibehållandet av tillit mellan parterna i sådana transaktioner är det viktigt att kunna ingripa skyndsamt när brister i betrodda tjänster uppmärksammas. Det bör därför även fortsättningsvis finnas möjlighet för tillsynsmyndigheten att bestämma att dess beslut ska gälla . Som Kammarrätten i har förordat bör detta regleras i anslutning till tillsynsbestämmelserna. Regeringens förslag: beslut ska få överklagas till allmän förvaltningsdomstol. Prövningstillstånd ska krävas vid över- klagande till kammarrätten. Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna stöder förslaget eller lämnar det utan invändning. Skälen för regeringens förslag: ska enligt arti- kel 17.4 j i EU-förordningen kunna ålägga tillhandahållare av betrodda tjänster att vidta rättelse om kraven i förordningen inte följs. ning av detta föreslås i avsnitt 7.5 att tillsynsmyndigheten ska kunna be- sluta om förelägganden och förbud, vid behov i förening med vite. tillsynsbeslut måste kunna överklagas. Även i övrigt följer av EU-förordningen att tillsynsmyndigheten ska fatta vissa beslut som måste kunna överklagas. Det rör t.ex. beslut enligt artikel 19.2 fjärde stycket att informera om integritetsincidenter, beslut enligt artikel 20.3 att återkalla någons status som kvalificerad tillhan- dahållare av betrodda tjänster och beslut att inte bevilja någon status som kvalificerad tillhandahållare av betrodda tjänster enligt artikel 21.2. befogenheter enligt den nya lagen överensstäm- mer i huvudsak med dem som tillsynsmyndigheten har enligt signa- Enligt 23 § signaturlagen får tillsynsmyndighetens beslut enligt den lagen överklagas till allmän förvaltningsdomstol. ningstillstånd vid överklagande till kammarrätten. Det framstår som lämpligt att samma ordning som gäller för överkla- gande enligt signaturlagen ska gälla även enligt den nya lagen. synsbeslut som tillsynsmyndigheten meddelar bör därför få överklagas till allmän förvaltningsdomstol, med krav på prövningstillstånd vid över- klagande till kammarrätten. Som framgår av avsnitt 7.5 avser regeringen att utse PTS till tillsyns- Enligt 14 § lagen (1971:289) om allmänna förvaltningsdom- stolar kommer därmed överklaganden av tillsynsmyndighetens beslut att prövas av Förvaltningsrätten i . En av de viktigaste förutsättningarna för effektiva och framgångsrika di- gitala tjänster är att det finns väl fungerande tjänster för elektronisk iden- tifiering och elektronisk underskrift. Med hjälp av en e-legitimation kan en användare av elektroniska tjänster både bevisa sin identitet och med elektronisk underskrift bekräfta lämnade uppgifter. I de flesta fall kan dock medborgare inte använda medel för elektronisk identifiering för att autentisera sig i en annan medlemsstat. Ett av målen med EU-förordningen är att undanröja hinder för gräns- överskridande användning av medel för elektronisk identifiering som an- vänds i medlemsstaterna inom EU. Detta ska ske genom ömsesidigt er- kännande av medel för elektronisk identifiering. En förutsättning för det ömsesidiga erkännandet är att medlet har utfärdats inom ramen för ett nationellt system för elektronisk identifiering som uppfyller vissa villkor och som har anmälts till Europeiska kommissionen enligt ett särskilt för- Villkoren för vilka medel för elektronisk identifiering som mås- te erkännas och hur systemen för elektronisk identifiering ska anmälas anges dels i EU-förordningen, dels i form av kommande genomförande- akter som meddelas med stöd av EU-förordningen. Genom förordningen kommer ömsesidigt erkända medel för elektro- nisk identifiering att underlätta tillhandahållandet av en rad olika tjänster över gränserna på den inre marknaden och ge företagen möjlighet att ver- ka över gränserna utan att stöta på en mängd hinder i sina kontakter med Utländska personer kommer att på ett tillförlitligt sätt kun- na använda sitt lands godkända e-legitimationer vid användning av sven- ska tjänster, under förutsättning att det finns ett regelverk som garanterar säkerhetsnivå och ansvar. Offentlig sektor har lanserat en lång rad digitala tjänster under det se- naste årtiondet och samverkan mellan myndigheter har ökat. dock mer att göra för att underlätta för dem som använder digitala tjäns- Digitala tjänster i offentlig sektor bör utformas på ett sådant sätt att alla människor kan ta del av dem utifrån olika förutsättningar och behov. Det gäller t.ex. funktionsnedsättningar av syn, hörsel och kognitiva för- En viktig målsättning bör vara att utvecklingen av digitala tjäns- ter bidrar till att kvinnor och män är nöjda med och använder tjänsterna i Utvecklingen av digitala tjänster bör vara behovs- driven, baseras på nytta och genomföras i samverkan med användarna. Utformningen av tjänsterna bör utgå från användarens livssituation eller Regeringens ambition är att offentlig sektor ska erbjuda fler och bättre digitala tjänster till användare. För många av de nuvarande och framtida tjänsterna krävs e-legitimation. Privatpersoners och företags användning av och förtroende för e-legitimationer är avgörande i den pågående digi- taliseringen av samhället. Regeringen har också uttalat att det är ange- läget att varje medlemsland, även , bidrar till att underlätta gräns- överskridande elektronisk identifiering (prop. 2014/15:1, utg.omr. s. 150 f.). De e-legitimationer som används i tillhandahålls av marknaden och inte av staten eller på uppdrag av staten. heller någon skyldighet för en medlemsstat att anmäla något nationellt system för elektronisk identifiering enligt EU-förordningen. Däremot är Prop. 2015/16:72 ett anmält system en förutsättning för att svenska e-legitimationer ska er- kännas i övriga medlemsstater inom EU. De möjligheter som EU-förord- ningen erbjuder i denna del väcker frågor som inte kan behandlas inom ramen för detta lagstiftningsärende, utan frågorna behöver analyseras i särskild ordning. Vidare innebär EU-förordningen att är skyldigt att erkänna utländska personers e-legitimationer som har utfärdats inom ett system för elektronisk identifiering som en annan medlemsstat har anmält. Hur detta ska gå till i praktiken är ett annat område som kräver ytterligare analys. föreslås få en utökad och tydligare roll när det gäller gränsöverskridande elektronisk identifiering genom att utreda och utveckla lösningar, tillhandahålla centrala tjänster, delta i pågående internationellt utvecklingsarbete och ge stöd till myndigheter i frågor som rör gränsöverskridande elektronisk identifiering. I budgetpropositionen gör regeringen bedömningen att verksamhet därför behöver stärkas genom en viss fortsatt anslagsfinansiering 2016–2019, se prop. 2015/16:1, utg.omr. 22, s. 120. Regeringen har även lämnat ett uppdrag till och att löpande följa och analysera konsekvenserna av de genomförandeakter som beslutas enligt EU-förordningen (dnr N2015/2620/EF). I vissa fall är det obligatoriskt för Europeiska kommissionen att anta genomförandeakter. I andra öppnar EU-förordningen endast för en möjlighet att anta sådana. I de två myndigheternas uppdrag ingår också att analysera och redovisa vilka konsekvenser det får om sådana ickeobligatoriska genomförandeakter inte antas. Inom ramen för samma uppdrag ska även utreda och föreslå hur en lösning för gränsöverskridande elektronisk identifiering och underskrift kan utformas och erbjudas svenska intressenter i olika situationer, t.ex. privat, i tjänsten, för svenskar bosatta utomlands och för företag, myndigheter och andra organisationer med gränsöverskridande verksamhet. Uppdraget ska slutredovisas . Regeringen kommer därefter att ta ställning till det fortsatta arbetet med dessa frågor. 8.1Upphävande av lagen om kvalificerade elektroniska signaturer Regeringens förslag: Lagen om kvalificerade elektroniska signaturer ska upphävas. Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna stöder förslaget eller lämnar det utan invändning. Skälen för regeringens förslag: Signaturlagen har kommit till för att genomföra signaturdirektivet i svensk rätt. 2015/16:72 Genom EU:s förordning om elektronisk identifiering stärks och utvidgas det regelverk som finns i signaturdirektivet. Enligt artikel 50 i EU- förordningen ska direktivet upphöra att gälla . EU-förord- ningen ersätter således signaturdirektivet. Det finns därmed inte längre något behov av signaturlagens reglering. Lagen bör därför upphävas. Följdändringar i andra lagar Regeringens förslag: Hänvisningar i lag till avancerade elektroniska signaturer enligt signaturlagen ska ersättas av hänvisningar till avance- rade elektroniska underskrifter enligt EU:s förordning om elektronisk Lagbestämmelser som direkt eller indirekt endast all- mänt hänvisar till elektroniska signaturer, utan angivande av att signa- turen ska vara av en viss kvalitet, ska ändras på så sätt att hänvis- ningen avser elektroniska underskrifter. Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna: Kammarrätten i , advokatsam- fund och noterar att lagförslaget om ändring i 45 kap. 4 § inte stämmer överens med motivtexten. föreningen anför att det i förslaget till lag om ändring i fastighetsbildnings- lagen (1970:988) och förslaget till lag om ändring i lagen (1978:599) om avbetalningsköp mellan näringsidkare m.fl. är oklart om termen signatur eller underskrift ska användas. behovet av bestämmelsen i 111 kap. 5 § andra stycket socialförsäkrings- förordar att referensen till certifikat i samma bestämmelse ersätts med en mer teknikneutral term. Skälen för regeringens förslag: I signaturlagen finns bestämmelser om avancerade och kvalificerade elektroniska signaturer. Som anges i avsnitt 6 finns det i ett antal lagar dels bestämmelser som hänvisar till avancerade elektroniska signaturer enligt signaturlagen, dels bestämmelser som direkt eller indirekt endast allmänt hänvisar till elek- troniska signaturer, utan angivande av att signaturen ska vara av en viss Enligt 2 § signaturlagen ska en avancerad elektronisk signatur a) vara knuten uteslutande till en undertecknare, b) göra det möjligt att identifiera undertecknaren, c) vara skapad med hjälpmedel som endast undertecknaren kontrolle- d) vara knuten till andra elektroniska data på ett sådant sätt att för- vanskningar av dessa data kan upptäckas. I EU:s förordning om elektronisk identifiering har termen elektronisk signatur ersatts av termen elektronisk underskrift. Av definitionen i arti- kel 3 i EU-förordningen följer att en avancerad elektronisk underskrift ska uppfylla följande krav: a) den ska vara unikt knuten till undertecknaren, b) undertecknaren ska kunna identifieras genom den, c) den ska vara skapad på grundval av uppgifter för skapande av elek- troniska underskrifter som undertecknaren med hög grad av tillförlitlig- het kan använda uteslutande under sin egen kontroll, och d) den ska vara kopplad till de undertecknade uppgifterna på ett sådant sätt att alla efterföljande ändringar av uppgifterna kan upptäckas. Den sakliga skillnaden mellan termen avancerad elektronisk signatur i signaturlagen och termen avancerad elektronisk underskrift i EU-förord- ningen är mycket liten. I och med upphävandet av signaturlagen bör därför hänvisningar i lag till avancerade elektroniska signaturer enligt signaturlagen ersättas med hänvisningar till avancerade elektroniska underskrifter enligt EU-förordningen. I de fall lagbestämmelserna direkt eller indirekt endast allmänt hänvisar till elektroniska signaturer, utan angivande av att signaturen ska vara av en viss kvalitet, framgår det i stället av föreskrifter meddelade av regeringen eller av ansvarig myndighet vilka krav som ska gälla. Dessa lagbestämmelser bör ändras på så sätt att hänvisningen i stället avser elektroniska underskrifter. Som vissa remissinstanser har noterat gäller det även 45 kap. 4 § . Av tydlighetsskäl bör även övriga lagbestämmelser som innehåller termen signatur i betydelsen elektronisk signatur ändras på motsvarande sätt så att termen underskrift används i stället. Lagrådet har anfört att samtliga hänvisningar bör vara formulerade på samma sätt om avsikten är att den elektroniska underskriften ska vara av sådant slag som avses i artikel 3 i EU-förordningen och att ett annat uttryck än elektronisk underskrift bör väljas om det inte är lämpligt att hänvisa till EU-förordningen. De e-legitimationer som allmänt används i anses uppfylla kraven på en avancerad elektronisk underskrift. Såtillvida kommer innebörden av de olika uttryckssätten att i praktiken vara densamma även om hänvisning inte sker till artikel 3 i EU-förordningen. Att det i vissa lagar finns bestämmelser som mera allmänt hänvisar till elektroniska signaturer är resultatet av särskilda överväganden. På fastighetsbildningsområdet har det t.ex. inte ansetts lämpligt att i lag bestämma hur en elektronisk underskrift ska vara beskaffad (prop. 2013/14:123 s. 16 och 26).