sou · H5B3114 · 2018-01-01 00:00:00 — sändande och mottagande, och som skyddar uppgifterna mot risken för förlust, stöld, skada eller otillåtna ändringar. Genom autentisering av webbplatser är det möjligt att bekräfta att en fysisk eller juridisk person är kopplad till en viss webbplats och att uppgifterna på webbplatsen är korrekta. Även skäl (21)–(25) är av intresse för bedömningen av vad som ska betraktas som en betrodd tjänst. I artiklarna 20–24 finns särskilda bestämmelser om kvalificerade be- trodda tjänster. Den som vill tillhandahålla sådana tjänster ska anmäla detta till tillsynsmyndigheten1 och lämna in en rapport med en överensstämmelsebedömning som är utfärdad av ett ackrediterat organ för bedömning av överensstämmelse.2 Om tillhandahållaren och dennes betrodda tjänster uppfyller förordningens krav beviljas dessa status som kvalificerade och förs upp på en nationell förteckning (eng. trusted list) över kvalificerade tillhandahållare av betrodda tjänster inom EU och de tjänster som dessa tillhandahåller. Det finns även ett förfarande för återkallande av en tillhandahållares eller en tjänsts status som kvalificerad om kraven inte längre uppfylls. För kvalificerade tillhandahållare av betrodda tjänster gäller sär- skilda krav på, t.ex. –Kontroll av identiteten hos den till vilken ett kvalificerat certifikat utfärdas, –Personalens utbildning och kunskaper, –Ekonomisk förmåga att bära risken för verksamheten, –Teknisk säkerhet och tillförlitlighet hos system, –Löpande planering för att kunna garantera tjänstens kontinuitet i fall av verksamhetens upphörande. Förordningen innehåller också krav på att kvalificerade tillhanda- hållare av betrodda tjänster återkommande ska granskas av ackredite- 1I är det PTS. 2Organen brukar benämnas som certifieringsorgan eller Conformity Assessment Body (CAB). Betrodda tjänster enligt eIDAS-förordningen rade organ i syfte att kontrollera att tillhandahållarna uppfyller för- ordningens krav. 19.2Krav som omfattar såväl kvalificerade som icke kvalificerade tillhandahållare Vissa bestämmelser i förordningen berör alla tillhandahållare, dvs. även tillhandahållare som inte är kvalificerade i förordningens mening. Såväl kvalificerade som icke kvalificerade tillhandahållare omfattas bl.a. av kraven som gäller skadeståndsansvar i artikel 13 och säkerhet i artikel 19. Av skäl (35) följer att syftet med regleringen är att säkerställa att även de icke kvalificerade tillhandahållarna har vederbörlig nog- grannhet, insyn och ansvarighet i sina verksamheter och tjänster. Det anges dock att med tanke på den typ av tjänster som tillhandahålls bör det göras åtskillnad mellan kraven på kvalificerade och på icke kvalificerade tillhandahållare. 19.3Vilka betrodda tjänster används av den offentliga förvaltningen i ? Den svenska offentliga förvaltningen använder betrodda tjänster, både internt och externt i samband med tillhandahållande av e-tjänster. De flesta aktörer i den offentliga förvaltningen som har e-tjänster använ- der elektroniska identitetshandlingar för elektronisk identitetskontroll och underskrift. För att nå e-tjänsten används även certifikat för auten- tisering av webbplatser. Det innebär att en individ identifierar sig med en elektronisk identitetshandling, t.ex. mobilt BankID. Den offentliga myndigheten använder ett certifikat för autentisering av webbplatser för att identifiera sig till individen och skydda informationen som överförs genom att kryptera förbindelsen. Efter identitetskontrollen får individen i e-tjänsten se uppgifter om sig själv. Individen kan sedan förändra informationen i en deklaration eller ansöka om studiemedel och skriva under elektroniskt innan informationen skickas vidare in i den offentliga myndighetens verksamhetssystem. När den offentliga myndigheten tar emot den underskrivna hand- lingen tidsstämplas den för att i efterhand kunna visa när den kom in. Betrodda tjänster enligt eIDAS-förordningen Därefter görs en validering, dvs. en kontroll av att certifikatet som an- vändes för att skapa underskriften var giltigt för underskrift och tidpunkten för mottagande. Valideringen innefattar även en kontroll av den kryptografiska kopplingen mellan de under- skrivna uppgifterna och underskriften. Om detta steg inte validerar så har den underskrivna informationen förändrats sedan tidpunkten för underskrift. Den offentliga myndigheten bevarar informationen och underskrifterna för vidarebearbetning och arkivändamål. Hur länge detta behöver bevaras kan variera. I flera fall tas ovanstående steg hos den statliga myndighet, kom- mun eller det landsting som tillhandahåller e-tjänsten. Eftersom ingen av dessa delar kommuniceras med, eller på annat sätt berör, tredje man kan ett sådant användande anses vara inom en sluten grupp. Till följd av detta är dessa interna tjänster undantagna från de skyldigheter för en betrodd tjänst som annars följer av förordningen. Det finns även företag som tillhandahåller dessa tjänster, t.ex. vali- dering av elektroniska identitetshandlingar, som en tjänst. Om en leverantör gör detta åt den offentliga myndigheten uppstår ett tredje- mansförhållande mellan användaren och den offentliga myndigheten och då kan leverantören ses som en tillhandahållare av betrodda tjänster. Offentlig förvaltning tillhandahåller även i vissa fall blanketter eller dokument som skickas in i ett asynkront flöde, dvs. den som använder blanketten laddar ner, fyller i och skriver under blanketten för att sedan skicka den vidare till en statlig myndighet, kommun eller landsting. Även i dessa fall används tjänster för underskrift, tids- stämpling, validering och bevarande på samma sätt som beskrivits ovan. Avgörande för om de betrodda tjänsterna omfattas av förord- ningens regler är om det är en del i ett slutet system, dvs. om de på- verkar tredje man eller inte. Flera offentliga myndigheter använder Mina meddelanden. Det är en funktion som har två huvudsakliga användningsområden; dels att specificera ramverket för hur meddelanden kan förmedlas mellan en avsändande myndighet och en mottagare, dels att vara den uppslags- funktion som kopplar en registrerad mottagare till en specifik elek- tronisk brevlådeoperatör. Dessa brevlådeoperatörer kan troligen ses som tillhandahållare av den betrodda tjänsten elektronisk rekommen- derad leverans eftersom Mina meddelanden möjliggör för att individer ska kunna ta emot, läsa och bevara elektronisk myndighetspost. Betrodda tjänster enligt eIDAS-förordningen att en användare ska kunna ta del av meddelanden som skickats genom Mina meddelanden krävs att hon eller han har en elektronisk identi- tetshandling och är ansluten till en digital brevlåda godkänd för att an- vändas i Mina meddelanden. 19.3.1Tillhandahållare av betrodda tjänster på den svenska marknaden Det är svårt att av göra hur många tillhandahållare av betrodda tjäns- ter som finns på den svenska marknaden. Det beror på att det inte finns någon anmälningsplikt för de som tillhandahåller betrodda tjänster om dessa inte har valt att bli kvalificerade tillhandahållare och tillhandahålla kvalificerade betrodda tjänster. En annan svårighet är att regelverket är nytt och det finns en otydlighet och gränsdrag- ningsproblematik om en tillhandahållare tillhandahåller betrodda tjänster eller ej. Det finns ännu inte någon rättslig prövning som kan klargöra vad som är att ses som en betrodd tjänst eller ej. Den svenska marknaden präglas av de formkrav som ställs i svensk lagstiftning på användning av betrodda tjänster och de behov som tillhandahållare av e-tjänster har. Formkraven ska uppfyllas för att möjliggöra elektroniska förfaranden. De tillhandahållare av betrodda tjänster som är etablerade i är främst sådana som utfärdar elektroniska identitetshandlingar vilket inkluderar certifikat för elek- troniska underskrifter och tillhandahållare av underskriftstjänster baserade på identitetsintyg. En annan kategori möjliga tillhandahållare är leverantörerna av digitala brevlådetjänster i Mina meddelanden. Mina meddelanden gör det möjligt för individer att ta emot, läsa och bevara digital myndig- hetspost. För att en användare ska kunna ta del av meddelanden som skickats genom Mina meddelanden krävs att hon eller han har en elektronisk identitetshandling och är ansluten till en digital brevlåda godkänd för att användas i Mina meddelanden. Leverantörer som till- handahåller digitala brevlådetjänster kan ses som att de tillhandahåller den betrodda tjänsten elektronisk rekommenderad leverans. En tredje kategori är tillhandahållare av tjänsten validering av elek- troniska underskrifter. Betrodda tjänster enligt eIDAS-förordningen 19.4Vad kräver eIDAS-förordningen när det gäller erkännande av elektroniska underskrifter från andra medlemsstater? Av artikel 27 i eIDAS-förordningen följer en skyldighet att erkänna elektroniska underskrifter i offentliga e-tjänster från andra medlems- stater i EU och EES-området. Skyldigheten omfattar att godta sam- ma eller högre (dvs. kvalificerade) nivå av elektroniska underskrifter och stämplar som används i den egna e-tjänsten. Kommissionen har fattat beslut om en genomförandeakt3 med referensformat för avancerade elektroniska underskrifter och stämp- lar i enlighet med artiklarna 27.5 och 37.5. Det innebär, enligt artikel 1 i genomförandeakten, en skyldighet för medlemsstaterna att i offentliga e-tjänster erkänna avancerade elektroniska underskrifter i vissa format.4 Skyldigheten gäller även, enligt artikel 2, andra under- skriftsformat under förutsättning att den medlemsstat där tillhanda- hållaren av betrodda tjänster som används av undertecknaren är etablerad, erbjuder andra medlemsstater möjligheter till validering av underskrift som är lämpad, när så är möjligt, för automatiserad be- handling. Samma krav som genomförandeakten anger för underskrifter gäl- ler för stämplar i enlighet med artikel 3 och 4 i genomförandeakten. 19.4.1Möjliga undantag till kravet om erkännande av elektroniska underskrifter och stämplar från andra medlemsstater Av skäl (21) och artikel 2 framgår att förordningen inte påverkar nationell rätt eller unionsrätt som avser ingående av avtal eller andra rättsliga och förfarandemässiga skyldigheter avseende formkrav. Vidare framgår av skäl (21) att det inte finns någon allmän skyldighet att 3Kommissionens genomförandebeslut (EU) 2015/1506 av om fast- ställande av specifikationer rörande format för avancerade elektroniska underskrifter och avancerade elektroniska stämplar i enlighet med artiklarna 27.5 och 37.5 i och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden. 4Formaten XML, CMS eller PDF på överensstämmelsenivå Basic, Timestamping eller Long Term eller använda en tillhörande underskriftsbehållare, ASIC. Betrodda tjänster enligt eIDAS-förordningen använda eller installera en accesspunkt för alla befintliga betrodda tjänster. 19.5Hur används elektroniska underskrifter i svenska offentliga e-tjänster? Flera svenska offentliga myndigheter använder e-tjänster som bygger på synkrona onlineförfaranden, dvs. där en användare av e- tjänsten identifierar sig i e-tjänsten som i sin tur hämtar information om användaren utifrån dennes behörighet. Som exempel kan nämnas att om man vill söka föräldrapenning för ett barn via Försäkringskas- sans e-tjänst kommer en kontroll göras att användaren är vårdnads- havare till ett barn (och i övrigt är behörig) innan ansökan kan hanteras. I sådana fall med synkrona flöden där allt är online styr e- tjänsten över den elektroniska underskriften som tecknas efter att användaren har identifierats och vidtagit någon åtgärd. I ett sådant flöde är det praktiskt svårt att ta emot och utveckla e-tjänsten på ett sådant sätt att den godtar andra elektroniska underskrifter än de som tjänsten förväntar sig kopplat till identitetskontrollen med hjälp av en elektronisk identitetshandling. Ett sätt att lösa elektroniska under- skrifter i en sådan tjänst är att använda en underskriftstjänst som av- ropas från Kammarkollegiets ramavtal. En sådan underskriftstjänst utfärdar ett engångscertifikat utifrån den använda elektroniska iden- titetshandlingen för en underskrift. Samma förfaranden kan då använ- das för en utländsk elektronisk identitetshandling. Andra offentliga myndigheter använder sig av asynkrona flöden, dvs. att en blankett laddas ner av undertecknaren som fyller i och skapar en elektronisk underskrift i sin miljö och skickar in till mot- tagande offentlig myndighet. Det kan också vara för de fall att under- tecknarens verksamhetssystem undertecknar informationen och skickar in till mottagande myndighet. I dessa fall styr inte den offent- liga myndigheten över de mottagna underskrifterna och de kan vara från olika länder och i olika format. Betrodda tjänster enligt eIDAS-förordningen 19.5.1Svårigheter med att ta emot elektroniska underskrifter från andra länder I svenska e-tjänster används främst underskrifter från elektroniska identitetshandlingar som BankID och underskriftstjänster från leve- rantörer på Kammarkollegiets ramavtal. Dessa underskrifter brukar anses vara på nivån avancerade elektroniska underskrifter och baserar sig på certifikat utfärdade av tillhandahållare av betrodda tjänster, dvs. det är inte kvalificerade certifikat. Avancerade elektroniska under- skrifter ska enligt förordningens artikel 26 uppfylla följande krav: a)Den ska vara unikt knuten till undertecknaren. b)Undertecknaren ska kunna identifieras genom den. c)Den ska vara skapad på grundval av uppgifter för skapande av elektroniska underskrifter som undertecknaren med hög grad av tillförlitlighet kan använda uteslutande under sin egen kontroll. d)Den ska vara kopplad till de uppgifter som den används för att underteckna på ett sådant sätt att alla efterföljande ändringar av uppgifterna kan upptäckas. En avancerad elektronisk underskrift kan sedan skapas utifrån certi- fikat som utfärdats av en betrodd tjänst eller en kvalificerad betrodd tjänst. Ett certifikat som utfärdats av en kvalificerad betrodd tjänst brukar benämnas ett kvalificerat certifikat. Som tidigare beskrivits innebär förordningen enligt artikel 27 att en medlemsstat som kräver en avancerad elektronisk underskrift för användningen av en nättjänst som erbjuds av ett offentligt organ eller på ett offentligt organs väg- nar, ska erkänna avancerade elektroniska underskrifter, avancerade elektroniska underskrifter som är baserade på ett kvalificerat certifikat för elektroniska underskrifter och kvalificerade elektroniska under- skrifter i åtminstone de format eller med de metoder som anges i genomförandeakten på området. Det finns svårigheter med att godta olika sorters format och underskrifter i onlinetjänster. Det är enklare när det gäller e-tjänster med asynkrona flöden där underskriften är helt separat från en offent- lig myndighets e-tjänst, i undertecknarens miljö, och sedan skickas in med en underskrift. I dessa fall styr undertecknaren över under- skriften och underskriftens format. Skyldigheten när det gäller nivåer av underskrifter och format följer av kraven enligt artikel 27 och den Betrodda tjänster enligt eIDAS-förordningen En e-tjänst kan känna igen de under- skrifter som baserar sig på kvalificerade certifikat oavsett om de är avancerade eller kvalificerade elektroniska underskrifter genom att dessa kvalificerade tillhandahållare och deras kvalificerade betrodda tjänster finns förtecknade i ”trusted list”. Det finns dock en svårighet att känna igen avancerade elektroniska underskrifter från tillhanda- hållare av betrodda tjänster och betrodda tjänster som inte är kvalifi- cerade eftersom dessa inte omfattas av någon anmälningsplikt och därmed inte finns i någon nationell eller internationell förteckning. Betrodda tjänster som inte är kvalificerade omfattas inte av samma detaljreglering som kvalificerade betrodda tjänster vilket medför att det är svårt att jämföra en betrodd tjänst som en avancerad elektro- nisk underskrift från en tillhandahållare av betrodd tjänst jämfört med en annan tillhandahållare av avancerade elektroniska underskrif- ter. Det gör det svårt för en mottagande offentlig myndighet att avgöra om och hur en avancerad underskrift från en okänd tillhanda- hållare lever upp till kraven på en avancerad elektronisk underskrift.5 19.5.2Behov av gemensamma insatser för att underlätta gränsöverskridande användning av elektroniska underskrifter och stämplar att regeringen ger digitaliseringsmyndigheten i uppdrag att spe- cificera, tillhandahålla eller upphandla en gemensam validerings- tjänst för att statliga myndigheter, kommuner och landsting ska kunna validera elektroniska underskrifter från andra länder. att regeringen tillsätter en utredning som ser över behovet av svensk reglering av betrodda tjänster som inte är kvalificerade. Skyldigheten att erkänna elektroniska underskrifter och stämplar från andra medlemsstater innebär ett behov för svenska tillhanda- 5 Jfr Högsta domstolens dom i mål T435-17, som rörde bevisbördan i tvistemål för invändning om att en elektronisk underskrift använts obehörigen av annan än innehavaren. Tvisten gällde en elektronisk låneförbindelse. bedömde att det var långivaren som måste visa att det är den påstådda elektroniska underskriften som har använts och att, om så sker innehavaren måste göra antagligt att användningen av under- skriften skett obehörigen. Betrodda tjänster enligt eIDAS-förordningen hållare av e-tjänster att kunna validera elektroniska underskrifter från andra medlemsländer. Det är svårt och betungande för varje statlig myndighet, kommun och landsting att själv upphandla den nödvän- diga funktionaliteten som krävs för att ta emot elektroniska under- skrifter och stämplar från andra länder. Detta innebär att en samlad valideringstjänst bör införas enligt ut- redningens mening eller åtminstone upphandlas centralt för nyttjande av den offentliga förvaltningen. En sådan tjänst kan validera elektro- niska underskrifter från de andra medlemsländerna. I den enkät som utredningen skickade till andra medlemsstater (se avsnitt 17.3.4) ingick frågan om de har en valideringstjänst för elektro- niska underskrifter. Det finns åtskilliga exempel på sådana validering- stjänster. har en central tjänst som kan erkänna utländska elektro- niska underskrifter (Kvikskranken). har ingen gemensam valideringstjänst men kommer att behöva överväga det om offentliga myndigheter börjar använda elek- troniska underskriftstjänster. Väldigt få offentliga tjänster i kräver elektroniska underskrifter enligt lag. har implementerat en valideringstjänst för elektro- niska underskrifter. accepterar alla utländska avance- rade e-underskrifter baserade på vissa specificerade format. har en valideringstjänst på följande webbplats: bör få i uppdrag att specificera och till- handahålla eller upphandla en sådan valideringstjänst. En sådan vali- deringstjänst kan komma att utvecklas till ytterligare en förvalt- ningsgemensam digital funktion enligt vad som har beskrivits. En annan insats som identifierats under arbetets gång är att tyd- liggöra vilka krav på avancerade elektroniska underskrifter som be- hövs för att de kunna användas i svenska e-tjänster. fastställs säkerhetsnivån i avtal mellan en tillhandahållare av en betrodd tjänst och den som tillhandahåller en e-tjänst eller tar emot elektroniska underskrifter. Det smidigaste sättet att ta emot underskriven handling är i ett synkront flöde där man som mottagare själv kan sätta kraven och parametrarna på den ingående underskriften. När en organisation eller offentlig myndighet önskar att själva översända underskrivna handlingar till en annan offentlig myndighet så uppstår ett problem i Betrodda tjänster enligt eIDAS-förordningen att båda inte kan styra över underskriftens format. Det kan endast antingen avsändare eller mottagare göra. Om det finns en gemensam nationell överenskommen standard för hur sådana underskrifter skapas och valideras så förenklas flödet betydligt. Det kommer dock alltid att finnas fall där en offentlig myndighet behöver ta emot en under- skriven handling från utfärdare som inte följer en sådan standard eller kan valideras genom ”trusted list”. Samma problem uppstår när en in- divid i ett annat land skriver under en handling med ett avancerat certifikat utfärdat av en betrodd tjänst med säte i ett annat land och översänder den till en offentlig myndighet nationellt. Den offentliga myndigheten är enligt förordningen skyldig att ta emot handlingen och validera den om det finns en kostnadsfri tjänst eller mjukvara för validering. Förordningens krav på kvalificerade certifikat är omfattande och tydliga. Kraven på certifikat som inte är kvalificerade är otydliga vilket innebär en svårighet för en mottagare av en avancerad elektronisk underskrift att avgöra vilken kvalitet och säkerhet som en sådan underskrift har, t.ex. hur väl identifierad undertecknaren är. Om en nationell säkerhetsnivå fastställs i regelverk så underlättar det såväl möjligheten att avgöra vilka underskrifter som godtas i offentliga e-tjänster nationellt som vilka tjänster som kan godtas inter- nationellt. Kraven på elektroniska underskrifter bör samordnas med kraven på elektronisk identifiering och på ett motsvarande sätt med tillitsramverk genom lagstiftning med övergripande krav, samt förord- ning med mandat att utfärda föreskrifter. Sådana krav skulle kunna innefatta: –Kontroll av identiteten hos den till vilken ett certifikat utfärdas, –Personalens utbildning och kunskaper, och –Teknisk säkerhet och tillförlitlighet hos system. Behovet och innehållet av en sådan reglering behöver utredas vidare. 20Framtida användning av elektroniska identitetshandlingar inom att bör ha en hög ambitionsnivå för användningen av elektroniska identitetshandlingar och betrodda tjänster. att digitaliseringsmyndigheten bör prioritera deltagande i sam- arbetsnätverket för elektroniska identitetshandlingar och sak- kunnigbedömningar. att regeringen ger uppdrag till offentliga myndigheter som har särskilt frekventa ärenden rörande nordiska medborgare att delta i och stödja samarbetsprojekt med motsvarande offentliga myndig- heter i de nordiska och baltiska länderna. att får i uppdrag att inrätta ett svenskt register över säkerställda kopplingar mellan europeiska elektroniska identi- tetshandlingar och svenska personnummer enligt det av Skatte- verket tidigare lämnade förslaget. 20.1Hög ambitionsnivå för användningen av europeiska elektroniska identitetshandlingar och betrodda tjänster Under det estniska ordförandeskapet i ministerrådet genomfördes två ministerkonferenser i med inriktning på digital utveckling. Detta resulterade i två ministerdeklarationer. Framtida användning av elektroniska identitetshandlingar inom skrev ansvariga ministrar i , Azer- badjan, , , , och EU under en gemensam deklaration. Den innehåller bl.a. mål för regler för elek- tronisk kommunikation och infrastruktur, tillit och säkerhet i den digitala ekonomin, eHandel inklusive tull- och transportfrågor, digi- tal kompetens, ICT innovation och startups ekosystem, eHälsa samt EU-stöd för harmonisering av digitala marknader. Flera av de angivna målsättningarna ska uppnås till år 2020.1 skrev ansvariga ministrar i alla medlemsstater i EU och EFTA under en ministerdeklaration för att nå visionen och levandegöra principerna i EU:s eGovernment handlingsplan – 2020. ska länderna arbeta för ett antal mål inom den offentliga verksamheten. Ett av dessa innebär att öka an- vändningen av elektroniska identitetshandlingar. Medlemsländerna förklarar sig villiga att vidta åtgärder så att eIDAS -förordningen kan genomföras och får spridd tillämpning, bland annat genom att anmäla elektroniska identitetshandlingar till kom- missionen. Vidare vill medlemsstaterna verka för bred användning av betrodda tjänster hos dess myndigheter och att möjliggöra privatsek- tors användning av elektroniska identitetshandlingar och betrodda tjänster.