sou · H5B3114 · 2018-01-01 00:00:00 — Utredningen föreslår i kapitel 14 att digitaliseringsmyndigheten bl.a. ska tillhandahålla ett register med utfärdare och förlitande aktörer. Registret skapar förut- sättningar för att trafiken – alltså frågan om en användares identitets- uppgifter och svaret i form av identitetsintyget – flödar på ett kor- rekt sätt. Det blir digitaliseringsmyndigheten som ska bestämma vill- 45 Enligt direktiv 2017:117 ska uppgifter tas över av den nya myn- digheten för digitalisering av den offentliga verksamheten fr.o.m. . Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll koren för valfrihetssystemen. Utredningen bedömer att villkor bör kunna skapas som inriktas på hur trafiken mellan leverantör och förlitande aktör ska flöda, samt de närmare villkoren för ansvars- utkrävande till följd av fel i trafiken mellan förlitande aktör och leverantör. I lagen kommer digitaliseringsmyndigheten att benämnas den upphandlande myndigheten, se emellertid utredningens förslag om översyn av eLOV. 13.6.4Undantag från skyldigheten att ansluta sig att regeringen får besluta om undantag från skyldigheten för statliga myndigheter, kommuner och landsting att ansluta sig till valfrihetssystem om det finns särskilda skäl. Utredningen bedömer att det måste finnas möjlighet för statliga myndigheter, kommuner och landsting att undantas från skyldig- heten att ansluta sig till valfrihetssystem som digitaliseringsmyndig- heten tillhandahåller. Sådant undantag kan beviljas om det finns särskilda skäl. Utredningen bedömer att sådana särskilda skäl kan vara att den statliga myndigheten, kommunen eller är bunden av befintliga avtalsvillkor som gör att den inte kan ansluta sig till valfrihetssystem eller att den måste genomföra omfattande tek- niska anpassningar av sina egna system innan den kan följa de villkor som gäller inom valfrihetssystem. att dagens ersättningsmodell för funktion för elektronisk identi- tetskontroll ändras på så sätt att utfärdare av elektroniska identi- tetshandlingar ska fakturera Kammarkollegiet för det antal iden- titetsintyg som statliga myndigheter, kommuner och landsting har begärt inom ramen för valfrihetssystem. Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll att Kammarkollegiet tilldelas anslagsmedel för den ersättning som ska betalas till leverantörer för statliga myndigheters, kommuners och landstings användning av funktion för elektronisk identitets- kontroll. fakturerar leverantören respektive statlig myndig- het, kommun eller landsting för det antal identitetsintyg som har förmedlats inom ramen för valfrihetssystem. Ersättningsmodellen bygger på en s.k. tickkostnad, dvs. att varje identitetsintyg ersätts med en viss, på förhand, angiven summa. Det har framkommit att detta sätt att fakturera är otympligt och ineffektivt för leveran- törerna som dels måste veta mängden trafik som respektive statliga myndighet, kommun eller landsting har begärt, dels måste ha en faktureringsorganisation för detta. Modellen är även administrativt otymplig för de offentliga myndigheterna. Utredningen bedömer att det finns anledning att förenkla ersättningsmodellen. Utredningen föreslår inte någon ändring i sättet som ersättningen ska beräknas. Däremot föreslår utredningen ändringar som tar sikte på hur leverantörer ska fakturera för de statliga myndigheternas, kom- munernas och landstingens användning. Utredningen menar att den ersättning som ska betalas för an- vändning av den förvaltningsgemensamma funktionen för elektro- nisk identitetskontroll ska vara en förvaltningsgemensam utgift. Utredningen föreslår att dagens ersättningsmodell för funktion för elektronisk identitetskontroll ändras på så sätt att leverantörer ska fakturera Kammarkollegiet för det totala antal identitetsintyg som statliga myndigheter, kommuner och landsting har begärt inom ramen för valfrihetssystem. Det innebär att de offentliga myndig- heterna inte själva faktureras av leverantören, utan att leverantören ersätts av Kammarkollegiet. För leverantörerna medför det att de inte behöver analysera hur stor del av den totala användningen som en viss statlig myndighet, kommun eller landsting har stått för . Kammarkollegiet har till uppgift att ansvara för bl.a. betalning av statens utgifter, om något annat inte följer av särskilda föreskrifter.46 Utredningen bedömer att det är lämpligt att Kammarkollegiet har 46 5 § förordningen (2007:824) om instruktion för Kammarkollegiet. Ny lydelse av bestäm- melsen träder i kraft . Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll denna uppgift, trots att Kammarkollegiet inte är avtalspart. Utred- ningen bedömer att denna uppgift bör rymmas inom Kammarkolle- giets befintliga instruktionsenliga uppdrag. Kammarkollegiets upp- gifter i denna del bör anslagsfinansieras. 13.8Krav på kvalitetsmärket elektronisk identitetshandling att det i upphandlingsdokumentet för valfrihetssystemet ska ingå krav på att elektroniska identitetshandlingar ska ha kvalitetsmärket elektronisk identitetshandling för att utfärdaren ska få an- sluta sig till valfrihetssystem. Ett valfrihetssystem bygger på att en aktör uppställer vilka villkor som gäller för en viss vara eller tjänst och att den ekonomiska ersätt- ningen är bestämd på förhand. Alla leverantörer som uppfyller vill- koren ska godtas. I eLOV beskrivs att den upphandlande myndig- heten ska annonsera valfrihetssystem på en nationell webbplats samt att där ska såväl annonsen som upphandlingsdokumenten finnas.47 Begreppet upphandlingsdokument i eLOV har samma betydelse som i och avser varje dokument som en upphandlande myndighet använder för att beskriva eller fastställa innehållet i upphandlingen.48 Med upphandlingsdokument menas bl.a. annonser om upphandling, förhandsannonser, tekniska specifikationer, förslag till kontrakts- villkor och upplysningar om allmänt tillämpliga skyldigheter samt eventuella kompletterande dokument.49 Utredningen kommer i det följande att beskriva vad som menas med kvalitetsmärket elektronisk identitetshandling. Kort- fattat ska kvalitetsmärket elektronisk identitetshandling tjäna som en signal för individer om vilka elektroniska identitetshand- lingar som har genomgått ett granskningsförfarande. Elektroniska identitetshandlingar innehåller uppgifter om individer som bör om- gärdas av krav på säkerhet. Kvalitetsmärket syftar till att säkerställa 474 § eLOV. 481 kap. 23 § . 2015/16:195 s. 944. Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll En kvalitetsmärkning medför emellertid inte att en utfärdare får sälja elektronisk identitetskontroll till offentliga myndigheter. Om kvalitetsmärket ska fylla det syfte som utredningen avser måste det finnas en koppling mellan det sätt som utredningen bedömer att statliga myndigheter, kommuner och landsting ska anvisas för an- skaffning av funktion för elektronisk identitetskontroll och kvalitets- märket. Utredningen har övervägt olika alternativ. Ett alternativ är att kvalitetsmärket endast skulle avse de elektroniska identitetshandlingar som finns i valfrihetssystem. Det alternativet har emellertid utred- ningen valt bort eftersom det kan hända att det finns utfärdare som inte riktar sin verksamhet alls mot den offentliga sektorn, men som ändå vill erbjuda sina kunder en kvalitetsmärkt elektronisk identi- tetshandling. Utredningen föreslår i stället att digitaliseringsmyndigheten i upp- handlingsdokumenten ska ställa krav på att leverantörer som ansluter sig ska ha kvalitetsmärket elektronisk identitetshandling för att få delta. Någon ändring i lagtexten bedöms inte vara nödvändig för genomförandet av detta förslag. 13.9Rättslig översyn av eLOV att regeringen låter göra en rättslig översyn av eLOV. uttalade i sitt betänkande Ordning och reda i välfärden att anordnande av valfrihetssystem är en form av auktori- sationssystem som kan utformas mer fristående från de detaljerade krav som upphandlingsdirektiven uppställer. Därför föreslog Väl- färdsutredningen en ny lag om valfrihetssystem som skulle ersätta LOV och att terminologin och strukturen tydligare skulle anpassas till att det är fråga om nationell lagstiftning och inte en upphand- lingslagstiftning.50 Tilldelning av kontrakt inom ramen för ett val- frihetssystem omfattas alltså inte av upphandlingsdirektivens defini- 50 SOU 2016:78, , s. 583. Myndigheters sätt att anskaffa funktioner för elektronisk identitetskontroll tion av offentlig upphandling, men omfattas av de allmänna upphand- lingsrättsliga principerna. Utredningen bedömer att förståelsen av de olika sätten att anskaffa funktioner för elektronisk identitetskontroll skulle under- lättas om lagstiftaren valde att betona att det i eLOV är fråga om nationell lagstiftning. På samma sätt som föreslagits för LOV behöver terminologin i eLOV ses över, bl.a. kallas den myndighet som tillhandahåller valfrihetssystem för den upphandlande myndig- heten. En sådan begreppsanvändning kan leda tanken fel. Utredningen vill dessutom uppmärksamma frågan om förslaget att digitaliseringsmyndigheten ska anordna valfrihetssystem i fråga om funktioner för elektronisk identifiering och att offentliga myn- digheter ska ansluta sig till detta medför att upphandling enligt är utesluten för elektronisk identitetskontroll. Oavsett om en offentlig myndighet upphandlar enligt eller anordnar ett valfrihetssystem så syftar själva anskaffningen till att lösa frågan hur aktören ska gå till väga för att köpa den beskrivna funk- tionen. Av praxis följer att ett auktorisationsförfa- rande inte omfattas av upphandlingsregelverket om det innebär att av- tal ingås med alla leverantörer som önskar leverera de berörda varorna/ tjänsterna på de villkor som angetts och något annat urval inte görs.51 I förarbetena till eLOV uttalade regeringen att det inte borde finnas hinder för myndigheter som inrättat valfrihetssystem att upphandla tjänster för elektronisk identifiering på annat sätt eller tilläggstjänster för specifika behov. Mot den bakgrunden bedömer utredningen att förslaget om obligatorisk anslutning till valfrihetssystem för offentliga myndigheter inte torde utesluta att en upphandling av samma typ av funktion också skulle vara möjlig att genomföra enligt reglerna i . De nu förda resonemangen tyder ändå på att det är otydligt hur eLOV ska tolkas i förhållande till upphandlingslagstiftningen. Sådan otydlighet inverkar på samtliga inblandade aktörer och bidrar till att området blir svårt att omfamna. Utredningen föreslår därför att regeringen låter göra en rättslig översyn av eLOV. I det samman- hanget är det också lämpligt att bedöma om alla valfrihetssystem kan samlas i en och samma lag. 51 , C-410/14. Det finns två författningar som reglerar elektronisk identifiering; lagen (2013:311) om valfrihetssystem i fråga om tjänster för elektro- nisk identifiering (eLOV) och instruktionen för E-legitimations- nämnden.1 inrättades . eLOV trädde i kraft . Utredningen har tidigare beskrivit eLOV och de valfrihetssystem som har anordnat. Utredningen om bildande av en föreslog i sitt betänkande,2 utöver eLOV och instruktion för , också en förordning om infrastruktur för Svensk e-legiti- mation. Denna förordning infördes aldrig. ska enligt sin instruktion stödja och sam- ordna elektronisk identifiering och underskrift i den offentliga förvalt- ningens e-tjänster.3 Efter överenskommelse med upphandlande myn- digheter ska tillhandahålla och administrera valfrihetssystem samt upprätta och driva en nationell webbplats för annonsering av valfrihetssystem.4 Nämnden har även uppdrag inom området elektronisk identifiering enligt eIDAS-förordningen och ansvarar bl.a. för den svenska eIDAS-noden.5 1Det finns också andra myndigheter som har uppdrag inom området. har tillsynsansvar för e-underskrifter och andra betrodda tjänster enligt eIDAS-förordningen och erbjuder vägledning inom samma område, förordningen (2007:951) med instruktion för . 2SOU 2010:104, och e-legitimation. 3Förordningen (2010:1497) med instruktion för . 44 § eLOV. 51 b § förordningen (2010:1497) med instruktion för . En infrastruktur för elektronisk identifiering instruktion ger nämnden ett brett man- dat att stödja och samordna elektronisk identifiering och underskrift i den offentliga förvaltningens e-tjänster. beslutade om följande vision och mål för sitt arbete.6 Visionen är att: –Svensk e-legitimation gör det enkelt och säkert för medborgare och anställda att använda e-tjänster i offentlig förvaltning och privat sektor, –Svensk e-legitimation har ett högt förtroende och är utvecklings- bar. –att bidra till utveckling och användning av flera e-tjänster i sam- hället, –flera utfärdare av svensk e-legitimation, –att villkoren är transparenta, förutsägbara och kostnadseffektiva, –att övergången från dagens lösning till svensk e-legitimation är smidig. har beskrivit om följande mål för sitt arbete:7 –Alla ska kunna få tillgång till säkra e-legitimationer som är enkla att använda. –Det ska vara enkelt och säkert för digitala tjänster att inkludera e-legitimation och e-underskrift. –Det ska vara kostnadseffektivt för offentlig sektor med e-legiti- mation och e-underskrift. 6Årsberättelse , , dnr 131-101941-16/9516. 7E-legitimationsnämndens rapport ”Fortsatt försörjning av tjänster för e-legitimering och e- underskrift”, , dnr 131645711-15/9513. En infrastruktur för elektronisk identifiering saknar föreskriftsrätt men har med stöd av 4 § myndighetsförordningen meddelat föreskrifter för sin verksam- het. Av föreskrifterna8 framgår följande. I dessa föreskrifter menas med infrastrukturen för Svensk e-legitimation: den infrastruktur för elektronisk identifiering som E-legitimationsnämn- den styr och förvaltar, och reglerna för Svensk e-legitimation: de regler för Svensk e-legitimation som förvaltar. Det saknas författningar som närmare anger vad som ska tas fram inom ramen för exempelvis uppgift att stödja och samordna e-legitimering och elektronisk underskrift i den offentliga förvaltningen e-tjänster. tar fram ett tillitsramverk och tek- niska specifikationer, baserade på internationella standarder. granskar elektroniska identitetshandlingar och till- delar sådana elektroniska identitetshandlingar som överensstämmer med tillitsramverket kvalitetsmärket e-legitimation. Ingen av dessa uppgifter framgår uttryckligen av instruktionen. Det är emeller- tid svårt att utifrån författningsregleringen förstå hur de olika uppgif- terna förhåller sig till varandra. Exempelvis är det otydligt vilken roll kvalitetsmärket har för marknadens aktörer. Utredningen bedömer att när det gäller elektronisk identifiering finns det ett stort behov av regelverk. Detta gäller inte bara tekniska regelverk, som beskriver hur system ska överföra budskap till varan- dra och som är en absolut förutsättning för digital kommunikation, utan också en författningsreglering som beskriver ansvar och upp- gifter samt organisatoriska frågor. Utredningen bedömer vidare att det är viktigt med en sammanhållen syn på vad det offentliga åtagandet omfattar. 14.2Många initiativ, men vart är vi på väg? att det finns många pågående initiativ som utan tydlig styrning riskerar att bli kontraproduktiva. 8 föreskrifter IFS 2014:1. En infrastruktur för elektronisk identifiering Det finns många pågående initiativ när det gäller elektroniska iden- titetshandlingar i samhället. De privata aktörerna, med BankID i täten, har tagit ett stort ansvar för att säkra att den svenska befolk- ningen har tillgång till elektroniska identitetshandlingar som kan användas i hela den offentliga förvaltningen. Utredningen kan kon- statera att vissa initiativ är samordnade medan andra ger intryck av att vara ovetande om varandra. Den bild som presenteras nedan har föranlett utredningens slutsats att det finns behov av att peka ut vilka delar som ska vara föremål för det offentliga åtagandet. Svensk e-legitimation är ett kvalitetsmärke för e-legitimationer. Ut- redningen använder i detta avsnitt begreppet e-legitimation eftersom kvalitetsmärket heter Svensk e-legitimation. Angående begreppet Svensk e-legitimation se kapitel 10 och kapitel 14.3.5. Kvalitetsmärket visar att en e-legitimation är kontrollerad och godkänd av . E-legitimationen prövas mot ett nationellt tillitsram- verk som baserar sig på internationell standard. Tanken är att en e-legi- timation med kvalitetsmärket e-legitimation ska gå att lita på för offentliga och privata aktörer med e-tjänster som kräver elektronisk identifiering. Även användare kan känna sig trygga med att en e-legiti- mation märkt Svensk e-legitimation är en säker identitetshandling. Den utfärdare som vill få kvalitetsmärket på sin e-legitimation får ansöka om att bli granskad av . En central del i granskning är att fastställa att en e-legiti- mation håller den tillitsnivå, dvs. den grad av säkerhet och tillförlit- lighet, som e-legitimationen utlovar. I tillitsramverk beskrivs vilka krav som ställs på en e-legitimation från tillitsnivå 2 och uppåt. Granskningen omfattar inte bara den tekniska arkitekturen, utan även utfärdarens finansiella stabilitet, informationssäkerhetsarbete och intern kontroll, process för identifiering av personer som ansöker om att få en e-legi- timation samt framställande och tillhandahållande av e-legitimationer. Ett grundläggande krav är att ingen individ ska kunna tillverka en e- legitimation på egen hand hos utfärdaren. finns det två godkända kvalitetsgranskade elektroniska iden- titetshandlingar, kommun på tillitsnivå 3 och AB Svenska En infrastruktur för elektronisk identifiering Pass på tillitsnivå 4. Den elektroniska identitetshandling som kommun har tagit fram är avsedd att tillmötesgå behov av att utfärda elektroniska identitetshandlingar till tjänstemännen i kommunen. Den elektroniska identitetshandling som AB Svenska Pass tillhandahåller har upphandlat och den finns på de identitetskort för folkbokförda i som utfärdar. Den elektroniska identitetshandlingen fungerar dock inte ännu i alla myndigheters e-tjänster.9 14.2.2Mer om elektroniska identitetshandlingar på den svenska marknaden BankID är den mest förekommande lösningen för elektronisk iden- tifiering i Sverige.10 BankID finns som tre olika lösningar; mobilt BankID, BankID på fil och BankID på kort. Mobilt BankID innebär att användaren har sin elektroniska iden- titetshandling i en mobiltelefon eller surfplatta. För att kunna hämta och använda mobilt BankID krävs att användaren har installerat BankID-appen. BankID på fil är en elektronisk identitetshandling i en dator. För att kunna hämta och använda BankID på fil krävs att användaren har installerat BankID-programmet. BankID på kort är en elektronisk identitetshandling som är lagrad på ett s.k. smartkort.11 Förutom kortet och BankID-programmet krävs även att man har en kortläsare. Det finns elva banker som utfärdar BankID.12 Vilka lösningar som de olika bankerna erbjuder sina kunder skiljer sig åt mellan bankerna. , och utfärdar alla tre BankID- lösningar, alltså BankID på fil, på kort och mobilt BankID. och utfärdar BankID på kort och Mobilt BankID. av befolkningen i åldrarna 20–har minst ett BankID, med Mobilt BankID som dominerande bärare, , . 11Ett smartkort är ett kort som är försett med ett chip på vilket elektronisk information kan lagras. 12Danske , Nordea, , , , , , , , och , , . En infrastruktur för elektronisk identifiering och Ålandsbanken utfärdar endast mobilt BankID medan endast utfärdar BankID på fil. , och syd utfärdar BankID på fil och mobilt BankID.13 Bankerna stöds av företaget (i det följande Finansiell ID-teknik). Finansiell ID-teknik bildades . bildades hade de stora bankerna i inlett ett arbete i ett bankkonsortium. Syftet med det arbetet var att ta fram en generell infrastruktur för elektroniska identitetshandlingar, som skulle uppfylla krav från myndigheter och banker och kunna accep- teras av allmänhet och företag.14 identitetskort för folkbokförda i innehåller en elektronisk identitetshandling som utfärdas av AB Svenska Pass. utfärdar också elektronisk identitetshandling som kan användas av individer för elektronisk identifiering mot bl.a. e-tjänster.15 Fram var det Telias elektroniska identitetshandling som fanns på identitetskort för folkbokförda i . Företaget utfärdar en elektronisk identitetshandling som heter eID.16 Enligt uppgift från har eID ansökt om att bli granskade av E-legitimationsnämn- den och granskningen pågår. 16www.verisec.com/sv/autentisering/frejaeid/, . En infrastruktur för elektronisk identifiering Utöver det som beskrivits i det föregående kan utredningen kon- statera att följande aktiviteter identifierats under utredningens arbete. •Försäkringskassan kommer att lansera mobila e-legiti- mationer till offentliganställda kopplat till Myndighets CA (MCA) för användning i tjänsten. •Försäkringskassan och arbetar med att ta fram en ny gemensam funktion för elektroniska identitetshandlingar i tjäns- ten; E-identitet För Offentlig Sektor (EFOS). •Projektet , som drivs av SUNET. 14.3Lagen om infrastruktur för elektronisk identifiering och kvalitetsmärket elektronisk identitetshandling att det arbete som gjort för att ta fram tillitsramverk och tekniska specifikationer, liksom kvalitetsmärk- ning av elektroniska identitetshandlingar, är sådant som bör lyftas upp och författningsregleras samt att det finns andra framtida funktioner som också bör författ- ningsregleras. att funktionerna ska regleras i lag och att den myndighet som regeringen bestämmer ska ansvara för att dessa funktioner för- valtas och utvecklas. Förslaget genomförs genom lagen om infrastruktur för elek- tronisk identifiering och kvalitetsmärket elektronisk iden- titetshandling. Tekniken utvecklas , liksom sättet att använda sig av de tekniska hjälpmedel som finns. En utmaning vid författningsreglering är därför att hålla författningstexter så teknikneutrala som möjligt. Utredningen bedömer att det är viktigt att inte låsa författningstexten En infrastruktur för elektronisk identifiering vid en viss teknik, som det är viktigt att författningsreglera sådana funktioner som ska vara ett offentligt åtagande. Utgångs- punkter för utredningens förslag är att de ska vara tillåtande, gräns- sättande och skapa förutsättningar för utveckling, men också ramar för vad som gäller för de olika inblandade aktörerna. Uppgifter i lag, inte i instruktion Utredningen har tidigare konstaterat att flera av de uppgifter som utför, inte framgår uttryckligen av nämn- dens instruktion. Utredningen bedömer att förekomsten av tillitsram- verk och tekniska specifikationer för transparens i förhållande till aktörerna på marknaden. Det bör därför framgå av lag att dessa funktioner ska finnas, liksom att det är ett statligt ansvar att tillhan- dahålla dem. Utredningen bedömer därför att det arbete som utfört för att ta fram tillitsramverk och tekniska specifikationer, liksom kvalitetsmärkning av elektroniska identitets- handlingar, bör författningsregleras. Utredningen har ovan bedömt att lagen huvudsakligen ska peka ut vilka funktioner som staten bör ta ansvar för att tillhandahålla, samt vem som ska ansvara för dessa. De funktioner som utredningen be- dömer att lagen ska omfatta är tillitsramverket och tekniska specifi- kationer för elektroniska identitetshandlingar, kvalitetsmärket elektronisk identitetshandling, ett register med utfärdare av elektro- niska identitetshandlingar som har kvalitetsmärket samt en funktion med valbara elektroniska identitetshandlingar. Ansvar för att utveckla och förvalta funktionerna Av direktiven till organisationskommittén framgår att regeringen avser att föra över verksamhet till den nya myndigheten för digitalisering av den offentliga sektorn. 17 Dir. 2017:117. En infrastruktur för elektronisk identifiering ensstämmer med det förslag som utredningen tidigare lämnat. Vad utredningen här föreslår innebär ingen förändring av myndighets- uppdraget. att begrepp som används för att beskriva elektronisk identifiering och vilka aktörer som är inblandade måste vara enhetliga.