sou · H7B314 · 2019-03-27 00:00:00 — Där anges att kon- troll av användares identitet i självbetjäningstjänster ska ske med certifikat till vilka en säker identifieringsfunktion är knuten, om det är fråga om tillgång till personuppgifter. Vidare följer av 111 kap. 6 § första stycket att en annan metod för identifiering får användas om den är tillräckligt säker med hänsyn till risken för integritetsintrång eller annan skada. Det finns inte någon reglering av vad som krävs för att få en e-legi- timation utfärdad eller vilka krav en sådan handling ska uppfylla. Istället har tagit fram ett tillitsramverk för Svensk e-legitimation i syfte att skapa samsyn. Svensk e-legitimation är ett kvalitetsmärke som är baserat på internationella standarder. lades ner är det Myndigheten för digital förvaltning som ansvarar för tillitsram- verket. Myndigheten har bl.a. i uppgift att ansvara för den offentliga förvaltningens tillgång till infrastruktur och tjänster för elektronisk identifiering, främja användningen av elektronisk identifiering och tillhandahålla och administrera valfrihetssystem enligt . Myn- digheten för digital förvaltning granskar och godkänner svenska e-legi- timationer för kvalitetsmärket utifrån nationella och internationella säkerhetskriterier. Till tillitsramverket hör en vägledning som mer utförligt beskriver de krav som ställs. Myndigheten för digital för- valtning tar även fram ett tekniskt ramverk. Utredningen om effektiv styrning av nationella digitala tjänster över- lämnade ett slutbetänkande i vilket det bl.a. föreslogs att det bör finnas en statlig elektronisk identitetshandling (e-legiti- mation). Förslaget innebär att den statliga elektroniska identitets- handlingen ska utfärdas av en statlig myndighet och finnas på fysiska identitetshandlingar som utfärdas av den ansvariga myndigheten. Med anledning av vårt uppdrag avstod utredningen från att lämna förslag på vilken eller vilka myndigheter som ska utfärda den statliga elektroniska identitetshandlingen och vilken eller vilka identitets- handlingar som ska vara bärare av den. Utredningen föreslog en lag om statlig elektronisk identitetshandling som bl.a. skulle innehålla bestämmelser om vilka uppgifter en statlig elektronisk identitets- handling ska innehålla, till vem den kan utfärdas och om ansökan.2 Enligt internationell standard, som även Myndigheten för digital förvaltning tillämpar, finns det fyra tillitsnivåer för elektronisk iden- tifiering med olika grader av säkerhet. Ju högre tillitsnivå en e-legiti- mation har, desto säkrare är den, både vad gäller teknik och iden- tifiering. I det tillitsramverk för Svensk e-legitimation och den tillhörande vägledningen3 som Myndigheten för digital förvaltning ansvarar för beskrivs vilka krav som gäller för tillitsnivå 2, 3 och 4. Tillitsnivå 1 kan vara ett användarkonto som någon själv registrerar på internet utan att styrka sin identitet.4 Den nivån omfattas inte av tillitsramverket. För nivå 2, 3 och 4 krävs s.k. flerfaktorsautentise- ring. Det finns tre huvudkategorier av autentiseringsfaktorer; ”något man vet” (koder), ”något man är” (biometriska egenskaper) eller ”något man har” (t.ex. en dator, koddosa, mobiltelefon eller aktivt kort). Med koder avses lösenord, lösenfraser, sifferkombinationer eller liknande. Utgångspunkten enligt tillitsramverket är att koder kombineras med innehav av en lagrad datastruktur. En e-legitimation på tillitsnivå 2 och 3 ska utformas enligt en sådan tvåfaktorsprincip som består dels av elektroniskt lagrad infor- mation som användaren ska inneha, dels av något som användaren ska bruka för att aktivera e-legitimationen. Det kan t.ex. vara en e-legi- timation i mobiltelefonen som aktiveras genom en pinkod. E-legiti- mationer på dessa nivåer kan utfärdas efter identifiering av sökanden på distans i enlighet med de närmare bestämmelser som föreskrivs i tillitsramverket. 3Myndigheten för digital förvaltnings för Svensk e-legitimation ärendenr. 2018-158 och Vägledning till uppfyllande av tillitsramverkets krav för Svensk e-legitimation version . /elegitimering/kvalitetsmarketsvenskelegitimation/omtillitsnivaerforelegiti mering.4.4498694515fe27cdbcf101.html. E-legitimation på tillitsnivå 4 ska utformas enligt en sådan två- faktorsprincip som består dels av en personlig säkerhetsmodul som användaren ska inneha, dels av något som användaren ska bruka för att aktivera säkerhetsmodulen. En sådan enhet skyddar de uppgifter som är lagrade i e-legitimationen från att någon annan kommer åt dem. Vanligen är det fråga om ett så kallat aktivt kort. Aktivering sker med hjälp av någon form av kod. För att en e-legitimation på tillitsnivå 4 ska utfärdas krävs som regel att utfärdaren har identifi- erat sökanden vid ett personligt besök. Enligt eIDAS-förordningen finns det tre olika tillitsnivåer; låg, väsentlig och hög. Tillitsnivåerna i eIDAS-förordningen och det svenska tillitsramverket bygger på samma internationella standard. Enligt den bedömning som gjorts av Myndigheten för digital för- valtning motsvarar eIDAS-förordningens tillitsnivåer i stort sett de svenska. Tillitsnivå låg ställer dock lägre krav än tillitsnivå 2 enligt tillitsramverket. Nivån väsentlig motsvarar tillitsnivå 3. Nivån hög motsvarar den svenska tillitsnivån 4, med undantag för att ett per- sonligt besök krävs vid förnyelse av en e-legitimation på den svenska tillitsnivån 4.5 Det är innehavaren av en e-tjänst som måste göra en bedömning av vilken tillitsnivå som ska krävas för identifiering i tjänsten. Vilken nivå som är lämplig beror på hur känslig informationen i e-tjänsten är och vilka konsekvenser det får om någon obehörig får del av den. Processen för utfärdande av e-legitimation är inte reglerad i författ- ning. I tillitsramverket och den tillhörande vägledningen anges vilka krav som ställs på utfärdandeprocessen för Svensk e-legitimation.6 Utfärdandeprocessen enligt tillitsramverket skiljer sig åt beroen- de på vilken tillitsnivå som avses. Vårt uppdrag består i att överväga om fysiska identitetshandlingar bör innehålla en e-legitimation på högsta tillitsnivå. Framställningen i denna del avgränsas därför till att beskriva de mest väsentliga delarna av processen för utfärdande /elegitimering/kvalitetsmarketsvenskelegitimation/omtillitsnivaerforelegiti mering.4.4498694515fe27cdbcf101.html. 6Myndigheten för digital förvaltnings för Svensk e-legitimation ärendenr. 2018-158 och Vägledning till uppfyllande av tillitsramverkets krav för Svensk e-legitimation version . av e-legitimation på tillitsnivå 4 i enlighet med tillitsramverket och den tillhörande vägledningen. och vägledningen upp- dateras i takt med den tekniska utvecklingen och uppkomsten av nya risker i samhället. Nedan beskrivs utfärdandeprocessen i enlighet med den version som är gällande. bygger på att utfärdaren ingår ett avtal med den som vill använda en e-legitimation. Sökanden ska få del av villkoren för e-legitimationen innan denne ingår avtal med utfärdaren. Svensk e-legitimation får som huvudregel endast utfärdas på begäran av sökanden eller genom annat likvärdigt acceptförfarande. Syftet är att e-legitimation inte ska utfärdas per automatik utan att detta ska vara tydligt för användaren. Utfärdaren ska kontrollera att uppgifterna i ansökan är fullständiga och stämmer överens med uppgifter som finns registrerade i ett officiellt register. Sökandens identitet ska kon- trolleras vid ett personligt besök. Detta ska ske på ett sätt som är likvärdigt med förfarandet vid utfärdande av en fullgod identitets- handling. Med detta menas att identifieringen ska genomföras med stöd av en dokumenterad process och av särskilt utbildad personal i betrodd ställning inom utfärdarens organisation. Sökanden ska styr- ka sin identitet genom att visa upp en fullgod identitetshandling. Som fullgod identitetshandling räknas svenskt körkort, svenskt pass, SIS-märkt identitetskort, nationellt identitetskort och identitets- kort för folkbokförda i . De alternativa sätt att styrka sin identitet som tillämpas vid utfärdande av fysiska identitetshand- lingar till personer som saknar fullgod identitetshandling bör enligt vägledningen i normalfallet inte tillämpas vid utfärdande av e-legiti- mation. Saknas fullgod identitetshandling bör det i stället tills vidare förutsättas att sökanden skaffar en sådan, innan e-legitimation kan utfärdas. E-legitimation på tillitsnivå 4 ska, som anges ovan, utformas en- ligt en sådan tvåfaktorsprincip som består av en personlig säkerhets- modul som användaren ska inneha och något som användaren ska bruka för att aktivera säkerhetsmodulen. En sådan enhet skyddar de kritiska nyckelparametrarna från såväl logiska som fysiska försök att röja dem. Den personliga säkerhetsmodulen lagrar nyckelmaterialet och utför de kryptografiska operationerna på ett sådant sätt att de kritiska nyckelparametrarna aldrig lämnar säkerhetsmodulen. Ut- gångspunkten är att koder kombineras med innehav av en lagrad datastruktur som exempelvis kan finnas på ett fysiskt kort. I vägled- ningen anges dock att även andra lösningar kan godtas om säker- heten i övrigt upprätthålls genom andra kompletterande kontroller. Aktiveringsmekanism och personlig kod ska utformas så att det är osannolikt att en utomstående kan forcera skyddet, ens på maskinell väg. Utfärdaren ska säkerställa att de uppgifter som registreras för elektronisk identifiering av innehavaren av e-legitimationen unikt representerar sökanden och tillskrivs personen i fråga vid utfärdan- det av e-legitimationshandlingen. Det ska alltså inte vara möjligt att sammanblanda två e-legitimationers identifikationsuppgifter. E-legitimationshandlingen ska lämnas ut vid personligt besök efter att utfärdaren har genomfört en identitetskontroll. Den del som användaren ska bruka för att aktivera e-legitimationen ska läm- nas ut separat och säkerhetsmässigt oberoende från utlämnandet av e-legitimationshandlingen. Detta ska ske på grundval av kontaktupp- gifter förda i ett officiellt register eller andra uppgifter av motsvaran- de trovärdighet. Att utlämnandet sker genom två separata kanaler syftar till att möjliggöra fler säkerhetshöjande kontroller. Detta kan ske genom att utlämnande av säkerhetsmodulen och koden görs av olika funktioner hos utfärdaren eller genom att säkerhetsmodulen, exempelvis kortet, lämnas ut vid personligt besök medan koden skickas till sökandens folkbokföringsadress. Giltighetstiden för e-legitimationen får vara högst . Ut- färdaren ska tillhandahålla en spärrtjänst med god tillgänglighet där användaren kan spärra sin e-legitimation. Identifiering av den som begär spärren kan t.ex. ske genom tidigare angivet mobiltelefonnum- mer eller e-post. En utfärdare av Svensk e-legitimation ska säkerställa att det vid användningen av e-legitimationen sker tillförlitliga kontroller avse- ende äkthet och giltighet. Tekniska säkerhetskontroller vid kontroll av elektronisk identitet ska genomföras så att det är osannolikt att utomstående kan forcera skyddsmekanismerna. Utfärdare av Svensk e-legitimation som även tillhandahåller tjäns- ten att ställa ut identitetsintyg till förlitande aktörers e-tjänster, ska säkerställa att tjänsten för utställande av identitetsintyg har god till- gänglighet och att utlämnande av identitetsintyg föregås av en till- förlitlig identifiering. Identitetsintyget ska bara vara giltigt så länge som krävs för att användaren ska kunna beredas tillgång till den Identitetsintyget ska skyddas så att informatio- nen endast är läsbar för den avsedda mottagaren. Utfärdare av Svensk e-legitimation ska, med beaktande av tillämp- liga regler för persondataskydd, föra register över anslutna använd- are och de tilldelade e-legitimationerna. I tillitsramverket finns även vissa övergripande krav på utfärda- rens verksamhet. Det ställs också krav på informationssäkerhet, fysisk, administrativ och personorienterad säkerhet samt teknisk säkerhet. Det anges bl.a. att innan en person tilldelas arbetsuppgifter som är av särskild betydelse för säkerheten, ska utfärdaren genom- föra en bakgrundskontroll i syfte att förvissa sig om att personen kan anses vara pålitlig samt att personen har de kvalifikationer och den utbildning som krävs för att på ett tillfredsställande, korrekt och säkert sätt utföra arbetsuppgifterna. När de gäller teknisk säkerhet anges bl.a. att utfärdaren ska se till att det finns tekniska kontroller som är tillräckliga för att uppnå den skyddsnivå som bedöms nöd- vändig med hänsyn till verksamhetens art, omfattning och övriga omständigheter samt att dessa kontroller fungerar och är effektiva. 5.5Dagens e-legitimationer och utfärdare BankID utfärdas av bankerna och är den e-legitimation som domi- nerar på den svenska marknaden. BankID utvecklas av Finansiell ID- teknik som ägs av sju banker. Antalet innehavare av BankID är, enligt statistik från , cirka 7,9 mil- joner och antalet användningstillfällen var cirka 3,3 mil- jarder. Det finns tre olika varianter av BankID. Merparten av använd- arna (cirka 7 miljoner) har mobilt BankID. Mobilt BankID innebär att användaren har sin e-legitimation i en mobiltelefon eller surf- platta. För att kunna hämta och använda mobilt BankID krävs att användaren har installerat en app i mobiltelefonen eller på surf- plattan. BankID på kort är en e-legitimation som är lagrad på ett s.k. smartkort. Förutom kortet och BankID-programmet krävs även att man har en kortläsare. BankID på fil är en e-legitimation i en dator. För att kunna hämta och använda BankID på fil krävs att användaren har installerat ett särskilt program på datorn. BankID på fil är den minst vanligt förekommande varianten av BankID. tio banker som utfärdar BankID. BankID är inte granskad av Myn- digheten för digital förvaltning men anses enligt uppgift på myndig- hetens webbsida motsvara tillitsnivå 3 enligt tillitsramverket. AB Svenska Pass utfärdar den e-legitimation som sedan septem- ber 2017 finns på identitetskort för folkbokförda i som ut- färdas av . Av den information som finns på Skattever- kets webbsida framgår att det behövs en kortläsare och ett särskilt program som installeras på datorn för att kunna använda e-legitima- tionen. AB Svenska Pass e-legitimation är godkänd enligt tillitsram- verket för Svensk e-legitimation och uppfyller kraven för tillitsnivå 4. Även utfärdar en e-legitimation. Den finns på identitetskort för folkbokförda i som utfärdats . Även denna e-legitimation kräver enligt en kortläsare och ett särskilt program som installeras på datorn. Telias e-legitimation är inte granskad men anses enligt uppgift på webbsidan för Myndig- heten för digital förvaltning motsvara tillitsnivå 3. Företaget utfärdar en e-legitimation som kallas eID+. Den e-legitimationen finns i mobiltelefonen. För att kunna använda den behöver användaren, enligt uppgift på webbsidan, ladda ner en app i mobiltelefonen. eID+ är godkänd på tillitsnivå 3.7 Förutom de e-legitimationer som utfärdas till enskilda förekom- mer det också e-legitimationer som arbetsgivare tillhandahåller sina anställda. Syftet med dessa är att de ska användas i tjänsten. Exem- pelvis utvecklar kommun, och Inera sådana e-legitimationer för användning inom den offentliga sektorn.8 E-legitimation används framför allt vid identifiering i samband med att en person vill använda en e-tjänst, antingen i datorn eller i en app E-legitimation kan också användas vid telefonkon- takt med kundtjänst t.ex. i samband med bostadslån. Även vid iden- tifiering i samband med ett personligt besök kan elektronisk iden- tifiering vara aktuell, t.ex. när en person har behov av hjälp till själv- service med stöd av e-tjänster på ett servicekontor. /elegitimering/kvalitetsmarketsvenskelegitimation/godkandaelegitimationer.4.4 498694515fe27cdbcf1a3.html. 8E-legitimationsnämndens rapport försörjning av tjänster för e-legitimering och e- underskrift dnr 131 645711-15/9513 . Av statistik från framgår att det genomfördes cirka 3,3 miljarder transaktioner med BankID vilket motsvarar cirka 100 transaktioner . Av dessa stod internet- och mobilbankstjänster, betaltjänster och finan- siella tjänster i övrigt för cirka 84 procent.9 En stor del av använd- ningen sker enligt uppgift från i internet- banker och betaltjänsten Swish. Användningen inom den offentliga sektorn utgjorde cirka 7 pro- cent av BankID-transaktionerna under år 2018.10 En stor del av an- vändningen skedde i och e-tjäns- ter. utgjorde användningen i dessa båda myndigheters tjänster totalt av användningen av e-legitimation inom den offentliga sektorn. Tillsammans stod dessa myndigheter för över 75 miljoner användningar. Andra stora aktörer var , , , , Pen- sionsmyndigheten och . Användningen i övriga myn- digheters e-tjänster utgjorde tillsammans 2 procent.11 Enligt de en- kätundersökningar genomförde har många kommuner, alla landsting, alla länsstyrelser och ett 40-tal statliga myndigheter behov av att användare ska kunna identifiera sig elek- troniskt. Behovet förväntades enligt öka i takt med digitaliseringen.12 5.7Processen för elektronisk identifiering I processen för elektronisk identifiering finns det flera olika roller. För att elektronisk identifiering ska fungera krävs det att dessa olika roller samverkar. Nedan beskrivs de mest centrala rollerna. Vi an- vänder oss av samma begrepp som Utredningen om effektiv styrning av nationella digitala tjänster. Användaren är den som har en e-legitimation som han eller hon vill använda för att identifiera sig elektroniskt med i en e-tjänst. 9www.bankid.com/assets/bankid/stats/2018/statistik-2018-12.pdf. /download/18.4498694515fe27cdbcf1557/1517417623320/Resultat-fran-e- legitimationsenkaten-2017.pdf. 12E-legitimationsnämnden rapport försörjning av tjänster för e-legitimering och e- underskrift, dnr 131 645711-15/9513 . Den förlitande aktören är den aktör som har behov av att verifiera en användares uppgifter om sin identitet vid identifiering i en e-tjänst. Utfärdaren är den som utfärdar en e-legitimation till användaren. Utfärdaren tillhandahåller också en funktion för identitetskontroll åt förlitande aktörer. När avtal slutits mellan utfärdaren och en förlitande aktör om en funktion för identitetskontroll kallas utfärda- ren för leverantör. Utfärdaren ansvarar gentemot användaren för att utfärdandet sker på ett tillräckligt säkert sätt. Gentemot förlitande aktör som ingått avtal om funktion för identitetskontroll ansvarar utfärdaren för att den elektroniska identifieringen är tillförlitlig. Identitetsintygsutfärdaren kan utföra den elektroniska identifie- ringen om det inte görs av utfärdaren själv. I detta avsnitt görs en kort beskrivning av processen för elektronisk identifiering. För en mer detaljerad beskrivning hänvisas till slutbe- tänkandet av Utredningen om effektiv styrning av nationella digitala tjänster.13 Processen inleds med att användaren anger vilken e-legi- timation som han eller hon vill använda för att identifiera sig genom att klicka på anvisad plats i en e-tjänst hos en förlitande aktör, t.ex. en myndighet. Den förlitande aktören skickar då en begäran om ett s.k. identitetsintyg, dvs. en fråga om användarens uppgifter stäm- mer, till utfärdaren av den aktuella e-legitimationen. För att en för- litande aktör ska kunna erbjuda användare att identifiera sig elektro- niskt måste den förlitande aktören ha slutit avtal om en funktion för elektronisk identitetskontroll med en eller flera utfärdare av e-legi- timationer, se avsnitt 5.8. När sådana avtal sluts kallas utfärdaren för leverantör. Utfärdaren kontrollerar vem användaren är och skickar ett svar i form av ett identitetsintyg till e-tjänsten. Identitetsintyget innehåller de uppgifter som den förlitande aktören behöver för att kunna lita på att användaren är den som han eller hon utger sig för att vara. Den förlitande aktören behöver inte göra egna kontroller av vem som har identifierat sig eller om e-legitimationen är spärrad utan det är tillräckligt att ta del av identitetsintyget. Därefter kan använd- aren släppas in i e-tjänsten. 13SOU 2017:114 s. 213 ff. är det en annan aktör än utfärdaren, en identitetsintygs- utfärdare, som skickar identitetsintyget. I är det, särskilt vid myndigheter, dessutom vanligt att det finns ytterligare en aktör som tar emot identitetsintyget, kontrollerar att det är äkta och konver- terar uppgifterna till ett intyg som är anpassat för den förlitande aktörens it-miljö.14 5.8Avtal som krävs i processen för elektronisk identifiering När en e-legitimation utfärdas ingås ett avtal mellan användaren och utfärdaren. För att användaren ska kunna använda sin e-legitimation i en förlitande aktörs e-tjänst krävs att den förlitande aktören har ett avtal med utfärdaren av e-legitimationen. Detta eftersom den för- litande aktören måste kunna skicka en fråga om en e-legitimation och få ett identitetsintyg tillbaka. Det är ofta samma aktör som ut- färdar e-legitimationen som levererar identitetsintyg men det kan också vara olika aktörer. Om det inte är utfärdaren utan en särskild identitetsintygsutfärdare som levererar identitetsintyget måste det även finnas ett avtal mellan identitetsintygsutfärdaren och utfär- daren. Det behövs alltså en fullständig avtalskedja som reglerar an- svarsförhållandena hela vägen mellan användare och förlitande aktör. I de fall det finns ytterligare en aktör som tar emot identitets- intyget, kontrollerar att det är äkta och konverterar uppgifterna till ett intyg som är anpassat för den förlitande aktörens it-miljö, vilket är vanligt vid svenska myndigheter, tillkommer ytterligare en avtals- relation. Ofta har den aktör som tar emot identitetsintyget och an- passar det till e-tjänsten avtal med den förlitande aktören både om att leverera själva e-tjänsten och identitetsintyget. En sådan aktör måste också ha avtal med en utfärdare om att leverera identitets- intyg. De olika aktörerna i processen kan dessutom ha avtal med olika underleverantörer.15 14SOU 2017:114 s. 213 ff. och promemoria Legala förutsättningar för myndigheters försörjning av e-legitimering dnr. 200507710-17/9511 . 15E-legitimationsnämndens promemoria Legala förutsättningar för myndigheters försörjning av e-legitimering dnr. 200507710-17/9511 . 5.8.2Särskilt om avtalet mellan den förlitande aktören och utfärdaren För att en användare ska kunna identifiera sig mot en e-tjänst krävs alltså att den som har e-tjänsten, den förlitande aktören, anskaffar en funktion för elektronisk identitetskontroll från utfärdaren av e-legi- timationen. När sådana avtal sluts kallas utfärdaren av e-legitima- tionen för leverantör. Den förlitande aktören behöver ha möjlighet att erbjuda användarna att kunna identifiera sig med flera olika e-legi- timationer eftersom det inte på förhand är känt vilken e-legitimation användarna kommer att vilja använda. Den förlitande aktören be- höver därför ha avtal med flera utfärdare/leverantörer parallellt. Vilka e-legitimationer som är tillgängliga på marknaden varierar vilket innebär att det är svårt för den förlitande aktören att för- utse vilka e-legitimationer som denne behöver tillhandahålla möjlig- het att identifiera sig med i e-tjänsten. Det finns därför ett behov av att göra anpassningar och av att kunna ansluta nya utfär- dare/leverantörer löpande. Statliga myndigheter, kommuner och landsting med behov av funktioner för elektronisk identitetskontroll i sina e-tjänster har tre valmöjligheter. De kan upphandla en funktion för elektro- nisk identifiering på egen hand, avropa en funktion för elektronisk identifiering på ramavtal som Kammarkollegiet tillhandahåller eller ansluta sig till de valfrihetssystem som Myndigheten för digital för- valtning tillhandahåller. De två första alternativen omfattas av , medan det tredje alternativet regleras i . Vid upphandling ska den upphandlande myndigheten enligt 16 kap. 1 § tilldela den leverantör vars anbud är det ekono- miskt mest fördelaktiga ett kontrakt. Innehavaren av en e-tjänst be- höver kunna erbjuda användning av flera olika e-legitimationer sam- .