prop · H80381 · 2021-01-19 00:00:00 — Regeringens proposition 2020/21:81 Ytterligare kompletterande bestämmelser till EU:s förordning om elektronisk identifiering Regeringen överlämnar denna proposition till . I propositionen föreslås att nya kompletterande bestämmelser till och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden ska föras in i lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering. För att möjliggöra användningen av europeiska elektroniska legitimationer i svenska offentliga nättjänster ska offentliga organ under vissa förutsättningar ansluta sina nättjänster till den nod för inkommande gränsöverskridande elektronisk identifiering som Myndigheten för digital förvaltning tillhandahåller. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om anslutningen till noden. Regeringen ska vidare få meddela föreskrifter om undantag från anslutningsskyldigheten i fråga om verksamhet som avser totalförsvaret eller säkerhet i övrigt. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om vad som krävs för att system för elektronisk identifiering ska anmälas för gränsöverskridande elektronisk identifiering inom EU. Lagändringarna föreslås träda i kraft . Förslag till riksdagsbeslut ................................................................. Förslag till lag om ändring i lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om Ärendet och dess beredning .............................................................. Processen för elektronisk identifiering ............................... EU:s förordning om elektronisk identifiering .................... Gränsöverskridande elektronisk identifiering .................... Svenska förbindelsepunkter för gränsöverskridande Offentliga organs anslutning till den svenska noden för inkommande gränsöverskridande identifiering............................... Underrättelse om händelser av betydelse för funktionaliteten och säkerheten i noderna................................................................. Anmälan av system för elektronisk identifiering ............................ Myndigheten för digital förvaltnings behandling av Konsekvenser för statliga myndigheter ............................ 11.2Konsekvenser för kommuner, regioner och andra offentliga organ som berörs.............................................. Konsekvenser för näringsliv och privatpersoner .............. Sammanfattning av slutbetänkandet reboot – omstart för den digitala förvaltningen (SOU 2017:117) ............... Utdrag ur betänkandets lagförslag.................................... Förteckning över remissinstanserna ................................. Utdrag ur protokoll vid regeringssammanträde ...... antar regeringens förslag till lag om ändring i lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering. 2Förslag till lag om ändring i lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering Härigenom föreskrivs att det i lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering ska införas fyra nya paragrafer, 1 a–1 d §§, och närmast före 1 a § en ny rubrik av följande lydelse. Ett offentligt organ som tillhanda- håller en nättjänst är skyldigt att ansluta tjänsten till den svenska elektronisk identifiering, om nät- tjänsten omfattas av kravet i arti- kel 6 i EU:s förordning om elek- tronisk identifiering på erkännan- de av medel för elektronisk identi- fiering som utfärdats i en annan inte om anslutningen medför risk för skada för totalförsvaret eller säkerhet i övrigt. Regeringen får meddela föreskrif- ter om undantag från anslutnings- skyldigheten i fråga om verksam- het som avser totalförsvaret eller säkerhet i övrigt. Regeringen eller den myndighet meddela föreskrifter om förfaran- det och kraven för anslutning till noden. Den som är ansluten till en svensk nod för inkommande eller utgå- nisk identifiering ska så snart som möjligt underrätta den myndighet som ansvarar för noden om hän- delser som kan ha betydelse för nodens funktionalitet eller säker- Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om under- Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om vilka krav som ska gälla för att ett system för EU:s förordning om elektronisk identifiering och de rättsakter som meddelas med stöd av förordningen. Denna lag träder i kraft . Ärendet och dess beredning tillämpas och rådets förordning (EU) nr 910/2014 av om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv /93/EG (EU:s förordning om elektronisk identifiering) i sin helhet. Förordningen kompletteras med bestämmelser i lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering och i förordningen (2016:576) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering, vilka trädde i kraft . I förarbetena till lagen uttalade regeringen att frågor om ömsesidigt erkännande av medel för elektronisk identifiering och processen för anmälan av ett system för elektronisk identifiering behövde analyseras i särskild ordning (prop. 2015/16:72 s. 50 f.). Regeringen gav i uppdrag att utveckla en central teknisk arkitektur för hantering av europeiska e- legitimationer enligt EU:s förordning om elektronisk identifiering (N2016/02305). Regeringen beslutade att tillkalla en särskild utredare med uppdrag att bl.a. utreda konsekvenserna för svenska myndigheter av skyldigheten att erkänna anmälda europeiska e- legitimationer och elektroniska underskrifter i nationella digitala tjänster och lämna förslag på ytterligare åtgärder som krävs för att säkerställa att kan uppfylla sina åtaganden enligt EU:s förordning för elektronisk identifiering. Vidare skulle utredaren analysera behoven av och förutsättningarna för anmälan av svenska e-legitimationer enligt förordningen (dir. 2016:39). Utredningen, som antog namnet Utredningen om effektiv styrning av nationella digitala tjänster, överlämnade betänkandet reboot – omstart för den digitala förvaltningen (SOU 2017:114). En sammanfattning av betänkandet finns i bilaga 1. Ett utdrag av betänkandets lagförslag, i de delar som är aktuella, finns i bilaga 2. Betänkandet har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. Remissvaren finns tillgängliga i Infrastrukturdepartementet (I2019/01017). I propositionen behandlas de lagförslag som utredningen lämnar i avsnitt 17 och 18 i betänkandet (s. 297–374). Förslagen rör frågor om svenska förbindelsepunkter (noder) för gränsöverskridande elektronisk identifiering och om anmälan av svenska system för elektronisk identifiering. Utredningens förslag i övrigt bereds vidare i . Regeringen beslutade att inhämta Lagrådets yttrande över det lagförslag som finns i bilaga 4. Lagrådet lämnar förslaget utan erinran. Lagrådets yttrande finns i bilaga 5. I förhållande till lagrådsremissen har vissa språkliga och redaktionella ändringar gjorts. 4.1Processen för elektronisk identifiering För att få åtkomst till en digital tjänst, till exempel för att lämna in en skattedeklaration digitalt, krävs normalt att den som vill få åtkomst identifierar sig. Detta kan till exempel ske genom att användaren uppger en e- postadress men oftast, för tjänster med högre krav på säkerhet, genom användning av en elektronisk legitimation (e-legitimation). En e- legitimation innehåller, liksom en fysisk identitetshandling, uppgifter som entydigt kan kopplas till en viss person. E-legitimationen innehåller alltså endast identitetsuppgifter. En e-legitimation kan finnas som en applikation i en mobiltelefon eller surfplatta eller som en fil på en dator. Den kan också finnas på en fysisk bärare, till exempel ett kort. Kortet innehåller då ett chip där informationen lagras. I processen för elektronisk identifiering brukar normalt fyra roller förekomma: användaren, den förlitande aktören, utfärdaren och identitetsintygsutfärdaren. Användaren är den individ som vill använda sin e-legitimation för att identifiera sig elektroniskt i en digital tjänst. Den förlitande aktören är den aktör som har behov av att verifiera en användares identitetsuppgifter vid identifiering i en digital tjänst. Utfärdaren är den som utfärdar en e-legitimation till användaren. Utfärdaren tillhandahåller också en funktion för identitetskontroll åt den förlitande aktören. Utfärdaren ansvarar gentemot användaren för att utfärdandet sker på ett tillräckligt säkert sätt. Utfärdaren ansvarar även gentemot den förlitande aktören för att den elektroniska identifieringen är tillförlitlig. Detta sker genom att utfärdaren tillhandahåller en funktion för identitetskontroll åt den förlitande aktören, som får ett identitetsintyg som bekräftelse på att användaren kan få tillträde till den digitala tjänsten. Utfärdare av e-legitimationer kan köpa in tjänsten att leverera identitetsintyg av en underleverantör och då blir det i stället en identitetsintygsutfärdare som utför den elektroniska identifieringen. Vilka krav på säkerhet som ställs för tillgång till en digital tjänst bedöms av tillhandahållaren av den digitala tjänsten. Säkerhetsnivåerna, kallade tillitsnivåer, har standardiserats inom EU genom EU:s förordning om elektronisk identifiering. Enligt förordningen finns det tre tillitsnivåer: låg, väsentlig och hög. 4.2 EU:s förordning om elektronisk identifiering EU:s förordning om elektronisk identifiering innehåller ett rättsligt ramverk för elektronisk identifiering inom EU. Med det rättsliga ramverket följer tekniska standarder och specifikationer – i huvudsak genom genomförande- akter – vilket gör att förordningen även fungerar som ett tekniskt ramverk för elektronisk identifiering. Förordningen består av två delar, där den första innehåller förordningens allmänna del samt processen för gränsöverskri- dande elektronisk identifiering och den andra behandlar betrodda tjänster. I artikel 1 anges att målet med förordningen är att säkerställa en väl fungerande marknad och uppnå en lämplig säkerhetsnivå för medel för 2020/21:81 elektronisk identifiering och betrodda tjänster. I skäl 2 i förordningen anges att den syftar till att öka förtroendet för elektroniska transaktioner på den inre marknaden genom att tillhandahålla en gemensam grund för ett säkert elektroniskt samspel mellan företag, medborgare och offentliga myndigheter. Därigenom ska effektiviteten hos offentliga och privata digitala tjänster, elektronisk affärsverksamhet och e-handel i unionen öka. Enligt artikel 2 gäller förordningen för system för elektronisk identifiering som en medlemsstat har anmält och för tillhandahållare av betrodda tjänster som är etablerade inom unionen. Det framgår också att förordningen inte gäller tillhandahållande av betrodda tjänster som till följd av nationell lagstiftning eller avtal mellan en avgränsad krets av deltagare endast används inom slutna system. Den påverkar inte heller bestämmelser i nationell lagstiftning eller unionslagstiftningen som avser ingående av avtal och deras giltighet eller andra rättsliga eller förfarandemässiga skyldigheter i fråga om formkrav. Enligt artikel 6 ska medel för elektronisk identifiering under vissa förutsättningar omfattas av ömsesidigt erkännande. Det gäller för sådana medel för elektronisk identifiering som är utfärdade inom ramen för ett system för elektronisk identifiering som har anmälts av en medlemsstat och därefter offentliggjorts i Europeiska unionens officiella tidning (jfr skäl 14). Skyldigheten att erkänna medel för elektronisk identifiering avser enbart medel vars identifieringstillitsnivå motsvarar en nivå som är lika hög eller högre än den nivå som krävs för den aktuella digitala tjänsten. Skyldigheten gäller dessutom endast för offentliga organ som använder tillitsnivån väsentlig eller hög i samband med åtkomst till den digitala tjänsten (jfr skäl 15). Medel för elektronisk identifiering definieras i artikel 3.2 som en materiell och/eller immateriell enhet som innehåller personidentifieringsuppgifter och som används för autentisering för nättjänster. För e-legitimationer utfärdade i är det normalt en persons personnummer som är personidentifieringsuppgiften. Artiklarna innebär att en elektronisk legitimation som uppfyller kraven enligt förordningen och som utfärdats i en annan medlemsstat ska kunna användas för identifiering till nättjänster som tillhandahålls av offentliga organ i . System för elektronisk identifiering ska för att omfattas av förordningen anmälas till Europeiska kommissionen enligt ett särskilt förfarande som framgår av artiklarna 7–9. Där anges vilka system som får anmälas, hur anmälan ska gå till och vilka krav som ställs på de anmälda systemen och de medel för elektronisk identifiering som utfärdas inom dessa. Förordningen innehåller i artikel 10 bestämmelser om hantering av säkerhetsincidenter i anmälda system. I artikel 11 finns regler om skadeståndsansvar för den anmälande medlemsstaten, den som har utfärdat medel för elektronisk identifiering och den part som har hand om autentiseringsförfarandet, om de inte uppfyller sina skyldigheter enligt förordningen. För att identifiera sig för åtkomst till en digital tjänst i en annan medlemsstat än den där individens e-legitimation har utfärdats kan det system för gränsöverskridande identifiering som upprättas med anledning av EU:s förordning om elektronisk identifiering användas. Medlet, som är bärare av personidentifieringsuppgifterna i e-legitimationen, kan färdas i systemet mellan förbindelsepunkter, kallade noder. En nod i den avsändande staten verifierar medlet i det nationella systemet och skickar det vidare till den mottagande noden i den mottagande staten. Den mottagande noden verifierar i sin tur att den avsändande noden verifierat medlet för e- legitimationen och gör en form av översättning så att medlet kan fungera i den mottagande statens infrastruktur för elektronisk identifiering. När detta har skett kan individen använda sin e-legitimation för identifiering i en digital tjänst i en annan stat. Förfarandet förutsätter att medlet för e- legitimationen finns inom ett sådant system som anmälts till Europeiska kommissionen och att det även i övrigt uppfyller kraven i artikel 6. Definitionen av noderna och de huvudsakliga reglerna för dessa framgår av kommissionens genomförandeförordning (EU) 2015/1501 av om interoperabilitetsramverket enligt artikel 12.8 i och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden (kommissionens genomförandeförordning). En nod definieras i artikel 2 som en förbindelsepunkt som utgör en del av den interoperativa arkitekturen för elektronisk identifiering, som medverkar vid gränsöverskridande autentisering av personer och som har förmågan att känna igen och behandla eller vidarebefordra överföringar till andra noder genom att bringa den nationella elektroniska identifieringsinfrastrukturen i en medlemsstat i kontakt med nationella elektroniska identifieringsinfrastrukturer i andra medlemsstater. Enligt artikel 5 i förordningen ska det i varje medlemsstat finnas minst en nod med förmåga att koppla upp sig mot noder i andra medlemsstater. Regeringens bedömning: Ansvaret för de svenska förbindelsepunkter- na (noderna) för gränsöverskridande elektronisk identifiering i enlighet med EU:s förordning om elektronisk identifiering och de rättsakter som meddelas med stöd av förordningen bör även i fortsättningen regleras i Utredningens förslag överensstämmer delvis med regeringens bedöm- Utredningen föreslår att ansvaret för tillhandahållandet av noderna ska regleras i lag. Utredningen föreslår även ett bemyndigande att meddela föreskrifter om noden. Remissinstanserna: Remissinstanserna tillstyrker förslaget eller har ingen invändning mot det. Skälen för regeringens bedömning: I samband med att Myndigheten för digital förvaltning inrättades tog myndigheten över ansvaret för noder- 2020/21:81 na för gränsöverskridande identifiering från . 3§ 4 förordningen (2018:1486) med instruktion för Myndigheten för digital förvaltning ges myndigheten i uppgift att ansvara för de svenska noderna för gränsöverskridande elektronisk identifiering i enlighet med EU:s förordning för elektronisk identifiering och de rättsakter som har meddelats med stöd av förordningen. utvecklade två noder för gränsöverskridande elektronisk identifiering: en avsedd för användningen av svenska e- legitimationer i digitala tjänster i andra medlemsstater och en annan för användning av e-legitimationer utfärdade i andra medlemsstater i svenska digitala tjänster. Regeringen anser att ansvaret för noderna numera är tydligt utpekat i instruktionen för Myndigheten för digital förvaltning. Myndighetens ansvar för noderna innefattar även tillhandahållandet av noderna. Till skillnad från utredningen anser inte regeringen att det finns behov av att reglera dessa uppgifter i lag. Utredningen föreslår även att regeringen eller, efter regeringens bemyndigande, myndigheten ska få meddela föreskrifter om noden. Vilken typ av föreskrifter som skulle bli aktuella med anledning av tillhandahållandet av noderna behandlas dock inte närmare i betänkandet. Myndigheten för digital förvaltnings rätt att meddela föreskrifter om noderna behandlas i avsnitt 6 och 8. Det bör enligt regeringens mening inte uppstå behov för Myndigheten för digital förvaltning att därutöver meddela föreskrifter om noderna. Av den anledningen saknas det behov av ett sådant bemyndigande som utredningen föreslår. 6Offentliga organs anslutning till den svenska noden för inkommande gränsöverskridande identifiering Regeringens förslag: Ett offentligt organ som tillhandahåller en nättjänst som omfattas av kravet i artikel 6 i EU:s förordning om elektronisk identifiering på erkännande av medel för elektronisk identifiering som utfärdats i en annan medlemsstat är skyldigt att ansluta tjänsten till den svenska förbindelsepunkten (noden) för inkommande gränsöverskridande elektronisk identifiering. Skyldigheten ska dock inte gälla om anslutningen medför risk för skada för totalförsvaret eller säkerhet i övrigt. Regeringen ska få meddela föreskrifter om undantag från anslutningsskyldigheten i fråga om verksamhet som avser totalförsvaret eller säkerhet i övrigt. Regeringen eller den myndighet som regeringen bestämmer ska få meddela föreskrifter om förfarandet och kraven för anslutning till noden. Regeringens bedömning: Även aktörer som inte omfattas av kravet på anslutning bör anslutas till noden om de begär det. Myndigheten för digital förvaltning bör få ta ut avgifter av de privata aktörer som frivilligt har anslutit sig till noden. Utredningens förslag överensstämmer delvis med regeringens förslag och bedömning. Utredningen föreslår att det i lag ska införas bestämmelser om att även offentliga organ som inte omfattas av EU-förordningens krav och privata aktörer ska få ansluta till den svenska noden. Utredningen föreslår även ett bemyndigande för regeringen eller, efter regeringens bemyndigande, digitaliseringsmyndigheten att meddela föreskrifter om skyldighet för privata aktörer att betala avgift för att ansluta till noden. Utredningen föreslår inte några undantag från anslutningsskyldigheten. Den föreslår inte heller ett bemyndigande att meddela föreskrifter om anslutningen till noden. Remissinstanserna: De flesta av remissinstanserna tillstyrker förslaget eller har ingen invändning mot det. påpekar vikten av att de lösningar som föreslås möjliggör utländska medborgares användning av myndigheternas digitala tjänster, för att undvika att särskilda system för sådan användning tas fram. påpekar att erkännandet av utländska elektroniska identitetshandlingar även bör omfatta den slutliga åtkomsten till den digitala tjänsten i linje med målsättningarna om att sådana tjänster ska bli helt tillgängliga online. Försvarsmakten anser att det är svårt att uttyda vilka myndigheter som bör omfattas av de föreslagna författningskraven. Försvarsmakten påpekar att det saknas en nationell informationsvärdering i utredningens förslag vilket innebär att realiserbarheten i förslagen kan ifrågasättas. Med anledning av detta föreslår Försvarsmakten att en nationell informationsvärdering genomförs innan kraven på digitalisering lagregleras. Försvarsmakten anser vidare att myndigheten bör undantas från tvingande krav på digitalisering eftersom de operativa uppgifter som den utför kräver att myndigheten har full rådighet och handlingsfrihet i hur uppgifter och information hanteras för att kunna verka i hela konfliktskalan, dvs. fred, kris och krig. Skälen för regeringens förslag och bedömning: Det följer av bestämmelserna om ömsesidigt erkännande i artikel 6 i EU:s förordning om elektronisk identifiering att en medlemsstats offentliga organ under vissa omständigheter i sina nättjänster ska acceptera medel för elektronisk identifiering som utfärdats i en annan medlemsstat. Offentligt organ definieras i artikel 3.7. Till sådana organ hör statliga, regionala eller lokala myndigheter, organ som lyder under offentlig rätt eller sammanslutningar som bildats av en eller flera sådana myndigheter eller ett eller flera sådana offentligrättsliga organ. Hit hör också privata enheter som av minst en av dessa myndigheter, enheter eller sammanslutningar har bemyndigats att tillhandahålla offentliga tjänster när de agerar i enlighet med ett sådant bemyndigande. För att ett offentligt organ ska omfattas av kravet på erkännande ska det för åtkomst till nättjänsten krävas elektronisk identifiering enligt nationell rätt eller på grund av ett administrativt förfarande. Nättjänsten ska vidare kräva att identifieringen sker på tillitsnivån väsentlig eller hög. För medlet krävs att dess tillitsnivå ska motsvara en nivå som är minst lika hög som den som används i den digitala tjänsten och att medlet ska vara utfärdat inom ramen för ett system som anmälts och ingår i den förteckning som Europeiska kommissionen offentliggjort i Europeiska unionens officiella tidning, se avsnitt 8. I skäl 14 förtydligas att principen om ömsesidigt erkännande endast avser autentisering för en nättjänst. Den ger inte en rätt till åtkomst till tjänsten. Åtkomsten till tjänsterna och deras slutliga leverans till den sökande är kopplad till rätten att ta emot sådana tjänster enligt 2020/21:81 villkoren i nationell lagstiftning. Varje offentligt organ får inom ramen för den tillämpliga nationella lagstiftningen avgöra vilka krav som ska ställas för åtkomst till tjänsterna. Den gränsöverskridande elektroniska identifieringen möjliggörs genom ett tekniskt system med noder som har utvecklats för ändamålet. De svenska noderna tillhandahålls av Myndigheten för digital förvaltning, se avsnitt 4.3 och avsnitt 5. var av de 470 offentliga organ som uppskattas vara berörda av förordningens krav anslutna till den svenska noden för inkommande gränsöverskridande elektronisk identifiering. För att ska uppfylla de krav på ömsesidigt erkännande som ställs i förordningen behöver alla aktörer som omfattas av kravet ansluta sig till den nod för inkommande elektronisk identifiering som Myndigheten för digital förvaltning tillhandahåller. Det finns vidare tillkommande faktorer som stöder ett införande av en obligatorisk anslutning till noden.