sou · H9B362 · 2021-06-29 00:00:00 — Kraven avser bl.a. kontroller av den person som tilldelas en e-legitimation för att säkerställa att personen är den han eller hon utger sig för att vara. Kraven är indelade i olika nivåer: 2, 3 och 4. Kraven ökar för respektive nivå. Tillitsnivå 1 definieras i ISO/IEC 29115 men har ingen motsvarighet i tillitsramverket eller i eIDAS-förordningens tillitsnivåer. Denna nivå kräver ingen legitimering, utan det räcker med att exempelvis ange namn och e-postadress.6 Nivåerna heter tillitsnivåer men kallas ofta också för LoA (”Level of ”). Samtliga tre tillitsnivåer innebär minst tvåfaktorsautentisering och stark autentisering, men graden av säker grundidentifiering och övrig skyddsnivå vid autentisering skiljer sig åt (se mer om detta nedan). Det är i normalfallet upp till förlitande part att avgöra vilken lägsta tillitsnivå som ska krävas för tillgång till en e-tjänst. Till stöd för denna bedömning finns vägledning från DIGG7, SKR8 och MSB9. Grunden är informationsklassning i kombination med bedömning av vilken skada en felaktig identifiering skulle kunna leda till. Vissa författningar och tillsynsbeslut ger också vägledning vad avser sådana bedömningar (se avsnitt 4.3 om krav på autentisering). 5reboot – omstart för den digitala förvaltningen (SOU 2017:114), s. 181. 6www.digg.se/digital-identitet/e-legitimering/tillitsnivaer (hämtad ). 7DIGG, Vägledning till uppfyllande av tillitsramverkets krav för kvalitetsmärket e-legi- timation (dnr 2019-278), . 8SKR, Vägledning för anslutning till eIDAS, . 9MSB, Vägledning – säkerhetsåtgärder i informationssystem för statliga myndigheter (förhandsutgåva), 6.3.1Övergripande krav som avser utfärdares verksamhet Övergripande krav på den verksamhet som utfärdare av e-legitima- tioner bedriver är bl.a. att de ska teckna och vidmakthålla för verksamheten erforderliga försäkringar samt ha förmåga att bära risken för skadeståndsskyldighet. Utfärdare ska för de delar av verksamheten som berörs i tillitsramverket ha ett ledningssystem för informationssäkerhet () som i tillämpliga delar baseras på ISO/IEC 27001 eller motsvarande likvärdiga principer för ledning och styrning av informationssäkerhetsarbetet. Kravet på ett fungerande ökar för högre tillitsnivåer. innehåller också bl.a. krav på bakgrundskontroll innan personer antar vissa roller som är av särskild betydelse för säkerheten. Ett exempel på skillnader i krav för de olika nivåerna är att för nivå 3 och 4 ska utfärdare genom hela kedjan i utfärdandeprocessen säkerställa att separation av arbetsuppgifter tillämpas på ett sådant sätt att ingen på egen hand har möjlighet att tillskansa sig en e-legitimation i en annan persons namn. Ett krav som inte gäller för nivå 2. innehåller även krav som avser teknisk säkerhet, exempelvis att elektroniska kommunikationsvägar som nyttjas i verksamheten för överföring av känsliga uppgifter ska skyddas mot insyn, manipulation och återuppspelning. 6.3.2Krav kopplade till ansökan och utfärdande innehåller ett antal krav som avser ansökan om att få en e-legitimation utfärdad och själva utfärdandet. Utfärdare ska föra register över anslutna användare och de tilldelade e-legitimationerna. De ska också tillhandahålla en spärrtjänst där användaren kan spärra sin e-legitimation. Utfärdare ska kontrollera att uppgifter knutna till en ansökan om utfärdande av e-legitimation är fullständiga och stämmer överens med uppgifter som finns registrerade i ett officiellt register. Tillitsnivå 2 och 3 tillåter identifiering av sökanden på distans med en annan e-legitimation med kvalitetsmärket e-legitimation på minst tillitsnivå 3, om avtalsvillkoren för den e-legitimationen tillåter det. DIGG har sammanfattat tillitsnivå 2–4 på följande sätt.10 •Användarens identitet verifieras genom att bevisa innehav av en tillhörighet som bara användaren kan antas förfoga över. Exempel kan vara kod som skickats i kodkuvert till sökandes folkbokföringsadress. •Användaren identifieras genom exempelvis engångslösenord från dosa eller mobiltelefon. •Det finns en viss tillit till identiteten, och krav på tvåfaktorsautentisering. •Användarens identitet verifieras på likvärdigt sätt som vid utgivning av en fullgod svensk legitimationshandling. E-legitimationen kan utfärdas på distans om utfärdaren redan har identifierat mottagaren, t.ex. i samband med öppnandet av ett bankkonto eller vid en anställning. •Användaren identifieras genom exempelvis en skyddad app i en smarttelefon. •Det finns en hög tillit till identiteten, och krav på tvåfaktorsautentisering. •Användarens identitet verifieras vid personligt besök genom en fullgod svensk legitimationshandling, både första gången och vid förnyelse . •Användaren identifieras genom en e-legitimation som skyddas i ett särskilt chip, som kan finnas på t.ex. ett plastkort, en mobiltelefon eller en USB-enhet. 10www.digg.se/digital-identitet/e-legitimering/tillitsnivaer (hämtad ). •Det finns en mycket hög tillit till identiteten, och krav på tvåfaktorsautentisering. Utfärdare som vill använda sig av kvalitetsmärket e-legitima- tion måste uppfylla kraven i tillitsramverket. Syftet med märket är att offentliga och privata aktörer med e-tjänster som kräver e-legi- timation ska kunna lita på e-legitimationer som har märket och att användare ska kunna känna sig trygga med att det är en säker identitetshandling. En utfärdare som vill använda märket ansöker om det hos DIGG som gör en granskning utifrån tillitsramverket och beslutar om utfärdaren lever upp till kraven. Beslutet avser vilken nivå den aktuella e-legitimationslösningen lever upp till. Dessa publiceras på DIGG:s webbplats. I skrivande stund är godkända e-tjänste- legitimationer EFOS för tillitsnivå 3 och 4 samt eID Plus, Mobilt EFOS, SITHS och Mobilt SITHS för tillitsnivå 3. Godkända e-legitimationer för privatpersoner är AB Svenska Pass för tillitsnivå 3 och 4 samt BankID på fil, BankID på kort, Mobilt BankID och eID Plus för tillitsnivå 3. och kvalitetsmärket e-legitimation regleras inte i författning och det finns inga bestämmelser om att ramverket eller kvalitetsmärket ska finnas. Utredningen om effektiv styrning av nationella digitala tjänster föreslog att det i lag skulle regleras att ramverket skulle vara en del av infrastrukturen för elektronisk identifiering och att kvalitetsmärket skulle regleras i samma lag.11 Förslaget har inte genomförts. 6.4E-legitimationer på den svenska marknaden Nedan redogörs för de utfärdare av e-tjänstelegitimationer och privata e-legitimationer som utredningen identifierat finns på marknaden. E-legitimationer som endast eller huvudsakligen förekommer i näringslivet, exempelvis ID06 inom byggbranschen, finns dock inte med i sammanställningen. 11reboot – omstart för den digitala förvaltningen (SOU 2017:114), s. 31 ff. timationer som utfärdas av en offentlig aktör enbart för anställda inom den egna organisationen. eduID är en e-legitimation som förvaltas och utvecklas av (Sunet) och som används av organisationer inom utbildning och forskning. eduID är en federerad identitet, dvs. en användaridentitet som kan användas inom flera olika organisationer. Den används av både studenter och anställda.12 Generaldirektörerna för Arbetsförmedlingen, och skrev 2007 under ett avtal om samverkan mellan myndigheter där ett av målen var att ge medborgaren större tillgänglighet. I samband med detta tecknade även och ett avtal för etablering av servicekontor. Detta ledde i sin tur till att tog ansvaret som gemensam certifikatutfärdare för att möjliggöra att medarbetare på servicekontoren kunde få åtkomst till flera myndigheters system. Denna lösning kallades MCA vilket står för Myndighets CA och där CA är en akronym för den engelska termen för certifikatutfärdare (”certificate authority”).13 Inera och påbörjade ett samverkansprojekt kring en gemensam lösning för e-tjänstelegitimation inom offentlig sektor som benämndes EFOS (”E-identitet För Offentlig Sektor”). Då var det sju myndigheter som använde tjänsten. Avsikten med samverkansprojektet var att ersätta både SITHS och MCA, men samarbetsavtalet sades upp 2019 (se mer om detta i avsnitt 5.7). fortsatte därefter arbetet med EFOS på egen hand. I skrivande stund är det ca 42 000 medarbetare inom den offentliga förvaltningen som har EFOS och utöver Försäkrings- 12https:///faq.html (hämtad ). 13www.efos.se/ (hämtad ). kassan används lösningen av 19 andra statliga myndigheter. I certifikaten framgår det vilken myndighet användaren tillhör. räknar med att EFOS kommer ha ca 51 000 användare. har till utredningen uppgett att de emellanåt även får förfrågningar från kommuner och att det inte finns några hinder mot att kommunerna använder EFOS, men att det förutsätter att kommunerna bedömer att anskaffningen är förenlig med upphandlingslagstiftningen. EFOS e-legitimation är godkänd enligt kvalitetsmärket e- legitimation på tillitsnivå 3 och 4. EFOS finns också i en mobil variant, Mobilt EFOS, som är godkänd på tillitsnivå 3. EFOS är även föranmäld för att kunna användas gränsöverskridande i enlighet med eIDAS-förordningens bestämmelser.14 (Expisoft) har gett ut e-tjänstelegitimationer . Expisofts lösning är en e-tjänstelegitimation som inte innehåller personnummer för innehavaren av legitimationen, däremot innehåller den tjänsteidentitetsnummer. Lösningen finns både i fil- och kortbaserat format och ingår i bolagets säkerhetsprogramvara ExpiClient. Expisoft har två utgivare, en för fil- och en för kortbaserade legitimationer. Utfärdande av identitets- och funktionsintyg sker oftast via andra aktörer som då även tecknar avtal med slutkunden. eID ägs, förvaltas och utvecklas av eID (härefter ). Organisations eID är en lösning som alla organisationer kan anskaffa. Organisations eID bygger på de identiteter som utfärdas av eID (se mer om eID i avsnitt 6.4.3). Vid utfärdande av eID får användaren först ett eID och därefter ett eID. Dessa e-legi- timationer är dock skilda och har bl.a. olika API:er.15 står för 14www.digg.se/om-oss/nyheter/2021/efos-ingar-nu-i-sveriges-foranmalan-till-eidas (hämtad ). 15API står för ”Application Program Interface” och är enligt Svenska datatermgruppens definition ett gränssnitt som gör det möjligt att i program och insticksmoduler utnyttja funk- grundidentifieringen av användarna. Anskaffande organisation kan välja om användarna ska vara identifierade med verifierad ID-hand- ling (”Extended”) eller om de ska ha en av DIGG granskad e-legi- timation på tillitsnivå 3 (”Plus”). Det är inte personnumret som ligger till grund för identifieringen av användaren utan ett ID-begrepp/attribut kopplat till organisationen. Attribut kopplade till användarens roll i organisationen är också möjlig. eID Plus är godkänd enligt kvalitetsmärket e-legi- timation på tillitsnivå 3. (Nexus) tillhandahåller en central programvara för administration, utgivning och livscykelhantering av e-legitimationer. Nexus tillhandahåller en utfärdarportal där det går att utveckla och skapa certifikat. Vidare finns en självserviceportal där användaren bl.a. kan ID-växla mellan olika bärare. Utfärdandet av e-tjänstelegitimationer kan ske av Nexus kunder eller av Nexus själva. Vid det tidigare scenariot står kunden som certifikatutgivare. Kunden får funktioner/gränssnitt att använda för att identifiera användare samt beställa och utfärda e-legitimationer på olika bärare. Kunden får även ett regelverk från Nexus för hur arbetet ska utföras. Kunden blir då en registreringsfunktion som identifierar användaren och registrerar de uppgifter som ska finnas i certifikaten mot Nexus tjänst. Vid det senare scenariot är det Nexus som är certifikatutgivare och är tjänsteleverantör i stället för teknikleverantör. SITHS är en akronym för ”Säker IT-användning i Hälso- och Sjukvården” och är en identifieringstjänst som bl.a. består av en e-legiti- mation. SITHS togs fram 2005 och initialt var det som byggde lösningen. SITHS förvaltas och utvecklas numera av (härefter Inera). Inera ägs av regioner, kommuner och . tioner för vissa tjänster som finns tillgängliga i ett annat program eller i en funktionssamling. /DatatermSearch/?ss=api (hämtad ). Bolagets uppdrag är att skapa förutsättningar för att digitalisera välfärden, genom att förse ägarna med gemensam digital infrastruktur och arkitektur.16 De organisationer som kan anskaffa SITHS e-legitimation är regioner, kommuner, statliga myndigheter och privata vårdgivare. För att kunna använda SITHS krävs i regel att organisationen även är ansluten till katalogtjänsten HSA som är en elektronisk katalog innehållande uppgifter om organisationer och personer inom vård och omsorg i Sverige.17 Genom HSA får arbetstagaren en pseudonym att använda i stället för personnummer, ett s.k. HSA-id. Vissa verksamheter som använder SITHS, t.ex. apotek, är emellertid inte anslutna till HSA. Regioner, kommuner och statliga myndigheter kan välja att ta fullt ansvar för tjänsten och själva ge ut de e-legitimationer organisationen behöver. Om de offentliga aktörerna inte vill ta detta ansvar eller bara har behov av att ge ut SITHS e-legitimationer till ett fåtal medarbetare kan de i stället ansluta via ett ombud som i sin tur ger ut e-legitimationen. Privata vårdgivare kan endast ansluta via ombud. Det finns både regioner och kommuner samt privata företag som agerar ombud. För användare som arbetar i flera regioner går det att lägga in flera olika certifikat. innehåller tre certifikat som alla använder samma nyckelpar: ett certifikat med personnummer från , ett med personnummer från Inera och ett med HSA-id från Inera. Telias e-legitimation som finns på korten används ibland för att komma in i vissa statliga myndigheters e-tjänster. SITHS e-legitimation används av ca 550 000 medarbetare inom vård- och omsorgssektorn. SITHS e-legitimation finns i två varianter. Dels i form av en Windowsklient som används tillsammans med de fysiska , dels genom Mobilt SITHS som kan installeras på en surfplatta eller mobiltelefon. SITHS och Mobilt SITHS är godkända enligt kvalitetsmärket e-legitimation på tillitsnivå 3. 16www.inera.se/om-inera/ineras-uppdrag/ (hämtad ). 17HSA står för Hälso- och sjukvårdens adressregister. () erbjuder e-tjänstelegitimationer. erbjuder också andra typer av certifikat där kunden själv definierar innehållet i certifikaten, men dessa är då enligt inte att betrakta som e-legitimationer. Vidare kan det noteras att , utöver Ineras e-legitimation, även innehåller en e-legi- timation från . har även en ID-broker tjänst (se mer om sådana tjänster i avsnitt 3.12) som många e-legitimationsutfärdare i och är anslutna till. identitetskort för folkbokförda i innehåller en e-legitimation som utfärdas av AB Svenska Pass (Svenska Pass). Bolaget har avtal med om att förse det fysiska id-kortet med en e-legitimation.18 Det innebär att det är Svenska Pass och inte som har det juridiska ansvaret gentemot både innehavaren av e-legitimationen och de förlitande aktörer som ingått avtal med Svenska Pass. Fram var det Telias e-legitimation som fanns på identitetskort. Det går inte längre att skaffa Telias e-legitimation för privatpersoner, men de som redan är utgivna fungerar så länge de är giltiga. Det behövs en kortläsare och ett särskilt program som installeras på datorn för att kunna använda e-legitimationen. För att skaffa e-legitimationen måste den sökande vara folkbokförd i , ha fyllt och kunna legitimera sig. Om den sökande är måste denne ha tillstånd av sin vårdnadshavare. Svenska Pass e-legitimation är godkänd enligt kvalitetsmärket e-legitimation på tillitsnivå 4. 18E-legitimationen är kopplad till innehavaren vilket är anledningen till att AB Svenska Pass redovisas under detta avsnitt. Påpekas bör dock att bolaget är ramavtalsleverantör i Kammarkollegiets ramavtal för e-tjänstelegitimationer (se avsnitt 6.5.3). BankID har en dominerande ställning på den svenska marknaden för e-legitimationer. BankID ägs, förvaltas och vidareutvecklas av (härefter Finansiell ID-Teknik). bildades hade de stora bankerna i inlett ett arbete i ett bankkonsortium. Syftet med det arbetet var att ta fram en generell infrastruktur för elektroniska identitetshandlingar, som skulle uppfylla krav från myndigheter och banker samt kunna accepteras av allmänhet och företag. Finansiell ID-Teknik bildades och ägs av , , , , , och . Företagets kunder är de flesta av de stora svenska bankerna, som i sin tur säljer och förmedlar BankID. är det tio banker som utfärdar BankID.19 Det finns tre olika varianter av BankID: Mobilt BankID, BankID på fil och BankID på kort. Mobilt BankID innebär att användaren har sin e-legitimation i en mobiltelefon eller surfplatta. För att kunna hämta och använda Mobilt BankID krävs att användaren har installerat BankID-appen. BankID på fil är en e-legitimation i en dator. För att kunna hämta och använda BankID på fil krävs att användaren har installerat BankID-programmet. BankID på kort är en e-legitimation som är lagrad på ett smartkort. Förutom kortet och BankID-programmet krävs även att man har en kortläsare för att använda denna lösning. Vilka lösningar som de olika bankerna erbjuder sina kunder skiljer sig åt. , och utfärdar alla tre BankID- lösningar. och utfärdar BankID på kort och Mobilt BankID. , och syd utfärdar BankID på fil och Mobilt BankID. och Ålandsbanken utfärdar endast Mobilt BankID. Antalet innehavare av BankID är, enligt statistik från Finansiell ID-Teknik, ca 8 miljoner och antalet användningstillfällen var ca 5,1 miljarder.20 19Det kan dock noteras att i valfrihetssystemet är Finansiell ID-Teknik leverantör och inte de enskilda bankerna. 20www.bankid.com/assets/bankid/stats/2020/statistik-2020-12.pdf (hämtad ). För att kunna skaffa ett BankID måste en person ha ett svenskt personnummer och vara kund i någon av de banker som ger ut BankID. Respektive bank bestämmer själva vilken åldersgräns som krävs för att inneha ett BankID som de utfärdar. Om den sökande är måste denne dock alltid ha tillstånd av vårdnadshavare. BankID på fil, BankID på kort och Mobilt BankID är godkända enligt kvalitetsmärket e-legitimation på tillitsnivå 3. eID Plus är en mobil e-legitimation som ägs, förvaltas och utvecklas av . Vid utgången av hade ca 142 000 registrerade användare och under den senaste 12 månaders perioden utfördes ca 1,1 miljoner transaktioner.21 För att skaffa eID Plus krävs det att den som vill anskaffa e-legitimationen är folkbokförd i och kan legitimera sig. För att få eID Plus måste denne även vara och då ha vårdnadshavarens godkännande. Barn som fyllt behöver inte vårdnadshavarens tillstånd. eID Plus är godkänd enligt kvalitetsmärket e-legiti- mation på tillitsnivå 3. 6.5Anskaffning av e-legitimationer och tjänster för elektronisk identifiering Anskaffning av e-legitimationstjänster kan delas in i två huvudsakliga delområden. Dels anskaffning av en e-legitimation som görs av en privatperson eller en organisation som tillhandhåller e-tjänste- legitimationer till sina anställda. Detta kan även innefatta att anskaffa vissa tjänster som t.ex. möjliggör att en organisation på egen hand utfärdar e-legitimationer. Dels anskaffning av tjänster för att e-legitimationer ska kunna användas vid inloggning i exempelvis en myndighets e-tjänst. 21https://frejaeid-finansiell-info.s3.eu-north- 1.amazonaws.com/_eID_Group_Delarsrapport_1januari-31mars_2021.pdf (hämtad ). Det finns två huvudsakliga affärsmodeller för e-legitima- tionsutfärdare i form av att ersättning antingen utgår från den som anskaffar e-legitimationen eller från förlitande part. Om ersättning utgår från förlitande part är det vanligast att ersättningen utgår per användningstillfälle. Vi väljer därmed att kalla den senare för den transaktionsbaserade modellen och den tidigare för anskaffningsmodellen. Som framgått innebär den transaktionsbaserade modellen vanligen att en kostnad uppstår (ofta benämnd tickkostnad) varje gång e-legitimationen används. Exempelvis är tickkostnaden inom valfrihetssystemen per transaktion (se mer om valfrihetssystem i avsnitt 6.5.4). Den grundläggande principen bakom denna modell är att den som får nyttan av användningen, dvs. gynnas av den säkra autentisering som användningen av en e-legitimation innebär, också ska betala för den. Den anskaffningsbaserade modellen grundar sig på att den som anskaffar e-legitimationen också betalar för den. Denna modell är den som vanligen används av utfärdare av e-tjänstelegitimationer och utifrån de exempel vi sett är det vanligast med en fast avgift per tidsintervall eller en avgift per användare med begränsning . Det som tydligast skiljer modellerna åt är vem som betalar. Vad som prissätts och vad som utgör basen för betalningen kan emellertid variera och kombineras på olika sätt. Det går således även att inom ramen för den anskaffningsbaserade modellen låta kostnaden helt eller delvis styras av antalet transaktioner. Vad gäller den transaktionsbaserade modellen är BankID ett exempel på en e-legitima- tion som huvudsakligen använder sig av denna modell. Av våra kontakter med Finansiell ID-Teknik har dock framgått att det råder fri konkurrens mellan de banker som utfärdar BankID och att andra ersättningsformer kan förhandlas fram. Som framgår av avsnitt 6.4.3 anskaffas privata e-legitimationer av användaren direkt från utfärdaren eller ett ombud för denne. En aktör inom den offentliga förvaltningen som vill anskaffa e- tjänstelegitimationer till sina anställda och uppdragstagare kan, beroende på de förutsättningar som råder, anskaffa tjänsterna direkt från en utfärdare, via en egen upphandling eller genom avrop från ramavtal. Vissa aktörer kan även välja att anskaffa vissa tjänster från externa aktörer och därefter själva utfärda e-legitimationen. Kammarkollegiets ramavtal Identifiering och behörighet Det statliga ramavtalet för området Kort för identifiering och behörighetkontroll löpte ut och är ersatt av avtalet Identifiering och behörighet. Bakgrunden till att avtalet bytt namn är att det nya avtalet utöver kort också täcker fler olika typer av bärare i form av ringar, armband, USB-stickor och appar.22 Avtalet omfattar även e-legitimationer och möjlighet att köpa produkter som tjänst utan eget ägande.23 För att tydliggöra innebär dock anskaffning genom ramavtalet inte detsamma som ett externt förlitandeavtal likt det som ingås genom valfrihetssystemen (se avsnitt 6.5.4). innefattar sju leverantörer varav AB Svenska Pass (se avsnitt 6.4.3) och Nexus (se avsnitt 6.4.2) är två av dem.24 De ramavtalsleverantörer som inte själva tillhandahåller e-legitimationer har angett e-legitimationsutfärdare som underleverantörer.25 Avrop gällande e-legitimationer sker via förnyad konkurrensutsättning och vid avropet kan krav bl.a. ställas på tillitsnivåer enligt eller kvalitetsmärkningen Svensk e-legitima- tion.26 Avrop från ramavtalet kan göras av statliga myndigheter, kommuner och regioner. 22www.avropa.se/contentassets/4f3fcc7b5f564baabfd1b3e3e34bae4a/idb_aberopadeforetag.pdf (hämtad ). 23www.avropa.se/ramavtal/ramavtalsomraden/it-och-telekom/identifiering-och- behorighet/identifiering-och-behorighet/?value=188146 (hämtad ). 24Övriga leverantörer är , , , och . 25www.avropa.se/contentassets/4f3fcc7b5f564baabfd1b3e3e34bae4a/idb_aberopadeforetag.pdf (hämtad ). 26Kammarkollegiet, Kravkatalog Identifiering och behörighet (Version 1.1), , s. 4. med en förlängningsoption som maximalt kan utökas t.o.m. . 6.5.4Anskaffning av tjänster för elektronisk identifiering Det förekommer som framgår av avsnitt 6.4 flera olika e-legitima- tioner på den svenska marknaden och det finns därför anledning för aktörer inom den offentliga förvaltningen att kunna erbjuda sina användare möjligheten att logga in i deras e-tjänster med olika e- legitimationer. Att det finns olika alternativ att tillgå medför även att tjänster blir mindre sårbara för det fall en viss e-legitimation skulle drabbas av tillgänglighetsproblem.