sou · H9B362 · 2021-06-29 00:00:00 — Användning av e-legitimation i tjänsten i den offentliga förvaltningen Användning av e-legitimation i tjänsten i den offentliga förvaltningen Utredningen om betrodda tjänster SOU och Ds finns på under Rättsliga dokument. Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). Information för dem som ska svara på remiss finns tillgänglig på regeringen.se/remisser. Layout: Kommittéservice, Tryck och remisshantering: , 2021 Regeringen beslutade att tillkalla en särskild utredare med uppdrag att utreda och lämna förslag för ökad och standardiserad användning av betrodda tjänster i syfte att höja säkerheten och stärka tilliten när de används i den offentliga förvaltningen. Som särskild utredare förordnades målkanslichefen . beslutades om tilläggsdirektiv till utredningen. Som sekreterare i utredningen anställdes uppdragsledaren och juristen . avslutade sitt arbete i utredningen och från och med förordnades seniora handläggaren som utredningssekreterare. Som experter att biträda utredningen förordnades näringspolitiska experten och förbundsjuristen (IT & Telekomföretagen), seniora digitala strategen (), ramavtalsförvaltaren (Kammarkollegiet), tjänsteområdesansvarig (Myndigheten för digital förvaltning), sektionschefen (Kommuner och Regioner), seniora handläggaren (), it-arkitekten (), chefen (Certifieringsorgan för IT-säkerhet vid ), seniora handläggaren (Myndigheten för samhällsskydd och beredskap), departementssekreteraren (Infrastrukturdepartementet) och utredaren (). entledigades från sitt uppdrag som expert den och förordnades uppdragsledaren (Myndigheten för digital förvaltning) att vara expert i utredningen. Utredningen, som har tagit sig namnet Utredningen om betrodda tjänster, redogör för uppdraget med användande av vi-form även om det inte funnits fullständig samsyn i alla delar. Utredningen överlämnade delbetänkandet Vem kan man lita på? Enkel och ändamålsenlig användning av betrodda tjänster i den offentliga förvaltningen (SOU 2021:9) . Utredningen överlämnar härmed slutbetänkandet Användning av e-legitimation i tjänsten i den offentliga förvaltningen (SOU 2021:62). Uppdraget är med detta slutfört. 1.1Förslag till lag om erkännande av medel för elektronisk 1.2Förslag till förordning om erkännande av medel för elektronisk identifiering ................................................... 1.3Förslag till förordning om ändring i förordningen (2003:770) om statliga myndigheters elektroniska 1.4Förslag till förordning om ändring i förordningen (2018:1486) med instruktion för Myndigheten för Utredningens uppdrag och arbete................................ Definitioner av vissa centrala begrepp och termer ......... Personuppgift och personuppgiftsansvarig........................... Identifiering och autentisering .............................................. E-legitimation i tjänsten m.m. ............................................... Identitetsintygsutfärdare och identitetsintyg....................... Behörighet och befogenhet.................................................... Bestämmelser om elektronisk identifiering........... för gränsöverskridande användning ....................... Förordningens tre tillitsnivåer ............................... 4.2.4Den offentliga förvaltningen ska erkänna Översyn av eIDAS-förordningen .......................... 4.3 Krav avseende autentisering................................................... EU:s allmänna dataskyddsförordning.................... Bestämmelser om säkerhetsskydd ......................... 4.3.3Myndigheten för samhällsskydd och beredskaps föreskrifter om säkerhetsåtgärder i informationssystem för statliga myndigheter ..... 61 4.3.4Krav rörande autentisering inom hälso- och Krav rörande autentisering i den finansiella E-legitimation i tjänsten inom den offentliga förvaltningen – en kronologisk översikt ......................... Utredningen om bildande av en e-legitimationsnämnd........ 5.5Utredningen om effektiv styrning av nationella digitala 5.7Inera AB:s och samarbetsavtal om en gemensam lösning för tjänstelegitimationer .............. 5.8Uppdrag att etablera en förvaltningsgemensam digital infrastruktur för informationsutbyte .................................... Förstudierapport inom byggblocket Identitet ...... 5.9Samverkan mellan staten och Kommuner Avsiktsförklaring om utveckling av välfärdens 6.3.1Övergripande krav som avser utfärdares Krav kopplade till ansökan och utfärdande ........... Kvalitetsmärket Svensk e-legitimation .................. 6.4 E-legitimationer på den svenska marknaden ........................ 6.5Anskaffning av e-legitimationer och tjänster för elektronisk identifiering ................................................... Affärsmodeller för e-legitimationsutfärdare ......... Anskaffning av e-legitimationer............................. 6.5.4Anskaffning av tjänster för elektronisk 6.6 Federationer för identifiering och behörigheter................... 6.6.7Tekniska lösningar för federerade identiteter En sammanfattande bild....................................................... Den offentliga förvaltningens behov avseende e-legitimation i tjänsten............................................ Kartläggning av behov.......................................................... Användningsområden för e-legitimationer i tjänsten ........ Autentisering i interna system ............................. Skapande av elektroniska underskrifter ............... Användning av privata e-legitimationer i tjänsten.............. 7.3.1Användningen av privata e-legitimationer Användning av e-tjänstelegitimationer................................ 7.6Utmaningar vid användning av e-tjänstelegitimationer i den offentliga förvaltningen ............................................... Anskaffning av e-tjänstelegitimationer ................ Åtkomst för privata utförare ................................ i förhållande till tillitsnivåerna i 7.6.7Säker grundidentifiering och möjlighet till Behov av stöd......................................................... Utgångspunkter för utredningens förslag........................... Användning av privata e-legitimationer i tjänsten .............. Behandling av personuppgifter ............................. Banksekretess vid användning av BankID ........... 9.2.3Villkor för användning av privata 9.3Statliga myndigheter under regeringen ska tillhandahålla e-tjänstelegitimationer till sina anställda.................................................................... 9.4Ett ramverk för organisationsöverskridande användning En ny lag ................................................................ Ord och uttryck i lagen ........................................ Statliga myndigheter ska erkänna e-tjänstelegitimationer i sina e-tjänster................ som tillhandahålls av offentliga aktörer ............... Ett system för erkännande av 9.4.6Granskning och godkännande av Ej godkända e-tjänstelegitimationer .................... Undantag från kravet på erkännande ................... Hantering av säkerhetsincidenter ........................ Hantering av personnummer ............................... Behandling av personuppgifter i systemet........... 9.5En samverkande infrastruktur mellan offentlig och privat sektor................................................................... Översyn av det svenska tillitsramverket ............................. En framtida lösning för attributshantering......................... 9.8Ökat stöd avseende användning av Bättre förutsättningar för id-växling ................................... Konsekvenser för kommuner och regioner ........................ och det brottsförebyggande arbetet..................................... Konsekvenser för sysselsättningen ...................................... Konsekvenser för offentlig service i olika delar Konsekvenser för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företags samt konsekvenser för företag i stort .......... Konsekvenser för jämställdheten mellan män Konsekvenser för att nå de integrationspolitiska målen .... Förslagens överensstämmelse med .................... Närmare om konsekvenserna för enskilda förslag.............. 10.10.1 Krav om att statliga myndigheter ska 10.10.2 Förslag om lag om erkännande av medel för elektronisk identifiering.................................. 10.10.3 Regeringsuppdrag om översyn av 11.1Ikraftträdande av lagen om erkännande av medel för elektronisk identifiering samt förordningen om erkännande av medel för elektronisk identifiering Ikraftträdande av förordningsändringar .............................. Förslaget till lag om erkännande av medel för elektronisk identifiering ................................................. EU:s förordning om en ning (EU) 2018/1724 av 2018 om inrättande av en gemensam digital ingång för tillhandahållande av information, förfaranden samt hjälp- och problemlösningstjänster och om ändring av förordning (EU) nr 1024/2012 ning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personupp- gifter och om det fria flödet av sådana uppgifter och om upphävande av direk- tiv 95/46/EG ning (EU) nr 910/2014 av 2014 om elektronisk identifiering och betrodda tjänster för elektroniska trans- aktioner på den inre marknaden och om upphävande av direktiv /93/EG Myndigheten för digital förvaltning följande sida/sidor Hälso- och sjukvårdens adressregister Nordic-Baltic co-operation on digital Samverkan för behörighet och identitet inom hälsa, vård och omsorg Security Assertion Markup Language Säker IT-användning i Hälso- och Den del av utredningens uppdrag som redovisas i detta betänkande omfattar kartläggning och analys av den offentliga förvaltningens behov av åtgärder avseende användning av e-legitimation i tjänsten samt förslag på sådana åtgärder. Användningen av e-legitimation i tjänsten innefattar användning av privata e-legitimationer eller e-tjänstelegitimationer för att fullgöra en arbetsuppgift. Med e-tjänstelegitimation avses i detta betänkande en e-legitimation för den som tjänstgör vid eller innehar uppdrag för en organisation och som anskaffats av den organisationen. E-legitimationer som används i tjänsten inom förvaltningen har enligt vår kartläggning tre huvudsakliga användningsområden: autentisering i interna system, stöd för skapande av elektroniska underskrifter samt organisationsöverskridande användning. En stark drivkraft bakom den ökade användningen av e-legitimationer inom den offentliga förvaltningen är behovet av starkare former av autentisering. Kartläggning av den offentliga förvaltningens behov Vår kartläggning visar att det inom den offentliga förvaltningen finns ett antal utmaningar med koppling till användning av e- legitimation i tjänsten. Ett problemområde är svårigheterna med organisationsöverskridande användning av e-tjänstelegitimationer. Det finns olika e- tjänstelegitimationer inom den offentliga förvaltningen och användning av dem över organisationsgränserna är i huvudsak begränsad till vissa sektorer där sådan åtkomst möjliggörs genom s.k. identitetsfederationer. Det är därför vanligt förekommande att privata e-legi- timationer används i tjänsten för autentisering i externa e-tjänster. Sådan användning kan medföra en hel del administration då det oftast innefattar att exempelvis varje enskild kommun måste ha en behörighetsadministratör för varje extern e-tjänst som deras anställda eller uppdragstagare använder sig av. Det sistnämna kopplar till att det saknas ett system för att även medarbetarens behörighet framgår vid autentisering i andra aktörers e-tjänster. Vår kartläggning har emellertid inte visat att det i första hand är yrkesroller eller titlar som avgör om en person ska uppfattas som behörig av förlitande part. Den gemensamma nämnare aktörerna har gett uttryck för att de efterfrågar är att veta vilken organisation en person företräder. Det kan emellertid inte uteslutas att ytterligare attribut i vissa fall är nödvändiga och att behoven inom detta område kan komma att öka. Ett hinder för användning av e-legitimation i tjänsten finns för anställda eller uppdragstagare som inte finns med i det . Detta då avsaknaden av personnummer medför att de inte kan få en svensk e-legitimation. Detta drabbar både nyanlända personer och personer från andra länder som arbetar här och därför inte folkbokförs i . Problematiken uppstår även för s.k. gränsgångare som bor i ett annat land men som arbetar i . Dessa hinder kan uppstå inom olika delar av förvaltningen men problemen förefaller vara vanligast förekommande inom utbildningssamt hälso- och sjukvårdssektorerna. En stor andel av välfärden inom offentlig sektor tillhandahålls genom privata utförare. Det finns därför ett tydligt behov av att ge dessa utförare samma förutsättningar som aktörer inom det offentliga vad gäller tillgång till olika e-tjänster som krävs för att de ska kunna fullgöra sina uppdrag. Ett robust och tillförlitligt e-legitimationssystem förutsätter att det går att lita på grundidentifieringen av respektive användare. Det har under kartläggningen tydligt framkommit att en förutsättning för att e-tjänstelegitimationer ska kunna användas över organisationsgränserna är att organisationerna inom förvaltningen känner tillit till den grundidentifiering som sker. Det har också framkommit att grundidentifieringen är invecklad och kostsam för utfärdarna. Vidare visar kartläggningen att det finns ett stort behov av att kunna utfärda nya elektroniska identitetshandlingar genom s.k. id-växling. Kartläggningen visar även att det finns ett behov av ökat stöd inom området och att detta behov framför allt finns hos mindre aktörer. Användning av privata e-legitimationer i tjänsten Användning av privata e-legitimationer i tjänsten är enligt vår bedömning tillåten. Det kräver emellertid att det finns en överenskommelse mellan arbetsgivare och arbetstagare om sådan användning. Vid användning av privata e-legitimationer aktualiseras en rad olika aspekter som ska beaktas i form av bl.a. personuppgiftsbehandling, efterlevnad av användarvillkor samt informationssäkerhet. Vår sammantagna bedömning är att användning av privata e-legitimationer i tjänsten endast bör förekomma när det inte är möjligt att använda e-tjänstelegitima- tioner för att fullgöra en arbetsuppgift. Statliga myndigheter under regeringen ska tillhandahålla e-tjänstelegitimationer till anställda och uppdragstagare Med utgångspunkt från vår bedömning vad gäller användning av privata e-legitimationer i tjänsten föreslår vi att e-tjänstelegitimationer ska tillhandahållas den som tjänstgör vid eller innehar uppdrag för en statlig myndighet under regeringen och, som för att kunna fullgöra sina arbetsuppgifter, behöver styrka sin identitet eller tjänsteställning. Användning av privata e-legitimationer föreslås endast få ske för id-växling, som kontinuitetslösning eller för det fall en särskild arbetsuppgift, som kräver användning av e-legitimation hos tredje part, inte kan genomföras med en e-tjänstelegitimation. Ett ramverk för organisationsöverskridande användning av e-tjänstelegitimationer För att skapa bättre förutsättningar för organisationsöverskridande användning av e-tjänstelegitimationer föreslår vi att det ska införas en ny lag som skapar ett ramverk för sådan användning. I syfte att möjliggöra sådan användning ska Myndigheten för digital förvaltning (DIGG) tillhandahålla ett system för erkännande av e-tjänstelegiti- mationer. Statliga myndigheter ska åläggas ett krav på att erkänna e-tjänste- legitimationer som används av anställda och uppdragstagare hos offentliga aktörer för åtkomst till e-tjänster som statliga myndigheter tillhandahåller. Begreppet offentliga aktörer omfattar i den före- slagna lagen statliga myndigheter, kommuner, regioner, offentligt styrda organ och privata aktörer som yrkesmässigt bedriver verksamhet inom vissa utpekade områden som till någon del är offentligt finansierad. Kravet på erkännande gäller endast e-tjänstelegitimationer som uppfyller fastställda krav. Enbart e-tjänstelegitimationer som efter ansökan har godkänts av DIGG omfattas av kravet på erkännande. DIGG föreslås kunna ta ut en avgift för denna granskning. Kravet på erkännande gäller vidare bara om e-tjänstelegitimationen har samma tillitsnivå eller högre än den nivå som krävs för åtkomst till den aktuella e-tjänsten. Även e-tjänstelegitimationer som inte är godkända får efter genomförd självskattning och anmälan ingå i systemet, men det är då frivilligt för statliga myndigheter att erkänna sådana e-legitimationer i sina e-tjänster. Regeringen ska ges möjlighet att meddela undantag från kravet på erkännande. Vi föreslår att tre undantag ska införas. Statliga myndigheter ska inte behöva erkänna e-tjänstelegitimationer om erkännandet medför allvarliga säkerhetsrisker. Kravet på erkännande av e- tjänstelegitimationer ska vidare inte gälla för e-tjänster som endast riktar sig till enskilda. En statlig myndighet ska inte heller behöva erkänna en e-tjänstelegitimation om den aktuella e-tjänsten redan är ansluten till ett sektorspecifikt system för erkännande av e-tjänste- legitimationer. Utfärdare av e-tjänstelegitimationer ska rapportera säkerhetsincidenter till DIGG och myndigheten ska kunna besluta att en e-legiti- mation tillfälligt eller tills vidare inte ska ingå i systemet. Vid allvarliga säkerhetsincidenter ska DIGG kunna besluta att en e-tjänstelegitima- tion tas bort från systemet. En samverkande infrastruktur mellan offentlig och privat sektor Det är viktigt både för digitaliseringen av offentlig sektor och samhällets digitalisering i stort att det för elektronisk identifiering finns en samverkande infrastruktur mellan offentlig och privat sektor. Då detta är en fråga som ligger utanför utredningens uppdrag lämnar vi emellertid inga förslag i denna del. Vi anser dock att systemet för erkännande av e-tjänstelegitimationer bör utvecklas till att även omfatta privat sektor och att denna fråga bör utredas vidare. Översyn av det svenska tillitsramverket Vi föreslår att regeringen ska ge DIGG i uppdrag att se över det svenska tillitsramverk som myndigheten tillhandahåller. Dels med anledning av att ramverket bör harmoniseras med tillitsnivåerna i eIDAS-förordningen. Dels att indirekta krav på personnummer uppställer hinder för vissa personer som arbetar inom den offentliga förvaltningen att få e-tjänstelegitimationer trots att de har tillförlitliga identitetshandlingar som medför att en säker grundidentifiering kan göras. En framtida lösning för attributshantering Utredningen bedömer att en framtida lösning för attributshantering bör bygga på att attributen med behörighetsinformation i huvudsak tillhandahålls av arbets- eller uppdragsgivaren i stället för att uppgifterna samlas i stora nationella register eller finns i respektive e-tjänst. Ökat stöd avseende användning av e-tjänstelegitimationer Vi bedömer att det bör ges mer stöd till den offentliga förvaltningen vad avser användning av e-tjänstelegitimationer. Utifrån DIGG:s befintliga uppgift att främja användningen av elektronisk identifiering och då tekniska frågor rörande e-tjänstelegitimationer inte sällan är sammankopplade med användning av elektroniska underskrifter bedömer vi att DIGG med de ökade anslag vi föreslår i vårt delbetänkande vad gäller ökat stöd inom området betrodda tjänster bör kunna möta upp det behov av stöd som finns vad gäller de tekniska aspekterna. De juridiska frågorna bör därtill kunna hanteras inom ramen för det ökade rättsliga stöd DIGG ska erbjuda den offentliga förvaltningen. Bättre förutsättningar för id-växling Vi bedömer att en statlig e-legitimation som kan användas för idväxling i enlighet med förslaget som lämnades av ID-korts- utredning bör införas för att skapa förutsättningar för enklare och billigare utfärdande av e-tjänstelegitimationer samt en mer diversifierad marknad. 1.1Förslag till lag om erkännande av medel för elektronisk identifiering Härigenom föreskrivs följande. 1 § Denna lag innehåller bestämmelser om erkännande av medel för elektronisk identifiering. 2 § Lagen påverkar inte sådant erkännande av medel för elektronisk identifiering som följer av och rådets förordning (EU) nr 910/2014 av om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv /93/EG (eIDAS- förordningen), i den ursprungliga lydelsen. 3 § Med offentlig aktör avses 1.en statlig eller myndighet, 2.en beslutande församling i en kommun eller region, 3.ett sådant offentligt styrt organ som avses i andra stycket, 4.en sammanslutning som inrättats särskilt för att tillgodose behov i det allmännas intresse, under förutsättning att behovet inte är av industriell eller kommersiell karaktär, och som består av a) en eller flera myndigheter eller församlingar som anges i 1 och 2, eller b) ett eller flera organ enligt andra stycket, 5.en privat aktör som yrkesmässigt bedriver verksamhet som till någon del är offentligt finansierad och som a) aktören bedriver i egenskap av enskild huvudman inom skolväsendet eller huvudman för en sådan internationell skola som avses i24 kap. skollagen (2010:800), b)utgör hälso- och sjukvård enligt hälso- och sjukvårdslagen (2017:30) eller tandvård enligt tandvårdslagen (1985:125), c)bedrivs enligt socialtjänstlagen (2001:453), lagen (1988:870) om vård av missbrukare i vissa fall, lagen (1990:52) med särskilda bestämmelser om vård av unga eller lagen (1993:387) om stöd och service till vissa funktionshindrade, eller d)utgör personlig assistans som utförs med assistansersättning enligt 51 kap. socialförsäkringsbalken, och 6. en enskild utbildningsanordnare med tillstånd att utfärda examina enligt lagen (1993:792) om tillstånd att utfärda vissa examina, och som till största delen har statsbidrag som finansiering av högskoleutbildning på grundnivå eller avancerad nivå eller för utbildning på forskarnivå. Med offentligt styrt organ avses en sådan juridisk person som tillgodoser behov i det allmännas intresse, under förutsättning att behovet inte är av industriell eller kommersiell karaktär, och 1. som till största delen är finansierad av staten, en kommun, en region eller en sådan offentlig aktör som avses i första stycket 1–4, 2. vars verksamhet står under kontroll av staten, en kommun, en region eller en sådan offentlig aktör som avses i första stycket 1–4, eller 3. i vars styrelse eller motsvarande ledningsorgan mer än halva antalet ledamöter är utsedda av staten, en kommun, en region eller en sådan offentlig aktör som avses i första stycket 1–4. 4 § I övrigt har ord och uttryck i denna lag samma betydelse som i eIDAS-förordningen, i den ursprungliga lydelsen. Erkännande av medel för elektronisk identifiering 5 § När medel för elektronisk identifiering krävs för att få tillgång till en nättjänst som tillhandahålls av en statlig myndighet, ska medel som av en offentlig aktör tillhandahålls för aktörens anställda eller uppdragstagare erkännas för autentisering för tjänsten om 1.medlet för elektronisk identifiering är godkänt för användning idet system som avses i 6 §, och 2.tillitsnivån för medlet för elektronisk identifiering motsvarar en tillitsnivå som är lika hög eller högre än den tillitsnivå som den statliga myndigheten kräver för åtkomst till nättjänsten. Regeringen får meddela undantag från kravet på erkännande enligt första stycket. System för erkännande av medel för elektronisk identifiering 6 § Den myndighet som regeringen bestämmer ska tillhandahålla ett system för erkännande av medel för elektronisk identifiering (systemet). Regeringen eller den myndighet regeringen bestämmer får meddela närmare föreskrifter om systemet och användningen av det. 7 § Den myndighet som avses i 6 § första stycket får behandla personuppgifter i systemet om det är nödvändigt för erkännande av medel för elektronisk identifiering i anslutna nättjänster. Denna lag träder i kraft .