sou · H9B362 · 2021-06-29 00:00:00 — Engångskostnader som startkostnader och anpassningskostnader för ny kund kan också förekomma, även kostnader för fysiska bärare i form av t.ex. smartkort tillkommer om kunden väljer denna lösning. Berörda myndigheter har kostnader för att hantera identiteter och autentiseringsmetoder för sina anställda och uppdragstagare. Kostnaderna för att gå över till användning av e-tjänstelegi- timationer för myndigheter som inte har det behöver inte nödvändigtvis vara högre än myndighetens nuvarande kostnader för hantering av identiteter, autentiseringsmetoder eller eventuell administrativ hantering av behörigheter i externa tjänster som kräver autentisering med privat e-legitimation. För vissa myndigheter kan det dock vara mer kostsamt med e-tjänstelegitimationer än en befintlig lösning. Vi bedömer emellertid att finansiering av förslaget kan ske inom ramen för varje myndighets förvaltningsanslag och att det således inte behöver finansieras i särskild ordning. 10.10.2Förslag om lag om erkännande av medel för elektronisk identifiering Konsekvenser för statliga myndigheter Vad gäller kostnaden för anslutning för de statliga myndigheter som tillhandhåller e-tjänster som omfattas av kravet på erkännande av de e-tjänstelegitimationer som är anslutna till systemet kan paralleller dras till det lämnade förslaget om krav på att statliga myndigheter ska använda tjänster för elektronisk identifiering som tillhandahålls inom auktorisationssystem. I promemorian där förslaget lämnas görs följande bedömning. Kostnaderna för teknisk anslutning hänförliga till användningen av de tjänster som tillhandahålls inom nuvarande valfrihetssystem varierar mellan statliga myndigheter och beror på deras befintliga lösning. Det bedöms att drygt hälften av de offentliga aktörerna endast har stöd för en e-legitimationstyp . Dessa myndigheter behöver möjliggöra inloggning med fler e-legitimationer, under förutsättning att de nya auktorisationssystemen har ungefär samma leverantörssammansättning och krav som nuvarande valfrihetssystem. Vidare bedöms att de myndigheter som tar emot en e-legitimation får en startkostnad på ca , de som tar emot två e-legitimationer får en startkostnad på ca och de som erbjuder stöd för tre eller fler e-legitimationstyper inte kommer att öka sina startkostnader. Den fasta månadskostnaden antas öka per verksamhet till följd av att tjänsteleverantörer administrerar fler typer av e-legitima- tioner samt, teoretiskt sett, fler transaktioner. En stor del av de myndigheter som behöver göra tekniska anpassningar av sina system för att kunna ta emot nya leverantörer av tjänster för elektronisk identifiering kommer ändå att behöva göra motsvarande anpassningar för att kunna ta emot utländska e-legitimationer, vilket är en skyldighet enligt EU:s förordning om elektronisk identifiering. Sammantaget bedöms därför kostnaderna för teknisk anpassning bli marginella, under förutsättning att den tekniska kravställningen för nya e-legitimationsutfärdare hålls snarlik den kravställning som görs för anslutning till förbindelsepunkterna för gränsöverskridande elektronisk identifiering.6 Vi bedömer att de ovan redovisade kostnaderna för anslutning kan användas som utgångspunkt även för det nu aktuella förslaget. Den exakta kostnaden för respektive myndighet är dock svår att beräkna eftersom de har olika förutsättningar. Vidare kan övergången från att använda personlig e-legitimation med behörighetslösning till att använda e-tjänstelegitimationer medföra övergångskostnader som kostnadsposter för den tidigare lösningen försvinner. Även dessa kostnader skiljer sig åt för respektive myndighet utifrån de olika förutsättningar som råder. Eventuella anpassningskostnader bedöms i huvudsak bli en följd av att systemen anpassas till att använda andra personidentifieringsuppgifter än personnummer. Statliga myndigheter omfattas redan av kravet i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning om att personnummer och samordningsnummer endast får behandlas utan samtycke när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. Inom det föreslagna systemet kommer personnummer som regel inte användas för att säker identifiering ska kunna ske. Om den berörda myndigheten inte har annat stöd för att behandla personnummer för detta syfte finns således redan genom denna lagstiftning en skyldighet att anpassa systemen för att inte behandla personnummer. EU:s förordning om en gemensam digital ingång ställer därtill krav på att medlemsstaterna säkerställer att e-tjänster finns för vissa förfaranden, t.ex. att lämna in en inkomstskattedeklaration, och att 6Promemoria, Auktorisationssystem för elektronisk identifiering och för digital post, s. 51 f. dessa tjänster kan nås digitalt av invånare i andra medlemsstater.7 Detta innebär att myndigheter vars tjänster omfattas av bestämmelserna behöver hantera europeiska personidentifieringsuppgifter. har bedömt att denna övergång från dagens huvudsakligen personnummerbaserade hantering kommer ha stor påverkan på såväl e-tjänster som interna system. Myndigheten har beräknat att, beroende på hur frågan hanteras nationellt och hos myndigheten, kan innebära kostnader i storleksordningen en eller flera miljarder kronor.8 Det kan även noteras att det av kommissionen lämnade förslaget till ändringar i eIDAS-förord- ningen kommer, om det genomförs, innebära en liknande omställning för en bredare krets aktörer inom offentlig sektor (se avsnitt 9.6). Med beaktande av ovan redovisade krav i befintlig lagstiftning som påverkar utformningen av berörda myndigheters e-tjänster och interna system samt de beräknade kostnaderna för anslutning bedöms förslaget inte få några konsekvenser för dessa myndigheter som måste finansieras i särskild ordning. Konsekvenser för DIGG och MSB Vi föreslår att de närmare detaljerna om hur systemet, vad gäller både granskning och teknisk uppbyggnad, ska vara utformat delegeras till DIGG att besluta om. Det gör det svårt att bedöma de kostnader som uppstår. Detta då det i förlängningen kommer bli en direkt följd av hur DIGG väljer att utforma systemet. Bedömningen får därmed utgå från kostnader för jämförbara processer och tekniska lösningar. Granskningen av e-tjänstelegitimationer inför anslutning till systemet kommer sannolikt att ske på liknande sätt som den granskning som sker inom ramen för kvalitetsmärket e-legitima- tion. Vi bedömer därför att den kostnad för granskning som sker inom ramen för det föreslagna systemet kan förväntas spegla kostnaderna som DIGG har för denna hantering . Flera av de e-tjänste- legitimationer som kan bli aktuella för användning i systemet är dock redan granskade och godkända av DIGG och beroende på vilka krav som av DIGG uppställs för anslutning är det möjligt att någon ny granskning av dessa inte är nödvändig. 7Regeringen har gett DIGG i uppdrag att ta fram en genomförandeplan för införandet av bevisutbyte enligt engångsprincipen (I2021/01595), som är en central princip i förordningen. 8Försäkringskassan, Budgetunderlag 2022–2024 (Dnr FK 2020/006213), , s. 17. och kontroll av redan godkända e-legitimationer kan emellertid behöva ske. Kostnaderna för en sådan hantering får dock bedömas bli betydligt lägre än för granskning av en helt ny e-tjänstelegitimation. Vi har därför inhämtat kostnadsuppskattningar från DIGG för granskningen och för att kunna använda det nuvarande systemet för e-legitimationer i enlighet med myndighetens förslag om eID för medarbetare.9 Vi bedömer att dessa kostnader i stort speglar kostnaderna för att hantera systemet i enlighet med utredningens förslag. Baserat på dessa underlag gör utredningen bedömningen att förslagen ger granskningskostnader om 150 000 till per tillkommande e-tjänstelegitimationsutfärdare. Utöver dessa medför förslagen en förnyad granskning eller mindre omfattande kontroll periodiskt som förväntas kosta 75 000 till per e-tjänste- legitimationsutfärdare och gång. Vidare medför anpassning av e-legi- timationssystemet engångskostnader om ca en miljon kronor.10 Utöver detta har DIGG löpande kostnader om ca per år.11 E-tjänstelegitimationerna bedöms använda samma tekniska driftmiljö som för det nuvarande e-legitimationssystemet men kan medföra ökade kostnader bl.a. eftersom volymen ökar. Vi bedömer de tillkommande driftskostnaderna till 1–. Viss kostnadstäckning kan ske genom förslaget om att DIGG ska kunna ta ut en avgift för den granskning som sker. Den ökade kostnaden för DIGG kommer, utöver eventuell avgiftsfinansiering, behöva finansieras genom ökade anslag via reformutrymmet. Enligt förslaget ska DIGG samråda med MSB vid framtagande av föreskrifter. Omfattningen av dessa samråd bedöms ha en försumbar påverkan på MSB:s verksamhet. Sådana samråd får även anses falla inom ramen för myndighetens uppgifter enligt förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap. 9DIGG, eID för medarbetare – Förstudierapport inom byggblock Identitet i regeringsuppdraget Att etablera en förvaltningsgemensam infrastruktur för informationsutbyte (dnr 2019-582), . 10I kostnaderna ingår bl.a. avtal, föreskrifter, kommunikation, uppdragsledning och expertkunskap. 11I kostnaderna ingår bl.a. uppföljning, avtalshantering, förvaltning, tekniska tester och support. Beslut om att inte godkänna ett medel för elektronisk identifiering får överklagas till allmän förvaltningsdomstol. Antalet e-legitima- tionsutfärdare är som framgår av avsnitt 6.4 relativt begränsat. Rätten att överklaga dessa beslut bör mot denna bakgrund inte generera någon större mängd mål för domstolarna. DIGG föreslås vidare mot bakgrund av säkerhetsincidenter kunna besluta att e-tjänstelegitimationer tillfälligt eller tills vidare inte ska vara godkända för användning i systemet alternativt inte längre får ingå i systemet. Rätten att överklaga dessa beslut bedöms inte heller generera någon större mängd mål för domstolarna Sammantaget bedöms förslaget inte få några konsekvenser för de allmänna förvaltningsdomstolarna som måste finansieras i särskild ordning. 10.10.3 Regeringsuppdrag om översyn av tillitsramverket Utredningen föreslår att regeringen ger DIGG i uppdrag att göra en översyn av tillitsramverket. Detta uppdrag bedöms falla inom ramen för DIGG:s uppgifter enligt 3 § 1 förordningen (2018:1486) med instruktion för Myndigheten för digital förvaltning och ska därmed finansieras inom myndighetens befintliga ram. 11.1Ikraftträdande av lagen om erkännande av medel för elektronisk identifiering samt förordningen om erkännande av medel för elektronisk identifiering Utredningens förslag: Lagen och förordningen ska träda i kraft . Skälen för utredningens förslag Vi bedömer att det är angeläget att de ändringar vi föreslår träder i kraft till stöd för organisationsöverskridande användning av e-tjänstelegitimationer. Med hänsyn till den tid som kan beräknas gå åt för remissförfarande, fortsatt beredning inom och riksdagsbehandling samt anpassning av it-system vid berörda myndigheter bör de lag- och förordningsbestämmelser utredningen föreslår tidigast kunna träda i kraft . Förslagen är inte av den arten att de kräver några särskilda övergångsregler. Utredningens förslag: Förordningsändringarna ska träda i kraft . Skälen för utredningens förslag Vi bedömer det angeläget att de föreslagna ändringarna i förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte träder i kraft . Med hänsyn till den tid som kan beräknas gå åt för remissförfarande och fortsatt beredning inom samt den tid för omställning som krävs för de myndigheter som inte efterlever kraven, bör de ändringar utredningen föreslår kunna träda i kraft . Förslagen är inte av den arten att de kräver några särskilda övergångsregler. Vad avser föreslagna ändringar i förordningen (2018:1486) med instruktion för Myndigheten för digital förvaltning bör de aktuella förordningsändringarna träda i kraft som den föreslagna lagen. Förslagen är inte av den arten att de kräver några särskilda övergångsregler. 12.1Förslaget till lag om erkännande av medel för elektronisk identifiering Paragrafen behandlas i avsnitt 9.4.1. Av paragrafen framgår vad lagen innehåller. Paragrafen behandlas i avsnitt 9.4.1. I artikel 6.1 i eIDAS-förordningen föreskrivs att medlemsstaterna om vissa förutsättningar är uppfyllda ska erkänna medel för elektronisk identifiering som har utfärdats i andra medlemsstater (s.k. ömsesidigt erkännande, se mer om detta i avsnitt 4.2.4). Av paragrafen framgår att lagen inte påverkar sådant erkännande som följer av eIDAS-förordningen. Paragrafen behandlas i avsnitt 9.4.4 och redogör för de rättssubjekt som anses vara offentliga aktörer. Motsvarande bestämmelser finns i 4 och 5 §§ lagen (2018:1937) om tillgänglighet till digital offentlig service. Paragrafen är avsedd att ha samma innebörd som nämnda bestämmelser i den lagen, se prop. 2017/18:299 s. 30 ff. och 86 ff. Paragrafen behandlas i avsnitt 9.4.2. Ord och uttryck i lagen som även förekommer i eIDAS-förordningen ska ha samma betydelse i lagen som i förordningen i dess ursprungliga lydelse. Erkännande av medel för elektronisk identifiering Paragrafen behandlas i avsnitt 9.4.3 och 9.4.5. Paragrafen innebär att statliga myndigheter som tillhandahåller nättjänster som kräver autentisering med medel för elektronisk identifiering ska, om förutsättningarna i första stycket är uppfyllda, erkänna sådana medel som offentliga aktörer tillhandahåller till sina anställda eller uppdragstagare. Erkännande innebär att medel för elektronisk identifiering ska accepteras för tillgång till den aktuella nättjänsten. Med hjälp av medlet ska användaren kunna använda tjänsten, under förutsättning att eventuella behörighetskrav är uppfyllda. För det fall medel för elektronisk identifiering krävs för moment utöver autentisering, exempelvis som ett led i att skapa en elektronisk underskrift inom ramen för tjänsten, avser kravet på erkännande även dessa moment. Enligt första stycket första punkten krävs för att kravet på erkännande ska vara tillämpligt att det medel för elektronisk identifiering som ska erkännas är godkänt för användning i det system för erkännande av medel för elektronisk identifiering som framgår av 6 §. Enligt första stycket andra punkten krävs för erkännande vidare att tillitsnivån för medlet för elektronisk identifiering motsvarar, eller är högre , den tillitsnivå som krävs för att få tillgång till den aktuella nättjänsten. Det är, med beaktande av eventuella författningskrav, den aktör som tillhandahåller en nättjänst som avgör vilken tillitsnivå som ska krävas. Regeringen får med stöd av andra stycket meddela undantag från kravet på erkännande. Undantag kan exempelvis avse vissa nättjänster eller myndigheter. Undantag kan även meddelas för det fall erkännande av medel för elektronisk identifiering som ingår i systemet är förknippat med allvarliga säkerhetsrisker. System för erkännande av medel för elektronisk identifiering Paragrafen behandlas i avsnitt 9.4.5. Enligt första stycket ska den myndighet som regeringen bestämmer tillhandahålla ett system för erkännande av medel för elektronisk identifiering (systemet). Med system avses i denna lag en samling av bl.a. krav, policys, teknisk infrastruktur samt en process för godkännande av medel för elektronisk identifiering. Systemet är avsett att i huvudsak ha samma uppbyggnad och funktion som en identitetsfederation (se avsnitt 6.6). Med stöd av andra stycket får regeringen eller den myndighet regeringen bestämmer meddela närmare föreskrifter om systemet och användningen av det. Sådana föreskrifter kan gälla krav på medel för elektronisk identifiering samt granskning och godkännande av sådana medel. Ytterligare exempel är krav gällande de nättjänster som ansluts till systemet, tillitramverk för system, hantering av säkerhetsincidenter samt krav som avser anslutning av för systemet ej godkända medel för elektronisk identifiering. Paragrafen behandlas i avsnitt 9.4.11. Den myndighet som tillhandahåller systemet får behandla personuppgifter om det är nödvändigt för erkännande av medel för elektronisk identifiering i anslutna nättjänster. Sådan behandling kan avse personuppgifter kopplade till medel för elektronisk identifiering och dess innehavare, och där behandlingen sker i samband med autentiseringsprocessen. Det kan också röra personuppgifter som behandlas inom ramen för rent administrativ hantering med koppling till systemet. Ökad och standardiserad användning av betrodda tjänster i den offentliga förvaltningen En särskild utredare ska utreda förutsättningarna för ökad och standardiserad användning av betrodda tjänster i den offentliga förvaltningen. Syftet med utredningen är att höja säkerheten och stärka tilliten när betrodda tjänster används. I utredarens uppdrag ingår att •kartlägga och analysera den offentliga förvaltningens behov av åtgärder för ökad och standardiserad användning av betrodda tjänster, •lämna förslag på sådana åtgärder, särskilt när det gäller att –tydliggöra när avancerade respektive kvalificerade elektroniska underskrifter bör användas i den offentliga förvaltningen, –kunna validera och bevara elektroniska underskrifter, och –kunna använda e-legitimation i tjänsten, och •lämna nödvändiga författningsförslag. Uppdraget ska redovisas . Betrodda tjänster är sådana tjänster som används för att skapa, kontrollera, validera och bevara elektroniska underskrifter, elektroniska stämplar, elektroniska tidsstämplingar och certifikat samt för att autentisera webbplatser och säkra elektroniska leveranser. Sådana tjänster utgör samhällskritisk infrastruktur som är en förutsättning för fortsatt utveckling av digital service till privatpersoner och företag. De är också centrala för att förverkliga om en digital inre marknad med fri rörlighet av varor och tjänster. För att kunna verka i en digital miljö är en säker identifiering av helt avgörande betydelse vid t.ex. informationsutbyte eller underskrift av handlingar. Säkra betrodda tjänster är också en förutsättning för en fungerande verksamhet hos många offentliga arbetsgivare. Betrodda tjänster regleras av och rådets förordning (EU) nr 910/2014 av om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv /93/EG, den s.k. eIDAS-förordningen. Syftet med förordningen är att öka förtroendet för elektroniska transaktioner på den inre marknaden genom att tillhandahålla en gemensam grund för ett säkert elektroniskt samspel mellan privatpersoner, företag och den offentliga förvaltningen. Avsikten är att därigenom öka effektiviteten hos offentliga och privata digitala tjänster, affärsverksamhet och e-handel i unionen. Förordningen reglerar vad betrodda tjänster är och vilka tekniska och juridiska förutsättningar som gäller för dem. Betrodda tjänster kan under vissa förutsättningar anses vara kvalificerade eller ickekvalificerade. Kvalificerade betrodda tjänster är giltiga inom hela EES- området. () publicerar teknisk och juridisk information för kvalificerade betrodda tjänster på den svenska förteckningen över kvalificerade tillhandahållare av betrodda tjänster (trusted list). eIDAS-förordningen är föremål för översyn. Resultatet av översynen ska publiceras av Europeiska kommissionen . Kompletterande bestämmelser till förordningen finns i lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering och förordningen (2016:576) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering. Utredningen om effektiv styrning av nationella digitala tjänster lämnar i betänkandet reboot – omstart för den digitala förvaltningen (SOU 2017:114) förslag på flera åtgärder för ökad styrning av området för elektronisk identifiering och betrodda tjänster. Regeringen beslutade att tillsätta en utredning som ska föreslå de anpassningar och kompletterande författningsbestämmelser som och rådets förordning (EU) 2019/881 av om (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten) ger anledning till. Utredaren ska också överväga om det finns anledning att införa ytterligare krav för att skydda verksamhet som är av betydelse för säkerhet, som krav på certifiering och godkännande av vissa produkter, tjänster och processer (dir. 2019:73). Uppdraget ska redovisas i den del som avser anpassningar med anledning av EU-förordningen . I den del som avser regler till skydd för säkerhet ska uppdraget redovisas . Behovet av åtgärder för ökad och standardiserad användning av betrodda tjänster Förordningen anger vissa krav som betrodda tjänster måste uppfylla. Principen är att en tjänst som är godkänd inom en medlemsstat automatiskt ska vara godkänd i alla medlemsstater. Däremot har genomförandeakter för gemensamma standarder inte antagits. Det finns inte heller regler och riktlinjer för gemensamma standarder på nationell nivå. En konsekvens av detta är att det i praktiken är mycket svårt att utan avancerade it-stöd kunna avgöra om ett elektroniskt undertecknat dokument går att lita på. Ökad och standardiserad användning av elektroniska underskrifter som går att lita på och som är enkla att använda är grundläggande i ett alltmer digitaliserat samhälle. I svenska digitala tjänster används främst underskrifter som i förordningen benämns avancerade elektroniska underskrifter. I kommissionens genomförandebeslut (EU) 2015/1506 av om fastställande av specifikationer rörande format för avancerade elektroniska underskrifter och avancerade elektroniska stämplar i enlighet med artiklarna 27.5 och 37.5 i och rådets förordning (EU) nr 910/2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden beskrivs vilka format och metoder som måste erkännas av medlemsstaterna. Det som i eIDAS-för- ordningen benämns kvalificerade elektroniska underskrifter används endast i begränsad omfattning i och marknaden för betrodda tjänster har inte utvecklats på det sätt som förutsågs vid förordningens tillkomst. Svensk lagstiftning ställer inte heller krav på användning av kvalificerade elektroniska underskrifter, utan förekommande krav tar sikte på avancerade elektroniska underskrifter. ID-korts- utredning föreslår att det ska införas ett nytt statligt identitetskort med en e-legitimation som ska kunna användas för att skapa just avancerade elektroniska underskrifter. Frågan om den statliga e-legi- timationen ska kunna användas även för att skapa kvalificerade elektroniska underskrifter lämnas till stor del öppen, se betänkandet Ett säkert statligt – med e-legitimation (SOU 2019:14). Från flera håll i den offentliga förvaltningen har det kommit rapporter om problem kopplade till elektroniska underskrifter. Både juridiska oklarheter och tekniska svårigheter återkommer i beskrivningarna av de utmaningar som finns. Det gäller särskilt validering och bevarande av dokument som skrivits under elektroniskt. Svårigheterna består bl.a. i att kunna godta olika format och underskrifter. Flera myndigheter använder digitala tjänster där hela förfarandet hanteras i ett flöde. Det innebär att tjänsten hämtar information om användaren och dennes behörighet baserat på information från den elektroniska identifieringen som gjordes i samband med inloggningen. Behörigheten kontrolleras sedan direkt när t.ex. en handling skrivs under elektroniskt. Flödet blir då låst till ett enda sätt att hantera elektronisk identifiering och underskrift. Detta gör det svårt att utveckla tjänster som godtar andra elektroniska underskrifter än de som är kopplade till den elektroniska identifieringen. Det gäller särskilt vid gränsöverskridande användning av digitala tjänster.