sou · H9B362 · 2021-06-29 00:00:00 — Ett andra behov var att e-tjänste- legitimationen i sig, genom kompletterande information i själva legitimationen, ger stöd för förenklade, automatiserade rutiner så att förlitande part kan kontrollera att innehavaren är juridiskt behörig att agera för det i legitimationen angivna organets räkning. Ett tredje behov var att företag och myndigheter för sina anställda och uppdragstagare ska kunna ansöka om elektroniska legitimationshandlingar, förse berörda personer med sådana legitimationer, sätta upp ramar för hur de får användas och ges rätt att spärra legitimationen, t.ex. när anställningen eller uppdraget upphört.2 Delegationen hade följande slutsatser vad gäller e-tjänstelegitimationer: •Genom e-tjänstelegitimationer kan personnummer utmönstras ur e-legitimationer som används i tjänsten. •Förutsättningar ges också för företag och myndigheter att ansöka om elektroniska legitimationshandlingar för sina anställda och uppdragstagare, förse dem med sådana legitimationer, sätta upp ramar för hur de får användas och vid behov spärra dem. •E-tjänstelegitimationer ska utformas så att de kan användas inom hela den offentliga sektorn och näringslivet. De ska också anpassas för en federationslösning, som ska kunna ge stöd även för juridisk behörighetskontroll.3 5.3Utredningen om bildande av en e-legitimationsnämnd Utredningen om bildande av en e-legitimationsnämnd utarbetade ett förslag till en ny nationell modell för att använda e-legitimationer som också omfattade e-tjänstelegitimationer.4 Utredningen framförde att medan användaren själv får anskaffa privat e-legitimation är det arbets- eller uppdragsgivaren som ansöker om och tilldelar den 2Strategi för myndigheternas arbete med e-förvaltning (SOU 2009:86), s. 125. 4E-legitimationsnämnden och Svensk e-legitimation (SOU 2010:104), s. 24. SOU 2021:62 E-legitimation i tjänsten inom den offentliga förvaltningen – en kronologisk översikt anställde en e-tjänstelegitimation.5 E-tjänstelegitimationer förutsätts även finansieras av arbetsgivarna.6 Till e-legitimationer skulle det vidare enligt utredningens förslag gå att knyta attributsintyg med t.ex. uppgift om anställning hos en viss arbetsgivare eller visst uppdrag för en angiven huvudman.7 Ut- redningen fann att en ansluten utfärdare kan ansvara för både de e- legitimationer och de identitetsintyg som denne tillhandahåller. I praktiken kunde det enligt utredningen inte heller uteslutas att en myndighet eller ett offentligt ägt bolag blir utfärdare av e-tjänste- legitimationer och identitetsintyg, men att denna fråga behövde utredas vidare.8 För anställda inom en region borde regionen enligt utredningen själv vara identitetsutfärdare, förutsatt att de uppfyller kraven för Svensk E-legitimation, då det är regionen som av den anställde uppfattas som utfärdare. Motsvarande synsätt borde enligt utredningen tillämpas även för annan offentlig verksamhet. Utredningen bedömde vidare att en användare kan bruka en privat e-legitimation även i egenskap av företrädare för annan och den som har tilldelats en e-tjänstelegitimation får, om arbets- eller uppdragsgivaren godtar det, bruka e-tjänstelegitimationen också för egen räkning.9 Utredningen presenterade också ett förslag till regelverk för infrastrukturen kring e-legitimationer. Av detta regelverk framkommer bl.a. att en användare av en e-tjänstelegitimation får använda den endast i enlighet med instruktioner från arbets- eller uppdragsgivaren. Vidare bestämmer en arbets- eller uppdragsgivare som anskaffar e-tjänstelegitimationer inom ramen för sin arbetsledningsrätt hur e-tjänstelegitimationen får brukas av användaren. En arbets- eller uppdragstagare ska också göra en spärranmälan efter att denne upptäckt att det finns anledning att spärra en e-tjänstelegiti- mation som denne tilldelat en arbets- eller uppdragstagare. Anledning att spärra kan föreligga bl.a. om arbets- eller uppdragsförhållandet upphört eller om en personlig kod kan ha blivit tillgänglig för någon annan.10 E-legitimation i tjänsten inom den offentliga förvaltningen – en kronologisk översikt inrättades 2011 och den lades ned i samband med att verksamheten flyttades över till DIGG. Nämnden hade bl.a. i uppgift att stödja och samordna den offentliga förvaltningens behov av säkra metoder för identifiering och elektroniskt undertecknande. Vad gäller e-legitimation i tjänsten ansåg att nämndens avtal och kravställning inte hindrade att en privat e- legitimation används i tjänsten. Anskaffning av en e-legitimation i tjänsten var i stället en fråga om arbetsgivarens upphandling av e- legitimationer och användningsområdet för dessa legitimationer var enligt nämnden en arbetsrättslig fråga mellan arbetsgivaren och arbetstagaren. Information om roller och behörighet som den förlitande parten kan behöva ska hämtas in genom attributtjänster. I den lösning nämnden föreslog skulle det enligt deras bedömning varit enkelt att koppla in sådana tjänster på ett standardiserat sätt. Nämnden noterade dock att det fanns ytterligare frågor att lösa vad gäller användning av e-legitimation i tjänsten, exempelvis vilken roll en person ikläder sig vid ett visst tillfälle och att dessa frågor behövde utredas vidare.11 5.5Utredningen om effektiv styrning av nationella digitala tjänster Utredningen om effektiv styrning av nationella digitala tjänster gjorde bedömningen att arbetstagare inte ska använda sina privata e-legiti- mationer i tjänsten och att det är arbetsgivares ansvar att säkerställa att arbetstagare kan identifiera sig elektroniskt när de utför sina arbetsuppgifter. Utredningen konstaterade att det finns olika sätt för arbetsgivare att lösa elektronisk identifiering för arbetstagare inom sin organisation och i relation till andra, men att tekniken bör följa de strukturer som finns i fråga om ansvar för att arbetstagare har de medel som behövs för att utföra arbetet.12 11E-legitimationsnämnden, Fortsatt försörjning av tjänster för e-legitimering och e-underskrift (Dnr: 131 645711-15/9513), . 12reboot – omstart för den digitala förvaltningen (SOU 2017:114), s. 271 f. SOU 2021:62 E-legitimation i tjänsten inom den offentliga förvaltningen – en kronologisk översikt Utredningen ansåg att arbetsgivare som ställer krav på elektronisk identifiering för att en individ ska kunna utföra sina arbetsuppgifter, också ska förse individen med det medel som krävs för att göra detta och att en elektronisk identitetshandling som arbetstagare använder i tjänsten alltså är att betrakta som ett verktyg för tjänsten. Utredningen bedömde vidare att om en arbetsgivare kräver att en anställd använder privat utrustning i arbetet måste detta framgå av anställningsavtalet. Annars gäller principen att arbetsgivaren tillhandahåller den utrustning arbetet kräver. Vad gäller it-utrustning måste även arbetsgivarens personuppgiftsansvar vägas in. Om personuppgifter behandlas i tjänsten på en privat anordning har arbetsgivaren personuppgiftsansvaret och är därför skyldig att kontrollera utrustningen i fråga. Detta kan innebära att arbetsgivaren får del av den anställdes privata information. Det torde enligt utredningen därför vara mindre lämpligt att arbetsgivare kräver att anställda ska använda elektronisk identitetshandling på en privat mobiltelefon. Vid användning av privat elektronisk identitetshandling på kort uppstår inte samma komplikation.13 Utredningen flaggade också för risken att om upphandling sker, att den leverantör staten väljer för en eventuell statlig e-legitimation får en dominerande ställning även på marknaden för e-tjänstelegi- timationer. Om den elektroniska identitetshandlingen levereras av en myndighet innebär det i stället att staten konkurrerar med leverantörer på denna marknad.14 Vad gäller identitetskontroll framhöll utredningen att arbetsgivare i många fall måste kontrollera identiteten hos sina anställda, åtminstone i samband med att de anställs. I de fall arbetsgivaren kontrollerar identiteten på en arbetstagare görs det genom att individen visar upp en fysisk identitetshandling. måste arbetsgivaren också göra säkerhetskontroller på individen. De fysiska identitetshandlingar som staten utfärdar har alltså en betydelse i den identitetskontroll som arbetsgivare gör av sina arbetstagare. Även om anställningsförfaranden oftast innefattar personliga besök hos arbetsgivaren bedömde utredningen att en statlig e-legitimation kunde användas på motsvarande sätt.15 E-legitimation i tjänsten inom den offentliga förvaltningen – en kronologisk översikt Utredningen bedömde också att det var viktigt med samordning av elektronisk identifiering i tjänsten och att de lösningar som tas fram ska fungera såväl inom den egna organisationen som i relation till andra aktörer. Utredningen lyfte vidare fram samarbetsavtalet mellan och (se mer om detta i avsnitt 5.7) och föreslog att DIGG skulle bedöma om den lösning som togs fram i det projektet kunde utvecklas till att bli en förvaltningsgemensam digital funktion.16 ID-kortsutredning berörde i sitt betänkande inte användning av e-legitimation i tjänsten. Utredningen behandlade dock frågan om grundidentifiering (se mer om grundidentifiering i avsnitt 3.10). Utredningen bedömde att med en säker grundidentifiering som görs av en myndighet vid ett personligt besök minskar risken för att fel person får tillgång till en e-legitimation. Utredningen framhöll emellertid att det är både kostsamt och svårt att utföra grundidentifiering. Utredningen föreslog att skulle ha ansvaret för grundidentifiering och utfärdande av statliga fysiska identitetshandlingar dvs. pass och statligt identitetskort.17 Utredningen föreslog även att skulle utföra grundidentifiering samt utfärdande av den statliga e-legitimationen som enligt utredningens förslag, efter ansökan, skulle finnas på det statliga identitetskortet. Utredningen konstaterade att en e-legitimation som utfärdas av en statlig myndighet efter en grundidentifiering av en myndighet vid ett personligt besök kan utgöra underlag för idväxling.18 En sådan e-legitimation skulle således även kunna användas vid utfärdande av e-tjänstelegitimationer. 17Ett säkert statligt – med e-legitimation (SOU 2019:14), s. 204. SOU 2021:62 E-legitimation i tjänsten inom den offentliga förvaltningen – en kronologisk översikt 5.7Inera AB:s och samarbetsavtal om en gemensam lösning för tjänstelegitimationer och påbörjade ett samverkansprojekt kring en gemensam lösning för e-tjänstelegitima- tioner inom offentlig sektor. Avsikten med samverkansprojektet var att ersätta både SITHS och MCA (se mer om SITHS och MCA i avsnitt 6.4.2) samt att identifieringslösningen skulle kunna användas tillsammans med annan infrastruktur och lokala identitetsintygsutfärdare så länge den lokala lösningen följde referensarkitekturen.19 sades emellertid samarbetsavtalet upp med motiveringen att statliga myndigheter hade andra behov och kravbilder än Ineras kunder och att detta ledde till väldigt olika kostnader och att det därmed var mer logiskt att i stället ha två olika driftställen för tjänsten.20 5.8Uppdrag att etablera en förvaltningsgemensam digital infrastruktur för informationsutbyte gav regeringen , , E-hälsomyn- digheten, , , och i uppdrag att tillsammans analysera och lämna förslag som syftar till att skapa ökad säkerhet och effektivitet i samband med elektroniska informationsutbyten inom och med den offentliga sektorn.21 Uppdraget resulterade i rapporten och effektivt elektroniskt informationsutbyte inom den offentliga sektorn. I rapporten föreslogs fyra kategorier av förvaltningsgemensamma byggblock i ett ekosystem med förvaltningsgemensam digital infrastruktur för informationsutbyte: digitala tjänster, informationsutbyte, informationshantering samt tillit och säkerhet.22 Regeringen lämnade ett nytt uppdrag till tidigare nämnda myndigheter samt MSB och att tillsammans etablera en förvaltningsgemensam digital 19reboot – omstart för den digitala förvaltningen (SOU 2017:114), s. 269 f. 20https:///wps/poc?urile=wcm:path:/contentse_responsive/press/press meddelanden/inera-och-forsakringskassan (hämtad ). 21Uppdrag om ett säkert och effektivt elektroniskt informationsutbyte inom den offentliga sektorn (Fi2018/02150/DF, FI2018/03037/DF och I2019/01061/DF). 22DIGG m.fl., Säkert och effektivt elektroniskt informationsutbyte inom den offentliga sektorn (dnr 2019-100), s. 17 ff. E-legitimation i tjänsten inom den offentliga förvaltningen – en kronologisk översikt infrastruktur för informationsutbyte. beslutade regeringen om förlängd tid för uppdraget. Uppdraget ska slutrapporteras i december 2021.23 En delredovisning skedde dock . I delredovisningen lämnades förslag på en lämplig struktur för arbetet med den förvaltningsgemensamma infrastrukturen för informationsutbyte, förslag på författning som reglerar myndigheternas uppgifter och ansvar, en långsiktig plan för arbetet samt redovisning av arbetet med enskilda byggblock.24 5.8.1Förstudierapport inom byggblocket Identitet Inom byggblocket identitet lämnades en förstudierapport med ett förslag om civilrättsliga avtal som knyter ihop e-legi- timationsutfärdare med förlitande parter.25 Figur 5.1 Avtal om elektronisk identifiering utan ersättning Avtal om elektronisk identifiering utan ersättning En e-legitimation utfärdas till 1.Arbetsgivare anskaffar e-legitimationer till sina medarbetare. 3.E-legitimationen används för autentisering i en extern e-tjänst. Källa: DIGG. 23Uppdrag att etablera en förvaltningsgemensam digital infrastruktur för informationsutbyte (I2019/03306/DF, I2019/01036/DF [delvis], I2019/01361/DF [delvis] och I2019/02220/DF). 24DIGG m.fl. Delredovisning – Uppdrag att etablera en förvaltningsgemensam digital infrastruktur för informationsutbyte (AD 2019:582), . 25DIGG, eID för medarbetare – Förstudierapport inom byggblock Identitet i regeringsuppdraget Att etablera en förvaltningsgemensam infrastruktur för informationsutbyte (dnr 2019-582), 14december 2020, s. 24. SOU 2021:62 E-legitimation i tjänsten inom den offentliga förvaltningen – en kronologisk översikt Avtalen syftar till att knyta ihop e-legitimationsutfärdare med förlitande parter. Det ska även finnas en variant av avtal mellan arbetsgivare och förlitande parter för de transaktioner som går via arbetsgivaren. Avtalen ska enligt förslaget vara ersättningslösa. Flödet i förslaget framgår av figuren ovan. Som grund för förslaget ska e-legitimationsutfärdaren teckna avtal med förlitande parter. I ett första steg anskaffar arbetsgivaren e-legitimationer till sina medarbetare från e-legitimationsutfärdare (1) som i sin tur utfärdar e- legitimationer till medarbetarna (2). När medarbetaren ska logga in i en extern tjänst med sin e-legitimation ska denne som huvudalternativ välja sin e-legitimation eller sin arbetsgivare i tjänstens lista över inloggningsalternativ (3). Om medarbetaren väljer sin arbetsgivare, görs valet av e-legitimation i stället i arbetsgivarens lista över valbara e-legitimationer om det behövs. Den förlitande parten tar hjälp av sitt eller sina avtal om e-legiti- mering, beslutar om lägsta godtagbara tillitsnivå i sammanhanget och tar även stöd av DIGG:s metadataregister i Connect för att veta vilka e-legitimationer som ska visas upp som valbara för användaren. Den förlitande parten kan vara den helt externa organisation som användaren vill få tillträde hos, eller arbetsgivarens centrala inloggningsfunktion. E-legitimationsutfärdaren svarar på begäran från förlitande part med ett i det externa huvudfallet krypterat identitetsintyg baserat på avtalsregler. Den förlitande parten dekrypterar identitetsintyget och avgör om ytterligare uppgifter om användaren ska hämtas in. Identitetsintyg som skickas mellan utfärdare och förlitande parter i passerar inte DIGG, utan går direkt mellan intygsutfärdaren och den förlitande parten. Både e-legitimationsutfärdaren och den förlitande parten kan ha underleverantörer. När den på e-legitimationen förlitande parten är arbetsgivaren, kan arbetsgivaren, själv eller med stöd av underleverantör, i sin tur ställa ut intyg med stöd av sin egen intygsfunktion. Syftet med detta kan vara att underlätta single sign-on, minska antalet interaktioner för användaren, konvertera från annan teknisk metod eller att komplettera med ytterligare attribut i förhållande till de förlitande parter som arbetsgivaren har avtal med. Arbetsgivaren får baserat på avtal registrera sin identitetsintygsutfärdare i DIGG:s metadata och kan delegera till en underleverantör att bistå med teknisk kontaktperson E-legitimation i tjänsten inom den offentliga förvaltningen – en kronologisk översikt etc. I denna variant blir e-legitimationsutfärdaren underleverantör till arbetsgivaren.26 5.9Samverkan mellan staten och Kommuner och Regioner 5.9.1Överenskommelse om digitalisering i skolväsendet ingicks en överenskommelse mellan staten och SKR om digitaliseringens möjligheter för att främja kunskapsutveckling och likvärdighet i skolväsendet. Överenskommelsen innebär bl.a. att SKR ska arbeta för att stödja anskaffning av e-legitimationer och andra inloggningsmetoder.27 Detta innefattar att se över vilken typ av federationslösningar som finns och vad som skulle fungera bäst för skolorna. Det inkluderar lämpliga ramavtal och teknik som erbjuds samt att säker och effektiv åtkomst till digitala resurser säkerställs.28 5.9.2Avsiktsförklaring om utveckling av välfärdens digitala infrastruktur uppdrag går ut på att identifiera och analysera konkreta åtgärder för att stärka kommunsektorns förmåga att tillhandahålla välfärdstjänster av god kvalitet . Kommissionen samlar företrädare för stat, kommuner, regioner och centrala arbetstagarorganisationer. presenterade en avsiktsförklaring mellan regeringen och SKR om utveckling av välfärdens digitala infrastruktur.29 I avsiktsförklaringen konstateras att digitaliseringen av offentlig verksamhet ofta sker i stuprör och att kommuner, regioner, statliga myndigheter och privata utförare av offentligt finansierad välfärd byggt och infört egna it-system och lösningar som inte alltid är kompatibla med varandra. Något som försvårar sam- 27www.regeringen.se/4abeae/contentassets/9a5edaa4192f42a6ada595d75eb98dcf/digitaliseri ngens-mojligheter-for-att-framja-kunskapsutveckling-och-likvardighet-i-skolvasendet (hämtad ). 28www.inera.se/nyheter/nyheter/sa-ska-skr-och-inera-stotta-digitaliseringen-i-sveriges- skolor/ (hämtad ). 29www.regeringen.se/pressmeddelanden/2020/12/valfardskommissionen-overens-om-okad- digitalisering-och-minskat-it-krangel/ (hämtad ). SOU 2021:62 E-legitimation i tjänsten inom den offentliga förvaltningen – en kronologisk översikt arbetet mellan olika offentliga aktörer, men också kontakten med invånare och företag.30 Denna bristande samordning är enligt avsiktsförklaringen ett hinder för att uppnå digitaliseringens fulla potential och för att råda bot på detta behöver den förvaltningsgemensamma digitala infrastrukturen byggas ut. Vidare anförs att en gemensam digital infrastruktur kan underlätta för offentlig sektor att utveckla och anpassa sin egen digitala struktur. En sådan infrastruktur kan enligt avsiktsförklaringen exempelvis omfatta tekniska standarder, gemensamma informationsmängder och tjänster för informationsutbyte och identifiering. Det anges även att en ökad samordning av tekniska krav och standarder inom offentlig sektor kan gynna innovation och marknadsutveckling bland it-leverantörer till gagn för välfärden.31 Arbetet ska omfatta två delar, en kartläggnings- och analysfas samt en överenskommelsefas. Målsättningen är att arbetet ska vara klart till september 2021.32 30Regeringskansliet och Kommuner och Regioner, En avsiktsförklaring mellan staten och Kommuner och Regioner om utveckling av välfärdens digitala infrastruktur, 2020, s. 3. En synpunkt som ofta förs fram rörande e-legitimationsområdet i är att det inte hänger samman. Vi delar denna bedömning. Det finns många olika lösningar och samarbeten inom området och även om det finns kopplingar och gemensamma nämnare skapar de olika delarna inte en sammanhållen och optimalt utformad helhet. Detta är troligen en starkt bidragande anledning till att många uppfattar området som svårtillgängligt och komplext. I detta kapitel beskrivs de olika delarna och avslutningsvis försöker vi i avsnitt 6.7 ge en sammanfattande bild av e-legitimationsområdet. För att förstå området är det viktigt att först förstå på en grundläggande nivå hur tekniken fungerar och vilka olika moment som förekommer i samband med användning av en e-legitimation. Vad gäller tekniken finns det olika sätt att identifiera en användare. Exempelvis genom användning av certifikat (Public [PKI]), via användning av engångslösenord eller med symmetrisk kryptering som en koddosa för autentisering till en identitetsintygsutfärdare.1 Utfärdaren använder sedan autentiseringen för att ställa ut ett identitetsintyg som innehåller en användares elektroniska identitet och attribut där ett attribut skulle kunna vara ett personnummer. Identitetsintyget kan vidare innehålla uppgifter om tillitsnivå avseende det enskilda identitetsintyget. 1Se en beskrivning av hur PKI fungerar i Vem kan man lita på? Enkel och ändamålsenlig användning av betrodda tjänster i den offentliga förvaltningen (SOU 2021:9), s. 69 ff. När en användare använder en e-legitimation i en e-tjänst i sin egen eller annans organisation sker det i ett flöde. I det flödet förekommer flera olika roller som kan tillhandahållas av den egna organisationen eller av externa parter. Rollerna är anvisningstjänst, identitetsintygsutfärdare, legitimeringstjänst, e-legitimationsutfärdare och behörighetskontrolltjänst. Anvisningstjänst används i samband med inloggning till e-tjänster när e-tjänsterna tillåter användning av flera olika e-legitimationer från flera olika e-legitimationsutfärdare. Tjänsten låter en användare välja vilken e-legitimation den vill använda i e-tjänsten. I legitimeringstjänsten legitimerar sig användaren genom att använda sin e-legitimation, t.ex. ange koden för att använda nyckeln på ett smartkort eller en mobil e-legitimation. Tjänsten kontrollerar e- legitimationen och skickar vidare resultatet till identitetsintygsutfärdaren. Utfärdare av identitetsintyg tar emot och kontrollerar legitimeringen som skett av legitimeringstjänsten mot utfärdaren av e-legitimationer. Därefter utfärdas identitetsintyget som stämplas av identitetsintygsutfärdaren så att förlitande part kan kontrollera intygets äkthet.2 E-tjänsten kan vid behov kontrollera behörighetsinformation som finns i tjänstens register eller i förekommande fall hämta det från en behörighetskontrolltjänst. 6.3Tillitsramverket och kvalitetsmärket e-legitimation Av 3 § förordningen (2018:1486) med instruktion för Myndigheten för digital förvaltning framgår att DIGG ska främja användningen av elektronisk identifiering. Som ett led i det arbetet förvaltar och utvecklar myndigheten tillitsramverket för kvalitetsmärket e-legitimation.3 syftar till att etablera gemensamma krav för utfärdare av kvalitetsmärkta svenska e-legitimationer.4 Det togs ursprungligen fram av , vars arbetsuppgifter 2I Valfrihetssystem 2017 E-legitimering finns ett krav att stämplingen av identitetsintyget ska göras i e-legitimationsutfärdarens namn, t.ex. , så att helhetsansvaret tas av en part och den huvudansvariga parten benämns ”e-legitimationsutfärdare”. Underleverantörer är tillåtna, men inte i eget namn. 3DIGG, för kvalitetsmärket e-legitimation (dnr 2019-278), . övertogs av DIGG när den myndigheten bildades. är kopplat till kvalitetsmärket e-legitimation och riktar sig till utfärdare av e-legitimationer som tilldelas kvalitetsmärket (se avsnitt 6.3.3). bygger på den internationella standarden ISO/IEC 29115, ISO/IEC 27000-serien och andra internationella ramverk, men vissa nationella anpassningar har gjorts.5 I ramverket fastställs krav som riktar sig mot utfärdare av e-legitimationer.