sou · H9B362 · 2021-06-29 00:00:00 — 40eSam, En effektiv informationsförsörjning, , s. 63. Användningen av e-legitimationer är omfattande i och de används bl.a. inom och i kontakter med den offentliga förvaltningen. Utredningen om effektiv styrning av nationella digitala tjänster bedömde att området för elektronisk identifiering är underreglerat.1 Med undantag för eIDAS-förordningen och dess kompletterande bestämmelser finns det inga författningar som direkt reglerar e-legi- timationer. Vi har inte heller identifierat några svenska lagar eller förordningar som uttryckligen föreskriver att e-legitimationer måste användas. Däremot finns det bestämmelser i myndighetsföreskrifter avseende användning av e-legitimationer.2 De krav som finns gällande autentisering (se avsnitt 4.3) är emellertid en tydlig drivkraft bakom den ökade användningen av e-legitimationer. Utöver bestämmelser som på olika sätt har koppling till användning av e-legitimationer finns det författningar och lämnade författningsförslag som rör anskaffning av tjänster för elektronisk identifiering. Vi redogör för dessa bestämmelser i avsnitt 6.5.4. 4.2.1Bestämmelser om elektronisk identifiering Inom EU finns bestämmelser om elektronisk identifiering i eIDAS- förordningen. Förordningen innehåller även bestämmelser om betrodda tjänster, dessa kommer emellertid inte att beröras ytterligare 1reboot – omstart för den digitala förvaltningen (SOU 2017:114) s. 170. 2Se exempelvis 3 § Lantmäteriets föreskrifter om digital ansökan i inskrivningsärenden (LMFS 2017:4) och 4 § Patent- och registreringsverkets föreskrifter om elektronisk varumärkesansökan (PRVFS 2011:3 V:9). i detta betänkande.3 I detta avsnitt följer en redogörelse över de bestämmelser i förordningen som vi anser är av relevans för området e-legitimation i tjänsten. Det är inte en fullständig redogörelse för förordningens bestämmelser om elektronisk identifiering. Förordningens syfte vad gäller elektronisk identifiering är att säkerställa en väl fungerande inre marknad och uppnå en lämplig säkerhetsnivå för medel för elektronisk identifiering. Medel för elektronisk identifiering definieras i artikel 3.2 som en materiell och/eller immateriell enhet som innehåller personidentifieringsuppgifter och som används för autentisering för nättjänster. E-legitimationer är ett medel för elektronisk identifiering och vi använder oss för enkelhetens skull i det fortsatta av begreppet e-legitimationer i möjligaste mån. Det kan dock inte uteslutas att medel för elektronisk identifiering omfattar även andra lösningar för autentisering än e-legitima- tioner. I förordningen används vidare termen system för elektronisk identifiering, som i artikel 3.4 definieras som ett system för elektronisk identifiering genom vilket medel för elektronisk identifiering utfärdas till en fysisk eller juridisk person eller en fysisk person som företräder en juridisk person. I det fortsatta kallar vi dessa system för e-legitimationssystem för att inte göra texten onödigt svårläst. Förordningen reglerar vad som gäller när e-legitimationer används över landsgränserna inom EU genom att dels ställa krav på e-legi- timationerna, dels ställa krav på medlemsstaterna att erkänna e-legi- timationer från andra medlemsstater. Förordningen gäller enligt artikel 2.1 e-legitimationssystem som har anmälts av en medlemsstat och enligt skäl 12 i förordningens ingress syftar förordningen till att undanröja hinder för gränsöverskridande användning av e-legitima- tioner som används i medlemsstaterna för autentisering för åtminstone offentliga tjänster. Däremot är syftet med förordningen enligt samma skältext inte att ingripa i fråga om e-legitimationssystem och tillhörande infrastrukturer som inrättats i medlemsstaterna. Förordningen ska således inte tolkas som att den ställer krav på e-legitimationer som endast används nationellt, kraven på legitimationerna aktualiseras först när de ska användas över landsgränserna. 3Betrodda tjänster behandlas i delbetänkandet Vem kan man lita på? Enkel och ändamålsenlig användning av betrodda tjänster i den offentliga förvaltningen (SOU 2021:9). 4.2.2Anmälan av e-legitimationssystem för gränsöverskridande användning För att e-legitimationer ska kunna användas i andra medlemsstater krävs att medlemsstaten där e-legitimationen har sitt ursprung har anmält det aktuella e-legitimationssystemet. Ett system får anmälas om det uppfyller ett antal krav som föreskrivs i artikel 7 i förordningen.4 Det är endast medlemsstater som kan anmäla system, men det behöver inte vara medlemsstaten som utfärdar e-legitimationerna i systemet. E-legitimationerna kan vara utfärdade av den anmälande medlemsstaten, på uppdrag av den anmälande medlemsstaten eller oberoende av den anmälande medlemsstaten men erkännas av medlemsstaten. En anmälan delas in i tre steg. Det första steget är s.k. föranmälan. Under detta steg förser den anmälande medlemsstaten andra medlemsstater med information om det system som anmäls. Nästa steg är ett ”peer review”-steg. Under detta steg granskas kvaliteten och säkerheten i det anmälda systemet utifrån kraven i eIDAS-förord- ningen och aktuell genomförandeförordning. Det sista steget är formell anmälan och publicering i EU:s officiella tidning. I skrivande stund har 14 medlemsstater anmält ett eller flera e-legitimationssystem.5 Ytterligare medlemsstater har föranmält e-legitimationssystem, däribland som gjorde en föranmälan . Med anmälan av e-legitimationssystem följer ansvar för medlemsstaten. Om säkerhetsincidenter inträffar, exempelvis intrång, som påverkar tillförlitligheten i systemets gränsöverskridande autentisering ska den anmälande medlemsstaten enligt artikel 10.1 utan dröjsmål tillfälligt upphäva eller återkalla den gränsöverskridande autentiseringen eller de berörda utsatta delarna i systemet samt informera andra medlemsstater och kommissionen. Medlemsstaten åläggs enligt artikel 11.1 även skadeståndsansvar för skada som åsamkats en fysisk eller juridisk person avsiktligt eller på grund av oaktsamhet genom underlåtenhet att uppfylla vissa skyldigheter. Skyldigheterna relaterar bl.a. till att medlemsstaten ska se till att den aktuella fysiska eller juridiska personen tillskrivs de personidentifieringsuppgifter som unikt representerar personen. 4Se mer i reboot – omstart för den digitala förvaltningen (SOU 2017:114), s. 280 f. 5https://ec.europa.eu/cefdigital/wiki/display/EIDCOMMUNITY/Overview+of+prenotified+and+notified+eID+schemes+under+eIDAS (hämtad ). Enligt artikel 7 e ska den part som utfärdar e-legitimationer inom ett anmält system se till att legitimationerna tilldelas rätt person i enlighet med de tekniska specifikationer, standarder och förfaranden som gäller för den relevanta tillitsnivån. Om utfärdaren avsiktligt eller på grund av oaktsamhet genom underlåtenhet inte uppfyller denna skyldighet är utfärdaren enligt artikel 11.2 ansvarig för skada som åsamkats en fysisk eller juridisk person vid en gränsöverskridande transaktion. Förordningen fastställer tre tillitsnivåer för de e-legitimationer som utfärdats inom ett e-legitimationssystem: låg, väsentlig och hög. Tillitsnivåerna bör enligt skäl 16 i förordningens ingress återge graden av tillit till en e-legitimation vid fastställande av en persons identitet och skapa visshet om att den person som gör anspråk på en viss identitet faktiskt är den person som har tilldelats denna identitet. Tillitsnivån låg ska ge en begränsad grad av tillförlitlighet avseende en persons påstådda eller styrkta identitet och nivån väsentlig ska ge en väsentlig grad av tillförlitlighet. Tillitsnivån hög ska ge en högre grad av tillförlitlighet än tillitsnivån väsentlig avseende en persons påstådda eller styrkta identitet. Vår bedömning är att tillitsnivåerna genom förordningen är fullharmoniserade vid gränsöverskridande användning av e-legitimationer. Detta mot bakgrund av förordningens syfte att undanröja hinder för gränsöverskridande användning av e-legitimationer som används i medlemsstaterna för autentisering för åtminstone offentliga tjänster. Förordningen ger inte uttryck för att medlemsstaterna har möjlighet att ställa andra krav på tillit för tillgång till sina nättjänster vid gränsöverskridande autentisering. Som framgår av avsnitt 4.2.1 syftar förordningen inte till att ingripa i fråga om e-legitimationssystem och tillhörande infrastrukturer som inrättats i medlemsstaterna. Det är när e-legitimationer som ingår i systemen ska användas över gränserna som förordningens bestämmelser aktualiseras. Det bör därmed vara möjligt för medlemsstaterna att t.ex. tillämpa nationella tillits- nivåer, något förordningen för övrigt tar höjd för.6 Dessa bör emellertid i så fall endast kunna tillämpas vid nationell användning av e-legi- timationer. Enligt skäl 16 i förordningens ingress beror tillitsnivån på den grad av tillit en e-legitimation ger i fråga om en persons påstådda eller styrkta identitet med beaktande av olika processer (t.ex. styrkande och kontroll av identitet, och autentisering), förvaltningsverksamhet (t.ex. den enhet som utfärdar e-legitimationer och förfaranden för att utfärda sådana medel) och de tekniska kontroller som tillämpas. I kommissionens genomförandeförordning (EU) 2015/1502 fastställs tekniska minimispecifikationer och förfaranden för respektive tillitsnivå. Dessa ska användas för att specificera tillitsnivån för e-legitimationer som utfärdats inom ett anmält e-legitimationssystem. Specifikationerna och förfarandena bygger på den internationella standarden ISO/IEC 29115.7 Utöver de delar som nämns ovan avser de bl.a. också krav på effektiva ledningssystem för informationssäkerhet. 4.2.4Den offentliga förvaltningen ska erkänna utländska e-legitimationer För att uppnå förordningens syfte innehåller den bestämmelser om s.k. ömsesidigt erkännande av e-legitimationssystem. Det kan kortfattat beskrivas som att medlemsstaterna ska erkänna varandras anmälda system. I artikel 6 i förordningen föreskrivs att när det enligt nationell rätt eller enligt nationella administrativa förfaranden krävs elektronisk identifiering där e-legitimationer och autentisering används för att få åtkomst till en nättjänst som tillhandahålls av ett offentligt organ i en medlemsstat, ska de e-legitimationer som utfärdats i en annan medlemsstat erkännas i den första medlemsstaten för gränsöverskridande autentisering för tjänsten. Nättjänst definieras inte i förordningen men tjänster som vi i kallar e-tjänster omfattas. För att ömsesidigt erkännande ska bli aktuellt krävs dock 6Artikel 12 i förordningen rör samarbete och interoperabilitet och där föreskrivs vad interoperabilitetsramverket ska bestå av. Enligt artikel 12.4 b ska ramverket bl.a. bestå av sammankoppling av nationella tillitsnivåer för anmälda system för elektronisk identifiering med tillitsnivåerna enligt i förordningen. 7ISO står för och Electrotechnical Commission. Båda är standardiseringsorgan. Se mer om dessa organ i Vem kan man lita på? Enkel och ändamålsenlig användning av betrodda tjänster i den offentliga förvaltningen (SOU 2021:9), s. 111. att tre förutsättningar är uppfyllda. E-legitimationen ska vara utfärdad inom ramen för ett anmält e-legitimationssystem. Tillitsnivån för e-legitimationen ska motsvara en tillitsnivå som är lika hög eller högre än den tillitsnivå som det berörda offentliga organet kräver för åtkomst till nättjänsten, förutsatt att tillitsnivån för e-legitimationen motsvarar tillitsnivån väsentlig eller hög. Den sista förutsättningen är att det offentliga organet i fråga använder tillitsnivån väsentlig eller hög i samband med åtkomst till nättjänsten. Förordningens krav på ömsesidigt erkännande gäller inte för e-legi- timationer på tillitsnivå låg eller för nättjänster som använder tillitsnivå låg för åtkomst. För anmälda e-legitimationer som motsvarar tillitsnivån låg gäller i stället att dessa får erkännas av det offentliga organ som tillhandahåller nättjänsten, men det är inget krav. Erkännandet av e-legitimationssystem ska ske senast efter det att kommissionen offentliggör förteckningen över anmälda system. Det kan i sammanhanget noteras att trots kravet på erkännande av anmälda medel för elektronisk identifiering innebär det inte att den som loggat in på detta sätt i praktiken alltid har möjlighet att använda tjänsterna.8 Det är vanligt att den som använder en utländsk e-legitimation för att logga in i en svensk e-tjänst hamnar i ett s.k. digitalt väntrum där det inte går att utföra det förfarande tjänsten avser. Det kan dock för vissa e-tjänster komma att förändras i och med att EU-förordningen (EU) 2018/1724 om en gemensam digital ingång9 börjar tillämpas, härefter kallad EU:s förordning om en gemensam digital ingång.10 Kommissionen presenterade ett förslag till ändringar i eIDAS-förordningen.11 De föreslagna ändringarna av förordningen består dels av att nuvarande bestämmelser ändras eller tas bort, dels av helt nya bestämmelser. Ändringarna avser både elektronisk iden- 8Skatteverket, Fördjupad utredning rörande koppling mellan utländska eID-handlingar och svenska identitetsbeteckningar, , s. 31. 9Europaparlamentets och rådets förordning (EU) 2018/1724 om inrättande av en gemensam digital ingång för tillhandahållande av information, förfaranden samt hjälp- och problemlösningstjänster och om ändring av förordning (EU) nr 1024/2012. 10Förordningen innehåller bl.a. krav som avser gränsöverskridande tillgång till onlineförfaranden (artikel 13). 11COM(2021) 281 final. tifiering och betrodda tjänster. I detta avsnitt redogör vi kortfattat för valda delar av förslaget. Vad gäller elektronisk identifiering föreslår kommissionen att det ska införas en europeisk digital identitetsplånbok (”European Digital Identity Wallet”). Det är enligt definitionen en produkt och en tjänst som låter användaren spara identitetsuppgifter och attribut rörande t.ex. kvalifikationer samt attribut som är kopplade till användarens identitet. Enligt förslaget ska medlemsstaterna utfärda plånböckerna till fysiska och juridiska personer. De kan också utfärdas på uppdrag av medlemsstaterna eller självständigt, men erkännas av medlemsstaterna (jfr artikel 7 a i eIDAS-förordningen avseende e-legitimations- system). ska accepteras av medlemsstaterna för åtkomst till nättjänster som tillhandahållas av myndigheter. Privata förlitande parter inom vissa utpekade sektorer ska också acceptera dem för åtkomst till sina e-tjänster, under förutsättning att tjänsten omfattas av krav på att använda stark autentisering. Enligt skäl 9 i förordningsförslagets ingress kan plånböckerna användas för institutionella behov hos bl.a. offentliga förvaltningar och internationella organisationer. Det går emellertid inte att bedöma om plånböckerna kan möta de behov vi har identifierat avseende användning av e-legi- timation i tjänsten (se mer om behoven i kapitel 7). Vidare föreslår kommissionen ändringar kopplade till anmälan av system för elektronisk identifiering. Sådana system kan certifieras av offentliga eller privata organ som har utpekats av medlemsstaterna. De behöver då inte gå igenom peer review-processen, som förordningen förutsätter. När det gäller betrodda tjänster föreslår kommissionen en utökning av de tjänster som ska anses utgöra betrodda tjänster. Dataskyddsförordningen och dess bestämmelser om behandling av personuppgifter driver enligt vår uppfattning på användningen av e- legitimationer. Förordningen föreskriver under vilka förutsättningar personuppgifter får behandlas samt principer som ska gälla vid sådan behandling. I artikel 5.1 f föreskrivs principen om integritet och konfidentialitet som innebär att personuppgifterna ska behandlas på ett sätt som säkerställer lämplig säkerhet för uppgifterna, inbegripet skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller skada genom olyckshändelse, med användning av lämpliga tekniska eller organisatoriska åtgärder. Vidare ska enligt artikel 32 personuppgiftsansvariga och personuppgiftsbiträden vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå i samband med behandling av personuppgifter. Säkerhetsnivån ska vara lämplig i förhållande till risken för personuppgiftsincidenter. Enligt ett onlineverktyg för att bedöma säkerhet för behandling av personuppgifter som () tillhandahåller är tvåfaktorsautentisering att föredra för tillgång till system som behandlar personuppgifter, om risken bedöms vara hög.12 Behandling av särskilda kategorier av personuppgifter, s.k. känsliga personuppgifter, är som huvudregel enligt artikel 9.1 i förordningen förbjuden men får ske under vissa förutsättningar. () har uttalat att all digital kommunikation av integritetskänsliga personuppgifter, t.ex. uppgifter om skulder, hälsa och lagöverträdelser, generellt kräver krypterad överföring samt att mottagare autentiseras med stark autentisering.13 Detta har också bekräftats i ett flertal tillsynsbeslut där har konstaterat att känsliga personuppgifter måste skyddas av stark autentisering.14 har vidare uttalat att exempelvis e-legitimationer kan användas för att uppnå stark autentisering.15 Säkerhetsskyddslagens (2018:585) tillämpningsområde omfattar enligt 1 kap. 1 § första stycket den som till någon del bedriver verksamhet som är av betydelse för säkerhet eller som omfattas av ett för förpliktande internationellt åtagande om säkerhetsskydd (säkerhetskänslig verksamhet). Säkerhetspolisen har med stöd av delegation i säkerhetsskyddsförordningen (2018:658) utfärdat föreskrifter om säkerhetsskydd (PMFS 2019:2). I 4 kap. regleras informationssäkerhet i informations- 12www.enisa.europa.eu/risk-level-tool/help (hämtad ). 13www.imy.se/lagar--regler/inkassolagen/digitala-inkassokrav/ (hämtad ). 14Se exempelvis Datainspektionens beslut (dnr 1805-2015). 15Datainspektionens beslut (dnr 2445-201)4. Av 4 kap. 12 § följer att alla utställda identiteter i ett informationssystem som har betydelse för säkerhetskänslig verksamhet ska vara unika . Åtkomsten ska vara spårbar till individ, system eller resurs. Vad gäller autentisering ska verksamhetsutövaren enligt 4 kap. 14 § se till att autentisering vid åtkomst till informationssystem som har betydelse för säkerhetskänslig verksamhet baseras på flera faktorer (flerfaktorsautentisering). Vidare ska verksamhetsutövaren enligt 4 kap. 15 § fastställa tekniska eller administrativa regler för utformning, byte och hantering av lösenord, om sådana används för att ge tillgång till informationssystem som har betydelse för säkerhetskänslig verksamhet. Reglerna ska bl.a. innehålla bestämmelser om återanvändning av lösenord samt lösenordens längd och komplexitet. Verksamhetsutövaren ska även enligt 4 kap. 16 § ge kod eller lösenord som ger tillgång till informationssystem som har betydelse för säkerhetskänslig verksamhet ett säkerhetsskydd som motsvarar det säkerhetsskydd som informationssystemet ska ha enligt skyddsdimensioneringen. Vid användning av central funktion för identifiering eller behörighetskontroll, ska verksamhetsutövaren därtill enligt 4 kap. 17 § se till att denna funktion ges ett säkerhetsskydd som motsvarar det högsta säkerhetsskydd som de anslutna informationssystemen ska ha enligt skyddsdimensioneringen. 4.3.3Myndigheten för samhällsskydd och beredskaps föreskrifter om säkerhetsåtgärder i informationssystem för statliga myndigheter Av Myndigheten för samhällsskydd och beredskaps (MSB) föreskrifter om säkerhetsåtgärder i informationssystem för statliga myndigheter (MSBFS 2020:7) framgår av 4 kap. 5 § att flerfaktorsautentisering ska användas vid 1.egen och inhyrd personals åtkomst till produktionsmiljön via externt nätverk, 2.systemadministrativ åtkomst till informationssystem, och 3.åtkomst till informationssystem som behandlar information som bedömts ha behov av utökat skydd. Av 4 kap. 6 § följer att myndigheten ska ha interna regler för hantering av autentiseringsuppgifter med krav på 1.längd och komplexitet, 2.när byte ska ske, 3.hur distribution ska ske, och 4.hur autentiseringsuppgifterna ska skyddas. För de myndigheter som har ett särskilt ansvar för krisberedskapen enligt 10 § förordning (2015:1052) om krisberedskap och bevakningsansvariga följer av 5 kap. 1 § att dessa myndigheters åtgärder vid höjd beredskap ska, utöver vad som framgår av bl.a. 4 kap. i föreskrifterna använda flerfaktorsautentisering och realtidsövervakning för informationssystem som är centrala för myndighetens förmåga att utföra sitt uppdrag. 4.3.4Krav rörande autentisering inom hälso- och sjukvården Av 3 kap. 15 § föreskrifter och allmänna råd om journalföring och behandling av personuppgifter i hälso- och sjukvården (HSLF-FS 2016:40) följer att om vårdgivaren använder öppna nät vid behandling av personuppgifter, ska denne bl.a. ansvara för att elektronisk åtkomst eller direktåtkomst till uppgifterna föregås av stark autentisering. vid tillämpningen av HSLF-FS 2016:40 konstaterar att användning av en e-legitimation är en etablerad metod för stark autentisering.16 4.3.5Krav rörande autentisering i den finansiella sektorn finns regler om stark kundautentisering inom EU. Reglerna innebär i korthet att det krävs att man autentiserar sig med säkra metoder när man loggar in på sitt betalkonto online, initierar en elektronisk betalningstransaktion, eller genomför någon betalkontoåtgärd på distans som kan innebära en 16Socialstyrelsen, Journalföring och behandling av personuppgifter i hälso- och sjukvården vid tillämpningen av föreskrifter och allmänna råd (HSLF-FS 2016:40) om journalföring och behandling av personuppgifter i hälso- och sjukvården, , s. 26. risk för s.k. svikligt förfarande, dvs. bedrägeri eller andra former av missbruk. Reglerna om stark kundautentisering följer av 5 b kap. 4 § lagen (2010:751) om betaltjänster och kommissionens tekniska standarder för sträng kundautentisering och säker kommunikation (RTS(EU)2018/389). Dessa tekniska standarder är en del av genomförandet av det andra betaltjänstdirektivet.17 17Europaparlamentets och rådets direktiv (EU) 2015/2366 av om betaltjänster på den inre marknaden, om ändring av direktiven /65/EG, 2009/110/EG och 2013/36/EU samt förordning (EU) nr 1093/2010 och om upphävande av direktiv /64/EG. 5E-legitimation i tjänsten inom den offentliga förvaltningen – en kronologisk översikt Det har funnits flera utredningar, rapporter, projekt och initiativ som på olika sätt berört frågor med koppling till e-legi- timation i tjänsten. Inom ramen för detta kapitel kommer den kronologiska översikten dock att ta avstamp i E-delegationens arbete som påbörjades . Specifika e-tjänstelegitimationer som tagits fram inom den offentliga förvaltningen berörs inte nedan. Dessa redogörs i stället för i kapitel 6. E-delegationen var en expertgrupp inom e-förvaltning som bedrev sitt arbete mellan 2009–2015 och som bl.a. hade i uppdrag att utforma en strategi för myndigheternas arbete med e-förvaltning vilket innefattade hur den offentliga sektorns försörjning av e-legitimationer bör genomföras i framtiden.1 I E-delegationens första betänkande berördes frågan om e-tjänstelegitimationer. Delegationen konstaterade då att det hade gjorts flera försök att få e-tjänstelegitimationer att fungera på ett samordnat sätt inom myndigheter och företag men att det hade visat sig svårt att enas kring begrepp så länge det är oklart vilka frågor som ska lösas med e-tjänstelegitimationer. Tre behov hade enligt delegationen varit föremål för särskilda diskussioner. Ett första behov var att e-tjänstelegitimationen krävs för att utmönstra personnum- 1 Dir. 2009:19. E-legitimation i tjänsten inom den offentliga förvaltningen – en kronologisk översikt mer ur de e-legitimationer som används i tjänsten så att anställda m.fl. ska kunna skriva under handlingar elektroniskt utan att deras personnummer därigenom exponeras.