sou · H9B362 · 2021-06-29 00:00:00 — Med offentligt styrt organ avses en sådan juridisk person som tillgodoser behov i det allmännas intresse, under förutsättning att behovet inte är av industriell eller kommersiell karaktär och som uppfyller vissa krav avseende finansiering, kontroll eller styrelserepresentation.33 Utöver de aktörer som ovan angetts har det under kartläggningen även lyfts fram att det föreligger ett behov av att i ett system för organisationsöverskridande användning av e-tjänstelegitimationer också inkludera privata aktörer som yrkesmässigt bedriver verksamhet som utgör detaljhandel med läkemedel, verksamhet inom djurens hälso- och sjukvård samt hälso- och sjukvård som inte är offentligt finansierad. Även om dessa verksamheter har nära kopplingar till vissa verksamheter och e-tjänster som omfattas av den föreslagna 2016/17:31 s. 28. 2017/18:299 s. 87. 33Se mer om definitionen av offentligt styrt organ i prop. 2017/18:299 s. 30 f. lagen är detta privata aktörer som inte utgör privata utförare av offentligt finansierad verksamhet eller har någon annan tydlig koppling till det offentliga. De bedöms därmed falla utanför ramen för utredningens uppdrag. 9.4.5Ett system för erkännande av e-tjänstelegitimationer Utredningens förslag: Det ska finnas ett system för erkännande av medel för elektronisk identifiering. Myndigheten för digital förvaltning ska tillhandahålla systemet. Myndigheten för digital förvaltning får meddela föreskrifter om krav på medel för elektronisk identifiering som ingår i systemet och krav som avser förlitande parter. Vid meddelande av föreskrifter som avser systemet ska Myndigheten för digital förvaltning samråda med Myndigheten för samhällsskydd och beredskap. Kravet på erkännande gäller endast om det aktuella medlet för elektronisk identifiering har samma tillitsnivå eller högre än den nivå som krävs för åtkomst till nättjänsten. Statliga myndigheter som tillhandahåller nättjänster som omfattas av kravet på erkännande ska ansluta till systemet. Skälen för utredningens förslag En grundläggande förutsättning för att e-tjänstelegitimationer ska kunna användas över organisationsgränserna är att det finns tillit mellan parterna och till de e-tjänstelegitimationer som används. För att uppnå detta behöver det skapas en nationell identitetsfederation med bl.a. krav, policys, teknisk infrastruktur samt en process för godkännande av e-tjänstelegitimationer. De grundläggande förutsättningarna för denna federation ska anges i den föreslagna lagen och förordningen. I syfte att hålla bestämmelserna mer neutralt utformade har vi emellertid valt att använda begreppet system i stället för identitetsfederation. DIGG har enligt 3 § 1 i förordningen (2018:1486) med instruktion för Myndigheten för digital förvaltning som uppgift att ansvara för den offentliga förvaltningens tillgång till infrastruktur och tjänster för elektronisk identifiering. Vi föreslår därför att systemet ska tillhandahållas och administreras av DIGG. DIGG kommer därmed i systemet att i praktiken ha rollen som federationsoperatör. Merparten av den reglering som skapandet av systemet kräver är av sådan art att de lämpligen fastställs i myndighetsföreskrifter. Vi föreslår därför att DIGG ska ges ett bemyndigande om att meddela föreskrifter vad avser krav på de e-tjänstelegitimationer som får ingå i systemet samt de förlitande parter som ansluts. Det föreslagna systemet skulle bli en central del av den offentliga förvaltningens gemensamma digitala infrastruktur. Av detta följer att det är av central betydelse att säkerheten i systemet blir hög och att en hög nivå av informationssäkerhet säkerställs. På så sätt skapas förutsättningar för ett robust system där tilliten är hög inom och för systemet. Systemet måste fungera även i ett läge av störda elektroniska kommunikationer eller störningar i de e-tjänstelegitimationer som används eller i stödsystem kring dessa. Systemet behöver därför byggas robust och redundant så att det kan stå emot störningar. Vidare behöver såväl identitetsintygsutfärdare som e-tjänster och metadatatjänster vara tillräckligt skyddade ur ett tillgänglighets-, riktighets- och konfidentialitetsperspektiv. MSB har ett särskilt ansvar inom svensk förvaltning vad gäller informationssäkerhet och myndigheten har bl.a. enligt 11 a § förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap i uppgift att stödja och samordna arbetet med samhällets informationssäkerhet samt analysera och bedöma omvärldsutvecklingen inom området. I detta ingår att lämna råd och stöd i fråga om förebyggande arbete till andra statliga myndigheter, kommuner och regioner samt företag och organisationer. Vi anser att det är lämpligt att MSB bidrar med sin expertkunskap på området när kraven avseende systemet utformas. Det ska därför anges i förordningen att DIGG ska samråda med MSB innan föreskrifter om systemet utfärdas. Det bör också noteras att oavsett vilka e-tjänstelegitimationer som används behöver myndigheter säkerställa, utöver att systemet är tillräckligt säkert, att de e-tjänstelegitimationer de tillhandahåller till anställda och uppdragstagare uppfyller verksamhetens behov av informationssäkerhet, robusthet och uthållighet. Dessa behov ser olika ut mellan myndigheter och påverkas av den enskilda myndighetens verksamhetsområde och den information myndigheten hanterar. Faktorer som kan påverka är t.ex. om säkerhetsskyddslagen (2018:585) blir tillämplig eller behovet av totalförsvarsplanering. Uthålligheten kan byggas genom att flera e-tjänstelegitimationer stöds men även genom kontinuitetsplaner med alternativa arbetssätt för de fall att e-tjänstelegitimationerna inte kan användas. Ytterligare informationssäkerhetsaspekter berörs i avsnitt 9.4.8 vad avser undantag på krav om erkännande vid allvarliga säkerhetsrisker samt i avsnitt 9.4.9 när det gäller hantering av säkerhetsincidenter. Medlet för elektronisk identifiering ska uppfylla samma tillitsnivå eller högre än den nivå som krävs för åtkomst till e-tjänsten Det är som huvudregel upp till varje tillhandahållare av en e-tjänst att själv bedöma vilka krav på säkerhet tjänsten måste leva upp till även om det i vissa fall kan uppställas sådana krav i författning (se avsnitt 4.3). Det kan t.ex. bero på vilken information som hanteras i tjänsten eller hur tjänsten tekniskt är beskaffad. Vidare är det som huvudregel upp till den som tillhandahåller en e-tjänst som kräver autentisering via e-legitimation att avgöra vilka krav e-legitimationen ska leva upp till för att en användare ska få tillgång till den aktuella e-tjänsten. Som framgår av avsnitt 4.2.3 och 6.3.2 används i och EU tillitsnivåer för att tydliggöra vilka krav en e-legitimation lever upp till. eIDAS-förordningen utgår från principen att medlemsstaterna endast behöver erkänna e-legitimationer som är på samma tillitsnivå, eller högre, som den som krävs för den aktuella tjänsten. En e-legi- timation på tillitsnivå väsentlig behöver alltså endast erkännas för en tjänst som kräver tillitsnivå väsentlig, däremot inte i en tjänst som kräver tillitsnivå hög. Kravet på erkännande av e-tjänstelegitimationer i den föreslagna lagen ska gälla endast under förutsättning att den e-tjänstelegitima- tion som används har samma tillitsnivå, eller högre, som den som krävs för autentisering i den aktuella e-tjänsten. Statliga myndigheter kommer alltså, precis som , att behöva bedöma och fastställa vilken tillitsnivå de ska kräva för att användare ska kunna autentisera sig och få tillgång till myndigheternas e-tjänster. Begreppen tillitsnivåer är enligt vår uppfattning vedertagna inom e-legitimations- området både i och inom EU. Att fortsätta att använda detta begrepp faller sig därför naturligt. Vilket tillitsramverk och vilka tillitsnivåer som ska gälla i systemet kommer att styras av de föreskrifter DIGG utfärdar avseende krav på de e-tjänstelegitimationer som ingår i systemet. Anslutning av förlitande parters e-tjänster När e-tjänstelegitimationer används av offentliga aktörer gentemot e-tjänster som tillhandahålls av statliga myndigheter bör användningen ske genom systemet. Statliga myndigheter skulle visserligen som nämnts tidigare kunna erkänna e-legitimationerna genom exempelvis bilaterala avtal med olika offentliga aktörer, eller genom andra lösningar. I syfte att systemet ska leda till så stora effektivitetsvinster som möjligt föreslår vi en uttrycklig bestämmelse om att statliga myndigheter som tillhandahåller e-tjänster som omfattas av kravet på erkännande ska ansluta till systemet. Aktörer som inte är statliga myndigheter omfattas inte av kravet på att ansluta e-tjänster till systemet. Den föreslagna regleringen uppställer emellertid inga hinder för att även andra aktörer som vill ansluta sig till systemet i egenskap av förlitande parter kan göra det. Om DIGG ser behov av att meddela föreskrifter för villkoren eller förfarandet för anslutningen av dessa aktörer bedömer vi att det faller inom ramen för bemyndigandet att meddela föreskrifter om krav på e-tjänstelegitimationer i systemet. 9.4.6Granskning och godkännande av e-tjänstelegitimationer Utredningens förslag: Statliga myndigheter ska erkänna e-tjänste- legitimationer som är godkända av Myndigheten för digital förvaltning för användning i systemet. Myndigheten för digital förvaltning får meddela föreskrifter om ansöknings- och granskningsförfarandet. Myndigheten för digital förvaltning ska kunna ta ut avgift för granskningen av de medel för elektronisk identifiering som ansluts till systemet. Skälen för utredningens förslag Myndigheten för digital förvaltning ska granska och godkänna e-tjänstelegitimationer Som framgår av avsnitt 9.4.5 är en grundläggande förutsättning för att e-tjänstelegitimationer ska kunna användas över organisationsgränserna att det finns tillit mellan parterna och till de e-tjänstelegi- timationer som används. Vår kartläggning visar att förekomsten av krav att förhålla sig till inte per automatik skapar tillit vid organisationsöverskridande användning av e-legitimationer. Att enbart förlita sig på organisationstillit förenat med någon form av självdeklaration bedömer vi därför inte vara tillräckligt (se mer om organisationstillit i avsnitt 3.16). I synnerhet inte för ett system till vilket det föreslås obligatorisk anslutning. DIGG granskar att e-legitimationer lever upp till kraven i myndighetens tillitsramverk och därigenom får använda kvalitetsmärket e-legitimation. Syftet med granskningen av e-legiti- mationerna är att varje förlitande part inte själv ska behöva granska och bedöma en e-legitimation. Användarna ska också känna sig trygga med att det är en säker e-legitimation. Samma behov föreligger för det föreslagna systemet. Det behövs ett tydligt tillitsramverk och förlitande parter behöver kunna lita på att de e-tjänstelegitimationer som används i systemet uppfyller kraven de ställer för åtkomst till sina e-tjänster. De offentliga aktörer som anskaffar e-tjänstelegitimationer behöver även veta att de kan användas i systemet. Av detta följer att det i lagen ska föreskrivas att det endast är de e-tjänstelegitimationer som är godkända för använd- ning i systemet som statliga myndigheter har ett krav på sig att erkänna. Mot bakgrund av att DIGG ska tillhandahålla systemet och därtill har erfarenhet av granskning av e-legitimationer föreslår vi att myndigheten får i uppgift att granska och godkänna e-tjänstelegitima- tioner inom ramen för det föreslagna systemet. DIGG kommer genom sin granskning att bedöma om den aktuella e-tjänstelegi- timationen lever upp till de krav som ställs. För att granskning ska inledas ska utfärdaren av e-tjänstelegitimationen ansöka om godkännande. I syfte att skapa tillit hos förlitande parter bör granskningen också omfatta eventuella andra relevanta underleverantörer eller avtalsparter med koppling till e-tjänstelegitimationen, såsom exempelvis en extern identitetsintygsutfärdare.34 Som framgår av avsnitt 9.4.5 föreslår vi att DIGG ges ett bemyndigande att meddela föreskrifter om krav på e-tjänstelegitima- tioner som ingår i systemet. Det finns ett antal e-tjänste- legitimationer som är granskade av DIGG (se avsnitt 6.4.2). Det är upp till DIGG att avgöra huruvida dessa behöver granskas på nytt eller om redan granskade e-tjänstelegitimationer på denna grund kan godkännas för användning i systemet. E-legitimationer som lever upp till kraven ska godkännas genom beslut av DIGG. Om DIGG bedömer att en e-tjänstelegitimation inte lever upp till kraven ska myndigheten genom beslut avslå ansökan (se avsnitt 9.4.11 om överklagande). För att statliga myndigheter ska känna tillit till granskningsprocessen är det viktigt att granskningen håller hög kvalitet och att den är transparent i det avseendet att aktörer inom den offentliga förvaltningen får en inblick i vad som granskas och hur. Vidare bör DIGG få ett bemyndigande att efter samråd med MSB genom föreskrifter närmare fastställa hur ansökan ska lämnas, vad den ska innehålla samt vad som gäller för granskningen och förfarandet i övrigt. Utfärdare av e-tjänstelegitimationer bör meddela DIGG om förändringar görs som påverkar de delar av verksamheten eller e-tjänste- legitimationen som omfattas av granskningen. Byten av eventuella underleverantörer kan t.ex. vara en sådan förändring. I syfte att säkerställa en hög säkerhetsnivå samt främja tillit inom och för syste- 34DIGG, eID för medarbetare – Förstudierapport inom byggblock Identitet i regeringsuppdraget Att etablera en förvaltningsgemensam infrastruktur för informationsutbyte (dnr 2019-582), , s. 17. met bör dessutom uppföljningar av granskningarna göras återkommande.35 Det bör vara upp till DIGG att bestämma hur ofta och på vilket sätt uppföljningarna ska göras. Det ska vidare vara möjligt för DIGG att ta ut avgift av utfärdaren för den granskning som genomförs, i syfte att täcka hela eller delar av kostnaden för granskningen. Vi föreslår att förordningen (2018:1486) med instruktion för Myndigheten för digital förvaltning ändras för att möjliggöra sådant avgiftsuttag. Utredningens förslag: Medel för elektronisk identifiering som inte är godkända får ingå i systemet för erkännande för medel för elektronisk identifiering men det är frivilligt för förlitande parter att erkänna sådana medel. Myndigheten för digital förvaltning får meddela föreskrifter om förfarandet för anmälan och anslutning, av medel som inte är godkända, till systemet. Skälen för utredningens förslag Som framgår av avsnitt 9.4.6 utgör granskning och godkännande av e-tjänstelegitimationer en viktig komponent i att skapa tillit vid organisationsöverskridande åtkomst inom ramen för det föreslagna systemet. Det finns dock aktörer inom förvaltningen som inte ser behov av, eller ser sig förhindrade, att använda sådana medel för elektronisk identifiering som granskas och godkänns av DIGG. Det finns exempelvis aktörer inom förvaltningen som tillhandahåller identifieringslösningar till sina anställda som rent tekniskt skulle kunna användas över organisationsgränser. Även om tillit är centralt anses i många fall organisationstilliten inom den offentliga förvaltningen vara tillräcklig. 35Jfr artikel 20.1 i eIDAS-förordningen där det föreskrivs att kvalificerade tillhandahållare av betrodda tjänster minst en gång och på egen bekostnad ska granskas av ett organ för bedömning av överensstämmelse, i syfte de samt de kvalificerade betrodda tjänster som de tillhandahåller uppfyller kraven i förordningen. Eftersom erkännande enligt den föreslagna lagen är obligatorisk anser vi att det förfarande med granskning och godkännande som behandlas i avsnitt 9.4.6 är nödvändig för systemet som helhet. Den infrastruktur som systemet innebär bör dock också vara möjlig att använda även för erkännande av e-tjänstelegitimationer som inte godkänts. Det ska dock inte finnas något krav om att erkänna dessa medel i de e-tjänster som omfattas av lagen. Om en myndighet som tillhandahåller en e-tjänst på frivillig basis vill erkänna sådana e-tjänste- legitimationer från en eller flera offentliga aktörer ska det dock inte krävas en uppbyggnad av olika bilaterala lösningar för att åstadkomma detta. Det ska därför vara möjligt även för e-tjänstelegitimationer som inte är godkända att vara med i systemet. För att de ska få vara med i systemet måste dock utfärdaren genom självskattning bedöma om e-tjänstelegitimationen lever upp till kraven. Om bedömningen av utfärdare är att legitimationen lever upp till kraven ska utfärdaren anmäla till DIGG att den ska vara med i systemet. Först efter det att anmälan är inlämnad till DIGG får den vara med i systemet. När DIGG har fått in en anmälan ska myndigheten offentliggöra att den aktuella e-tjänstelegitimationen ingår i systemet, exempelvis genom att publicera informationen på myndighetens webbplats. Det bör tydligt framgå att e-tjänstelegitimationen inte är godkänd av DIGG, i syfte att minska risken för missförstånd i det avseendet. Utfärdaren ska på begäran lämna ut de uppgifter som ligger till grund för bedömningen om överensstämmelse till förlitande parter och till DIGG. Det primära syftet med att uppgifter ska lämnas ut är att upprätthålla tilliten till systemet. Det är emellertid som ovan framgått upp till varje förlitande part att välja att tillåta användning av dessa e-tjänste- legitimationer i respektive e-tjänst som är ansluten till systemet. Det kan behövas bestämmelser om förfarandet för anmälan av e- tjänstelegitimationer till DIGG samt om hur de kan anslutas till systemet. Det rör sig om bestämmelser som är på en detaljnivå som lämpar sig bäst i myndighetsföreskrifter. DIGG bör därför bemyndigas att efter samråd med MSB utfärda föreskrifter med sådant innehåll. 9.4.8Undantag från kravet på erkännande Utredningens förslag: Regeringen får meddela föreskrifter om undantag från kravet på erkännande. Statliga myndigheter behöver inte erkänna medel för elektronisk identifiering om erkännande innebär allvarliga säkerhetsrisker. Kravet på erkännande av e-tjänstelegitimationer gäller inte för e-tjänster som endast riktar sig till enskilda. En statlig myndighet behöver inte erkänna medel för elektronisk identifiering om den aktuella nättjänsten redan är ansluten till ett sektorspecifikt system för erkännande av medel för elektronisk identifiering. Skälen för utredningens förslag Regeringen får meddela undantag från kravet på erkännande Då vi föreslår obligatorisk anslutning till systemet bör det även finnas utrymme för att meddela undantag från de krav på erkännande som det föreslagna regelverket medför. Då den obligatoriska anslutningen gäller statliga myndigheter och då skäl för undantag längre fram kan uppstå som vi inte kan förutse föreslår vi att regeringen ska bemyndigas att meddela föreskrifter om undantag från kravet på erkännande. Nedan lämnar vi förslag om tre undantag. Det kan emellertid övervägas om även vissa specifika myndigheter bör undantas från de krav som föreslås. Undantag om erkännande medför allvarliga säkerhetsrisker Kravet att statliga myndigheter ska erkänna godkända e-tjänstelegi- timationer syftar till att göra det möjligt för offentliga aktörer att kunna använda e-tjänster som tillhandahålls av myndigheterna. För att det ska finnas tillit till och inom systemet är det viktigt att säkerhet upprätthålls i systemet som helhet, oavsett vilken tillitsnivå som används. Det är emellertid i slutändan primärt den statliga myndighet som tillhandahåller en e-tjänst som riskerar att drabbas om en e- tjänstelegitimation har bristande säkerhet. Det kan t.ex. röra sig om tekniska brister och svagheter eller brister kopplade till den ursprung- liga identifieringen av användaren. Det kan i sin tur öka risken för intrång med hjälp av e-legitimationen eller att en icke behörig person utför handlingar i en e-tjänst. Det bör därför vara möjligt för statliga myndigheter att välja att inte erkänna e-tjänstelegitimationer om erkännande skulle innebära allvarliga säkerhetsrisker. Riskerna är att anse som allvarliga om eventuella skador t.ex. kan leda till att enskilda drabbas, om brottsliga handlingar kan företas eller om e-tjänsten eller myndighetens it-miljö i övrigt kan skadas. Det är viktigt att ta i beaktande att de e-tjänstelegitimationer som statliga myndigheter måste erkänna ska vara godkända av DIGG. Det innebär att en enskild statlig myndighet som tillhandahåller e- tjänster som omfattas av kravet på erkännande inte ska behöva göra en egen granskning av legitimationerna. Det kan emellertid inte uteslutas att det uppstår situationer där riskerna med ett erkännande är så pass allvarliga att ett erkännande framstår som olämpligt. I ett sådant läge bör det vara möjligt för den aktuella myndigheten att välja att inte erkänna legitimationen. Undantaget från kravet bör enligt vår uppfattning kunna tillämpas på grupper av e-tjänstelegitimationer från samma utfärdare eller alla e-tjänstelegitimationer från samma utfärdare. Med grupper avses t.ex. e-legitimationer som har utfärdats till anställda och uppdragstagare vid en och samma organisation. Säkerhetsrisken eller riskerna ska vara konkreta för att undantaget ska kunna tillämpas. Det kan vara konsekvenser av en incident eller sårbarhet för den enskilda myndigheten. Det ska alltså inte gå att slentrianmässigt tillämpa undantaget. En statlig myndighet som väljer att inte erkänna en e-tjänste- legitimation som är godkänd i systemet ska utan dröjsmål rapportera det till DIGG. Myndigheten ska i samband med rapporteringen också ange skälen till att den inte erkänner e-tjänstelegitimationen. Syftet är att ge DIGG en överblick över om systemet fungerar som avsett eller om det finns anledning att vidta åtgärder, exempelvis i form av att förändra kraven i systemet eller genom att vidta åtgärder gentemot en viss e-legitimationsutfärdare. Undantag för e-tjänster som endast riktar sig till enskilda Till följd av att de e-tjänstelegitimationer som omfattas av kravet på erkännande endast ska användas i tjänsten ska detta krav inte gälla för e-tjänster som endast riktar sig till enskilda personer, dvs. e-tjänster som enbart är avsedda för användning av en enskild i egenskap av privatperson. För sådana tjänster bör det enligt vår bedömning inte finnas något behov av ett krav på att erkänna e-tjänstelegitimationer eftersom legitimationerna inte är avsedda för sådan användning. En statlig myndighet kan givetvis, i egenskap av förlitande part, välja att erkänna e-tjänstelegitimationer även för sådana e-tjänster, men en sådan e-tjänst ska inte omfattas av kravet på erkännande. Undantag för e-tjänster som är anslutna till sektorsspecifika identitetsfederationer Det finns redan ett antal identitetsfederationer i som skapar förutsättningar för organisationsöverskridande åtkomst inom vissa sektorer, såsom hälso- och sjukvårdsområdet och skolområdet (se avsnitt 6.6). Det har under vårt kartläggningsarbete framhållits att det för aktörer som är med i flera olika federationer blir ett merarbete att förhålla sig till olika regelverk. Med beaktande av tekniska aspekter samt de attributprofiler och andra sektorsspecifika behov som kan behöva beaktas finns det enligt vår bedömning ett fortsatt behov av dessa identitetsfederationer. Vi anser att det vore önskvärt om både det i betänkandet föreslagna systemet och de befintliga identitetsfederationerna rörde sig mot att ha enhetliga tillitsregelverk. Om det föreslagna systemet och federationerna rör sig mot enhetliga regelverk kan en interfederation vara en möjlighet för att ytterligare uppnå en mer sammanhållen lösning för organisationsöverskridande elektronisk identifiering. Om befintliga identitetsfederationer längre fram ser fördelar med att uppgå i det föreslagna systemet bör detta även vara ett alternativ. Vi ser emellertid att detta, samt en eventuell interfedering bör ske på frivillig basis.