sou · H9B362 · 2021-06-29 00:00:00 — Sådana bestämmelser kan emellertid få vägledande verkan även för myndigheter under samt kommuner och regioner. Vi föreslår inga undantag från vilka statliga myndigheter under regeringen som ska omfattas av förslaget. Vi ser dock att det vid en eventuell vidare beredning kan övervägas om det finns anledning att exempelvis undanta försvarsmyndigheterna. Som framgår ovan bedöms regleringen kunna ske inom ramen för regeringens primärområde och därmed i förordning. Vad gäller bestämmelsernas placering finns den i tidigare avsnitt nämnda förordningen om tjänstekort. Även om viss koppling till e-tjänstelegitima- tioner finns kan det inte anses naturligt att föra in bestämmelser om e-tjänstelegitimationer i denna förordning. Att samla de aktuella bestämmelserna i en ny förordning kan med beaktande av det begränsade antal bestämmelser som föreslås inte heller anses befogat. Vi anser därför att de aktuella bestämmelserna bör föras in i förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte. Detta med beaktande av att det finns en tydlig koppling mellan elektroniska informationsutbyten och användningen av e- tjänstelegitimationer. Att samla bestämmelserna skapar även ett mer sammanhållet regelverk över bestämmelser som omfattar statliga myndigheter inom dessa besläktade områden. Dessa tillägg bör dock speglas genom en ändring av förordningens rubrik till förordningen 17Statskontorets rapport (2011:17), Kommunalt självstyre och proportionalitet, s. 37 f. om statliga myndigheters medel för elektronisk identifiering och elektroniska informationsutbyte. Vi föreslår att det i förordningen föreskrivs att e-tjänstelegitima- tioner ska tillhandahållas den som tjänstgör vid eller innehar uppdrag för myndigheten och som för att kunna fullgöra sina arbetsuppgifter behöver styrka sin identitet eller tjänsteställning elektroniskt. Användning av privata e-legitimationer ska dock vara tillåten för det fall det behövs för id-växling, som kontinuitetslösning om e-tjänste- legitimationen är otillgänglig eller om en särskild arbetsuppgift, som kräver användning av e-legitimation hos extern förlitande part, inte kan genomföras med en e-tjänstelegitimation. 9.4Ett ramverk för organisationsöverskridande användning av e-tjänstelegitimationer Utredningens förslag: Den lagreglering som är nödvändig för att skapa ett ramverk för organisationsöverskridande användning av e-tjänstelegitimationer ska samlas i en ny lag benämnd lagen om erkännande av medel för elektronisk identifiering. Lagen påverkar inte sådant erkännande av medel för elektronisk identifiering som följer av eIDAS-förordningen. Skälen för utredningens förslag Som framgår av avsnitt 7.6.2 är organisationsöverskridande åtkomst en av de stora utmaningarna vid användning av e-tjänstelegitima- tioner inom den offentliga förvaltningen. Organisationsöverskridande användning förekommer främst genom identitetsfederationer inom vissa sektorer. Det finns ett stort behov av en nationell infrastruktur för bredare åtkomst och det är även en grundläggande förutsättning för att användningen av e-tjänstelegitima- tioner ska nå dess fulla potential sett till den nytta de skapar för de myndigheter som tillhandahåller dem till sina anställda och uppdragstagare. En stor del av den organisationsöverskridande åtkomst som äger rum sker emellertid genom att privata e-legitimationer används i tjänsten och huvuddelen av dessa e-tjänster tillhandahålls av statliga myndigheter. Antalet aktörer inom den offentliga förvaltningen som tillhandahåller e-tjänstelegitimationer ökar alltjämt och även utan beaktande av våra bedömningar och förslag i avsnitt 9.2 och 9.3 bedöms denna utveckling fortsätta. För att minska beroendet av användning av privata e-legitimationer i tjänsten är det således även av denna anledning av central betydelse att en nationell infrastruktur för organisationsöverskridande åtkomst tillskapas. En given målsättning för den offentliga förvaltningen inom e- tjänstelegitimationsområdet är därtill att uppnå ett läge där det inte behövs flera olika e-legitimationer för att en anställd eller uppdragstagare ska kunna utföra sina arbetsuppgifter. Det underlättar både för den enskilde medarbetaren och är därtill det mest effektiva från ett förvaltningsövergripande perspektiv. Användningen av privata e-legitimationer är därtill ofta förenad med ett administratörssystem där företrädare för respektive användarorganisation, exempelvis en kommun, delar ut behörigheter till anställda i kommunen. På så sätt kopplas personen, vanligen genom personnumret, ihop med den organisation denne företräder. Det har under kartläggningen framkommit att många aktörer inte ser denna lösning som tillfredsställande. Det har framförts både av aktörer som tillhandahåller e-tjänster med detta upplägg och av aktörer som har anställda och uppdragstagare som loggar in i e-tjänster samt behöver administrera behörigheterna. Argument som har framförts är bl.a. att det ställer krav på en välfungerande behörighetshantering hos respektive aktör. Om behörigheterna inte hanteras korrekt, t.ex. att en behörighet inte tas bort när en person slutar eller byter tjänst, uppstår även risk för obehörig åtkomst. En enhetlig lösning för organisationsöverskridande användning underlättar även en övergång till starkare autentisering för e-tjänster där åtkomst sker med användarnamn och lösenord. DIGG har i en förstudierapport lämnat ett förslag till en avtalsbaserad lösning för organisationsöverskridande åtkomst med e-tjänste- legitimationer (se mer om avtalet i avsnitt 5.8.1).18 Det kommer att 18DIGG, eID för medarbetare – Förstudierapport inom byggblock Identitet i regeringsuppdraget Att etablera en förvaltningsgemensam infrastruktur för informationsutbyte (dnr 2019-582), . vara frivilligt att ansluta sig till detta avtalsbaserade system. DIGG har i förstudierapporten identifierat risker med förslaget i form av bl.a. långsam anslutning av förlitande parter, e-legitimationsutfärdare samt arbetsgivare till systemet.19 Under vårt kartläggningsarbete har det även framkommit att flera offentliga aktörer ser långsam eller utebliven anslutning som en överhängande risk med DIGG:s förslag. Detta framförs ofta med hänvisning till att valfrihetssystemen för e- legitimation, som också byggt på frivillighet, haft en begränsad genomslagskraft och en låg anslutningsgrad. I en nyligen lämnad promemoria föreslås att en obligatorisk anslutning till detta system framöver ska gälla då statliga myndigheter som har behov av tjänster för elektronisk identifiering ska använda de tjänster som tillhandahålls genom systemet, som enligt förslaget ska benämnas auktorisationssystem (se avsnitt 6.5.4).20 har det även i 1 a § lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering införts ett krav om att offentliga organ som tillhandahåller en nättjänst som omfattas av kravet i artikel 6 i eIDAS- förordningen är skyldiga att ansluta tjänsten till den svenska noden för inkommande gränsöverskridande elektronisk identifiering. Så- ledes två exempel i närtid på ett skifte från frivillighet till obligatorisk anslutning inom e-legitimationsområdet. Vi ser att det även vid skapande av förutsättningar för organisationsöverskridande åtkomst med e-tjänstelegitimationer inom den offentliga förvaltningen krävs tydlig styrning för att inom rimlig tid skapa en nationell infrastruktur för detta ändamål. Om den nuvarande ordningen kvarstår, eller om en lösning som helt bygger på frivillighet införs, är risken stor att det tar innan majoriteten av de berörda aktörerna är anslutna till ett sådant system. Myndigheterna kan även i brist på tydlig styrning fortsätta att skapa bilaterala eller andra multilaterala lösningar för organisationsöverskridande åtkomst. Avsaknad av tydlig styrning har enligt vår bedömning varit en starkt bidragande orsak till den fragmentering som existerar inom området. 20Promemoria, Auktorisationssystem för elektronisk identifiering och för digital post, s. 41 ff. Sammantaget anser vi att författningsreglering är nödvändig för att skapa det ramverk vi bedömer krävs för att en bredare organisationsöverskridande användning av e-tjänstelegitimationer ska bli en realitet. Lagreglering av organisationsöverskridande erkännande av e-tjänstelegitimationer samt författningstekniska överväganden Som framgår ovan tillhandahåller statliga myndigheter en stor del av de e-tjänster där organisationsöverskridande åtkomst inom den offentliga förvaltningen förekommer. Mot denna bakgrund ska det i lag ställas krav på att statliga myndigheter ska erkänna e-tjänstelegi- timationer för tillgång till sina e-tjänster och att det ska vara obligatoriskt för dessa myndigheter att ansluta sina e-tjänster till det föreslagna systemet (se mer om systemet i avsnitt 9.4.3 och 9.4.5). Skäl för att ställa sådana krav på andra aktörer inom den offentliga förvaltningen har inte framkommit. Vi ser därför att det finns behov av lagbestämmelser som, under vissa förutsättningar, ställer krav på statliga myndigheter att i sina e- tjänster tillåta användning av andra aktörers e-tjänstelegitimationer. De aktuella lagbestämmelserna avser att lägga grunden för organisationsöverskridande användning av e-tjänstelegitimationer. Merparten av de bestämmelser som krävs bör dock regleras i förordning och myndighetsföreskrifter eftersom det framför allt rör sig om detaljbestämmelser av teknisk natur. Eftersom det rör sig om ett mindre antal bestämmelser på lagnivå vore det lämpligt att infoga dessa i en redan gällande lag. I nationell lagstiftning finns endast en lag som direkt berör e-legitimationer och det är lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering. till den lagens syfte och de bestämmelser den innehåller kan det emellertid enligt vår bedömning inte anses lämpligt att föra in de aktuella bestämmelserna som fordras i denna författning. Mot denna bakgrund bedöms det inte finnas någon befintlig lag där de aktuella bestämmelserna passar in. De nya lagbestämmelserna ska därför samlas i en särskild författning. Den nya lagen bör benämnas på ett sätt som avspeglar dess innehåll och tillämpningsområde, men som är så pass allmänt hållen att den framöver kan kompletteras med bestämmelser som även rör den privata sektorn (jfr bedömningen i avsnitt 9.5). föreslår därför att lagen benämns lag om erkännande av medel för elektronisk identifiering. Lagen påverkar inte sådant erkännande som följer av eIDAS-förordningen IeIDAS-förordningen finns bestämmelser om att medlemsstaterna ska erkänna vissa medel för elektronisk identifiering som utfärdats i andra medlemsstater. 21 I artikel 6 i förordningen föreskrivs att när det enligt nationell rätt eller enligt nationella administrativa förfaranden krävs elektronisk identifiering där medel för elektronisk identifiering och autentisering används för att få åtkomst till en nättjänst som tillhandahålls av ett offentligt organ i en medlemsstat, ska de medel som utfärdats i en annan medlemsstat erkännas i den första medlemsstaten för gränsöverskridande autentisering för tjänsten om i artikeln angivna krav är uppfyllda. Tre förutsättningar ska vara uppfyllda för att kravet på erkännande ska aktualiseras. De två första är att e-legitimationen ska vara utfärdat inom ramen för ett anmält e-legitimationssystem och att tillitsnivån för e-legitimationen ska motsvara en tillitsnivå som är lika hög eller högre än den tillitsnivå som det berörda offentliga organet kräver för åtkomst till nättjänsten, förutsatt att tillitsnivån för e-legi- timationen motsvarar tillitsnivån väsentlig eller hög. Den sista förutsättningen är att det offentliga organet i fråga använder tillitsnivån väsentlig eller hög i samband med åtkomst till nättjänsten (se mer om eIDAS-förordningen och krav på erkännande i avsnitt 4.2). Om förutsättningarna för erkännande är uppfyllda lämnas i eIDAS-förord- ningen inget utrymme för medlemsstaterna och dess myndigheter att inte erkänna e-legitimationen. Den lag vi föreslår påverkar inte kravet på erkännande enligt eIDAS-förordningen. För att tydliggöra detta ska det framgå av lagen. 21Som tidigare framgått används i förordningen medel för elektronisk identifiering, men e-legi- timationer utgör ett sådant medel. Lagen bör kunna omfatta elektronisk identifiering av maskiner och mjukvaror Det har under vårt kartläggningsarbete framkommit att det finns behov av att t.ex. mjukvaror som används av den offentliga förvaltningen ska kunna identifieras elektroniskt.22 Det kan bl.a. röra sig om mjukvaror hos en aktör som automatiskt hämtar uppgifter från andra aktörer inom den offentliga förvaltningen eller robotar (”robotiserad processautomatisering” [RPA]). Det kan under sådan användning finnas behov av att elektroniskt kunna identifiera den aktuella mjukvaran. Det är ett rimligt antagande att användning av mjukvaror för bl.a. inhämtning och analys av uppgifter kommer öka inom den offentliga förvaltningen. Ökad användning av artificiell intelligens inom förvaltningen kan ytterligare öka behoven av denna typ av identifiering. Då utrymme saknats för att fördjupa oss i dessa frågor och då det även får anses ligga utanför ramen för vårt uppdrag lämnar vi inga förslag vad gäller denna typ av identifiering. Den föreslagna lagen bör dock även kunna omfatta sådan identifiering. Pågående arbete bör kunna fortsätta även utan den föreslagna lagen DIGG har i tidigare nämnd förstudierapport föreslagit ett system för organisationsöverskridande användning av e-tjänstelegitimationer.23 Den föreslagna lagen innehåller bestämmelser om obligatorisk anslutning till ett system som möjliggör organisationsöverskridande åtkomst. Lagen är emellertid enligt vår bedömning ingen förutsättning för att ett sådant system utvecklas och tas i drift under frivilliga former. Framtagande och utveckling av ett sådant system bör emellertid givetvis beakta konsekvenserna av ett eventuellt genomförande av förslagen i detta betänkande. 22Se exempelvis INERA, Fördjupad analys RPA – Fördjupad analys av identitet och åtkomststyrning för robotar (version 1.0), . 23DIGG, eID för medarbetare – Förstudierapport inom byggblock Identitet i regeringsuppdraget Att etablera en förvaltningsgemensam infrastruktur för informationsutbyte (dnr 2019-582), . 9.4.2Ord och uttryck i lagen Utredningens förslag: Ord och uttryck i lagen ska ha samma betydelse som i eIDAS-förordningen. Skälen för utredningens förslag IeIDAS-förordningen definieras flera centrala termer inom e-legi- timationsområdet. Flera av dessa termer avviker från de benämningar som används både i vardagligt språkbruk och inom ramen för detta betänkande. I eIDAS-förordningen förekommer exempelvis inte termen e- legitimation. Däremot används termen medel för elektronisk identifiering, som i artikel 3.2 definieras som en materiell och/eller immateriell enhet som innehåller personidentifieringsuppgifter och som används för autentisering för nättjänster. En definition som således omfattar både e-legitimationer och e-tjänstelegitimationer. I detta betänkande har vi vidare använt termen e-tjänst för att beskriva elektroniska tjänster som är webbaserade. Det finns ingen vedertagen definition av vad som utgör en e-tjänst. E-delegationen definierade dock en e-tjänst som en tjänst som tillhandahålls via ett elektroniskt gränssnitt och som helt eller delvis utförs elektroniskt.24 I eIDAS-förordningen används termen nättjänst. Någon närmare definition av termen nättjänst finns inte i förordningen men det får anses vedertaget att det som vi kallar för e-tjänster omfattas av termen nättjänster. Som framgår av avsnitt 9.1 är bristande enhetlighet ett nuvarande problem på e-legitimationsområdet. Detta gäller även till viss mån de begrepp och termer som används. För att författningsbestämmelser inom e-legitimationsområdet ska vara enhetligt utformade bedömer vi att ord och uttryck i lagen bör ha samma betydelse som i eIDAS-förordningen och att det i lagen bör införas en särskild bestämmelse som anger detta. För att bibehålla enhetlighet i detta betänkande används emellertid i följande avsnitt begreppen e-legitimation, e-tjänstelegitimation och e-tjänst i löptexten. I förslagsrutorna ska dock eIDAS-förord- 24Uppgiftslämnarservice för företagen (SOU 2015:33), s. 17. ningens terminologi användas för att på sätt överensstämma med det som anges i författningsförslaget. 9.4.3Statliga myndigheter ska erkänna e-tjänstelegitimationer i sina e-tjänster Utredningens förslag: Kravet på erkännande i den nya lagen ska gälla för statliga myndigheters nättjänster där tillgång till tjänsten kräver användning av medel för elektronisk identifiering. Skälen för utredningens förslag Som framgår av avsnitt 9.4.1 tillhandahålls en stor del av e-tjänster, där organisationsöverskridande åtkomst inom den offentliga förvaltningen förekommer av statliga myndigheter. De krav som ställs för autentisering kan variera. Kravet i lagen om att statliga myndigheter ska erkänna vissa e-tjänstelegitimationer gäller enbart sådana e-tjänster där autentisering och annan användning av e-legitima- tioner inom ramen för tjänsten krävs. Kravet utesluter inte heller att även andra e-legitimationer kan användas i tjänsterna. Detta innebär att för det fall en e-tjänstelegitimation utöver autentisering krävs för att använda tjänsten gäller kravet på erkännande även för dessa moment, exempelvis som ett led i att skapa en elektronisk underskrift inom ramen för tjänsten. En tjänst där autentisering exempelvis enbart sker med användarnamn och lösenord omfattas emellertid inte av kravet på erkännande. De e-tjänstelegitimationer som måste erkännas ska dock uppfylla vissa krav (se avsnitt 9.4.4). Det finns vidare vissa undantag vad gäller krav om erkännande (se avsnitt 9.4.7). Erkännande innebär att e-tjänstelegitimationen ska accepteras för tillgång till den aktuella e-tjänsten. Med hjälp av e-tjänstelegitima- tionen ska användaren kunna använda tjänsten, under förutsättning att eventuella behörighetskrav är uppfyllda. Vad användaren kan göra i en e-tjänst skiljer sig åt. 9.4.4Lagen omfattar e-tjänstelegitimationer som tillhandahålls av offentliga aktörer Utredningens förslag: De medel för elektronisk identifiering som av en offentlig aktör tillhandahålls för aktörens anställda eller uppdragstagare ska erkännas om kraven som ställs på dessa medel i övrigt är uppfyllda. Skälen för utredningens förslag Vad avser frågan om vilka aktörer vars anställda och uppdragstagare ska ha rätt att nyttja den organisationsöverskridande åtkomst som föreslås gör vi följande överväganden. Genom lagen (2018:1937) om tillgänglighet till digital offentlig service uppställs krav om tillgänglighetsanpassning av webbplatser och mobila applikationer. I lagens förarbeten bedömde regeringen att tillämpningsområdet, i relation till det EU-direktiv lagen genomför i svensk rätt, skulle utvidgas till att även omfatta privata aktörer som yrkesmässigt bedriver verksamhet inom särskilt utpekade områden och som till någon del är offentligt finansierad.25 I ovan nämnd promemoria föreslås bl.a. att valfrihetssystem enligt lagen (2013:311) om valfrihetssystem i fråga om tjänster för elektronisk identifiering ska ersättas av auktorisationssystem för sådana tjänster.26 Vidare föreslås att även samma krets privata aktörer som omfattas av lagen om tillgänglighet till digital offentlig service ska kunna få använda de tjänster som tillhandahålls inom auktorisationssystemen.27 Detta motiveras bl.a. med att den privata sektorns medverkan när det gäller digitala tjänster kan bidra till ökad användarnytta, tillväxt och innovation. I promemorian anförs vidare att stora delar av den kommunala verksamheten utförs i privat regi. De aktörer som verkar inom skolområdet, hälso- och sjukvårdsområdet samt socialtjänstområdet består till stor del av privata aktörer. Dessa behöver enligt promemorian ha samma förutsättningar att erbjuda digitala tjänster som de offentliga aktörer som verkar inom 2017/18:299 s. 33. 26Promemoria, Auktorisationssystem för elektronisk identifiering och för digital post, , s. 1. samma område.28 Ytterligare en aspekt som lyfts fram är att för att dessa aktörer ska kunna tillhandahålla digital service i form av digitala tjänster och digitala utskick krävs att de har tillgång till tjänster för elektronisk identifiering och för digital post. En fördel med att låta samma, tydligt definierade, krets som omfattas av kraven på tillgänglighet till digital offentlig service använda tjänster inom auktorisationssystem är enligt promemorian att de privata utförare som omfattas av kraven därmed får möjlighet att erbjuda denna service på samma villkor som de utförare som bedriver sin verksamhet i offentlig regi.29 I delbetänkandet har vi föreslagit att samma krets aktörer som omfattas av kraven i lagen om tillgänglighet till digital offentlig service ska kunna använda den i betänkandet föreslagna nationella valideringstjänsten.30 Vi anser att den ovan redovisade argumentationen även kan tillämpas vad gäller åtkomst till det nu aktuella systemet. Framför allt med beaktande av att det medför att alla utförare av offentligt finansierad verksamhet ges möjlighet att använda offentlig service med hjälp av digitala tjänster på lika villkor då det av kartläggningsarbetet framkommit att detta är ett tydligt behov (se avsnitt 7.6.5). Mot denna bakgrund anser vi att samma krets aktörer som omfattas av kraven i lagen om tillgänglighet till digital offentlig service ska kunna använda systemet och att de på samma sätt som i den lagen tillsammans med myndigheterna som omfattas samlat ska benämnas offentliga aktörer. Den krets av privata aktörer som ges tillgång till systemet blir då privata aktörer inom vissa områden som yrkesmässigt bedriver verksamhet som till någon del är offentligt finansierad. Med offentlig finansiering avses ett direkt stöd eller betalning från det allmänna för att driva verksamheten. Det kan t.ex. vara fråga om bidrag till skolor med enskild huvudman som ges med stöd av skollagen, ersättning som ges med stöd av lagen (1993:1651) om läkarvårdsersättning eller verksamhet som upphandlas av det allmänna av privata utförare. Ett krav bör vara att finansieringen är kopplad till själva driften av verksamheten. Om viss ekonomisk ersättning från det allmänna inte avser själva driften av verksamheten bör alltså ersättningen inte med- 30Vem kan man lita på? Enkel och ändamålsenlig användning av betrodda tjänster i den offentliga förvaltningen (SOU 2021:9), s. 168 ff. föra att verksamheten anses vara offentligt finansierad.31 Att verksamheten är yrkesmässigt bedriven innebär att verksamheten bedrivs kontinuerligt och i förvärvssyfte.32 De aktörer som omfattas är de som bedriver verksamhet som •aktören bedriver i egenskap av enskild huvudman inom skolväsendet eller huvudman för en sådan internationell skola som avses i 24 kap. skollagen (2010:800), •utgör hälso- och sjukvård enligt hälso- och sjukvårdslagen (2017:30) eller tandvård enligt tandvårdslagen (1985:125), eller •bedrivs enligt socialtjänstlagen (2001:453), lagen (1988:870) om vård av missbrukare i vissa fall, lagen (1990:52) med särskilda bestämmelser om vård av unga, lagen (1993:387) om stöd och service till vissa funktionshindrade eller utgör personlig assistans som utförs med assistansersättning enligt 51 kap. socialförsäkringsbalken. Därtill omfattas enskilda utbildningsanordnare med tillstånd att utfärda examina enligt lagen (1993:792) om tillstånd att utfärda vissa examina, och som till största delen har statsbidrag som finansiering av högskoleutbildning på grundnivå eller avancerad nivå eller för utbildning på forskarnivå. Att erbjuda möjlighet att använda systemet till samma krets aktörer som omfattas av kraven i lagen om tillgänglighet till digital offentlig service innebär att även offentligt styrda organ omfattas.