Kysymys 10.

Ratkaisut tehdään liian usein teknisen rakenteen nojalla eikä liiketoimintamallin nojalla. Sovellettavan turvallisuustason olisi vastattava kyseessä olevaa riskitasoa, ja investoinnit hyväksyttyihin turvallisuuspuitteisiin olisi mukautettava kyseiseen riskiin.

Sähköisen hankinnan tunnistusmekanismien suunnittelun turvallisuusharha perustuu kehittyneisiin sähköisiin allekirjoituksiin.

Kehittyneet sähköiset allekirjoitukset ovat kuitenkin liian kalliita hankittaviksi esimerkiksi niiden käyttöönotosta tai digitaalisista varmenteista aiheutuvien kustannusten vuoksi.

Tästä herää kysymys, pitäisikö sähköinen hankinta tosiasiassa liittää kehittynyttä sähköistä allekirjoitusta koskevaan tunnistemekanismiin.

ETSK katsoo, että komission ja jäsenvaltioiden olisi keskusteltava enemmän sähköisen hankinnan riskeistä ennen kuin tehdään päätös siitä, että sähköisen hankinnan tunnistemekanismi olisi liitettävä kehittyneisiin sähköisiin allekirjoituksiin.

Huomattakoon, että pankki- tai luottokortti – jonka varastaminen tai katoaminen aiheuttaa haltijalle taloudellisen riskin – edellyttää neljän numeron henkilökohtaista tunnuslukua. ETSK esittää seuraavat kysymykset:

— Tarvitaanko kaikissa sähköisen hankinnan arvoketjun vaiheissa kehittyneeseen sähköiseen allekirjoitukseen perustuvaa tunnistetta? Onko tämä turvallisuustaso tarpeen portaaliin pääsemiseksi, tarjouksen tietojen näkemiseksi ja sähköisten tai muiden kuin sähköisten palvelujen, kuten ilmoitusten ja muiden, aktivoimiseksi?

— Jos se ei ole tarpeen, pitäisikö tunnistusmekanismin olla kaksitasoinen: yksinkertainen rekisteröityminen niihin arvoketjun prosesseihin, jotka ovat julkisia perinteisten liiketoimintamenettelyjen mukaisesti, ja korkeampi tunnistetaso tarjouksen jättämiselle tai osallistumiselle sähköiseen huutokauppaan.

— Jos otetaan käyttöön kaksitasoinen tunnistusmekanismi, seuraako siitä, että korkeampi tunnistetaso perustuu kehittyneeseen sähköiseen allekirjoitukseen, vai pitäisikö ottaa käyttöön yksinkertaisempi mutta varma tunnistusmekanismi.

— Pitäisikö tunnistusmekanismin perustua vahvaan kirjaimia ja numeroita sisältävään salasanaan ja numeroita sisältävään henkilökohtaiseen tunnuslukuun vai pitäisikö sen sisältää edellä mainittu ja ainoalaatuinen salasana, joka saadaan sähköisiin pankkipalveluihin pääsyä vastaavalla tunnisteella?

ETSK katsoo, että vaikka sähköisen hankinnan osalta on otettava käyttöön turvallinen mekanismi, ratkaisun on oltava suhteessa riskiin ja sen on oltava mahdollisimman helposti toteutettavissa.

Mikäli päätettäisiin, että kehittyneet oikeaksi todistetut sertifikaatit olisivat sähköisen hankinnan paras turvallisuusmalli, ETSK ehdottaa, että sitä koskeva työ perustuu virtuaaliseen yritysasiakirja-aineistoon, josta PEPPOL-hanke (Pan European Public Procurement Online) huolehtii (8).

ETSK toteaa, että nykyisessä direktiivissä säädetään, että hankintaviranomaisen olisi tunnistettava vastaavat varmenteet. Tosiasia on, että käytännössä on usein vaikea löytää vastaavia varmenteita, ja jotkin jäsenvaltiot edellyttävät pitkiä menettelyjä, kuten virallisia ja oikeaksi todistettuja käännöksiä, joissa on apostilla-todistus, tai hyväksyvät vain alkuperäiset. Se on vaivalloista ja kallista, ei vain yrityksille vaan myös hankintaviranomaisille.