1 (3)
REMISSYTTRANDE
Datum
Vår beteckning
2012-12-14
Dnr 063890-2012
Er beteckning
N2012/5484/ITP
Näringsdepartementet
103 33 Stockholm
Yttrande över promemorian Myndigheters tillgång till tjänster för
elektronisk identifiering
Näringsdepartementet har i remiss den 15 november 2012 begärt att Försäkringskassan ska yttra sig över rubricerad promemoria.
Sammanfattning
Det är av yttersta vikt att en det finns en väl fungerande och säker certifikatsförsörjning för de som använder myndigheternas e-tjänster. Dagens lösning för
e-legitimationer är inarbetad och välkänd. Vid en internationell jämförelse är
det förhållandevis många medborgare i Sverige som kan utföra legitimering
och underskrift i elektronisk miljö.
Det är angeläget med samordning inom offentlig sektor. Försäkringskassan
ställer sig därför i grunden positiv till identitetsfederering enligt förslaget. Det
ger enskilda flexibilitet. En person kan exempelvis vid ett visst givet tillfälle
utnyttja en tjänst hos en leverantör som denne redan har en relation till. Han
eller hon kan alltså använda sin vanliga identifieringslösning. Att en myndighet
inom ramen för federationslösningen kan ställa krav på eID-tjänster är också en
viktig faktor. Myndigheten behöver heller inte upphandla tjänsterna.
I promemorian har man dock inte belyst alternativen för att uppnå en enhetlig
hantering av identifieringslösningar. Den föreslagna federationslösningen med
E-legitimationsnämnden som nav presenteras som den enda utvägen.
Valfrihetssystem
Utgångspunkten för lagförslaget är lagen (2008:962) om valfrihetssystem
(LOV). En anslutning till ett valfrihetssystem ska vara frivillig. Myndighetens
behov av eID-lösningar definieras av myndigheten själv. Det görs i förfrågningsunderlaget.
Försäkringskassan kan inte läsa ut av promemorian om det är möjligt för en
myndighet att ha flera valfrihetssystem med exempelvis olika säkerhetsnivåer
eller endast ett. Se exempelvis s. 56 varav framgår att varje myndighet beslutar
om ”ett” valfrihetssystem.
Det är vidare oklart vad som ska eller kan ingå i ett valfrihetssystem och hur
man ska kunna skikta, jämföra eller kunna samordna sådana system med varandra för det fall det är möjligt att ha flera valfrihetssystem per myndighet.
Postadress
Besöksadress
Telefon
103 51 Stockholm
Klara västra kyrkogata 11
08-786 90 00
E-post
Internetadress
Telefax
Org.nr
[email protected]
www.forsakringskassan.se
08-411 27 89
202100-5521
2 (3)
REMISSYTTRANDE
Datum
Vår beteckning
2012-12-14
Dnr 063890-2012
Er beteckning
N2012/5484/ITP
Om det skapas (flera) alternativa lösningar inom förvaltningen, dvs. andra typer av identitetsfederationer och på andra grunder än en valfrihetslag, kan samordning och överblick gå förlorad.
Olika identifieringslösningar
Den föreslagna lösningen har tagits fram för att stödja alla möjliga slags identifieringslösningar (s.k. bankdosor m.m,). Det är bra tanke, men det leder till att
systemet måste blir större och mer komplext. Sårbarheten ökar också.
Förhållandet till eIDAS
Tillhandahållande av identifieringslösningar och tillhörande tjänster utreds
också på gemenskapsnivå. Det är oklart hur förslaget förhåller sig till kommissionens förslag till förordning om elektronisk identifiering och betrodda
tjänster för elektroniska transaktioner på den inre marknaden (”eIDAS”).
E-legitimationsnämndens roll
Om en myndighet har gett E-legitimationsnämnden i uppdrag att agera ombud
är myndigheten ansvarig för de åtgärder som nämnden vidtar. Försäkringskassan förutsätter att ansvarsfrågorna tydliggörs.
Förfrågningsunderlaget
Försäkringskassan uppfattar att det är oklart vilket inflytande och påverkan en
myndighet har med den föreslagna lösningen. Å ena sidan framgår av förslaget
till lagtext att E-legitimationsnämnden ska agera ombud för myndigheten. Å
andra sidan kan Försäkringskassan i flera avsnitt i promemorian utläsa att
nämnden har en beslutande och relativt självständig roll gällande vissa frågor
(se exempelvis s. 23, 46-47 och 53).
Av ett förfrågningsunderlag ska inte enbart grunderna för den ekonomiska
ersättningen till en leverantör samt avtalsvillkoren framgå. Av kommentaren
till 3 § framgår vad ett förfrågningsunderlag ska innehålla. Detta framgår dock
vare sig av lagtexten under rubriken Förfrågningsunderlag eller författningskommentaren.
Kraven på säkerhetsnivåer
Den föreslagna regleringen om tillgång till tjänster för elektronisk identifiering
måste ta höjd för att man i respektive myndighets e-tjänst måste få ställa krav
på säkerhetsnivå, både vad gäller identifiering och underskrift. För Försäkringskassans del finns det i 111 kap. socialförsäkringsbalken särskilda krav på
identifiering och underskrift i e-tjänster (självbetjäningstjänster). Det finns, och
kan inte heller finnas någon automatik för den enskilde att kunna använda valfri e-legitimation i alla myndigheters e-tjänster och utföra rättshandlingar där.
Man får inte riskera att tredje part får tillgång till data. Denna hantering är
mycket kritisk och kan riskera att bli ett stort mål för DDoS/Hackare. Försäk-
3 (3)
REMISSYTTRANDE
Datum
Vår beteckning
2012-12-14
Dnr 063890-2012
Er beteckning
N2012/5484/ITP
ringskassan förutsätter att de säkerhetskrav som respektive myndighet har kan
tillgodoses genom uppställda krav i förfrågningsunderlaget.
Eftersom säkerhetskraven är så avgörande vore det önskvärt med en tydlig
skrivning om detta, antingen direkt i lagtexten eller i författningskommentaren.
Identitetsintyg
Det är inte klarlagt vem som kan eller ska utförda s.k. identitetsintyg. I promemorian talas om identitetsintygsutfärdare (s. 20). Om detta är den som tillhandahåller eID-tjänster eller legitimationsutfärdaren, eller både och, är oklart.
På ett annat ställe står det att eID-tjänstleverantören ska utfärda intyget (s. 22).
Där står det att en identitetsintygsutfärdare endast kan utfärda intyg avseende
sina egna e-legitimationer.
Konsekvenser och övergång
Myndigheterna kommer att få hantera två parallella lösningar under en tid. Det
ställer stora krav på drift och support till användarna. Till detta kommer omställningskostnaden som kan bli 500 000 och 5 000 000 kronor per myndighet
(s. 54). Försäkringskassan ser problem med att kunna räkna hem såväl initiala
kostnader som omställningskostnader. Om det inte möjligt att genomföra övergången till federationen genom stegvis migrering är det ytterst tveksamt om de
beräknade besparingarna kan göras på en femårsperiod, om ens en tioårsperiod.
Tidsplanen med start 1 juli 2013 bedöms mycket optimistisk.
Beslut om detta yttrande har fattats av generaldirektören Dan Eliasson i närvaro av IT-direktören Stefan Olowsson verksamhetsområdescheferna Peter
Andrén och Peter Sahlin, den senare som föredragande.
Dan Eliasson
Peter Sahlin
