eidas ny lov om tillitstjenester og e-id-rammeverket revideres: Hva betyr dette for helsesektoren? Normkonferansen Jon B.

Transkript

1 eidas ny lov om tillitstjenester og e-id-rammeverket revideres: Hva betyr dette for helsesektoren? Normkonferansen Jon B. Holden - Difi

2 Et indre digitalt markedet i Europa

3

4 Innhold eidas-forordningen Innhold Status i Norge Tilpasning av norsk regelverk for elektroniske identitetsbevis (e-id, eks. Buypass ID, BankID mobil) Norske regler før eidas eidas sikkerhetsnivåer for e-id Norske regler etter eidas I praksis hvordan håndtere europeiske e-id-er Betydning for helsesektoren

5 eidas-forordningens innhold

6 Eidas legger grunnlaget for tillit

7 Om eidas Forordning 910/2014 EU-forordning, inntatt i norsk rett av Stortinget Erstatter e-signaturdirektivet (1993/93) Formål Bygge tillit Etablere grenseoverskridende tjenester Inndeling e-id (kapittel 2, art 6-12) offentlig sektor Tillitstjenester (kapittel 3, art 13-45) hele samfunnet Elektroniske dokumenter (kapittel 4, art 46)

8 eidas regler om eid Tre teknologinøytrale sikkerhetsnivåer defineres Høy krav om legitimasjon og sammenligning med person Betydelig «verified to be in possesion of evidence» Lav «may be assumed that the person claiming the identity is one and the same» Pliktig anerkjennelse for meldt e-id på nivå høyt og betydelig For tjenester som bruker disse nivåer, i off.sektor Identifisering med eidas-identifikator og minimum navn og fødselsdato Dessuten ev. fødested, kjønn og/eller adresse Tilsynskrav/revisjon Krav om ekstern revisjon for høyeste e-id-nivå Skal være tilsyn for meldte e-id-ordninger nasjonal utforming

9 Annerkjennelse av meldte e-id-ordninger DK Service eidas Node Finland NO service eidas Node Denmark eidas infrastructure eidas Node Norway ID-porten Denmark eid (NemID) eidas Node Sweden Norwegian eid (BankID)

10 Tillitstjenester

11 Kvalifiserte tjenester - rettsvirkning Bevisvurderingen påvirkes noe Kvalifisert segl Gir presumpsjon for integritet og opprinnelse, art 35 nr 2 Kvalifisert tidsstempel Gir presumpsjon for riktig tid og integritet, art 41 nr 2 Mao. motbevis kan føres, jf. fri bevisvurdering Formkrav vil alltid oppfylles med kvalifisert signatur Kvalifisert signatur Skal alltid likestilles med håndskreven signatur, art 25 nr 2 = formkrav tilfredsstilles

12 Elektronisk er ok, intet grunnkrav om kvalifiserte løsninger Art 46 An electronic document shall not be denied legal effect and admissibility as evidence in legal proceedings solely on the grounds that it is in electronic form. Tilsvarende for andre tillitstjenester Art 25 nr 1: 1. An electronic signature shall not be denied legal effect and admissibility as evidence in legal proceedings solely on the grounds that it is in an electronic form or that it does not meet the requirements for qualified electronic signatures. Tilsvarende for e-segl (art 35 nr 1), e-tidsstempel (art 41 nr 1), e- rekommandert sending (art 43 nr 1) Mao.: skal tillates ført som bevis. Konkret vurdering av bevisverdien.

13 To likebehandlingskrav for offentlig sektor: Hvis avanserte eller kvalifiserte signaturer/segl kreves: Så må PAdES, XAdES og CAdES også anerkjennes + andre formater som medlemsstaten tilbyr validering av Jf. art 27 og 37 Hvis e-id på sikkerhetsnivå betydelig/høyt brukes Så må e-id-er på tilsvarende eller høyere nivå anerkjennes, fra meldte e-id-ordninger, jf. art 6

14 eidas virkning i Norge

15 eidas og Norge eidas har trådt i kraft i EU Vedtatt 23. juli 2014; I kraft fra 1. juli 2016, art 51; Anerkjennelsesplikt eid fra 29. sept 2018, jf. art 51 nr 2 (og 2015/1502) Kvalifiserte sertifikatutstedere må levere samsvarsrevisjonsrapport innen 1. juli 2017, art 51 nr 3 Norge har satt i kraft eidas-regler Tillitstjenesteloven gjelder fra , opphever e-signaturloven Inntil videre gjelder likevel forskrifter til e-signaturloven

16 eidas og Norge (2) eidas er på vei inn i EØS Norge deltar i samarbeidsnettverket til eidas eidas er besluttet innlemmet i EØS, jf. komitebeslutning 9. februar 2018 eidas tas inn i EØS-avtalen når alle EFTA-land har gjort nødvendige lovendringer, jf. beslutningens art 3 Norge ( ), Lichtenstein ( ), Island (gjenstår) Fra ikrafttredelse løper 6 mnd frist for sertifikatutstedere, jf. beslutningens artikkel 1

17 Regelverk om e-id

18 Regelverket i går (til ) Rammeverk for aut. og uavv. 4 autentiseringsnivåer Høyeste nivå skal være underlagt tilsyn iht. selvdeklarasjonsforskriften (=krav om PKI) E-signaturloven Forskriftshjemmel 16 og 16a Forskrift om krav til utstedere av kvalifiserte sertifikater Selvdeklarasjonsforskriften Deklarere sertifikater iht. kravspesifikasjon PKI

19 Regelverket nå (fra ) Rammeverk for aut. og uavv. 4 autentiseringsnivåer Høyeste nivå skal være underlagt tilsyn iht. selvdeklarasjonsforskriften (=krav om PKI) E-signaturloven Lov om elektroniske tillitstjenester Viderefører eksisterende forskrifter, jf. 10 Forskrift om krav til utstedere av kvalifiserte sertifikater Selvdeklarasjonsforskriften Deklarere sertifikater iht. kravspesifikasjon PKI EU-forskrifter, bl.a. 2015/1502 med krav til e-id

20 Regelverket i morgen (etter høring) Rammeverk for identifikasjon og sporbarhet 3 identifikasjonsnivåer, basert på 2015/1502 med tilpasning Alle nivåer skal være underlagt tilsyn iht. selvdeklarasjonsforskriften. Teknologinøytrale e-id-krav. E-signaturloven Lov om elektroniske tillitstjenester Gamle forskrifter oppheves, nye vedtas Forskrift om krav til utstedere av kvalifiserte sertifikater Endret selvdeklarasjonsforskrift Deklarere e-id iht. Rammeverk for identifikasjon og sporbarhet EU-forskrifter, bl.a.

21 Regelverket i morgen - kortform (e-id) Rammeverk for identifikasjon 3 identifikasjonsnivåer Teknologinøytrale e-id-krav. E-signaturloven Lov om elektroniske tillitstjenester Selvdeklarasjonsforskrift Deklarere e-id iht. Rammeverk for identifikasjon

22 Sikkerhetsnivåer for e-id

23 Sikkerhetsnivåene for e-id iht. eidas (1) eidas artikkel 6 beskriver tre nivåer Lavt En begrenset grad av tillit til en persons påberopte eller påståtte identitet. [mål om] redusere risikoen for misbruk.. Betydelig En betydelig grad av tillit [mål om] oppnå en betydelig redusert risiko for misbruk Høyt Høyere grad av tillit [mål om] hindre misbruk

24 Sikkerhetsnivåene for e-id iht. eidas (2) Gjennomføringsrettsakt 2015/1502 setter krav til Søknad og registrering Identitetskontroll Autentiseringsfaktor(er) egenskaper og antall Utstedelse, utlevering og aktivering Tilbakekalling, og eventuelt suspensjon og reaktivering Fornyelse Autentiseringsmekanismene - hvordan autentiseringsfaktoren(e) kontrolleres forut for tilgang til tjenester. Ledelse og organisering av e-id-tjenesten

25 Sikkerhetsnivåene for e-id iht. eidas (3) Sentrale krav i gjennomføringsrettsakten Lavt Enfaktor I besittelse av et bevis kan antas være ekte fremstå som gyldig, Identiteten eksisterer, kan antas være den som påberoper seg identiteten Betydelig Tofaktor I besittelse av bevis kontrollert for ekthet tiltak for å håndtere risiko for at personen ikke har den påberopte identitet.. Høyt Tofaktor Krav om id-bevis med bilde/biometri og sjekk mot person. Eller av e-id på samme nivå Krav om ekstern revisjon

26 Norsk sikkerhetsnivåer for e-id, revisjon I dag 4 autentiseringsnivåer i rammeverket Henviser til selvdeklarasjonsordninger på nivå 4 Fins kun for pki-baserte, jf. kravspesifikasjon pki MinID på nivå 3 Nivå 1 og 2 lite brukt som nivåer Revidert utkast utarbeidet på høring innen kort tid Gjenbruk fra eidas - 3 nivåer for e-id = ingen krav om pki-baserte løsninger Norske tilpasninger autonome nivåer Dekker kun e-id for fysiske personer, jf. behovet Terminologiendring, mer om sporbarhet, etc.

27 Bruk av europeisk e-id i Norge

28 EIDAS tilrettelegger for gjenbruk av e-id Sikkerhetsnivåer Rettslig regime - anerkjennelsesplikt Teknisk infrastruktur

29 Anerkjennelsesplikt for meldte e-id-ordninger Anerkjennelsesplikt i norske tjenester som bruker eidas-nivåene betydelig eller høyt Må da anerkjenne europeisk e-id på samme eller høyere sikkerhetsnivå Øvrige krav for å få tilgang til tjenesten kan opprettholdes

30 eidas gjelder autentiseringen, ikke tilgang til tjenester eid fra EU eidas Node Norge ID-gateway Norsk tjeneste Norsk tjeneste Gjenkjenning Utsteder fødsels-/d-nr Folkeregisteret

31 Informasjon fra meldte e-id-er Attributt Fornavn Etternavn Fødselsdato eidas-identifikator Fornavn ved fødsel Etternavn ved fødsel Fødested Addresse Kjønn Type Obligatorisk Obligatorisk Obligatorisk Obligatorisk Valgfri Valgfri Valgfri Valgfri Valgfri + eventuelle bilateralt avtalte attributter

32 Meldte e-id-ordninger - oversikt Meldte e-id-ordninger fra Tyskland (høyt, september 2017) Estland (høyt, 6 løsninger) Italia (lavt, betydelig, høyt) Kroatia (høyt) Luxembourg (høyt) Spania (høyt) Flere har sommer 2018 vært gjennom fagfellevurdering Belgia (høyt) Portugal (høyt) Én gjennomgår fagfellevurdering nå Storbritannia (lavt, betydelig)

33 Hva betyr endringene for helsesektoren?

34 Mulig betydning i helsesektoren e-id Nye definisjoner av e-id-nivåene Kan gi endringer og nyskapning på sikt, mer brukervennlig, mer fleksibelt. Mulighet for gjenbruk av europeisk e-id For pasienter og helsepersonell Knytning til norsk fnr/dnr kan forbli krevende for noen land Flere nye tillitstjenester kommer Noe standardiseringsarbeid gjenstår Kvalifiserte tillitstjenestetilbydere Strengere revisjonskrav for dagens kvalifiserte sertifikatutstedere

35 Spø

36