Innstilling til Stortinget fra næringskomiteen

Innstilling fra næringskomiteen om Lov om gjennomføring av EUs forordning om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner i det indre marked (lov om elektroniske tillitstjenester)

Proposisjonens hovedinnhold

EØS-komiteen vedtok ved beslutning nr. 22 av 9. februar 2018 å endre EØS-avtalen vedlegg XI (Elektronisk kommunikasjon, audiovisuelle tjenester og informasjonssamfunnstjenester) ved å innlemme europaparlaments- og rådsforordning (EU) nr. 910/2014 om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner på det indre marked.

Forordningen erstatter europaparlaments- og rådsdirektiv 1999/93/EF (esignaturdirektivet).

Nærings- og fiskeridepartementet foreslår i proposisjonen en ny lov for å gjennomføre europaparlaments- og rådsforordning (EU) nr. 910/2014 om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner i det indre marked. Forordningen skal legge til rette for økt elektronisk samhandling mellom næringsdrivende, borgere og offentlige myndigheter på tvers av landegrensene i EU/EØS, og dermed sterkere økonomisk vekst i det indre marked.

Proposisjonen er utarbeidet sammen med Kommunal- og moderniseringsdepartementet (KMD), som er ansvarlig for oppfølgingen av forordningens bestemmelser om gjensidig anerkjennelse av eID, esignatur og elektroniske segl i offentlig sektor.

Forordningen gir Europakommisjonen hjemmel til å gi gjennomføringsrettsakter. Flere slike rettsakter er vedtatt. I proposisjonen foreslås det at gjennomføringsrettsakter blir norske forskrifter med hjemmel i denne loven.

Forordning 910/2014 legger til rette for økt elektronisk samhandling mellom næringsdrivende, innbyggere og offentlige myndigheter på tvers av landegrensene i EU/EØS. Forordningen utvider området for reguleringen av elektroniske tillitstjenester sammenliknet med hva esignaturdirektivet omfattet, og styrker dagens reg­ler om elektronisk signatur. Harmonisering av krav til flere typer tillitstjenester kan gjøre det enklere å tilby slike tjenester på tvers av landegrensene. Videre kan strengere krav øke tilliten blant brukerne. Forordningen legger også til rette for at eID-løsninger som oppfyller visse betingelser skal kunne benyttes på tvers av landegrensene.

Departementet anser at forordningen er et viktig verktøy i digitaliseringsprosessen, og at den vil bidra til å skape trygghet og tillit på nett. Det nye regelverket skal sikre et felles europeisk rammeverk for regulering av elektronisk signatur og tillitstjenester og fremme samarbeid på tvers av landegrenser i EU/EØS. Økt bruk av elektronisk kommunikasjon på tvers av landene skal gi mer effektiv samhandling, og på den måten forventes forordningen å bidra til sterkere økonomisk vekst i det indre marked.

Begreper i proposisjonen

eIDAS er forkortelsen for forordning om «elektronisk identifisering og tillitstjenester for elektroniske transaksjoner i det indre marked».

eID er forkortelsen for elektronisk identifikasjon, som for eksempel BankID og MinID. Begrepet elektroniske identifikasjonsmidler benyttes om dette i forordningen.

PKI (Public Key Infrastructure) – «infrastruktur for offentlig-nøkkel-kryptografi» er en teknologi for å utstede, administrere og bruke eID, esignatur og kryptering basert på en standardisert krypteringsteknologi.

Kravspesifikasjon for PKI er en overordnet, funksjonell kravspesifikasjon for selvdeklarering og anskaffelse av PKI-løsninger, herunder PKI-baserte eID-løsninger.

Elektronisk signatur er mekanismer som knytter et dokument til en person som signerer dokumentet. Begrepet er teknologinøytralt. For avanserte og kvalifiserte elektroniske signaturer benyttes i praksis PKI-teknologi med sertifikater.

Elektronisk segl er mekanismer som knytter et dokument til en juridisk person som har forseglet dokumentet. Begrepet er teknologinøytralt.

Elektroniske tillitstjenester er tjenester som normalt tilbys mot betaling og skal bidra til å styrke tilliten til elektroniske løsninger. eIDAS beskriver tillitstjenestene elektronisk signatur, elektroniske segl, tidsstemplingstjenester, elektronisk tjeneste for registrert sending og sertifikattjenester for nettstedsautentiseringer.

Bakgrunnen for lovforslaget

En effektiv og hensiktsmessig digital samhandling forutsetter at alle aktørene har tillit til at elektroniske transaksjoner skjer på en trygg måte. EU har forsøkt å møte denne utfordringen gjennom forordning 910/2014 om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner i det indre marked. Forordningen styrker og utvider reglene om elektronisk signatur, regulerer eID og omfatter også andre typer elektroniske tillitstjenester. Begrepet tillitstjenester er nytt og dekker flere tjenester enn de tjenestene som var omfattet av esignaturdirektivet.

Direktivet om elektronisk signatur oppheves og erstattes av forordningen. I EU gjelder forordningen direkte, og medlemslandene kan ikke gjøre andre nasjonale tilpasninger enn hva som eksplisitt fremgår av forordningen. Ettersom rettsakten er innlemmet i EØS-avtalen, har Norge en plikt til å implementere forordningen på tilsvarende måte, men i lovs form. Forordningen er todelt og inneholder regler som skal legge til rette for:

a) Gjensidig aksept av løsninger for elektronisk identifikasjon (eID) – kapittel II.

b) Gjensidig aksept av elektronisk signatur og andre tillitstjenester – kapittel III og IV.

Nærmere om forordning (EU) nr. 910/2014

Forordningen har til hensikt å sikre et velfungerende indre marked, samtidig som man ivaretar et adekvat sikkerhetsnivå for elektronisk identifikasjon (eID) og tillitstjenester. Forordningen skal ivareta dette ved å:

fastsette på hvilke vilkår medlemsstatene skal anerkjenne elektroniske identifikasjonsmidler for fysiske og juridiske personer som omfattes av en meldt eID-ordning i en annen medlemsstat,

fastsette regler for tillitstjenester, spesielt for elektroniske transaksjoner, og

etablere et rettslig rammeverk for elektroniske signaturer, elektroniske segl, elektroniske tidsstemp­ler, elektroniske dokumenter, elektronisk tjeneste for registrert sending og sertifikattjenester for nettstedsautentisering.

Behandling av personopplysninger skal skje i samsvar med EUs personverndirektiv (direktiv 95/46/EF). I fortalen utdypes dette ved å vise til at autentisering i forbindelse med en online-tjeneste kun skal omfatte behandling av de identifikasjonsdata som er tilstrekkelige, relevante og ikke omfatter mer enn hva som er nødvendig for å gi adgang til den aktuelle tjenesten.

Forordningen innfører en plikt for offentlige myndigheter til å anerkjenne meldte elektroniske identitetsbevis fra andre medlemsland.

Forordningen definerer tre sikkerhetsnivåer: «lav», «betydelig» og «høy». Anerkjennelsesplikten gjelder for elektroniske tjenester som bruker eID-løsninger på sikkerhetsnivåene betydelig og høy. Det utenlandske identitetsbeviset må være på et sikkerhetsnivå som er like høyt eller høyere enn det nivået som kreves i den nasjonale tjenesten.

Anerkjennelsesplikten påvirker ikke medlemsstatens rett til å stille krav for å få tilgang til ytelser eller tjenester. Medlemsstaten avgjør også selv hvilket sikkerhetsnivå som skal kreves. Det etableres heller ingen plikt til å melde egne eID-løsninger.

Ved å regulere tillitstjenester legger forordningen til rette for å oppnå elektronisk samhandling mellom innbyggere i Europa. Tillitstjenestene er avgrenset til å omfatte de tjenestene som er tilgjengelige og omsettes på det åpne markedet. Forordningen styrker eksisterende regler om elektronisk signatur og innfører regler om flere typer elektroniske tillitstjenester.

Forordningen innfører en regel om at et elektronisk dokument ikke skal nektes rettsvirkning og gyldighet som bevis i forbindelse med rettergang alene av den grunn at det er elektronisk. Dette er allerede etablert praksis i Norge, men ikke i alle EU-land.

Arbeidet med regelverket i EU og Norge

De gjennomføringsrettsakter som er vedtatt fram til nå, er listet opp i kapittel 4 i proposisjonen. EØS-posisjonsnotater om disse rettsaktene publiseres i EØS-notatbasen fortløpende. Forordningen inneholder også bestemmelser om gjennomføringsrettsakter og delegerte rettsakter som Kommisjonen «kan» gjennomføre.

Nærings- og fiskeridepartementet sendte den vedtatte forordningen på høring 30. november 2015. I høringsnotatet ble det foreslått en ny lov som gjennomfører forordningen, samtidig som lov 15. juni 2001 nr. 81 om elektronisk signatur oppheves. Høringsinstansene ble særlig bedt om å ta stilling til hvorvidt forordningens regler bør få anvendelse på lukkede systemer, om det er behov for å videreføre særhjemmel om esignatur i offentlig sektor, om andre myndigheter enn Nkom bør ha tilsynsoppgavene etter loven, samt hvorvidt selvdeklarasjonsordningen bør beholdes.

I alt 41 instanser har uttalt seg. Høringsinstansene er langt på vei positive både til innføringen av forordningen med gjennomføringsrettsakter i norsk lov og til samtidig opphevelse av esignaturloven. De fleste instansene som har uttalt seg, anser forordningen som et viktig verktøy for å understøtte samarbeid og handel mellom aktører i EU/EØS-området. Flere instanser har imidlertid merknader til forslaget, og det trekkes blant annet frem at de administrative og økonomiske konsekvensene ikke er tilstrekkelig utredet.

Høringsinstansenes innspill og departementets vurdering er gjennomgått tematisk i proposisjonen.

Nærmere om enkelte hovedpunkter i proposisjonen

Forordningens virkeområde

Det er kun tillitstjenester som tilbys til offentligheten, og som har virkning overfor tredjemann, som omfattes av forordningen. Virkeområdet er følgelig avgrenset mot såkalt lukkede systemer. Imidlertid åpnes det for at medlemsstatene i gjennomføringen av forordningen kan la den få utvidet virkeområde på dette feltet.

Departementet viste i høringsnotatet til at forordningens regulering gir tilbydere av kvalifiserte tillitstjenester vesentlig mer omfattende forpliktelser enn dagens esignaturlov og omfatter langt flere tjenester. Departementet har derfor foreslått at reglene ikke får anvendelse på lukkede systemer i henhold til nasjonal lovgivning eller avtale mellom en avgrenset krets av personer.

De fleste instansene som har uttalt seg på dette punkt, deler departementets oppfatning, men flere uttaler at det er behov for en nærmere avklaring av hva begrepet «lukket system» omfatter. Departementet antar at et system kan regnes for å være lukket også dersom det benyttes av mer enn én virksomhet, og mener at det i vurderingen bør legges vesentlig vekt på om systemet direkte eller indirekte berører tredjepersoner. Det avgjørende er at forordningen ikke kommer til anvendelse når en definert gruppe som kun samhandler seg imellom, er enige om hvilken tillitstjeneste de vil anvende internt i gruppen.

Selvdeklarasjonsordningen

Esignaturloven gir i § 16 a hjemmel til å etablere frivillige sertifiserings-, godkjennings- eller selvdeklarasjonsordninger for sertifikatutstedere. Formålet er å høyne sikkerhetsnivået for sertifikattjenester og dermed øke tilliten til og bruken av slike tjenester.

For eID-løsninger på høyeste sikkerhetsnivå i henhold til rammeverk for autentisering og uavviselighet er det stilt krav om at løsningen er deklarert i henhold til offentligrettslige krav. En slik selvdeklarasjonsordning er innført for sertifikatutstedere som ønsker å tilby sertifikater i offentlig sektor i henhold til «Kravspesifikasjon for PKI i offentlig sektor». Alle de kommersielle tilbyderne av eID i ID-porten er selvdeklarert etter denne ordningen.

Når det gjelder kvalifiserte tillitstjenester som er omfattet av forordningen, vil en ordning med selvdeklarasjon ikke oppfylle forordningens krav. Begrepet tillitstjenester er på EU-nivå uttømmende definert i forordningen. Begrepet omfatter blant annet ikke autentiseringstjenester eller krypteringstjenester som sådan, kun de kvalifiserte sertifikater som de eventuelt er basert på. For slike tjenester vil derfor en selvdeklarasjonsordning kunne bidra til å øke tilliten.

En umiddelbar avvikling av selvdeklarasjonsordningen vil kunne få uheldige konsekvenser for de sektorer som benytter etablerte PKI-løsninger. En eventuell avvikling må foregå gradvis og først etter at konsekvensene er tilstrekkelig kartlagt. Departementet mener på den bakgrunn at det er behov for å beholde hjemmelen til å etablere frivillige sertifiserings-, godkjennings- eller selvdeklarasjonsordninger inntil vurderingen av «Rammeverket for autentisering og uavviselighet i elektronisk kommunikasjon med og i offentlig sektor» og behovet for å beholde Kravspesifikasjon for PKI i offentlig sektor er gjennomført.

I Norge har vi god erfaring med selvdeklarasjonsordninger. Departementet mener at selvdeklarasjonsordningen fortsatt kan supplere det mer omfattende tilsynsregimet som forordningen legger opp til.

Elektronisk identifikasjon

Forordningen vil kunne gjøre det enklere for innehavere av eID fra andre EØS-land å benytte norske offentlige nettjenester som bruker det relevante eIDAS-sikkerhetsnivået. Dette gjelder uavhengig av hvor personen fysisk oppholder seg. Ved at de kan gjenbruke sin utenlandske eID, slipper de å skaffe seg et norsk elektronisk identitetsbevis for å benytte tjenestene. Tilsvarende vil norske nettbrukere kunne få mulighet til å gjen­bruke sin eID i andre EØS-land. En god kobling mellom nasjonalt identitetsnummer, som fødselsnummer og d-nummer hos oss, og opplysninger som følger med eID-en som benyttes, vil være en viktig suksessfaktor. For å få nytte av eIDAS må dette arbeidet prioriteres i tiden fremover.

Departementet mener at det bør være en ambisjon for Norge å melde minst én eID-løsning. I forslaget til lov gis Kongen myndighet til å fastsette hvilket organ som skal være meldingsmyndighet overfor Kommisjonen.

Anerkjennelsespliktens omfang

Flere høringsinstanser har synspunkter på hvordan den gjensidige anerkjennelsesplikten skal forstås, og at det er uheldig med tolkningstvil. Etter departementets syn vil anerkjennelsespliktens nærmere innhold måtte avklares i praksis, og i siste instans av EFTA-/EU-domstolen. I proposisjonen er det redegjort for departementets vurdering av innholdet i anerkjennelsesplikten.

Anerkjennelsesplikten gjelder kun dersom medlemsstaten for den aktuelle tjenesten bruker en eID som er på sikkerhetsnivå betydelig eller høy. I utgangspunktet er det et nasjonalt anliggende å beskrive hvilket nivå en eID-løsning tilfredsstiller, og om det har et tilsvarende eIDAS-nivå. Dersom medlemsstaten mener at det ikke finnes et tilsvarende nivå, vil det etter departementets syn ikke være noen anerkjennelsesplikt for tjenester som krever dette nivået.

Forordningen legger opp til at aktørenes erstatningsansvar beror på nasjonal rett. Dagens eID-leverandører i ID-porten har satt ansvarsbegrensninger. Etter gjeldende rett kan forvaltningen stille krav til bruk av sikkerhetstjenester, jf. eforvaltningsforskriften § 4. Departementet ser at det kan være uklarhet med hensyn til om slike krav også kan omfatte minstekrav til eID-leverandørenes erstatningsansvar, og foreslår derfor at spørsmålet kan forskriftsreguleres. Forordningen griper ikke inn i medlemsstatenes rett til å velge sikkerhetsnivå for tjenester.

Eventuell norsk melding

Slik sikkerhetsnivåene er blitt definert, anser departementet det som sannsynlig at Norge vil kunne melde flere eID-løsninger på høyeste eIDAS-sikkerhetsnivå. Før eventuell norsk melding av eID-løsninger må kostnader og nytte ved meldingen vurderes. I lovforslaget er det foreslått at Kongen fastsetter hvilket organ som skal være meldingsmyndighet overfor Kommisjonen.

Sikkerhetsnivåer

Det vil videre være relevant å se nærmere på hvorvidt det er behov for å harmonisere rammeverket og de norske sikkerhetsnivåene til eIDAS’ sikkerhetsnivåer. Det er per i dag ingen dokumentasjon på at det foreligger et behov for et høyere sikkerhetsnivå enn eIDAS høyt. Det er imidlertid ikke noe i veien for at det etableres et høyere nivå nasjonalt, altså at en tjeneste krever eID på et høyere nivå enn hva eIDAS tilbyr.

Identifiseringsutfordringer ved bruk av utenlandske identitetsbevis i Norge (venteromsproblematikken)

Anerkjennelsesplikten innebærer at eID-en skal anerkjennes som et bevis for identiteten til den innloggede på samme måte som andre identitetsbevis innenfor samme sikkerhetsnivå. Det er imidlertid kun anerkjennelsen av autentiseringen som reguleres direkte av forordningen. Koblingen av identiteten mot nasjonale tjenester er ikke regulert eller løst gjennom forordningen. Dette må det etableres nasjonale løsninger for.

Forordningens gjennomføringsrettsakt 2015/1501 fastsetter et minste datasett som skal identifisere personen og utleveres ved bruk av eID-en. Fødselsdato, nåværende navn og en unik identifikator er obligatoriske elementer. Det er opp til medlemsstatene å bestemme hvordan den unike identifikatoren skal bygges opp.

I arbeidet med gjennomføring av forordningen må det ses nærmere på hvordan personer som ikke har et norsk d-nummer eller fødselsnummer, kan gjenkjennes når vedkommende forsøker å identifisere seg med en utenlandsk eID fra en meldt løsning.

Det pågår et samarbeidsprosjekt mellom Difi og Skattedirektoratet for å se på løsninger. Funn så langt tyder på at noen tjenester vil kunne tilbys innloggede med utenlandske identitetsbevis selv om personen ikke kan knyttes til en identitet i Folkeregisteret. De fleste tjenester synes imidlertid å forutsette en slik tilknytning. Det er viktig å finne gode løsninger for dette.

Tillitstjenestene

Gjeldende rett – esignaturloven

Lov 15. juni 2001 nr. 81 om elektronisk signatur (esignaturloven) gir rettslige rammebetingelser for bruk av elektronisk signatur og tilknyttede tjenester. Loven gjennomfører europaparlaments- og rådsdirektiv 1999/33/EF av 13. desember 1999 om en fellesskapsramme for elektroniske signaturer. Tilsynsmyndighet etter loven er Nasjonal kommunikasjonsmyndighet (Nkom)

Loven skiller mellom avanserte og kvalifiserte elektroniske signaturer. Den største bruken i dag er vanlige elektroniske signaturer, altså signaturer som ikke er avanserte. En elektronisk signatur krever en tilknytning mellom en person og elektroniske data. Det er allment akseptert at avansert elektronisk signatur i dag kun kan realiseres ved teknologien digital signatur, som innebærer bruk av offentlig nøkkel-kryptografi. En digital signatur krever et elektronisk sertifikat, som i esignaturloven.

I esignaturloven §§ 8 og 9 oppstilles det nærmere krav til sikre signaturfremstillingssystemer. Per i dag finnes det ikke slike systemer i det norske markedet, og det er ikke innført et system for godkjennelse av slike signaturfremstillingssystemer i Norge.

Departementets vurdering

Etter dagens esignaturlov er det kun tilbydere av elektronisk signatur som er underlagt lovreguleringen. Med forordningen introduseres begrepet tillitstjenester, og dermed utvides hvem som er å anse som tilbyder og omfattes av lovreguleringen. At tillitstjenestebegrepet i art. 3 nr. 16 er definert som tjenester som normalt tilbys mot betaling, åpner etter departementets syn for at også ikke-kommersielle tjenester kan omfattes av forordningen. I motsetning til i esignaturloven omfattes også ikke-kvalifiserte tillitstjenestetilbydere av forordningen. Departementet antar at de fleste virksomheter forholder seg til krav om tilfredsstillende sikkerhet, for eksempel i kontrakter eller med utgangspunkt i forventninger fra markedet.

For å kunne sidestille elektroniske disposisjoner med tradisjonelle papirdisposisjoner er det etter departementets vurdering naturlig og viktig å utvide hvilke tjenester som omfattes av en lovregulering. Ved en slik utvidelse vil det bli stilt kvalitetskrav til tjenesten og til tilbydere av tjenesten, samt bli påsett at de lovbestemte kravene følges opp.

Forordningen stiller krav om sertifisering av kvalifiserte elektroniske signaturfremstillingssystemer i art. 30. Departementet tolker bestemmelsen slik at den ikke pålegger medlemslandene noen plikt til å tilby et slikt sertifiseringssystem. Den som skal tilby kvalifisert elektronisk signatur, kan velge å benytte seg av et signaturfremstillingssystem som er sertifisert i et annet medlemsland.

I Norge er det Nasjonal sikkerhetsmyndighet v/SERTIT som innehar rollen som norsk sertifiseringsmyndighet etter ISO/IEC 15408 (dvs. Common Criteria). Etter departementets syn vil det være naturlig at det er SERTIT som utpekes som sertifiseringsorgan, dersom man ser at det er behov for å ha et system for slik sertifisering i Norge.

Krav til tillitstjenestetilbyderne – samsvarsvurdering

En tjenestetilbyder som ønsker å tilby en kvalifisert tillitstjeneste, må underrette tilsynsmyndigheten om dette. Sammen med meldingen skal det foreligge en samsvarsrevisjonsrapport gjennomført av et godkjent samsvarsvurderingsorgan for å sjekke om tillitstjenestetilbyderen oppfyller forordningens krav. Tilsynsmyndigheten skal gjennomgå rapporten og på bakgrunn av denne avgjøre om tilbyderen av en tillitstjeneste kan anses som en kvalifisert tillitstjenestetilbyder.

Et samsvarsvurderingsorgan er et organ som er akkreditert i overensstemmelse med forordning (EF) nr. 765/2008 med kompetanse til å utføre samsvarsvurderinger av en kvalifisert tillitstjenestetilbyder og de kvalifiserte tillitstjenestene som tilbys. Det vil være Norsk akkreditering som vil akkreditere eventuelle samsvarsvurderingsorganer i Norge. Departementet legger til grunn at Norsk akkreditering er nærmest til å vurdere hvilke ISO-standarder det er aktuelt å benytte i forbindelse med akkrediteringen av selskaper som ønsker å foreta samsvarsvurderinger av tjenestetilbydere. I henhold til EØS-vareloven skal Norsk akkreditering føre tilsyn med de samsvarsvurderingsorganene som det har utstedt akkrediteringsbevis til.

Det foreligger ingen forpliktelse for medlemslandene til å ha et nasjonalt samsvarsrevisjonsorgan. En tjenestetilbyder vil også kunne benytte et akkreditert samsvarsvurderingsorgan fra et annet medlemsland. Departementet mener at det ikke er naturlig at dette blir en statlig oppgave.

Tillitsliste

Forordningen pålegger medlemslandene å lage, vedlikeholde og publisere en tillitsliste med informasjon om de kvalifiserte tillitstjenestetilbyderne og deres kvalifiserte tillitstjenester. Medlemslandene skal notifisere til Kommisjonen det myndighetsorganet som er ansvarlig for tillitslisten.

Tillitslisten skal benyttes aktivt til å markere status for utstederne av tillitstjenester. Det er tilsynsmyndigheten som vil være nærmest tillitstjenestetilbyderne til å gjøre dette, og som vil kunne trekke tilbake kvalifisert status hos en tilbyder dersom dette viser seg nødvendig. Videre er det tilsynsorganet som skal gjennomgå samsvarsrevisjonsrapportene for å vurdere hvorvidt forordningens krav er oppfylt. Departementet anser det derfor som naturlig at det er tilsynsorganet som også er ansvarlig for tillitslisten.

Rettsvirkning av kvalifiserte elektroniske tillitstjenester, signaturer og segl

Norsk sivilprosess bygger på prinsippet om fri bevisføring og fri bevisvurdering, jf. lov 17. juni 2005 nr. 90 om mekling og rettergang i sivile tvister (tvisteloven) §§ 21-2 og 21-3. Dette innebærer at partene i utgangspunktet kan føre ethvert bevis de finner hensiktsmessig. Det er derfor ikke noe rettslig i veien for at elektroniske dokumenter legges frem som bevis for en norsk domstol, jf. forordningens art. 25 nr. 1 og de tilsvarende bestemmelsene om elektronisk segl, tidsstempling og elektronisk tjeneste for registrert sending.

Grunnet prinsippene om avtalefrihet, fri bevisføring og fri bevisvurdering representerer ikke forordningens bestemmelser om den juridisk bindende virkningen av elektroniske signaturer og elektroniske dokumenter utfordringer for Norge.

Bestemmelsene om presumpsjon for integritet og om korrekt opphav for kvalifisert elektronisk segl, for korrekt tidspunkt og integritet for kvalifisert elektronisk tidsstempel og sending og mottak for elektronisk rekommandert sending, kan sies å gripe inn i dommerens vekting av bevisene i en rettssak. Etter departementets syn går disse bestemmelsene likevel ikke lenger enn hvordan man må anta at slike data uansett hadde blitt vurdert. De tekniske metodene som bestemmelsene gjelder, må i utgangspunktet antas å ha høy bevisverdi.

Norsk forvaltning stiller i dag i liten grad krav til bruk av avanserte elektroniske signaturer eller segl. I stor grad benyttes elektroniske nettløsninger som baserer seg på autentisering av aktørene, uten digital signering av dokumenter. For de løsninger som krever bruk av avanserte signaturer, vil forordningen kunne innebære behov for noen tilpasninger for å etterleve anerkjennelsesplikten.

Esignaturloven § 5 inneholder hjemmel til å fastsette nærmere regler om hvilke krav som skal stilles til kvalifiserte elektroniske signaturer som skal brukes ved kommunikasjon med og i offentlig sektor. Det er behov for å videreføre hjemmelen i esignaturloven til ny lov. Departementet foreslår en justering av innholdet for å harmonisere den med ordlyden i forvaltningsloven § 15a.

Tilsynsorganet

Nkom driver tilsyn med tilbydere av posttjenester og med tilbydere av elektronisk kommunikasjonsnett og -tjenester etter lov om formidling av landsdekkende postsendinger (postloven) og lov om elektronisk kommunikasjon (ekomloven). Nkom har som oppgave å sikre brukerne i hele landet gode, rimelige og fremtidsrettede elektroniske kommunikasjonstjenester og posttjenester. Nkom har vært tilsynsmyndighet etter esignaturloven siden loven ble innført i 2001. I ettertid har Nkom også fått i oppgave å føre en liste over tjenestetilbydere med hjemmel i tjenesteloven, som nå skal utvides gjennom forordningen.

Departementet har vurdert om det er andre myndigheter som kan være aktuelle som tilsynsmyndighet, herunder NSM, Datatilsynet og Difi.

Etter departementets vurdering taler derfor den erfaringen og ekspertisen Nkom har på teleområdet generelt, og som tilsynsmyndighet etter gjeldende esignaturlov spesielt, for å utpeke Nkom som tilsynsmyndighet også etter den nye loven. Langt på vei de fleste høringsinstansene støtter dette.

Erstatningsansvar og bevisbyrde

En tillitstjenestetilbyder er erstatningsansvarlig for skade som forsettlig eller uaktsomt påføres en fysisk eller juridisk person som følge av manglende oppfyllelse av forordningens forpliktelser.

Artikkel 13 i forordningen skal anvendes i overensstemmelse med nasjonale regler om erstatningsansvar. Departementet anser derfor at det ikke foreligger behov for egne nasjonale regler som behandler erstatning etter forhold regulert i forordningen. Også etter gjeldende lov er det omvendt bevisbyrde for utstedere av kvalifiserte sertifikater, jf. esignaturloven § 22 andre ledd.

Departementet foreslår at lovforslaget § 1 inkluderer adgang til å forskriftsregulere et minstekrav til erstatningsansvar for eID-er som skal benyttes i offentlig sektor.

Sanksjoner og straff

Esignaturloven inneholder bestemmelser om både tvangsmulkt og straffansvar for en sertifikatutsteder.

Som etter gjeldende rett foreslår departementet at tvangsmulkt skal kunne anvendes for å sikre at bestemmelser som er gitt i eller i medhold av loven, overholdes. Mulkten skal ikke løpe før klagefristen er ute, og ved klage løper ingen tvangsmulkt før klagesaken er avgjort, med mindre klageorganet bestemmer noe annet. I tråd med gjeldende rett må mulktens størrelse fastsettes i lys av alminnelige forvaltningsrettslige prinsipper.

Departementet vurderer at behovet for sanksjonsmidler er mest påtakelig i tilknytning til de kvalifiserte tillitstjenestene. Disse benyttes normalt til transaksjoner av stor betydning for brukerne, slik at bevaring av tillit må anses å være ekstra viktig. Dersom det etter regelverkets ikrafttredelse skulle oppstå et behov for å utvide adgangen til å ilegge tvangsmulkt til også å gjelde overfor ikke-kvalifiserte tilbydere, vil departementet vurdere dette nærmere.

De forpliktelser som følger av forordningen er av ulik karakter og har ulik presisjonsgrad. Det må fremgå klart og tydelig hvilke handlinger som kan medføre straff. På denne bakgrunn foreslår departementet at straff kan idømmes den som forsettlig eller grovt uaktsomt:

opptrer som utsteder av kvalifisert tillitstjeneste uten å være registrert som dette etter loven

unnlater å gi opplysninger etter § 3

gir uriktige eller villedende opplysninger til tilsynet

Avgift

Departementet legger til grunn at finansiering av tilsynsvirksomheten fastsettes i tråd med Finansdepartementets retningslinjer for gebyr- og avgiftsfinansiering av statlige myndighetshandlinger, inkludert at finansieringen gjennomføres som avgift og ikke gebyr. Avgiften skal dekke, men ikke overstige, kostnadene ved tilsynets virksomhet etter forordningen, basert på kostnadseffektiv drift. Selve avgiftsfastsettelsen bør utformes slik at kostnaden blir så forutberegnelig som mulig for aktørene.

Lovteknisk gjennomføring

I EU gjelder forordninger som overnasjonale lover i den enkelte medlemsstat i kraft av å være vedtatt av de kompetente EU-organene. Siden EØS-avtalen ikke innebærer overføring av lovgivningsmyndighet til fellesskapsorganene, må regelverket gjennomføres i nasjonal rett. Det følger av artikkel 7 bokstav a i EØS-avtalen at en forordning som er EØS-relevant, skal gjøres til en del av den interne rettsordenen. En slik gjennomføring bør som hovedregel skje ved inkorporasjon. Inkorporasjon innebærer at det vedtas en lov- eller forskriftsregel som fastsetter at forordningen i EØS-tilpasset form skal gjelde direkte i norsk rett.

De av høringsinstansene som har uttalt seg vedrørende forslag til implementeringsmåte, støtter at forordningen gjennomføres ved inkorporasjon. Siden forordning 910/2014 allerede har trådt i kraft i EU, foreslår departementet at loven trer i kraft straks.

Til forordningen er det vedtatt en rekke gjennomføringsrettsakter. Disse skal i utgangspunktet inntas i norsk rett som de er. Gjennomføringsrettsaktene vil bli sendt på høring på ordinær måte.

Økonomiske og administrative konsekvenser

Innlemmelsen av forordningen innebærer i seg selv ingen vesentlige behov for tilrettelegging av norske tjenester. Dersom personen ikke anses tilstrekkelig identifisert for norske tjenester, vil personen ikke få tilgang.

Det vil imidlertid ofte være nødvendig at personer som logger inn med en utenlandsk eID, også kan gjenkjennes ved bruk av den norske tjenesten. For å fullt ut oppnå gevinstene ved eID-bestemmelsene i eIDAS-forordningen og regjeringens ambisjon om grenseoverskridende tjenester bør innloggingen kunne knyttes til et norsk fødsels- eller d-nummer. Dette krever endringer i grensesnitt hos Folkeregisteret og i ID-porten. Den forventede samlede investeringskostnaden er beregnet til 16 mill. kroner og 8 mill. kroner i årlig forvaltningskostnad, fordelt mellom Skattedirektoratet og Difi.

Denne tilretteleggingen er imidlertid ikke en direkte forpliktelse etter forordningen og er derfor ikke en direkte økonomisk/administrativ konsekvens av eIDAS. For tjenester hvor eIDAS gir tilfredsstillende identifisering av personen uten slik tilknytning til norsk identifikator, vil eIDAS også innebære gevinster selv uten slik tilrettelegging.

Ved norsk notifisering av eID-løsninger vil innehavere av aktuelle eID-er få enklere tilgang til utenlandske offentlige tjenester på nett. Det må vurderes nærmere i hvilken utstrekning en unik identifikator som fødselsnummeret eller d-nummer kan følge med ved bruk av eID for tilgang til utenlandske offentlige nettjenester. Departementet understreker at eIDAS ikke gir nye persongrupper rettigheter til tjenester i det norske samfunnet. Forvaltningen vil fortsatt selv fastsette sikkerhetskrav for sine løsninger, både når det gjelder krav til autentiseringsnivå og krav til identifisering.

Det vil påløpe noe kostnader hos Difi i forbindelse med utvikling og drift av løsninger for å håndtere notifiserte eID-løsninger gjennom ID-porten.

Tilsyn etter forordningen vil bli avgiftsfinansiert, slik tilsyn etter esignaturloven er i dag. Økte kostnader vil dermed bli finansiert ved økte avgifter. Omfanget av tilsynsoppgavene vil være avhengig av antall markeds­aktører og antall tillitstjenester de tilbyr.

Innlemmelse av forordningen kan få økonomiske og administrative konsekvenser ved at Nasjonal sikkerhetsmyndighet ved SERTIT utpekes som sertifiseringsorgan. Dersom pågangen for å få sertifisert signaturfremstillingssystemer hos SERTIT øker, kan det bli behov for å styrke SERTIT med personell og kompetanseoppbygging.

Nkom anslår at de økte tilsynsoppgavene vil medføre ytterligere 1 årsverk i tillegg til eksisterende 2,5 års­verk som dekker dagens tilsynsoppgaver på området. Dersom tilsynsoppgavene viser seg å bli mer omfattende enn forutsatt, eller det blir en økning i antall nye tillitstjenester, vil antall årsverk måtte oppjusteres. Dette kan igjen få økonomiske konsekvenser for tillitstjenesteleverandørene. De sistnevnte vil også påføres økte administrative kostnader som følge av de strengere kravene til virksomhetene og kravet om hyppigere revisjoner. I siste instans vil sluttbrukerne måtte betale mer for sertifikattjenestene. Samlet sett er det departementets vurdering at endringene forordningen medfører, legger til rette for tryggere handel og samhandling på nett, og at den således vil være positiv for både offentlig sektor, næringsliv og forbrukere.

Da eIDAS er en forordning, skal den lovteknisk gjennomføres som den er. Det innebærer at forordningens rettigheter og plikter blir gjeldende i Norge uavhengig av de økonomiske og administrative konsekvenser som er beskrevet i proposisjonen.

Når det gjelder samtykke til godkjenning av EØS-komiteens beslutning nr. 22/2018 av 9. februar 2018, vises det til egen innstilling, Innst. 332 S (2017–2018).

Komiteen, medlemmene fra Arbeiderpartiet, Ruth Grung, Cecilie Myrseth, Nils Kristen Sandtrøen og Terje Aasland, fra Høyre, Margunn Ebbesen, Ingunn Foss, Kårstein Eidem Løvaas og Tom-Christer Nilsen, fra Fremskrittspartiet, Kjell-Børge Freiberg og Morten Ørsal Johansen, fra Senterpartiet, Geir Adelsten Iversen og lederen Geir Pollestad, fra Sosialistisk Venstreparti, Torgeir Knag Fylkesnes, fra Venstre, André N. Skjelstad, og fra Kristelig Folkeparti, Steinar Reiten, viser til EØS-komiteens beslutning nr. 22/2018 om innlemmelse av forordning om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner i det indre marked i EØS-avtalen. Komiteen viser til at det har vært en lang prosess i EU og i Norge for å komme frem til forordningen slik den nå foreligger. Komiteen viser til at en forordning skal vedtas slik den er, i motsetning til et EU-direktiv, hvor hvert land kan gjøre sine tilpasninger i forhold til nasjonal rett.

Komiteen viser til at forordningen skal legge til rette for økt elektronisk samhandling mellom næringsdrivende, borgere og offentlige myndigheter på tvers av landegrensene i EU/EØS, og dermed gi sterkere økonomisk vekst i det indre marked. Videre viser komiteen til at forordningen utvider området for reguleringen av elektroniske tillitstjenester sammenliknet med hva esignaturdirektivet omfattet, og styrker dagens regler om elektronisk signatur. Komiteen viser til at proposisjonen omtaler at harmonisering av krav til flere typer tillitstjenester kan gjøre det enklere å tilby slike tjenester på tvers av landegrensene. Videre kan strengere krav øke tilliten blant brukerne. Komiteen er av den oppfatning at forordningen er et viktig verktøy i digitaliseringsprosessen, og at den vil bidra til å skape trygghet og tillit på nett.

Komiteen viser til at direktivet om elektronisk signatur oppheves og erstattes av forordningen. I EU gjelder forordningen direkte, og medlemslandene kan ikke gjøre andre nasjonale tilpasninger enn hva som eks­plisitt fremgår av forordningen. Ettersom rettsakten er innlemmet i EØS-avtalen, har Norge en plikt til å implementere forordningen på tilsvarende måte, men i lovs form.

Komiteen viser også til brev av 23. april 2018 med vedlegg fra statsråd Torbjørn Røe Isaksen til Stortingets presidentskap. Brevet med vedlegg er vedlagt innstillingen.

Komiteen påpeker at i vedlagte brev av 23. april 2018 fra statsråd Torbjørn Røe Isaksen er komiteen gjort oppmerksom på at ved en inkurie er ikke begrepet informasjonssikkerhetstjenester i lovforslaget § 2 i proposisjonen blitt endret til begrepet tillitstjenester.

Komiteen viser til at det i brevet fra statsråden går frem at begrepet informasjonssikkerhetstjenester ble benyttet da lovforslaget var på åpen høring, men at begrepet tillitstjenester senere ble vurdert å være mer dekkende og språklig mer forståelig. Komiteen viser videre til at det går frem av brevet at begrepet tillitstjenester er benyttet gjennomgående i hele proposisjonsteksten, men ble altså ikke endret i selve lovforslaget.

Komiteen bemerker at den legger den rettede versjonen av lovforslaget til grunn i sin vurdering ved behandling av denne saken.

Komiteen viser for øvrig til proposisjonen og til merknader i separat innstilling om samtykke til godkjennelse av EØS-komiteens beslutning nr. 22/2018 om innlemmelse i EØS-avtalen av forordning (EU) 910/2014 om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner på det indre marked, jf. Innst. 332 S (2017–2018).

Komiteens tilråding fremmes av en samlet komité.

Komiteen har for øvrig ingen merknader, viser til proposisjonen og rår Stortinget til å gjøre følgende

vedtak til lov

om gjennomføring av EUs forordning om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner i det indre marked (lov om elektroniske tillitstjenester)

§ 1eID og elektroniske tillitstjenester i EØS

EØS-avtalen vedlegg XI Elektronisk kommunikasjon, audiovisuelle tjenester og informasjonssamfunns­tjenester (forordning (EU) nr. 910/2014) om elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner i det indre marked gjelder som lov med de tilpasninger som følger av vedlegg XI, protokoll 1 til avtalen og avtalen for øvrig.

Kongen kan gi forskrift om myndighetssamarbeid, etablering av et felles tillitsmerke, fastsettelse av sikkerhetsnivåer, etablering av rammeverk for sikring av notifiserte nasjonale eID-løsningers interoperabilitet, tillitslister, om akkreditering av samsvarsvurderingsorganer, utforming av samsvarsrevisjonsrapport og regler for gjennomføring av samsvarsrevisjoner, om krav til og sertifisering av kvalifiserte elektroniske signatur- og seglfremstillingssystemer, om kvalifiserte valideringstjenester for elektronisk signatur og elektronisk segl, om referanseformater m.m. for avansert elektronisk signatur og avansert elektronisk segl i offentlig sektor og om fastsettelse av minstekrav til erstatningsansvaret for eID-er som skal brukes i offentlig sektor.

Kongen fastsetter hvilket organ som skal være meldingsmyndighet overfor Europakommisjonen.

Kongen fastsetter hvilket organ som skal opprette, ajourføre og offentliggjøre en tillitsliste.

Kongen fastsetter hvilket organ som skal godkjenne kvalifiserte elektroniske signaturfremstillingssystemer.

§ 2 Etablering av frivillige sertifiseringsordninger, godkjenningsordninger eller selvdeklarasjonsordninger

I de tilfellene der det ikke allerede er et krav om det etter § 1, kan departementet for å høyne nivået for og øke tilliten til bruk av elektroniske tillitstjenester gi forskrift om frivillige sertifiserings-, godkjennings- eller selvdeklarasjonsordninger, herunder hvilke krav som stilles for slike frivillige ordninger.

Departementet fastsetter hvilket organ som skal godkjenne og føre tilsyn med de frivillige ordningene.

§ 3Tilsyn

Kongen fastsetter hvilket organ som skal føre tilsyn med at bestemmelsene gitt i eller i medhold av loven, blir oppfylt.

Som ledd i tilsynsvirksomheten kan tilsynsorganet gjennomføre kontroll hos virksomhetene, kreve de opplysninger og dokumenter som er nødvendige for å utføre tilsynet, og fastsette en tidsfrist for å sende dem inn.

Den som blir kontrollert, plikter å gi tilsynsorganet uhindret adgang til virksomheten, lokaler, utstyr og dokumentasjon og til å gi opplysninger og ellers medvirke til gjennomføringen av kontrollen.

Tilsynsorganet kan gi påbud om at forhold som er i strid med bestemmelser gitt i eller i medhold av denne loven, skal opphøre, og kan stille vilkår som må oppfylles for at virksomheten skal være i samsvar med loven.

Kongen kan gi forskrift om tilsynets virksomhet.

Kongen kan i forskrift bestemme at tjenestetilbydere som er registreringspliktige etter § 1, skal betale avgift. Avgiftene må ikke overstige kostnadene ved tilsynets virksomhet.

§ 4Tvangsmulkt

For å sikre at bestemmelser gitt i eller i medhold av denne loven overholdes kan tilsynsorganet bestemme at en kvalifisert tjenestetilbyder skal betale en daglig løpende mulkt til staten inntil lovstridig virksomhet er opphørt eller pålegg og vilkår gitt med hjemmel i loven er etterkommet. Adgangen til å ilegge tvangsmulkt gjelder tilsvarende for tilsynsmyndigheten for frivillige ordninger regulert i forskrift gitt med hjemmel i § 2.

Mulkten løper ikke før klagefristen er ute. Påklages vedtaket om tvangsmulkt, løper ingen tvangsmulkt før klagesaken er avgjort, med mindre klageorganet bestemmer noe annet.

Tilsynet kan frafalle påløpt tvangsmulkt.

§ 5Straff

Med bøter straffes den som forsettlig eller grovt uaktsomt

a) opptrer som utsteder av kvalifisert tillitstjeneste uten å være registrert som dette etter loven

b) unnlater å gi opplysninger etter § 3,

c) gir uriktige eller villedende opplysninger til tilsynet.

§ 6Klageadgang

Tilsynets avgjørelser etter bestemmelser gitt i eller i medhold av denne loven, kan påklages til det organ Kongen utpeker.

§ 7Avgift

Kongen kan gi forskrift om at tjenestetilbydere som er registreringspliktig etter loven eller etter forskrift gitt med hjemmel i § 2, skal betale avgift. Avgiften må ikke overstige kostnadene ved tilsynets virksomhet.

§ 8Anvendelse på Svalbard og Jan Mayen

Kongen kan gi forskrift om lovens anvendelse på Svalbard og Jan Mayen og fastsette særlige regler under hensyn til de stedlige forhold.

§ 9Ikrafttredelse

Loven gjelder fra den tid Kongen bestemmer. Fra samme tidspunkt oppheves lov 15. juni 2001 nr. 81 om elektronisk signatur.

§ 10Overgangsregler

Forskrifter og enkeltvedtak gitt i medhold av lov 15. juni 2001 nr. 81 om elektronisk signatur, gjelder inntil de blir opphevet. Det samme gjelder utpeking av tilsynsmyndighet og klageorgan samt eventuelle idømte erstatningskrav med hjemmel i samme lov.