Infrastrukturen för Svensk e-legitimation

Transkript

1 1 (7)

2 2 (7) 1. Bakgrund 1.1 Enligt förordningen (2010:1497) med instruktion för E-legitimationsnämnden ska nämnden stödja och samordna elektronisk identifiering och signering i den offentliga förvaltningens e-tjänster samt utveckla specifikationer och liknande krav som ska vara gemensamma för myndigheter under regeringen i deras användning av e-legitimationer. 1.2 E-legitimationsnämnden har tagit fram förslag till en vidareutvecklad lösning för e-legitimationer som övergripande beskrivs i följande figur. INFRASTRUKTUREN FÖR SVENSK E-LEGITIMATION Leverantörer av eid-tjänst Avtalsrelation (sluts av federationsoperatören på uppdrag av respektive part) Anslutningsavtal, inkl. - regelverk - tillitsramverk, - tekniskt ramverk, och - övriga bilagor Federationsoperatör Anslutningsavtal, inkl. - regelverk, - tekniskt ramverk, och - övriga bilagor Tillhandahållare av e-tjänster e-tjänst e-tjänst Interna avtal IDENTITETSFEDERATION FÖR SVENSK E-LEGITIMATION Utfärdare av Svensk e-legitimation Utfärdare e-legitimation Utfärdare e-legitimation Anslutningsavtal, bl.a. inkl. - tillitsramverk, och - övriga bilagor E-legitimationsnämnden BASSTRUKTUR FÖR SVENSK E-LEGITIMATION Figur 1: Roller och relationer inom

3 3 (7) 2. Identitetsfederationer för Svensk e-legitimation 2.1 Allmänt En identitetsfederation för Svensk e-legitimation (identitetsfederation) är en modell för samarbete mellan (a) (b) (c) parter som tillhandahåller e-tjänster där det krävs elektronisk legitimering eller elektronisk underskrift (tillhandahållare av e-tjänst), parter som levererar identitetsintyg i elektronisk form med uppgifter om en e-legitimationsinnehavares identitet och attribut (leverantörer av eid-tjänst), och en part som handlägger och administrerar anslutning till federationen och tillhandahåller de register och tjänster som behövs för att samordna leverans av intygen till e-tjänsterna (federationsoperatören) En identitetsfederation ska göra det möjligt för varje tillhandahållare av e-tjänst att köpa tjänster från alla leverantörer av eidtjänst utan att behöva förhandla om avtal eller införa särskilda tekniska lösningar i förhållande till varje leverantör. Genom att avtal och tekniska lösningar standardiseras och förvaltas av federationsoperatören kan en tillhandahållare av e-tjänst införa ett system och få tillgång till tjänster från alla anslutna leverantörer av eid-tjänst Anslutning av en tillhandahållare av e-tjänst respektive en leverantör av eid-tjänst till en identitetsfederation ska ske efter ansökan hos federationsoperatören, genom att operatören tecknar avtal om anslutning (anslutningsavtal) med den anslutande parten. I varje anslutningsavtal ska Regelverket för identitetsfederationer för Svensk e-legitimation (se punkt 3.2 nedan) ingå, vilket anger standardiserade regler för parterna i identitetsfederationen, bland annat att identitetsintyg ska grunda sig på e-legitimationer som utfärdats enligt reglerna i Tillitsramverket för Svensk e-legitimation (se punkt 3.2 nedan), samt att parterna ska följa de tekniska specifikationer som framgår av Tekniskt ramverk för Svensk e-legitimation Federationsoperatören ska ingå anslutningsavtalen med en leverantör av eid-tjänst både för egen räkning och på uppdrag av

4 4 (7) redan anslutna tillhandahållare av e-tjänst. En tillkommande tillhandahållare av e-tjänst ansluts till avtalet på uppdrag av tillhandahållaren och leverantören av eid-tjänst. På detta sätt uppkommer ett standardiserat avtalsförhållande (med en standardiserade tekniska specifikationer) mellan varje tillhandahållare av e-tjänst och varje leverantör av eid-tjänst, vilket gör att leveranser kan ske på samma villkor mellan alla leverantörer eid-tjänst och alla tillhandahållare av e-tjänst. 2.2 Identitetsfederationen för offentlig sektor E-legitimationsnämnden ska, i rollen som federationsoperatör, inrätta en identitetsfederation för offentlig sektor till vilken tillhandahållare av e-tjänst inom den offentliga sektorn kan anslutas för att få tillgång till tjänster från anslutna leverantörerer av eid-tjänst (vilka kan vara såväl privata som offentliga och såväl kommersiella som icke-kommersiella) Inom identitetsfederationen för offentlig sektor ska en e-legitimationsinnehavares val av e-legitimationsutfärdare styra vilken leverantör av eid-tjänst som ska få leverera intyg i elektronisk form med uppgifter om en innehavarens identitet och attribut (identitetsintyg). Det får därför finnas en leverantör av eid-tjänst för varje e-legitimation (men det ska finnas möjlighet att knyta en eller flera utfärdare av e-legitimationer, som inte själv vill vara leverantörer av eid-tjänst, till någon som vill vara leverantör för dennes e-legitimationer). Ett identitetsintyg från en leverantör av eid-tjänst ska därför grunda sig på en Svensk e-legitimation som utfärdats av leverantören eller en Svensk e-legitimation som leverantören, enligt avtal med utfärdaren av e-legitimationen, ensam har rätt att lägga till grund för att utfärda identitetsintyg inom identitetsfederationen för offentlig sektor I syfte att åstadkomma en hållbar försörjningslösning för offentlig sektor som ger tillhandahållare av e-tjänst en möjlighet att ersätta leverantörer av eid-tjänst i överensstämmelse med upphandlingslagstiftning, kommer leverantörer av eid-tjänst att tilldelas valfrihetssystem i enlighet med den nya lag (2013:311) om valfrihetssystem i fråga om tjänster för elektronisk identifiering som träder i kraft den 1 juli Valfrihetssystem kommer enligt lagen att tilldelas i ett led, dvs. direkt mellan tillhan-

5 5 (7) dahållare av e-tjänst och leverantör av eid-tjänst, men E-legitimationsnämnden kommer att hantera tilldelningen och administrationen av valfrihetssystemen på uppdrag av tillhandahållarna av e-tjänst. Anslutningsavtalet för tillhandahållare av e-tjänst kommer att ge E-legitimationsnämnden uppdrag att för tillhandahållaren av e-tjänsts räkning tilldela valfrihetssystem, och anslutningsavtalet för leverantör av eid-tjänst kommer att fungera som såväl leveransavtal som ansluttningsavtal för leverantören efter tilldelningsbeslut har fattats. Inga ytterligare avtal utöver anslutningsavtalen behöver således tecknas för att hantera valfrihetssystemen. 3. Basstrukturen för Svensk e-legitimation 3.1 En gemensam grund en basstruktur ska skapas för funktioner för elektronisk legitimering och elektronisk underskrift (basstrukturen). Basstrukturen ska styras och förvaltas av E-legitimationsnämnden. 3.2 I rollen som ansvarig för basstrukturen ska E-legitimationsnämnden upprätta gemensamma regler dels för utfärdande av Svensk e-legitimation (Tillitsramverket för Svensk e-legitimation), dels för parterna inom identitetsfederationer för Svensk e-legitimation (Regelverket för identitetsfederationer för Svensk e- legitimation). Reglerna ska användas inom identitetsfederation för offentlig sektor. E-legitimationsnämnden ska dock utforma reglerna så att de även kan användas i en eller flera identitetsfederationer för privat sektor. 3.3 Det ska finnas ett särskilt igenkänningstecken för Svensk e-legitimation som endast får användas av de parter som genom att teckna ett anslutningsavtal för utfärdare av Svensk e-legitimation accepterat att följa reglerna i Tillitsramverket för Svensk e-legitimation (utfärdare av Svensk e-legitimation). Härigenom kan nämnden skapa kontroll över att oseriösa aktörer inte ger ut Svensk e-legitimation. 3.4 E-legitimationsnämnden ska vidare tillhandahålla vissa centrala och gemensamma funktioner såsom uppföljning (avtalsgrundad tillsyn), vägledning och test. 3.5 E-legitimationsnämnden förvaltar basstrukturen genom att styra och besluta om ändringar i regler och andra grundläg-

6 6 (7) gande förutsättningar. Sådana ändringar ska ske först efter samråd med centrala aktörer i ett förvaltningsforum. Samråd m.m. ska ske i enlighet med E-legitimationsnämndens interna föreskrifter [ ] om förvaltning av infrastrukturen för Svensk e-legitimation. 4. Regel- och avtalsdokument 4.1 Basstrukturen Anslutningsavtal för Utfärdare av Svensk e-legitimation: Avtal för anslutning av e-legitimationsutfärdare till basstrukturen. Genom avtalet förbinder sig utfärdaren att följa Tillitsramverket för Svensk e-legitimation och får i gengäld rätt att använda särskilda kännetecknen för Svensk e-legitimation Tillitsramverket för Svensk e-legitimation: Innhåller krav för utfärdare av Svensk e-legitimation, fördelade på olika skyddsklasser tillitsnivåer som svarar mot olika grader av teknisk och operationell säkerhet hos utfärdaren och olika grader av kontroll av att en person som tilldelas en elektronisk identitet verkligen är den han eller hon utger sig för att vara. Tillitsramverket förekommer som bilaga till såväl anslutningsavtal för Utfärdare av Svensk e-legitimation som Regelverket för identitetsfederationer för Svensk e-legitimation, och kravställs således både mot Utfärdare av Svensk e-legitimation och Leverantör av eidtjänst 4.2 Identitetsfederationer Anslutningsavtal för Leverantör av eid-tjänst: Avtal för anslutning av leverantör av eid-tjänst till Identitetsfederationen för offentlig sektor Anslutningsavtal för Tillhandahållare av e-tjänst: Avtal för anslutning av tillhandahållare av e-tjänst till Identitetsfederationen för offentlig sektor. 2 1 Anslutningsavtalet för Leverantör av eid-tjänst är upprättat för identitetsfederationen för offentlig sektor men en privat federation kan naturligtvis använda dokumentet som förlaga. 2 Anslutningsavtalet för Tillhandahållare av e-tjänst är upprättat för identitetsfederationen för offentlig sektor men en privat federation kan naturligtvis använda dokumentet som förlaga.

7 7 (7) Regelverk för identitetsfederationer för Svensk e-legitimation: Reglerar förhållandet mellan parterna i en identitetsfederation, dvs. Federationsoperatören, tillhandahållare av e-tjänst och leverantörer av eid-tjänst. Till regelverket hör en rad bilagor, bl.a. Tillitsramverket för Svensk e-legitimation och det Tekniska ramverk för Svensk e-legitimation.