eIDAS-forordningen omfatter flere typer tillitstjenester

Mens dagens regelverk regulerer elektronisk identifisering og signering, vil det nye rammeverket utvides til å omfatte flere typer elektroniske tillitstjenester (elektroniske segl, elektronisk tidsstempling, elektronisk meldings­utveksling, sertifikater for webside-autentisering og lagringstjenester for esignatur og elektroniske segl).

eIDAS-rammeverket definerer tillits­nivåene lav, betydelig og høy, for de ulike tjenestene. Dette betyr at de fire norske sikkerhetsnivåene må konsolideres slik at de harmoniserer med de europeiske. I praksis benyttes nivå 3 (MinID) og 4 (BankID, Buypass, Commfides) som trolig vil tilsvare henholdsvis Betydelig og Høy. I tillegg omtales tjenestene som Kvalifisert når tjenesten er notifisert og underlagt periodisk tilsyn av nasjonale myndigheter. I praksis betyr dette at tilbydere av kvalifiserte tillitstjenester må få utført en kontroll av et samsvarsvurderingsorgan («conformity assessment body») og melde dette til Nasjonal Kommunikasjonsmyndighet (NKOM) før tjenesten kan bli godkjent som en kvalifisert tjeneste fra tilbyderen.

Pr. mai 2018 er det 189 tilbydere av Kvalifiserte Sertifikater for elektronisk signatur i EU/EØS, hvorav ni i Norge (BankID (6), Buypass, Commfides og Equinor/Statoil) (se https://webgate.ec.europa.eu/tl-browser/#/). Merk at verken Sverige eller Danmark ennå har tilbydere av Kvalifiserte Sertifikater for elektronisk signatur.

Offentlig vs. privat sektor

Det er ikke sikkert at eIDAS-forordningen stod øverst på ønskelisten til offentlig sektor i Norge. Det kan virke som om anerkjennelsesplikten skaper flere problemer enn den løser, særlig for Difi og ID-porten som må integrere seg mot en rekke andre eIDAS-noder i Europa. Samtidig er det ca. 1,6 millioner personer med aktive d-nummer i Norge, som allerede har mulighet til å anskaffe elektronisk ID fra norske ID-leverandører og benytte seg av norske offentlige tjenester på den måten.

Privat sektor har imidlertid ikke den samme tilgangen til de offentlige ID-portalene, og samhandling mellom private aktører foregår heller ikke via et rammeverk for strukturerte data som det offentlige gjør med skjema­definisjoner og innrapportering via Altinn. Privat sektor er likevel i mange situasjoner lovpålagt å foreta både legitimering, signering og alderskontroll. Kundekontroll i henhold til hvitvaskingsloven er et eksempel som i stor grad følger de samme reglene i Europa, og eIDAS gjør det mulig for en person å legitimere seg elektronisk på et nivå som kan anerkjennes som tilfredsstillende ved etablering av kundeforhold i hele Europa.

De offentlige tjenestene anvender i liten grad elektronisk signering. Fordi man først identifiserer seg ved pålogging til ID-porten, krever de fleste tjenestene bare at man trykker på en knapp som det står «Signer og send inn» for å forplikte seg, selv om ikke dette er elektronisk signering etter eIDAS- rammeverket. Riktignok likestiller forordningen elektronisk underskrift bare med en håndskrevet underskrift, men en Kvalifisert Elektronisk Signatur (QEsign) er likevel et langt kraftigere verktøy for privat sektor enn en håndskrevet underskrift. Nettopp fordi en signatur ikke bare autentiserer signatarene, men også tidfester og sikrer dokumentinnholdet, har man oppnådd samme sikkerhet og dataintegritet som avkreves i det offentlige på høyeste sikkerhetsnivå. Samtidig kan signerte dokumenter kopieres, sendes på e-post, lagres på alt fra minnepinner til sky­tjenester både innenfor og utenfor sikre nettverk, og likevel ivareta det autentiske innholdet og de påførte signaturene.

Når digitale signaturer er gyldige

Etter norsk lov (Lov om avslutning av avtaler, om fuldmagt og om ugyldige viljeserklæringer [avtaleloven]) er det partene selv som fastsetter på hvilken måte de ønsker å forplikte seg til en avtale, og en muntlig avtale kan derfor være like bindende som en skriftlig med digital signatur. Juridisk gyldighet er heller et spørsmål om hvorvidt det kan sannsynliggjøres at partene hadde til hensikt å forplikte seg til en avtale. I denne sammenhengen vil signatur være én faktor, men også det at partene har etterlevd en avtale over tid, kan bidra til å sannsynliggjøre at avtalen fortsatt forplikter partene.

Dersom det ikke er snakk om en gjensidig avtale mellom to parter, men selskapsdokumentasjon som årsregnskap, styreprotokoller, fullmakter og revisjonsberetning, vil dokumentets gyldighet i større grad hvile på signaturene i dokumentet. En kvalifisert elektronisk signatur er tilnærmet umulig å forfalske og gir oss først og fremst en teknisk gyldighet som langt overgår håndskrevne underskrifter.

Hvordan man vet at et dokument er elektronisk signert i tråd med ­forordningen

Elektroniske dokument- og signaturformater som skal anerkjennes av offentlige myndigheter, reguleres av Kommisjonens gjennomføringsbeslutning (EU) 2015/1506 av 8. september 2015.

Gjennomføringsrettsakten omfatter flere formater, blant annet PAdES, XAdES, og CAdES. Medlemsland kan også benytte andre formater gitt at det etableres en valideringstjeneste for formatet. Felles for de nevnte formatene er at de benytter Avansert Elektronisk Signering. Særlig PAdES (PDF med Avansert Elektronisk Signatur) kan både leses og valideres gratis i vanlig PDF-leser. Adobe Acrobat Reader har god støtte for både visning og validering av PAdES dokumenter, herunder validering i henhold til tillitstjenestene i EU (EUTL). Også andre PDF-lesere støtter visning av PAdES dokumenter, men kan være noe umodne i forhold til valideringsfunksjonaliteten.

Autentisering – valideringsfunksjon i pdf

Hvordan vet man at et dokument er autentisk med gyldige signaturer i tråd med forordningen? For PDF-dokumenter utføres dette relativt enkelt ved å benytte valideringsfunksjonen i PDF-leseren. Dersom denne viser at signaturen er gyldig, signert av forventet person, og at signaturen er i henhold til EU-regulativ 910/2014, har man et dokument og en signatur som følger retningslinjene i forordningen til punkt og prikke. Bildet under viser Signaturegenskaper for en ­Kvalifisert Elektronisk Signatur (med sertifikat fra QuoVadis EU Issuing ­Certification Authority G4).

Gyldige norske løsninger

De norske eID-løsningene (BankID, Buypass, og Commfides) valideres også som gyldige og klarerte i henhold til EUTL, men mangler foreløpig betegnelsen ­Kvalifisert etter EU-regulativ 910/2014. Bildet under viser Signaturegenskaper for PAdES med norsk BankID-signatur.

De nevnte norske eID-løsningene er allerede registrert i EUTL som kvalifiserte sertifikatutstedere, og vil også kunne oppnå Kvalifisert nivå på signering etter at forordningen trer i kraft slik at de også kan nyte godt av rettsvirkning utenfor Norge.