id-kort-sluttrapport

Identitetsforvaltning omfatter blant annet regler for å oppnå felles pålogging til mange systemer
(eng. single-sign-on), ved at en bruker hvis identitet er blitt verifisert og godkjent av ett system,
blir overført til et annet system uten å måtte identifisere seg på nytt. En slik overføring krever at
det ene systemet stoler på det andre systemets verifikasjon av identitet – man sier at systemer er i
føderasjon med hensyn til autentisering av brukere.
Selve metoden som benyttes for autentisering kan være en av de som er nevnt ovenfor i dette
kapitlet. Således kan kun én pålogging med en eID med høyt sikkerhetsnivå være tilstrekkelig for
å få adgang til mange systemer uten at det kreves ny autentisering hver gang brukeren kommer
inn i et nytt system. I en slik sammenheng er det grunn til å tro at en pålogging med nasjonalt IDkort
med eID kan oppfattes som mer sikker enn f.eks. en passordbasert pålogging.
I Norge finnes det et begrenset antall sertifikatutstedere, jf. kap. 4.3. Markedet er umodent. Det
preges av såkalte ”nettverkseffekter” (høna-og-egget syndromet), som gjør at det er usikkerhet
for sertifikatutstedere forbundet med kostnader til utrulling av eID til alle innbyggere, og
tilbydere av nettjenester er usikre på om de skal legge til rette for bruk av eID i sine tjenester.
12.2 Regulering av eID og e-signatur i norsk rett
I lov av 15. juni 2001 nr. 81 om elektronisk signatur 22 (e-signaturloven) reguleres de rettslige
rammebetingelsene for bruk av elektronisk signatur og tilknyttede tjenester. 23 Loven trådte i kraft
1. juli 2001. Et viktig formål med loven er å sikre autentisering mellom to parter som ikke kjenner
hverandre. Loven regulerer i hovedsak utstedere av ”kvalifiserte sertifikater”. Til dette
sikkerhetsnivået er det knyttet bestemmelser om erstatning og rettsvirkninger samt tilsyn ved
Post- og teletilsynet.
I lov med tilhørende forskrift 24 stilles det blant annet krav om at identifisering av person som
ønsker et kvalifisert sertifikat må skje ved personlig fremmøte, med mindre vedkommende
allerede er identifisert ved personlig fremmøte gjennom eksisterende kundeforhold. Det er
derimot ikke nærmere angitt hvilke typer av dokumenter som må legges frem ved en slik
identifikasjon. Videre finnes det bestemmelser om at det kvalifiserte sertifikatet må innholde
opplysninger om utstedelse og utløpsdato.
Loven innholder en bestemmelse om at en elektronisk signatur på et nærmere angitt nivå (en
kvalifisert elektronisk signatur) kan oppfylle et krav om underskrift så fremt den aktuelle
disposisjonen kan gjennomføres elektronisk. I samme bestemmelse står også at andre typer av
elektroniske signaturer kan oppfylle slike krav. Det kan også nevnes i denne sammenheng at
rettsvirkning av en disposisjon som skjer elektronisk kan oppnås så vel ved bruk av en digital
signatur som ved ren autentisering, avgjørende er i utgangspunktet hvordan disposisjonen
gjennomføres og partenes vilje til å binde seg.
E-signaturloven innholder også nærmere bestemmelser om innsamling av personopplysninger, jf.
e-signaturloven § 7. Disse kravene gjelder for alle utstedere av elektroniske signaturer uansett
sikkerhetsnivå og oppstiller strengere krav enn de som følger av personopplysningsloven.
Datatilsynet fører tilsyn med at denne bestemmelsen etterleves.
22 Jf. Ot.prp. nr. 82 (1999-2000), Ot.prp. nr. 103 (2001-2002) og Ot.prp. nr. 74 (2004-2005) .
23 Loven er en gjennomføring av EU-direktiv av 13. desember 1999 om en fellesskapsramme for elektroniske
signaturer (1999/93/EC).
24 Jf. forskrift om krav til utsteder av kvalifiserte sertifikater mv.
53