id-kort-sluttrapport

valideringstjeneste (jf. nedenfor) vil typisk hente opplysninger herfra i tillegg til fra
statustjenesten. Katalogtjenesten skal være tilgjengelig ved hjelp av elektronisk kommunikasjon,
og det spiller antakelig mindre rolle for realisering av formålet med offentlig utstedt eID hvilken
organisasjon som utfører disse oppgavene på sertifikatutsteders vegne og hvor organisasjonen er
lokalisert. Tjenesten skal imidlertid utøves i henhold til retningslinjer gitt av sertifikatutstederen.
Tjenesten kan kjøpes fra en privat virksomhet og kan være samlokalisert med katalogtjenester for
andre sertifikatutstedere.
For å opprettholde et hensiktsmessig sikkerhetsnivå er det nødvendig med prosedyrer som gjør
det mulig å trekke tilbake, eller gjøre ugyldige, sertifikater knyttet til nøkler som av en eller annen
årsak ikke lenger skal benyttes. Dette organiseres innenfor rammen av en varslingstjeneste og
distribueres via en statustjeneste som kan være samlokalisert med katalogtjenesten, men den
behøver ikke være det. Varslingstjenesten må være lett tilgjengelig for sertifikatinnehaveren, men i
og med at kommunikasjonen vanligvis vil skje elektronisk, per telefon eller brev, spiller det
antakelig også her liten rolle hvilken organisasjon som utfører disse oppgavene på vegne av
sertifikatutsteder. eID-innehaverne kan også ha behov for brukerstøtte ifm eventuell installering
av kortleser og programvare på egen maskin, og ifm bruk av sin eID. Brukerstøtte og
varslingstjenesten kan tilbys av det offentlige selv eller av en privat virksomhet. Brukerstøtte vil
antakelig kreve en ikke ubetydelig kapasitet til å behandle henvendelser. Man kan tenke seg at
politiet, som også er registreringsenhet, kan drive en døgnåpen varslingstjeneste, mens
brukerstøttetjenesten kjøpes inn fra en privat virksomhet.
Forsvarlig bruk av eID forutsetter at brukerstedet har forvisset seg om at sertifikatet er egnet for
den aktuelle bruk og at det ikke er trukket tilbake. På grunn av de praktiske vanskeligheter med å
innhente den nødvendige informasjon om sertifikattjenestens egnethet for brukerstedets formål,
vil det være behov for en valideringstjeneste som på brukerstedets vegne utfører oppgaven.
Valideringstjenesten er en viktig rolle for effektiv bruk av sertifikater. Også denne tjenesten vil
være tilgjengelig elektronisk, og det spiller således liten rolle hvor den er lokalisert. Derimot har
det stor betydning hvordan den er organisert. Vi kommer tilbake til dette i et eget avsnitt
nedenfor. Valideringstjenesten kan være en del av en ny offentlig sikkerhetsportal, eller den kan
kjøpes i markedet (slike tjenester er tilgjengelige i markedet).
En annen viktig aktør er den som skal utnytte sertifikattjenesten – nemlig brukeren. Brukeren
opptrer i to roller. Vi bruker i det følgende begrepet sertifikatinnehaver om den som rettmessig
disponerer et sertifikat, d.v.s. utpekes i sertifikatet som innehaver av den offentlige nøkkelen i
sertifikatet (eID-innehaveren). Videre benytter vi begrepet sertifikatmottaker, om den som
foretar en handling på grunnlag av validert sertifikat (eID), typisk et brukersted, f.eks. en offentlig
virksomhet.
12.5.2 Særlig om registreringsenheten og valideringstjenesten
Organiseringen av registreringsenheten og valideringstjenesten er sentral for utbredelse og
praktisk bruk av eID. De er også sentrale komponenter i forhold til kvaliteten på opplysningene
som inngår i, eller er knyttet til, en eID, og mulighetene for forsvarlig bruk av eID på
sertifikatmottakersiden (hos brukerstedene).
Nærmere om registreringsenheten
Registreringsenheten kan organiseres slik at søknad om eID skjer ved personlig fremmøte hos
registreringsenheten, og at legitimasjonskontroll mv skjer i forbindelse med innlevering av
søknaden, slik ordningen er f.eks. for pass i dag. Det kan imidlertid være aktuelt å se på andre
løsninger, f.eks. mulighetene for å benytte en ”omvendt” registreringsenhet, der identitetskontroll
61