id-kort-sluttrapport

• Fra et sikkerhetssynspunkt er det mye som kan tale for at det er en fordel at eID-ene som
skal legges på det nasjonale ID-kortet utstedes av et offentlig organ. Brukerens opplevelse
av tillit til kortet kan svekkes av en sammenblanding mellom offentlige og private
interesser på samme kort. Det er viktig at innholdet/informasjonen på kortet og i eID er
identiske, og det vil sannsynligvis være enklere å ivareta dersom det offentlige både
kontrollerer informasjonen i kortregisteret og informasjonen i sertifikatkatalogen.
Ulemper ved at eID utstedes av offentlig forvaltning
Det har tatt lang tid for markedsaktørene å komme i gang med å utstede eID’er basert på
PKI. Flere utstedere, herunder banker, har registrert seg som utstedere av kvalifiserte
sertifikater først nylig. En grunn til dette er sannsynligvis de signaler som offentlig
forvaltning har sendt om at man vil kreve kvalifiserte sertifikater, herunder
sertifikatklassen Person-Høyt, for noen typer tjenester. Dersom man nå vil etablere en
offentlig utstedt eID på dette nivået, er det ikke umulig at det vil få negative konsekvenser
for de private sertifikatutstedernes utbredelsesstrategier. Markedet for eID domineres i
dag av få aktører (jf. kap. 4). Markedet er i startfasen og ble i Konkurransetilsynets vedtak
V2005-10 avgrenset til å være nasjonalt, men forventes å bli internasjonalt i fremtiden.
Det er et marked der det er store fordeler knyttet til å være først ute, og det er antakelig
begrenset hvor mange eID-løsninger det vil være kommersielt interessant (og
samfunnsøkonomisk lønnsomt) å ha i markedet. Med en slik markedsstruktur kan en
offentlig aktør utgjøre et nyttig korrektiv til et konsentrert kommersielt marked. Samtidig
kan det oppstå problem med statsstøtte dersom offentlig eID tillates brukt mot private
brukersteder. Den offentlige e-utstederen vil da bli en aktør på linje med andre tilbydere
av eID, og spørsmål om statsstøtte reises. En vil også kunne få en situasjon der den
offentlige eID presser ut andre aktører i markedet, som ikke kan tilby sine tjenester gratis.
I så måte vil ordningen innebære en statlig monopolisering av tjenesten.
Dersom den offentlige eID-løsningen også skal kunne brukes av kommersielle
brukersteder vil staten måtte inngå avtale med brukerstedene på linje med kommersielle
aktører. Her gjelder det såkalte ”markedsinvestorprinsippet”: statens engasjement
innebærer offentlig støtte dersom den skjer på betingelser som ikke ville vært akseptable
for en privat investor som opererer under normale markedsøkonomiske forhold (f.eks.
hvis staten driver med underskudd). Mao: dersom det gis gunstigere økonomiske vilkår
enn en privat investor ville gjort, utgjør differensen offentlig støtte.
Fordeler ved at eID utstedes av en privat markedsaktør
• Det eksisterer allerede flere markedsaktører som utsteder eID. Sannsynligvis eksisterer
det allerede i dag utstedere av en sertifikatklasse på et nivå som er tilstrekkelig sikkert, jf.
Person-Høyt i Kravspesifikasjon for PKI i offentlig sektor. Ved å benytte seg av et
eksisterende tilbud i markedet, vil man i offentlig sektor ikke behøve å etablere noe nytt
og derved heller ikke skape negativ påvirkning på dette markedet, ved at inntekstpotensial
for private aktører reduseres.
Ulemper ved at eID utstedes av en privat markedsaktør
• Dette alternativ vil kreve utlysning av en offentlig konkurranse med påfølgende
anskaffelse. Det blir da vanskelig å gjennomføre en parallell anskaffelse av selve kortet til
formålet, da dette trolig kan gjøres først når utstederspørsmålet er avklart, for å sikre at
kortprodusenten og eID-utstederen samspiller på en hensiktsmessig måte.
• En valgt markedsaktør kan fort komme i en monopolstilling i markedet.
78