id-kort-sluttrapport

16 VEDLEGG A - GJENNOMGANG AV NÆRMERE ANGITTE KRAV I
ESIGNATURLOVEN, OG FORHOLDET TIL AT EID I DET
NASJONALE ID-KORTET ER OFFENTLIG UTSTEDT
Utgangspunktet her er at den eID som skal utstedes av det offentlige vil være et kvalifisert
sertifikat, eller basert på et kvalifisert sertifikat med ytterligere tilleggskrav, som f.eks. Person
Høyt i henhold til ”Kravspesifikasjon for PKI i offentlig sektor”.
Esignaturloven oppstiller en rekke krav overfor utstedere av kvalifiserte sertifikater og til
innholdet av slike sertifikater.
• Lovens virkeområde (§ 2)
Loven gjelder for sertifikatutstedere som er etablert i Norge, den vil også gjelde overfor en
offentlig etat som utsteder sertifikater. I esignaturloven § 3 nr. 10 er sertifikatutsteder definert
som ”en fysisk eller juridisk person som utsteder sertifikater eller tilbyr andre tjenester relatert til
elektronisk signatur”.
• Krav til innhold i kvalifiserte sertifikater (§ 4)
Esignaturloven gir detaljerte krav til hvilken informasjon kvalifiserte sertifikater skal innholde,
bl.a. oppstilles det krav om at sertifikatet innholder sertifikatutstederens identitet og den stat den
er etablert i. Sertifikatet må således innholde navnet på den etat som er sertifikatutsteder.
Dessuten stilles det krav om at dersom det oppstilles ev. begrensninger i sertifikatets
anvendelsesområde eller ev. beløpsmessige begrensninger i sertifikatet med hensyn til hvilke
transaksjoner sertifikatet kan brukes til, må disse begrensingene fremgå direkte i sertifikatet. Det
er ikke tilstrekkelig med f.eks. en peker fra sertifikatet til et annet dokument (f.eks. til
sertifikatpolicyen) der disse begrensningene er angitt, jf. § 22.
• Krav til kvalifiserte elektroniske signaturer brukt i kommunikasjon med og i offentlig
sektor (§ 5)
Ifølge loven kan Kongen ”fastsette nærmere regler om hvilke krav som skal stilles til kvalifiserte
elektroniske signaturer som skal brukes ved kommunikasjon med og i offentlig sektor”. Slike
tilleggskrav skal være objektive, klare og forholdsmessige og sikre likebehandling, og skal bare
gjelde den aktuelle anvendelsens særskilte kjennetegn. Dessuten skal de ikke utgjøre noen
hindring for yting av tjenester til borgerne over landegrensene.
Selv om dette er en bestemmelse som åpner for å gi tilleggskrav til kvalifiserte elektroniske
signaturer - dvs. en avansert elektronisk signatur som er basert på et kvalifisert sertifikat og
fremstilt av et godkjent sikkert signaturfremstillingssystem – burde det neppe være en hindring
for å stille tilleggskrav til kvalifiserte sertifikater som brukes ved kommunikasjon med og i
offentlig sektor. Denne bestemmelsen åpner således for at det kan stilles særskilte krav til eID’er
(basert på kvalifiserte sertifikater) som skal brukes som autentiseringsløsning ved kommunikasjon
med og i offentlig sektor. 32 Esignaturloven er basert på et EU-direktiv, og i hvilken utstrekning
32 Denne bestemmelsen er benyttet som forskriftshjemmel til eForvaltningsforskriften.
87