Säkrare transaktioner på internet

SAMMANFATTNING AV FÖLJANDE DOKUMENT:

Förordning (EU) nr 910/2014: om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden

SAMMANFATTNING

VILKET SYFTE HAR FÖRORDNINGEN?

• Förordningen om elektronisk identifiering och betrodda tjänster (eIDAS) skapar ett nytt system för säkra elektroniska transaktioner inom EU mellan företag, privatpersoner och offentliga myndigheter.
• Den syftar till att öka förtroendet för elektroniska transaktioner inom EU samt att öka effektiviteten hos offentliga och privata nättjänster och e-handel. Den är tillämplig på
  • system för elektronisk identifiering* som har anmälts till kommissionen av ett EU-land,
  • tillhandahållare av betrodda tjänster i EU.
• Den avlägsnar de befintliga hindren för användning av elektronisk identifiering i EU. Nu är det enklare för t.ex. ett portugisiskt företag att delta i en offentlig upphandling för ett tjänsteavtal i Sverige, samtidigt som anslag av EU-medel kan hanteras helt och hållet online.

VIKTIGA PUNKTER

Elektronisk identifiering

• Elektronisk identifiering som utfärdats i ett EU-land måste erkännas i övriga länder. Detta gäller endast om den elektroniska identifieringen uppfyller kraven i förordningen, har anmälts till kommissionen och offentliggjorts i en förteckning. Ömsesidigt erkännande av elektronisk identifiering kommer att vara obligatoriskt från och med den 28 september 2018 och göra det lättare att genomföra säkra transaktioner inom EU.
• Ett system för elektronisk identifiering måste specificera en av tre tillitsnivåer (låg, väsentlig, hög) för medel för elektronisk identifiering som har utfärdats inom det systemet. Ömsesidigt erkännande är obligatoriskt endast om den berörda offentliga myndigheten använder tillitsnivån ”väsentlig” eller ”hög” för åtkomst till denna nättjänst.

Anmälan

• När ett system för elektronisk identifiering anmäls till kommissionen ska EU-länderna tillhandahålla bland annat följande uppgifter:
  • Tillitsnivåer och utfärdaren av elektronisk identifiering inom systemet.
  • De tillämpliga systemen för tillsyn och ansvar.
  • Den enhet som hanterar registreringen av de unika personidentifieringsuppgifterna.
• Om ett system för elektronisk identifiering eller autentisering utsätts för en säkerhetsincident ska det anmälande EU-landet vidta följande åtgärder:
  • Utan dröjsmål upphäva eller återkalla den gränsöverskridande autentiseringen eller de berörda utsatta delarna.
  • Informera andra EU-länder och kommissionen.

Skadeståndsansvar

• Om det i samband med en transaktion mellan EU-länder sker ett brott mot bestämmelserna i denna förordning kan följande parter hållas ansvariga för skada som åsamkats en fysisk eller juridisk person avsiktligt eller på grund av oaktsamhet:
  • Ett anmälande EU-land.
  • Den part som utfärdat den elektroniska identifieringen.
  • Den part som sköter autentiseringsförfarandet.

Samarbete och interoperabilitet bland EU-länder

• System för elektronisk identifiering som anmälts ska vara interoperabla. Interoperabilitetsramverket ska vara teknikneutralt och ska inte diskriminera mellan särskilda nationella tekniska lösningar för elektronisk identifiering.

Betrodda tjänster

• I förordningen definieras betrodda tjänster som avgiftsbelagda elektroniska tjänster som består av
  • skapande, kontroll och validering av elektroniska underskrifter, elektroniska stämplar eller elektroniska tidsstämplar, elektroniska tjänster för rekommenderade leveranser och certifikat relaterade till dessa tjänster,
  • skapande, kontroll och validering av certifikat för autentisering av webbplatser,
  • bevarande av elektroniska underskrifter, stämplar eller certifikat relaterade till dessa tjänster.
• Tillhandahållare av betrodda tjänster anses vara kvalificerade om de uppfyller kraven i förordningen. De har laglig rätt att tillhandahålla kvalificerade betrodda tjänster (t.ex. elektroniska underskrifter, stämplar eller certifikat) i alla EU-länder. Betrodda tjänster som tillhandahålls av tjänsteleverantörer i ett land utanför EU ska erkännas som rättsligt likvärdiga, kvalificerade tillhandahållare, under förutsättning att ett avtal har ingåtts mellan EU och det landet utanför EU eller en internationell organisation.

Tillsyn

• EU-länderna ska utse ett eller flera organ som ska ansvara för tillsynen i enlighet med denna förordning. Dessa organ ska samarbeta med dataskyddsmyndigheter i de fall detta är lämpligt.
• Alla tillhandahållare av betrodda tjänster är föremål för tillsyn och riskhantering samt omfattas av anmälningsskyldighet vid säkerhetsbrott.
• Icke-kvalificerade tillhandahållare av betrodda tjänster är föremål för en mindre omfattande tillsyn, vilket innebär att tillsynsorganet endast reagerar om tillhandahållaren misstänks för oegentligheter.
• Kvalificerade tillhandahållare av betrodda tjänster som är etablerade i EU är föremål för strikt tillsyn. Detta omfattar auktorisering av tillsynsorgan i förhand samt översyn minst vartannat år av en organisation som bedömer om kraven i förordningen uppfylls.
• En nytt och frivilligt EU-förtroendemärke ska identifiera kvalificerade betrodda tjänster som tillhandhålls av kvalificerade tillhandahållare.

I ett antal rättsakter som antagits av kommissionen under 2015 fastställs

• genomförandeakter för samarbete mellan EU-länderna avseende elektronisk identifiering,
• specifikationer avseende typen av EU-förtroendemärke för kvalificerade betrodda tjänster,
• interoperabilitetsramverkets tekniska och operativa krav,
• tekniska minimispecifikationer och förfaranden för tillitsnivåerna för medelt för elektronisk identifiering,
• tekniska specifikationer och format avseende förteckningar över betrodda tjänsteleverantörer,
• specifikationer avseende format för avancerade elektroniska underskrifter och avancerade stämplar som ska erkännas av offentliga organ,
• förutsättningar, format och förfaranden för anmälning av system för elektronisk identifiering.

VILKEN PERIOD GÄLLER FÖRORDNINGEN FÖR?

Den trädde i kraft den 17 september 2014.

VIKTIGT BEGREPP

* Elektronisk identifiering: materiella eller immateriella medel för identifiering som innehåller personidentifieringsuppgifter och som används för autentisering för nättjänster.

RÄTTSAKT

Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG (EUT L 257, 28.8.2014, s. 73–114)

De senare ändringarna av förordning (EU) nr 910/2014 har införlivats i originaldokumentet. Denna konsoliderade version har enbart dokumentationsvärde.

Senast ändrat 17.03.2016