Gjøvik-firma kan ha løsning som gjør BankID sikker nok

Nasjonal Kommunikasjonsmyndighet (Nkom) har ikke vært fornøyd med at kodebrikkene som brukes for å aktivere BankID har blitt sendt med posten rett til brukernes postkasser som vanlige brev.

Nkom mener at dette ikke tilfredsstiller kravet om at brikkene skal utleveres med fysisk identitetskontroll, noe regelverket krever på høyeste sikkerhetsnivå.

I mars truet derfor Nkom med å frata BankID godkjenningen for sikkerhetsnivå «Høyt». Skjer det vil det kunne føre til at BankID ikke kan brukes til digital signering av lånedokumenter og kontrakter, og til å identifisere seg for å bruke visse tjenester på helsenorge.no, Skatteetaten og Altinn.

I redegjørelsen selskapet Stø, som har utviklet dagens BankID-løsning, sendte til Nkom like før fristen gikk ut onsdag 22. april, lanserer de imidlertid en løsning på sikkerhetskravet som trolig vil berolige Nkom.

Og den løsningen er det Gjøvik-selskapet Mobai som har utviklet, i samarbeid med Posten.

Aktiveres på postkontoret

ID-kontroll er en videreutvikling av Personlig Utlevering med Mottaksbevis (PUM), som var en tjeneste Posten tilbød fram til november 2025, og som skulle sørge for at man kunne være helt sikker på at en forsendelse ble utlevert til rett mottaker.

Nkoms sikkerhetsdirektør Svein Sundfør Scheie sier til Digi at denne tjenesten tilfredsstilte kravene for å sikre at kodebrikken ble levert til rett person.

Løsningen har imidlertid aldri blitt brukt i forbindelse med utlevering av kodebrikker, skriver administrerende direktør i Stø, Øyvind Westby Brekke, til Digi.

ID-kontroll, som utviklerne i Mobai populært kaller PUM 2.0, ligger imidlertid an til å bli tatt i bruk nettopp til utlevering av BankID-kodebrikker.

– En av løsningene vi nå jobber sammen med bankene om å etablere, er at man får en inaktiv kodebrikke i posten, og må møte opp hos en betrodd tredjepart, for eksempel postkontor eller post i butikk, for identitetskontroll og få aktivert kodebrikken.

PUM 2.0 vil være et supplement til at kundene møter opp på et bankkontor, for de bankene som er heldigitale eller har mange kunder som bor langt unna nærmeste bankkontor, skriver Westby Brekke.

Han legger imidlertid til at Stø og bankenes vurdering er at dagens rutine oppfyller alle krav til utstedelse av en eID på sikkerhetsnivå høyt, også for utlevering av kodebrikker.

– Regelverket stiller ikke krav til hvordan denne utleveringen skal skje, og det er ikke eksplisitte krav til fysisk oppmøte i forbindelse med utleveringen av kodebrikken. Likefullt tar vi Nkoms vurderinger på alvor, og endrer rutinen slik at alle nye kodebrikker kun vil distribueres eller aktiveres ved fysisk oppmøte, sier han.

Sundfør Scheie skriver til Digi at Nkom ennå ikke har gjort en konkret vurdering av ID-kontroll/PUM 2.0, men at de synes det er bra og interessant at det kommer en ny tjeneste som skal gi sikker identifikasjon og sikre utlevering til rett person.

Klar til bruk

Brage Strand, daglig leder i Mobai, sier til Digi at ID-kontroll/PUM 2.0 i praksis er samme type tjeneste som den nedlagte PUM-tjenesten. Han mener imidlertid at PUM 2.0 innebærer en veldig kvalitetsforbedring i forhold til PUM 1.0, også sikkerhetsmessig.

– Vi gjør flere kontroller både av dokument og person, og det er færre muligheter for manuell overstyring, noe som var grunnen til flere feil i den forrige versjonen, sier han.

Strand poengterer at PUM 2.0 ble etablert nettopp for å være en tjeneste tilrettelagt for sikker etablering av eID, og forklarer at Tjenesten innebærer både manuell og automatisk ID-kontroll, og aktivering av elektronisk ID.

Han forteller Posten-ansatte som skal håndtere tjenesten, har gjennomgått et opplæringsprogram, og at det stilles krav til hvilke ID-dokumenter som kan benyttes, blant annet at de kan leses maskinelt.

Det vil heller ikke være mulig å få aktivert andres kodebrikker selv om man har med fullmakt fra dem.

Strand sier til Digi at både de og Posten allerede er klare til å sette ID-kontroll i drift for aktivering av BankID.

ID-kontroll (PUM 2.0) er en tjeneste Posten har tilbudt siden den opprinnelige PUM-tjenesten ble lagt ned høsten 2025.

På spørsmål om hvorfor PUM 2.0 ikke har vært tatt i bruk tidligere, svarer Stø-sjefen at Mobai har brukt tid på å utvikle den tekniske løsningen og de kommersielle og juridiske avtalene som har trengtes for å lage en kobling mellom identitet og kodebrikke.