Ser store norske muligheter ved EUs plan om digital lommebok

Tenk deg at du har en digital lommebok hvor du kan oppbevare alle de viktige bevisene dine, som du ved behov kan vise fram til verifiserte, digitale tjenester både i Norge og i store deler av Europa.

Disse bevisene inkluderer en nasjonal, elektronisk ID – tilsvarende BankID, men også ting som aldersbevis, ansettelsesbevis og studiebevis, eller et bevis for at du kan kjøre bil eller er i slekt med dine barn. Det kan også omfatte koronasertifikat, reise- og inngangsbilletter, digitale resepter eller digitale penger. Alle bevisene og informasjonen i lommeboken vil være verifisert av kvalifiserte tilbydere, som blant annet har tilgang til offentlige eller private databaser.

Disse bevisene, eller attributtene, skal ha samme juridiske verdi som om de skulle være utstedt på papir.

Når tjenestetilbydere eller brukersteder ber om informasjonen i lommeboken, vil det være opp til brukeren selv hvilken informasjon disse tjenestestedene skal få tilgang til. Et bilutleiefirma eller en bank kan være typiske eksempler på brukersteder.

Gammel idé, ny innpakning

Digitale lommebøker er ikke noe nytt, men lenge handlet dette mest om mobilbetaling. Apple Wallet (tidligere Apple Passbook) er det mest kjente eksemplet som støtter mye av det som nevnes over. Denne appen kom allerede i 2012, men funksjonaliteten har selvfølgelig blitt kraftig utvidet siden den gang.

Men Apple Wallet er en proprietær løsning for et begrenset publikum – i motsetning til det som nå planlegges i EU- og EØS-landene, hvor standardisering og størst mulig tilgjengelighet er blant målene.

En slik digital lommebok er helt sentralt i en kommende EU-forordning som kalles for eIDAS 2.0. Den bygger videre på den første versjonen av eIDAS, som tar for seg elektronisk identifikasjon og tillitstjenester for elektroniske transaksjoner i det indre marked. Denne forordningen ble norsk lov i 2018.

Selv om eIDAS 1.0 åpnet for bruk av elektroniske ID-er på tvers av medlemslandene i EØS-området, er det fortsatt flere hindringer i veien for å virkeliggjøre dette, inkludert at mange av landene ikke har meldt sine nasjonale eID-er til felles anerkjennelse i EU. Dette er det så langt frivillig å gjøre.

Mer forpliktende

Mye av dette endres med eIDAS 2.0, fortalte Anders Gjøen, en norsk jurist som er ansatt av EU-kommisjonen og har jobbet med eIDAS-forordningen siden 2016, under et webinar om eIDAS 2.0 i forrige uke. Gjøen har vært med på å utforme eIDAS 2.0-forslaget slik det ble presentert i juni 2021.

Rundt 350 personer var påmeldt webinaret, noe som tyder på stor interesse for hva den nye versjonen av forordningen kan bety for norske myndigheter og virksomheter.

Gjøen fortalte at i tillegg til forslaget om en digital lommebok basert på felles spesifikasjoner har EU-kommisjonen i forbindelse med eIDAS 2.0 foreslått at det skal innføres et krav om at land som har nasjonale eID-er, må melde disse for felles anerkjennelse.

Det vil også være avgjørende at lommebruken faktisk kan brukes. Derfor foreslås det ifølge Gjøen i eIDAS 2.0 at det blir obligatorisk å akseptere den i forbindelse med en rekke offentlige og private tjenester hvor det i henhold til lov er nødvendig med identifisering. Eksempler på slike områder er post, helse, telekom, utdanning og bank og finans.

– Alle tjenestesteder som ønsker å bruke lommeboken, må registreres på et eller annet nivå. I en registreringsprosess kan man se hvem som skal få tilgang til for eksempel helsedata og begrense tilgangen til dette, fortalte Gjøen.

En viss hast

Fortsatt er ikke eIDAS 2.0 vedtatt, men Gjøen håper at det vil kunne skje i løpet av året. Det gjenstår fortsatt å utarbeide mange detaljer

– Det er viktig å få den ut så raskt som mulig for å unngå at private løsninger blir de facto standarder, sa han.

Fagdirektør Tor Alvik i Digitaliseringsdirektoratet holdt også foredrag under webinaret. Han fortalte om den norske siden av eIDAS 2.0-forslaget og at en strategi for bruk av eID i det offentlige er under utarbeidelse og at trolig vil komme på høring.

Den grunnleggende utfordringen er at alle som har en eID, skal kunne bruke den i Norge. Alvik fortalte også at det i eIDAS 2.0 ligger en plikt om at staten må sørge for eID som er tilgjengelig for alle og at den digitale lommeboken er gratis tilgjengelig. Det er ennå ikke klart hvordan dette vil bli realisert i Norge.

Også uten smartmobil

På spørsmål fra en tilskuer om hva med dem som ikke har smartmobil, svarte Alvik at forordningsforslaget ikke sier at lommeboken må være en mobilapp

– Det kan være flere løsninger på dette, men dette er ikke ferdig utarbeidet, sa Alvik.

Han mener at harmoniseringen av eID på tvers av de europeiske landene vil gi nye muligheter ved at det åpner opp eID-markedet.

– Det er veldig spennende at dette ikke bare kan brukes av offentlig sektor, men i alle sektorer. Dette gjør det til et veldig nyttig verktøy for brukeren i dagliglivet, sa Alvik.

Sammenhengende tjenester

Spesielt trakk han fram det med attesterte attributter, data knyttet til ID, som særlig spennende.

– Med det nye systemet vil brukeren i mye større grad kunne kontrollere hvordan dataene blir delt og kanskje kunne samle attributter fra flere ulike tjenester, for eksempel ligningsattest og kontonummer, som sammen gir tilgang til en tjeneste som ber om dette, fortalte han.

– Det kan endre hvordan vi tenker på flere ulike ting, som tillitstjenester, men også på hvordan vi deler data. Det vil medføre at vi må tenke på en annen måte, for eksempel informasjonssikkerhet og -forvaltning, samt hvordan vi kan lage sammenhengende tjenester som understøtter ulike livshendelser, som dødsfall og arv, noe det jobbes med i Digdir nå, sa Alvik.

Utarbeides av ekspertgruppe

Parallelt med den juridiske prosessen foregår det også et arbeid som kalles for «Toolbox», hvor lommebokens funksjonalitet og tjenester dekkes og beskrives. Dette gjøres av en gruppe med eksperter, eIDAS Group, som har ukentlige møter.

– Toolbox gir rammene for hvordan en slik lommebok vil bli. Arbeidet startet opp i september i fjor og er ganske krevende. Det er mange spørsmål som krever avklaring, forteller Alvik.

Etter planen skal publiseringen av Toolbox skje i oktober i år.

Ifølge Alvik har det kommet utlysninger under digitalprogrammet i EU om utvikling av en referanseløsning for digital lommebok, samt fire piloter. Det skal være satt av til sammen 70 millioner euro til dette arbeidet.

Kommersielle muligheter

Mads Henriksveen, fagansvarlig for tillitstjenester i Buypass, holdt det tredje og siste foredraget under webinaret. Buypass er en kommersiell norsk aktør som i har jobbet med ID- og tillitstjenester i mer enn 20 år. Selskapet tilbyr i dag tre eID-ordninger på nasjonalt nivå. Ifølge Henriksveen er to av disse nå i en prosess for å bli meldt til felles anerkjennelse i EU/EØS.

Han fortalte blant annet at den digitale lommeboken også vil kunne brukes til å signere med en kvalifisert, elektronisk signatur, basert på et kvalifisert sertifikat.

– Dette er så langt lite brukt i Norge, fortalte Henriksveen.

Også han trakk fram de attesterte attributtene knyttet til eID-en som spesielt interessant – og et område hvor mange muligheter kan åpne seg.

– De vil ha samme juridiske verdi som en attest undertegnet av et advokatkontor, for eksempel, sa han og la til at Buypass vil se på muligheten for å tilby dette.

– Brukerne kan selv bestemme hvilke attributter som blir presentert for en tjenestetilbyder. Attributtene må være hentet fra en tilbyder, som henter dette fra en autentisk kilde.

Autentiske kilder kan være offentlige registre eller andre kilder til informasjon, for eksempel medlemsregisteret i en forening.

– Også tjenestetilbydere som skal lese attributtene, må legge fram et bevis for hvem de er. Og brukerstedet må kunne verifisere at attributtene er pålitelige, sa Henriksveen, som mener at det hele ikke er langt fra å være et paradigmeskifte innen det å tilby digitale tjenester i Europa.

Hele webinaret og de tilhørende presentasjonene er tilgjengelige via denne siden.