Varsler vedtak i BankID-saken
Nkom har konkludert med at seks tidligere BankID-utstedere ikke har oppfylt kravene til sikkerhetsnivå «høyt». Det varslede vedtaket får ingen konsekvenser for brukere av BankID.
Varselet gjelder seks tidligere BankID-utstedere: Bankenes ID-tjeneste, Danske Bank, DNB Bank, Eika Gruppen, Nordea, og SpareBank 1.
Selskapet Stø skal etter det Nkom kjenner til, ha overtatt utstederansvaret for alle BankID-kundene. Stø omfattes ikke av varsel om vedtak, og BankID kan derfor fortsatt brukes som normalt.
– Vi har konkludert med at den tidligere utstedelsen og aktiveringen av BankID ikke oppfyller kravene til sikkerhetsnivå «høyt». Nkom har tidligere etterspurt flere tiltak fra Stø for å rette opp feil. Vi ser at flere av tiltakene vi har etterspurt nå gjennomføres raskere enn planlagt fra aktørene. Det er positivt, sier Sander Norrøne Ask, seksjonssjef i Nasjonal kommunikasjonsmyndighet (Nkom).
Han legger til:
– Nå som utstederansvaret for BankID er samlet hos Stø, vil vi som tilsynsmyndighet vurdere om overføringen av kundene fra bankene til Stø har skjedd på riktig måte. Det blir viktig å vurdere om avvikene bankene har hatt, ikke blir med videre. Nkom vil følge opp Stø i et eget tilsyn, som blant annet vil se på dette.
Ask understreker at det er for tidlig å si når tilsynet vil være ferdig.
– Elektroniske ID-løsninger er avgjørende for at vi skal kunne bruke mange offentlige og private tjenester på en trygg og effektiv måte. Som tilsynsmyndighet skal vi kontrollere at løsningene oppfyller kravene i regelverket. Dette er et omfattende og viktig arbeid som tar tid, sier Ask.
Selskapene får nå tre uker på seg til å komme med innspill før Nkom fatter vedtak i saken. Dersom vedtaket blir påklaget, er det Digitaliserings- og forvaltningsdepartementet som tar den endelige avgjørelsen i saken. Nkom har konkludert med at seks tidligere BankID-utstedere ikke har oppfylt kravene til sikkerhetsnivå «høyt». Bakgrunnen er et kjent avvik knyttet til utstedelse og aktivering av enkelte kodebrikker. Vedtaket gjelder Bankenes ID-tjeneste, Danske Bank, DNB, Eika Gruppen, Nordea og SpareBank 1 Utvikling. Stø skal etter det Nkom kjenner til, ha overtatt utstederansvaret for alle BankID-kundene. Stø omfattes ikke av varsel om vedtak, og BankID kan derfor fortsatt brukes som normalt. Dersom Nkom fatter et vedtak i saken vil de tidligere BankID-utstederne bli tatt av listen over utstedere på nivå høyt. Nkom har varslet eget tilsyn med Stø for å vurdere om overføringen av kunder fra bankene har skjedd på riktig måte.
Spørsmål og svar:
Hvorfor mener Nkom at kravene til sikkerhetsnivå «høyt» ikke er oppfylt?
Bakgrunnen er at sikkerhetsnivå «høyt» stiller krav om at en skal være helt sikker på at den som mottar en elektronisk identifikasjon også er den som tar den i bruk. Praksis ved utstedelse av BankID-kodebrikker er vurdert å ikke være tilstrekkelig for å oppfylle kravet.
Kan jeg fortsatt bruke BankID?
Ja. BankID kan brukes som normalt.
Hvorfor får vedtaket ingen praktiske konsekvenser for brukerne?
Selskapet Stø skal etter det Nkom kjenner til, ha overtatt utstederansvaret for alle BankID-kundene. Stø omfattes ikke av varsel om vedtak, og BankID kan derfor fortsatt brukes som normalt.
Vet Nkom om Stø oppfyller kravene?
Stø har selverklært sin løsning til å være på sikkerhetsnivå «høyt», og Nkom fører nå et eget tilsyn med Stø for å kontrollere at Stø oppfyller sikkerhetskravene.
Hva skjer dersom Nkom finner avvik hos Stø i sitt tilsyn?
Dersom tilsynet avdekker at kravene i regelverket ikke er oppfylt, vil Nkom følge opp dette i tråd med regelverket. Det er for tidlig å si noe om eventuelle konsekvenser før tilsynet er gjennomført.