Oppfølging av avvik for BankID på sikkerhetsnivå «høyt»

I en pressemelding 24. september framgår det at Nkom har sendt varsel om vedtak til de tidligere BankID-utstederne (seks banker), der de konkluderer med at tidligere utstedelse og aktivering av BankID til bruker ikke har oppfylt kravene til sikkerhetsnivå «høyt». Se Nkoms pressemelding her: https://nkom.no/aktuelt/varsler-vedtak-i-bankid-saken

Stø som har overtatt utstederansvaret av BankID, er ikke omfattet av vedtaket. Dette innebærer at varselet ikke får umiddelbare konsekvenser for brukere av BankID-tjenesten. Samtidig har Nkom åpnet tilsyn med Stø for å vurdere om overføringen av kundene fra bankene har skjedd på riktig måte, og om avvikene bankene har hatt, ikke blir med videre.

Hva er konsekvensene for kundene av ID-porten?

• BankID er fortsatt innloggingsmulighet og alle tjenester er fremdeles tilgjengelige via ID-porten
• Ingen tekniske endringer eller tiltak er derfor nødvendige som følge av varselet

Hva er konsekvensene for innbyggere?

Nkom har nå sendt et varsel, ikke et endelig vedtak i saken. De berørte partene vil få anledning til å komme med merknader før Nkom fatter endelig vedtak.

Stø omfattes ikke direkte av varselet, men Nkom har varslet eget tilsyn med Stø.

Hvordan forholder Digdir seg til varselet?

Digdir forventer at Stø følger opp eventuelle avvik i tråd med regelverket, og vil følge den videre prosessen tett. Nkom har ikke fastsatt sluttdato for tilsynet. Digdir følger prosessen og vil oppdatere kundene ved behov. Ut over det vil vi måtte avvente Nkoms vurderinger og vedtak i saken.

Digdirs rolle og ansvar

Digdirs ansvar er å sikre at innbyggere kan identifisere seg på en sikker måte og har trygg tilgang til offentlige digitale tjenester. Nkom er tilsynsmyndighet overfor eID-leverandørene. Stø er selvdeklarert på sikkerhetsnivå «høyt» og står på tillitslisten hos Nkom som vi forholder oss til. Digdir har på dette grunnlaget en gjeldende avtale med Stø slik at BankID (i likhet med flere eID-løsninger) kan brukes til innlogging gjennom ID-porten.

Eventuelle endringer av hvilke eID-løsninger som står på tillitslisten er en vurdering som gjøres av Nkom. Dersom tilsyn resulterer i at en eID-løsning tas av tillitslisten, vil Digdir følge opp de rettslige forholdene knyttet til inngått avtale for bruk i ID-porten.

Hva bør kundene som bruker ID-porten gjøre?

Det er ikke behov for umiddelbare tiltak. Varselet medfører ikke bortfall av BankID i ID-porten, og ingen avbrudd i tilgangen til offentlige tjenester.

Informasjon til virksomheter med tjenester i ID-porten

Vi i Digdir gjør det vi kan for å informere virksomheter med tjenester i ID-porten. Informasjon om saken blir publisert på Samarbeidsportalen og i tillegg vil spesielt viktig informasjon sendes til ID-portens varslingspunkt og direkte til virksomhetene.

• 24. september sendte vi e-post "Oppfølging av avvik for BankID på sikkerhetsnivå "høyt"" til alle som er registrert som varslingspunkt på ID-porten. Den samme meldingen er også sendt til alle virksomhetene

• 15. april holdt vi et digitalt informasjonsmøte der vi informerte om status på saken og snakket om sikkerhetsnivå og risikovurdering av tjenester i ID-porten

• 9. april sendte vi e-post "Viktig informasjon til virksomheter med tjenester i ID-porten" til alle som er registrert som varslingspunkt på ID-porten. Den samme meldingen er også sendt til alle virksomhetene

• 27. mars sendte vi e-post "Oppfølging av avvik for BankID på sikkerhetsnivå "høyt"" til alle som er registrert som varslingspunkt på ID-porten. Den samme meldingen er også sendt til alle virksomhetene