18 Økonomiske og administrative konsekvenser

18.1 Forslaget

Rettsakten vil få administrative og økonomiske konsekvenser i forbindelse med nett-tjenester som omfattes av anerkjennelsesplikten og eventuell notifisering av norske eID-løsninger. Det må tilrettelegges for innlogging med utenlandsk eID og for at notifiserte norske eID-er kan benyttes i nett-tjenester i utlandet/EØS. Offentlige myndigheter som krever bruk av elektroniske signaturer eller segl vil iht. forordningen (art. 27 og 37) måtte anerkjenne tilsvarende signaturer eller segl fra utlandet i nærmere bestemte formater. Enklere gjenbruk av eID-er forventes imidlertid å føre til økt anvendelse av digitale selvbetjeningsløsninger både nasjonalt og på tvers i EU/EØS og følgelig medføre kostnadsbesparelser og samfunnsøkonomiske gevinster.

Et mer omfattende tilsynsregime og en rapporteringsplikt for tilsynsmyndigheten til Kommisjonen og ENISA (European Union Agency for Network and Information Security), vil videre få økonomiske og administrative konsekvenser for Nasjonal kommunikasjonsmyndighet (Nkom) som er foreslått som tilsynsmyndighet. Økte kostnader hos Nkom vil medføre økte avgifter for markedsaktørene, jf. prinsippet om at aktørene skal dekke kostnadene ved tilsynet.

Norsk akkreditering er nasjonalt akkrediteringsorgan. Et samsvarsvurderingsorgan som vil bli akkreditert i Norge, må søke om dette til Norsk akkreditering, som vurderer om organet oppfyller de krav som følger av EØS-vareloven, bestemmelsene som foreslås i det foreliggende lovforslaget, og eventuelt nærmere forskrifter.

Akkrediteringsvirksomheten finansieres gjennom gebyrer, jf. forskrift 1. juli 2013 nr. 821 om gebyrer for Norsk akkrediterings tjenester, som skal dekke samtlige kostnader for akkrediteringen.

18.2 Høringsinstansenes syn

Enkelte høringsinstanser uttrykker bekymring for at de økonomiske og administrative konsekvensene ikke er tilstrekkelig utredet. Blant annet uttaler Finansdepartementet at konsekvensene for Skatteetaten fremstår som uklare når det gjelder både deres arbeid med Folkeregisteret og arbeidet med skatter og avgifter. Skattedirektoratet påpeker at gjennomføringen av forordningen ikke må føre til lavere sikkerhet for skattlegging eller tildeling av rettigheter, og at kvaliteten i Folkeregisteret må sikres. POD mener at spesielt konsekvenser for norske tjenesteeiere er for dårlig belyst i høringsnotatet, og de savner også vurderinger knyttet til risiko for alle berørte parter, samt beskrivelse av mulige tiltak mot og oppfølging av svindel og misbruk.

18.3 Departementets vurdering

Innlemmelsen av forordningen innebærer i seg selv ingen vesentlige behov for tilrettelegging av norske tjenester. Det er intet krav i henhold til eIDAS-forordningen å etablere en knytning mellom den innloggede og et norsk identitetsnummer; eIDAS regulerer kun anerkjennelsen av autentiseringen. Dersom personen ikke anses tilstrekkelig identifisert for norske tjenester, vil personen ikke få tilgang.

Det vil imidlertid ofte være nødvendig at personer som logger inn med en utenlandsk eID, også kan gjenkjennes ved bruk av den norske tjenesten, hvilket i de aller fleste tilfeller vil være norsk fødselsnummer eller d-nummer. For å fullt ut oppnå gevinstene ved eID-bestemmelsene i eIDAS-forordningen og regjeringens ambisjon om grenseoverskridende tjenester bør innloggingen kunne knyttes til et norsk fødsels- eller d-nummer. Dette krever endringer i grensesnitt hos Folkeregisteret og i ID-porten. Den forventede samlede investeringskostnaden er beregnet til 16 millioner kroner og 8 millioner kroner i årlig forvaltningskostnad, fordelt mellom Skattedirektoratet og Difi.

Denne tilretteleggingen er imidlertid ikke en direkte forpliktelse etter forordningen, og er således ikke en direkte økonomisk/administrativ konsekvens av eIDAS. For tjenester hvor eIDAS gir tilfredsstillende identifisering av personen uten slik knytning til norsk identifikator, vil eIDAS også innebære gevinster selv uten slik tilrettelegging.

Det fremgår av forordningen at erstatningsansvaret iht. artikkel 11 skal praktiseres i tråd med nasjonal rett. Departementet foreslår at det i lovens § 1 tas inn en forskriftshjemmel som gjør det mulig å sette minstekrav til erstatningsansvaret for eID-er som skal brukes i offentlig sektor.

Ved norsk notifisering av eID-løsninger vil innehavere av aktuelle eID-er få enklere tilgang til utenlandske offentlige tjenester på nett. Det må vurderes nærmere i hvilken utstrekning en unik identifikator som fødselsnummeret eller d-nummer kan følge med ved bruk av eID for tilgang til utenlandske offentlige nettjenester.

Departementet vil understreke at eIDAS ikke gir nye persongrupper rettigheter til tjenester i det norske samfunnet. Forvaltningen vil fortsatt selv fastsette sikkerhetskrav for sine løsninger, både når det gjelder krav til autentiseringsnivå og krav til identifiseringen, herunder også hvilken identitetskontroll personen har vært gjenstand for i forbindelse med registrering i Folkeregisteret. Ved at det legges til rette for anerkjennelse av eID-er på tvers av landegrensene, vil det også være større muligheter for å stille krav til elektronisk identifisering.

Etter departementets vurdering vil det påløpe noe kostnader hos Difi i forbindelse med utvikling og drift av løsninger for å håndtere notifiserte eID-løsninger gjennom ID-porten. Finansieringen vil følge prinsippene for finansiering av nasjonale felleskomponenter i tråd med forutsetningene i Meld. St. 27 (2015–2016) Digital agenda for Norge.

Tilsyn etter forordningen vil bli avgiftsfinansiert, slik tilsyn etter esignaturloven er i dag. Økte kostnader vil dermed bli finansiert ved økte avgifter. Omfanget av tilsynsoppgavene vil være avhengig av antall markedsaktører og antall tillitstjenester de tilbyr.

Innlemmelse av forordningen kan få økonomiske og administrative konsekvenser ved at Nasjonal sikkerhetsmyndighet ved SERTIT utpekes som sertifiseringsorgan. Dersom pågangen for å få sertifisert signaturfremstillingssystemer hos SERTIT øker, kan det bli behov for å styrke SERTIT med personell og kompetanseoppbygging.

Nkom anslår at de økte tilsynsoppgavene vil medføre ytterligere 1 årsverk i tillegg til eksisterende 2,5 årsverk som dekker dagens tilsynsoppgaver på området. Dersom tilsynsoppgavene viser seg å bli mer omfattende enn forutsatt, eller det blir en økning i antall nye tillitstjenester, vil antall årsverk måtte oppjusteres. Dette kan igjen få økonomiske konsekvenser for tillitstjenesteleverandørene. De sistnevnte vil også påføres økte administrative kostnader som følge av de strengere kravene til virksomhetene og kravet om hyppigere revisjoner. I siste instans vil sluttbrukerne måtte betale mer for sertifikattjenestene. Samlet sett er det departementets vurdering at endringene forordningen medfører legger til rette for tryggere handel og samhandling på nett, og at den således vil være positiv for både offentlig sektor, næringsliv og forbrukere.

Da eIDAS er en forordning, skal den lovteknisk gjennomføres som den er. Det innebærer at forordningens rettigheter og plikter blir gjeldende i Norge uavhengig av økonomiske og administrative konsekvenser som beskrevet her.