Nkom varsler vedtak i BankID-saken

Nkom har konkludert med at seks tidligere BankID-utstedere ikke har oppfylt kravene til sikkerhetsnivå «høyt», skriver de i en pressemelding.

– De vil tas av våre lister over eID- ordninger på nivå «høyt», sier Sander Norrøne Ask, seksjonssjef i Nkom, til kode24. 

Varselet om vedtak gjelder Bankenes ID-tjeneste, Danske Bank, DNB Bank, Eika Gruppen, Nordea, og SpareBank 1, som tidligere utstedte BankID. 

Stø, som har overtatt ansvaret for å utstede BankID, omfattes ikke av vedtaket og derfor kan BankID brukes som normalt. 

– Det varslede vedtaket får ingen konsekvenser for brukere av BankID, uttaler Nkom.

Øyvind Westby Brekke, administrerende direktør i Stø, er glad for å bli «frikjent» i denne omgangen.

– Det er positivt at Nkom understreker at det varslede vedtaket ikke får konsekvenser for Stø og BankID-brukerne, sier han til kode24.

Drama for BankID

Det var før påska at bomben slo ned: BankID kunne miste godkjenningen på høyeste sikkerhetsnivå. 

Nasjonal kommunikasjonsmyndighet (Nkom) mente at det å sende kodebrikker for BankID i posten ikke var en sikker nok måte, noe de skal ha mast om i flere år. 

Stø, som har ansvar for utstedelsen nå, mente at prosessen nå oppfyller krav til fysisk identifisering. De gikk med på å gjøre noen tiltak, men sa at det ville ta tid. 

I mai måtte daværende digitaliseringsminister Karianne Tung (Ap) betrygge Stortinget med at BankID ikke ville forsvinne over natten, samme hva som skjedde.

Så ble avgjørelsen fra Nkoms side utsatt til over sommeren.

Etterspurte tiltak

Stø får mer tid til å rette BankID-avvik

Digitaliseringsminister Karianne Tung slår fast at BankID ikke kan «miste sin klassifisering over natten». Stø AS mener de ikke trenger å rekke noen frist.

– Vi har konkludert med at den tidligere utstedelsen og aktiveringen av BankID ikke oppfyller kravene til sikkerhetsnivå «høyt». Nkom har tidligere etterspurt flere tiltak fra Stø for å rette opp feil. Vi ser at flere av tiltakene vi har etterspurt nå gjennomføres raskere enn planlagt fra aktørene. Det er positivt, sier Ask i Nkom.

Stø merker seg at Nkom er tilfreds. 

– Det viktigste for oss er å sikre en trygg løsning for brukerne, som ivaretar digital inkludering, sier Brekke til kode24. 

Fortsetter tilsyn med Stø

Men tilsynet med Stø er ikke over. 

De vil «vurdere om overføringen av kundene fra bankene til Stø har skjedd på riktig måte.»

– Det blir viktig å vurdere om avvikene bankene har hatt, ikke blir med videre. Nkom vil følge opp Stø i et eget tilsyn, som blant annet vil se på dette, sier Ask. 

– Hva er det dere mistenker har gått galt da ansvaret for å utstede BankID gikk over til Stø?

– Stø er selvdeklarert kun med metoder for utstedelse, som Nkom har vurdert til å være i tråd med sikkerhetskravene. Det blir derfor viktig å påse at den avvikende praksisen hos de tidligere BankID-utstederne, ikke videreføres hos Stø. Nkom har ingen holdepunkter for at dette har skjedd, men det er blant annet dette vi vil undersøke i tilsynet med Stø, sier Ask til kode24.

Stø mener det er naturlig at Nkom følger opp prosessen. 

– Vi vil bidra konstruktivt og svare på de spørsmålene som kommer i den videre behandlingen. Vår vurdering er at BankID oppfyller alle krav, sier Brekke i Stø. 

– Hva kan ha gått galt i overføringsprosessen?  

– Overføringen av brukere fra bankene til Stø har gått som planlagt og er nå gjennomført. Vi vil bidra til å belyse eventuelle spørsmål fra Nkom rundt dette, sier Støs administrerende direktør. 

– Har dere slutta å sende kodebrikke i posten til folk? 

– Inntil tilsynet er gjennomført, ønsker vi ikke å gå inn i detaljer om konkrete rutiner eller kommentere forhold som vil være en del av tilsynsprosessen, sier Brekke.

Tre uker på å klage

Ask kan ikke si hvor lang tid tilsynet vil ta, og peker på at det tar tid å kontrollere at løsningene oppfyller kravene i regelverket. 

De seks selskapene som har fått varsel om vedtak, har tre uker på seg til å gi innspill i saken. En eventuell klage når vedtaket er gjort, vil gå til Digitaliserings- og forvaltningsdepartementet.