LIIKENNE- JA VIESTINTÄMINISTERIÖ Muistio Liite 1 Viestintäneuvos 2.3.2016 Kreetta Simola VALTIONEUVOSTON ASETUS VAHVAN SÄHKÖISEN TUNNISTUSPALVELUN TARJOAJI- EN LUOTTAMUSVERKOSTOSTA Taustaa Vuoden 2015 alussa eduskunta hyväksyi vahvasta sähköisestä tunnistamisesta ja sähköisestä allekirjoituksesta annettuun lakiin 617/2009 (jäljempänä tunnistuslaki) uuden 12 a :n, jossa säädetään tunnistuspalvelun tarjoajien verkostosta eli luottamusverkostosta. Luottamusverkostoa koskeva 12 a tuli voimaan 1.1.2016, mutta säännöksiä sovelletaan vasta 1.5.2017 lukien. Maaliskuusta 2015 alkaen toimi valtiovarainministeriön asettama työryhmä (hallintamallityöryhmä), jonka tarkoituksena oli avustaa liikenne- ja viestintäministeriötä ja valtiovarainministeriötä luottamusverkoston hallintamallia koskevan valtioneuvoston asetuksen ja luottamusverkoston toiminnan kannalta tarvittavien asiapaperien valmistelussa. Työryhmä oli avoin ja siinä olivat edustettuina käytännössä kaikki vahvan sähköisen tunnistamisen toimijat. Lainsäädäntö Tunnistuslain 12 a :ssä on säädetty tunnistuspalvelun tarjoajien verkostosta. Sen mukaan tunnistuspalvelun tarjoaja liittyy osaksi luottamusverkostoa, kun se tekee lain 10 :n mukaisen ilmoituksen Viestintävirastolle vahvan sähköisen tunnistamispalvelun tarjonnan aloittamisesta. Luottamusverkostolla tarkoitetaan Viestintävirastoon ilmoituksen tehneiden tunnistuspalvelun tarjoajien verkostoa. Tunnistuslain 12 a :n 2 momentin mukaan luottamusverkostoon kuuluvan tunnistuspalvelun tarjoajan on noudatettava sellaisia hallinnollisia käytäntöjä, jotka mahdollistavat tunnistuspalveluita tarjoavien ja niitä hyödyntävien sähköisten palveluntarjoajien tarjoamien palveluiden yhteentoimivuuden sekä tarjottava tekniset rajapinnat, jotka luovat edellytykset tunnistuspalveluita tarjoavien ja niitä hyödyntävien toimijoiden väliselle toiminnalle. Tunnistuslain 12 a :n 4 momentin mukaan tunnistuspalvelun tarjoajat vastaavat yhteistyössä teknisten rajapintojen ja hallinnollisten käytäntöjen yhteentoimivuudesta. Lain 12 a :n 4 momentissa siis säädetään tunnistuspalvelun tarjoajien velvoitteesta ja vastuusta toimia yhteistyössä siten, että tekniset rajapinnat ja hallinnolliset käytännöt toteutetaan yhteen toimivasti. Lainkohdassa on säädetty tunnistuspalveluiden tarjoajille yhteistyövelvoite, jonka tarkoitus on, että tekniset rajapinnat ja hallinnolliset käytännöt saadaan käyttöön tunnistuspalvelun tarjoajien välillä. Lain 12 a :n 5 momentin mukaan luottamusverkoston hallinnollisista käytännöistä, teknisistä rajapinnoista ja hallinnollisista vastuista annetaan tarkempia säännöksiä valtioneuvoston asetuksella. Lain 12 a tuli voimaan 1.1.2016, mutta pykälää sovelletaan ensimmäisen kerran 1.5.2017.
2 Esitys Esityksellä säädettäisiin tunnistuslain 12 a :n 5 momentin nojalla valtioneuvoston asetus vahvan sähköisen tunnistuspalvelun tarjoajien luottamusverkostosta. 1 Luottamusverkoston tekniset rajapinnat Ehdotuksen 1 :n 1 momentissa määriteltäisiin tunnistuslain 12 a :ssä tarkoitetut luottamusverkoston tekniset rajapinnat, jotka luovat edellytykset tunnistuspalveluita tarjoavien ja niitä hyödyntävien toimijoiden väliselle toiminnalle. Teknisellä rajapinnalla tarkoitetaan toimijoiden välisen tiedonsiirron määrittelyjä ja toteutuksia. Tunnistuspalvelun tarjoaja on määritelty voimassa olevan tunnistuslain 2 :n 4 kohdassa. Sillä tarkoitetaan palvelutarjoajaa, joka tarjoaa vahvan sähköisen tunnistamisen palveluita niitä käyttäville palveluntarjoajille tai laskee liikkeelle tunnistusvälineitä yleisölle tai molempia. Tunnistuslain 12 a :ssä säädetyssä luottamusverkostossa voidaan erottaa kaksi erityyppistä tunnistuspalvelun tarjoajaa. Lain uuden 12 a :n säätämisen jälkeen on tullut tarve käyttää tunnistuspalvelun tarjoajaa yläkäsitteenä tunnistusvälineen tarjoajalle ja tunnistusvälityspalvelun tarjoajalle. Tunnistusvälineen tarjoajalla tarkoitetaan palveluntarjoajaa, joka tarjoaa tai laskee liikkeelle vahvan sähköisen tunnistamisen tunnistusvälineitä yleisölle. Tunnistamisvälineitä tarjoavat tai laskevat liikkeelle nykyisin pankit, matkaviestinyritykset ja Väestörekisterikeskus. Tunnistusvälityspalvelun tarjoajalla tarkoitetaan palveluntarjoajaa, joka välittää vahvan sähköisen tunnistamisen tunnistustapahtumia sähköiseen tunnistukseen luottavalle osapuolelle. Tällaiset toimijat olisivat luottamusverkoston mukanaan tuomia uudenlaisia toimijoita. Sama yritys tai yhteisö voi toimia halutessaan sekä tunnistusvälineen että välityspalvelun tarjoajana. Ehdotetun 1 :n 1 momentin mukaan tunnistuslain 12 a :n 2 momentissa tarkoitettuja teknisiä rajapintoja, jotka luovat edellytykset tunnistuspalveluita tarjoavien ja niitä hyödyntävien toimijoiden väliselle toiminnalle, olisivat 1) tunnistusvälineiden tarjoajien välinen rajapinta, 2) tunnistusvälineen tarjoajan ja tunnistusvälityspalvelun tarjoajan välinen rajapinta ja 3) tunnistusvälityspalvelun tarjoajan ja tunnistuspalveluun luottavan osapuolen (eli asiointipalvelun) välinen rajapinta. Ehdotetun 2 momentin mukaan luottamusverkostoon kuuluvat tunnistuspalvelun tarjoajat voivat sopia myös tunnistuslain 12 a :n 3 momentissa tarkoitetun tunnistetiedon veloituksen välittämiseen tarvittavasta tai muusta luottamusverkoston toiminnassa tarpeellisesta rajapinnasta. Tunnistuspalvelun tarjoaja kuuluu luottamusverkostoon silloin, kun se on tehnyt tunnistuslain 10 :ssä tarkoitetun ilmoituksen toiminnan aloittamisesta. Ehdotetun 3 momentin mukaan luottamusverkostoon kuuluvan tunnistuspalvelun tarjoajan on tarjottava luottamusverkoston edellä 1 momentin 1 ja 2 kohdissa tarkoitetuissa rajapinnoissa kummassakin vähintään yhtä yleisesti käytetyn standardin mukaista teknistä rajapintaa. Yleisesti käytettyjä teknisiä rajapintoja
3 ovat esimerkiksi openid Connect- tai SAML-standardien mukaiset tekniset rajapinnat. Tavoitteena on, että välityspalvelun tarjoajilla olisi kuitenkin valmius tarjota kaikkia yleisimpiä tunnistusvälineen tarjoajien käyttämiä rajapintoja. Näin yksi välityspalvelun tarjoaja voisi välittää tunnistukseen luottavalle osapuolelle kaikkien tunnistusvälineiden tunnistustapahtumia. Välityspalvelun tarjoajilla on tähän myös liiketoiminnallinen intressi. 2 Luottamusverkoston hallinnolliset vastuut Pykälän 1 momentissa lueteltaisiin ne luottamusverkoston hallinnolliset yhteiset vastuut, joista kuitenkin jokainen luottamusverkostossa toimiva tunnistuspalvelun tarjoaja vastaisi omalta osaltaan. Ilmaus vastaa omalta osaltaan tuo esille sen, että kaikki velvoitteet eivät toiminnan luonteen takia ole relevantteja kaikkien toimijoiden kannalta ja sen, että luottamusverkoston yhteentoimivuus edellyttää toimia kaikilta osapuolilta. Momentin 1 kohdan mukaan luottamusverkostossa jokainen tunnistuspalvelun tarjoaja vastaa omalta osaltaan tunnistetietojen välittämisestä luottamusverkostoon kuuluvien tunnistuspalvelun tarjoajien välillä. Tämä todettu tunnistetietojen välittäminen on koko luottamusverkoston toiminnan tarkoitus ja sen voi nähdä täydentävän tunnistuslain 12 a :n 2 momentista seuraavaa yleistä velvoitetta tarjota välinettä tai välitystä luottamusverkostossa. Ehdotetun 2 kohdan mukaan luottamusverkostossa tunnistuspalvelun tarjoaja vastaa omalta osaltaan tarjoamastaan edellä 1 :n 1 momentissa tarkoitetusta teknisestä rajapinnasta, rajapinnan toimivuudesta ja sen saatavilla olosta. Säännös täydentää tunnistuslain 12 :n 2 momentin vaatimusta yhteentoimivuudesta. Ehdotetun 3 kohdan mukaan luottamusverkostossa jokainen tunnistuspalvelun tarjoaja vastaa tarjoamansa edellä 1 :n 1 momentissa tarkoitetun teknisen rajapinnan hyödyntämiseen liittyvän dokumentaation yhteiskäytöstä muiden luottamusverkostoon kuuluvien tunnistuspalvelun tarjoajien kanssa. Säännös täydentää 12 a :ssä tarkoitettuja hallinnollisia käytäntöjä, jotka edistävät sopimusten tekemistä osapuolten välillä. Jos toimijat käyttävät jotain luottamusverkoston vähimmäisvalikoimaan kuuluvaa yleistä rajapintaa, Viestintäviraston laatimat rajapintojen määrittelyt ovat julkisia ja tämä asetuksen kohta koskee yrityksen omia tarkempia määrittelyjä. Jos käytetään muuta rajapintaa, yrityksen määrittely voi kattaa suuremman osan yritysten välisen tiedonsiirron järjestämisessä tarvittavista tiedoista. Ehdotetun 4 kohdan mukaan luottamusverkostoon kuuluva tunnistuspalvelun tarjoaja vastaa omalta osaltaan muiden luottamusverkostoon kuuluvien palveluihin vaikuttaviin häiriöihin tai tietoturvauhkiin liittyvästä tiedonvaihdosta sekä häiriötilanteiden selvittämisestä luottamusverkostossa. Häiriötilanteiden tiedonvaihto ja selvittäminen liittyvät tunnistuslain 12 a :n 2 momentin edellyttämiin hallinnollisiin käytäntöihin yhteentoimivuuden mahdollistamiseksi. Tunnistuslain 16 :ää on tarkoitus muuttaa niin, että siinä säädettäisiin voimassa olevaa pykälää laajemmin tunnistuspalveluntarjoajan velvollisuudesta ilmoittaa palvelun toimivuuteen, tietoturvaan tai sähköisen identiteetin käyttöön kohdistuvista merkittävistä uhkista tai häiriöistä.
4 Ehdotetun 5 kohdan mukaan luottamusverkostoon kuuluva tunnistuspalvelun tarjoaja vastaa omalta osaltaan luottamusverkostoon liittyvien 3 :n 1 momentissa tarkoitettujen sopimusten laatimisesta ja ylläpidosta. Tunnistuslain 12 a :n 4 momentin mukaan tunnistuspalvelun tarjoajat vastaavat yhteistyössä teknisten rajapintojen ja hallinnollisten käytäntöjen yhteentoimivuudesta. Tämä lain velvoite edellyttää, että luottamusverkostossa toimivat tunnistuspalvelun tarjoajat sopivat yhteen toimivuuden edellyttämistä yksityiskohdista. Sopimusten laatimista tukee osaltaan myös tämän asetuksen 3 :ssä tarkoitetun yhteistoimintaryhmän tehtävä valmistella sopimusmalleja. Ehdotetun pykälän 2 momentissa määrättäisiin luottamusverkoston tunnistuspalvelun tarjoajien omista vastuista, joista luottamusverkostoon kuuluvat tunnistuspalvelun tarjoajat eivät sovi keskenään. Tunnistuspalvelun tarjoaja vastaa tunnistusvälineensä ja tunnistusvälityspalvelun tarjonnasta asiakkaille sekä palvelun käyttö- ja muista ehdoista. Edelleen tunnistuspalvelun tarjoaja vastaa palvelunsa tuottamisesta, laadusta ja tietoturvallisuudesta. Luottamusverkostoon kuuluva tunnistuspalvelun tarjoaja vastaa palvelunsa käytöstä ja kehittämisestä sekä näistä aiheutuvista kustannuksista. Edelleen tunnistuspalvelun tarjoaja vastaa hinnoittelusta omille asiakkailleen eli loppukäyttäjille ja sähköisten asiointipalveluiden tarjoajille. 3 Luottamusverkoston hallinnolliset käytännöt Tunnistuslain 12 a :n 4 momentissa säädetään tunnistuspalvelun tarjoajien velvoitteesta ja vastuusta toimia yhteistyössä siten, että tekniset rajapinnat ja hallinnolliset käytännöt toteutetaan yhteen toimivasti. Lainkohdassa on säädetty tunnistuspalveluiden tarjoajille yhteistyövelvoite, jonka tarkoitus on, että tekniset rajapinnat ja hallinnolliset käytännöt saadaan käyttöön tunnistuspalvelun tarjoajien välillä. Tämän vuoksi ehdotetussa 3 :ssä määrättäisiin, että tunnistuspalvelun tarjoajien yhteistyövelvoitteen nojalla luottamusverkostoon kuuluvat tunnistuspalvelun tarjoajat neuvottelevat ja sopivat luottamusverkoston toteuttamiseksi välttämättömistä seikoista. Hallintamallityöryhmän työn aikana tarkoituksenmukaisimmaksi sopimisen tavaksi on näyttänyt muodostuvan se, että luottamusverkoston jäsenet sopivat tunnistamistietojen välittämisestä, sen hinnasta ja käytettävistä teknisistä rajapinnoista kahdenkeskisin sopimuksin. Ehdotettu säännös ei kuitenkaan estä luottamusverkostoon kuuluvien tunnistamispalvelun tarjoajien sopivan tunnistamistietojen välittämisestä yhdellä toimijoiden keskinäisellä sopimuksella. Viestintävirasto valvoo tunnistamislain ja sen luottamusverkostoa koskevan 12 a :n noudattamista. Luottamusverkoston toiminnan ohjauksen ja valvonnan kannalta sekä toimialan kehityksen seuraamisen kannalta olisi jo luottamusverkostoon siirtymisen aikana tarkoituksenmukaista ryhtyä säännösten täytäntöönpanon edellyttämiin toimenpiteisiin ja perustaa Viestintävirastoon avoin työryhmä, jossa kaikki toimijat ovat edustettuina. Asetuksen 3 :ään ehdotetaan otettavaksi säännös Viestintävirastoon perustettavasta luottamusverkoston yhteistoimintaryhmästä, jossa kaikki tunnistuspalvelun tarjoajat voivat olla edustettuina. Tarkoitus on, että siltä osin kun luottamusverkoston toiminnasta ei ole tarpeen säätää, yhteisistä käytännöistä huolehdittaisiin jatkossa yhteissääntelyssä Viestintäviraston vetämässä työryhmässä. Yh-
5 teissääntelyn mukaisten sopimuskäytäntöjä tulisi soveltaa myös sopimuksissa luottamusverkoston jäsenten välillä. Kuultuaan toimijoita Viestintävirasto voisi myös antaa ohjeita tai suosituksia tunnistuspalveluiden tarjoajille. 4 Asetuksen voimaantulo ja soveltaminen Asetus ehdotetaan tulevan voimaan 18 päivänä maaliskuuta 2017. Asetusta sovelletaan ensimmäisen kerran 1 päivänä toukokuuta 2017 kuten myös luottamusverkostoa koskevaa tunnistamislain 12 a :ää. Esityksen taloudelliset vaikutukset Tällä esityksellä valtioneuvoston asetukseksi ei ole valtiontaloudellisia vaikutuksia. Sähköisen tunnistamisen luottamusverkostoon liittyviä taloudellisia vaikutuksia on käsitelty hallituksen esityksessä HE 272/2014, jossa taloudellisia vaikutuksia on arvioitu kolmen erilaisen skenaarion avulla. Vaikutukset viranomaisiin Valmistelu Tällä asetusehdotuksella ei ole yksinään merkittäviä vaikutuksia viranomaisten tehtäviin, sillä tunnistuslain nojalla 1 päivänä toukokuuta 2017 voimaan tulevien luottamusverkostoa koskevien säännösten noudattamista valvoo Viestintävirasto. Valtiovarainministeriö asetti maaliskuussa 2015 työryhmän avustamaan liikenneja viestintäministeriötä sekä valtiovarainministeriötä luottamusverkoston hallintamallia koskevan valtioneuvoston asetuksen ja luottamusverkoston toiminnan kannalta tarvittavien asiapapereiden valmistelussa. Työryhmä on ollut avoin ja siinä ovat olleet edustettuina käytännössä kaikki vahvan sähköisen tunnistamisen toimijat. Työryhmä toimi vuoden 2015 loppuun ja kokoontui kahdeksan kertaa. Työryhmässä on keskusteltu vahvan sähköisen tunnistuspalvelun tarjoajien luottamusverkoston hallintamallista ja luottamusverkostoa koskevasta asetusluonnoksesta. Asetusluonnos on valmisteltu liikenne- ja viestintäministeriössä yhteistyössä valtiovarainministeriön kanssa. Luonnos asetukseksi lähetettiin lausuntokierrokselle 30.10.2015. Saaduissa lausunnoissa Kilpailu- ja kuluttajavirasto sekä Väestörekisterikeskus katsoivat, että parempi käytäntö olisi ollut se, että luottamusverkostoon kuuluvat toimijat olisivat sopineet yhdellä keskinäisellä sopimuksella tunnistetietojen välittämisestä luottamusverkostossa. Osa lausunnonantajista katsoi, että luottamusverkoston toiminnan suunnittelua pitäisi vielä jatkaa ennen valtioneuvoston asetuksen antamista. Edellä olevan johdosta asetuksen sanamuotoa on tarkennettu niin, että myös toimijoiden keskinäinen sopiminen yhdellä sopimuksella tunnistetietojen välittämisestä on mahdollista. Viestintävirastoon perustettavan yhteissääntelytyöryhmän työskentely ja sen myötä laadittavat mallisopimukset myös osaltaan edistävät osapuolten välisiä sopimusneuvotteluja.
6 Voimaantulo Lausunnolla olleessa asetusluonnoksessa oli ehdotus tunnistusvälineen tarjoajan ja tunnistusvälityspalvelun tarjoajan määritelmiksi. Määritelmiä ei kuitenkaan ole otettu asetukseen, sillä määritelmät on tarkoitus sisällyttää parhaillaan ministeriössä valmisteltavaan hallituksen esitykseen tunnistuslain muuttamiseksi. Lausuntojen perusteella luottamusverkoston teknisiä rajapintoja koskevan 1 :n 3 momenttia on tarkennettu. Muutamissa lausunnoissa (Microsoft, Ficom ry. KE- LA ja Prof-Tel Oy) toivottiin luottamusverkoston rajapintojen tarkempaa määrittelyä tai vaihtoehtoisesti Viestintävirastolle valtuutusta määrätä rajapinnoista tarkemmin. Tunnistuslain muuttamisen yhteydessä arvioidaan tarvetta antaa Viestintävirastolle valtuus määrätä luottamusverkoston rajapinnoista tarkemmin. Viestintävirasto voisi laatia esimerkiksi teknisellä määräyksellä tarkoituksenmukaisella tarkkuustasolla OpenId Connect- ja SAML-standardeista kansalliset profiilit yhteistyössä toimialan kanssa. Eräissä lausunnoissa (Ficom ry., Viestintävirasto, Väestörekisterikeskus) toivottiin mainintaa Viestintäviraston johdolla tehtäviin luottamusverkoston käytännesääntöihin. Ehdotettuun 3 :ään otettiin mukaan säännös Viestintäviraston asettamasta luottamusverkoston yhteistoimintaryhmästä. Asetus ehdotetaan tulevan voimaan 18 päivänä maaliskuuta 2016. Asetusta sovelletaan ensimmäisen kerran 1 päivänä toukokuuta 2017 kuten myös luottamusverkostoa koskevaa tunnistamislain 12 a :ää. Tarkoituksenmukaista on, että Viestintävirasto asettaa luottamusverkoston yhteisyöryhmän tämän asetuksen voimaantulon jälkeen.