Kronik: Første MOCESbog - en beretning om digital signatur i Danmark

Skabelsesberetningen i Første Mosebog starter med teksten 'I begyndelsen'.

Vi, der arbejder indenfor IT-fagverdenen, kan næppe tilkomme en højstemthed, som titlen antyder, men for os, der har arbejdet med digital signatur og Offentlige Certifikater til Elektroniske Services (OCES) og herunder medarbejdercertifikater (MOCES), kunne den valgte titel vel godt være en humoristisk overskrift for en artikel, som har som ambition at gennemgå lidt af forhistorien for digital signatur og NemID.

Artiklen tager sin inspiration fra en præsentation, som forfatteren holdt sammen med Palle Sørensen fra det daværende IT- og Telestyrelsen ved Dansk IT's sikkerhedskonference januar 2010.

Digital Signatur og NemID er resultatet af en længere rejse startende med digital signatur-pilotprojekterne i 1999 og frem til nu.

Det er en rejse, som især har været drevet af stat, amter/regioner og kommuner for at kunne understøtte digital forvaltning af borgere og virksomheder.

Forløbet fra 1999 og til første generation af digital signatur (OCES1)

Der var op igennem 1990’erne store forhåbninger til anvendelsen af digital signatur, især baseret på RSA-sikkerhedsalgoritmerne.

Området gennemgik en stærk teknisk standardisering, og lovgiverne i Europa lagde sig også i selen for at følge med udviklingen.

Dette resulterede blandt andet i EU-direktivet om digital signatur dateret 13. december 1999. Her kan man blandt andet læse:

'Electronic communication and commerce necessitate 'electronic signatures' and related services allowing data authentication. The interoperability of electronic-signature products should be promoted.'

Ud over digital forvaltning var elektronisk handel altså også et af de tiltænkte virkeområder for digital signatur.

EU-direktivet blev implementeret i dansk lov pr. 1. oktober 2000 ved 'Lov om elektroniske signaturer'.

Der gives i øvrigt en fin oversigt over juraen bag den digitale signatur på hjemmesiden NemID.nu.

Seminar: Sådan tiltrækker du it-talenter til industrien

På samme hjemmeside findes en grundig gennemgang af 'Historien om digital signatur', som gengives her:

Historien om digital signatur

Historien om den digitale signatur - og dens efterfølger NemID - starter allerede i 1999.

Pilotprojekter, lov og rammeaftale
I 1999 gennemførte det daværende forskningsministerium ni pilotprojekter med digitale signaturer. De offentlige myndigheder og Forskningsministeriet fik værdifulde erfaringer, og markedets aktører blev ansporet til at levere digitale signaturer.

Efter pilotprojekterne blev der sammen med Statens og Kommunernes Indkøbsservice, KL og Amtsrådsforeningen udarbejdet en rammeaftale om levering af kvalificerede certifikater.

Loven om elektroniske signaturer trådte i kraft 1. oktober 2001. Loven og rammeaftalen skulle stimulere markedet til øget anvendelse af digitale signaturer.

Det lykkedes dog ikke at stimulere markedet, idet der var en række barrierer.

Omkostningerne ved at benytte de eksisterende tilbud var relativt store i forhold til udbuddet af internettjenester, der kunne håndtere en digital signatur.

Det hang bl.a. sammen med loven og de tilhørende bekendtgørelser, der stiller krav om personligt fremmøde, skærpede ansvarsforhold og anvendelse af hardware-løsninger.

Sponseret indhold

Mange virksomheder har en farlig tilgang til NIS2

ISO 27001

Markedets forretningsmodeller fungerede ikke, især fordi man som borger selv skulle betale for sin digitale signatur. Hertil kom manglende standardisering og ringe interoperabilitet på tværs af markedets tilbud.

Projektkonkurrence
Den daværende regering ønskede at nedbryde de identificerede barrierer. Det daværende videnskabsministerium igangsatte derfor to aktiviteter i foråret 2002: et EU-udbud gennemført som projektkonkurrence med efterfølgende udbud efter forhandling - og en standardiseringsproces for Offentlige Certifikater til Elektroniske Services (OCES).

Der blev i foråret 2002 udskrevet en projektkonkurrence. Ideen var at få afdækket mulige forretningsmodeller og at få de eksisterende leverandørers applikationer og infrastrukturer i spil.

Målet med projektkonkurrencen var, at borgerne skulle have ét certifikat til offentlige tjenester på internettet, hvor der kræves anvendelse af digital signatur.

Sponseret indhold

Microsoft tilføjer AI til enterprise-software - og det sker fra Lyngby

AI

Ministeriet ville undgå den situation, hvor borgerne skulle have flere forskellige certifikater fra flere nøglecentre for at kunne benytte den elektroniske borgerbetjening.

Det var ønsket, at et OCES-certifikat skulle give adgang til ydelser i både stat, amt og kommuner, og at det private erhvervsliv kunne drage nytte af den infrastruktur, der blev etableret.

Fem leverandører blev prækvalificeret, hvoraf de fire afleverede projektforslag i efteråret 2002. Tre af disse blev kåret som vindere af projektkonkurrencen.

På baggrund af projektforslagene blev der udarbejdet en kravspecifikation til udbud efter forhandling, som de tre vindere af projektkonkurrencen kunne byde ind på.

Det gjorde et konsortium bestående af PBS A/S, DM Data A/S og KMD A/S samt TDC. Efter forhandlingerne skrev det daværende videnskabsministerium den 6. februar 2003 kontrakt med TDC.

Standardiseringsprocessen for OCES
Standardiseringsprocessen skulle sikre interoperationalitet, og at OCES levede op til internationale standarder. For at sikre accept fra markedet var standarden i høring både i offentligt og privat regi. Standarden blev godt modtaget både i den offentlige og private sektor.

OCES-certifikaterne stillede ikke krav om personligt fremmøde ved udlevering af certifikatet, og certifikatet var tillige softwarebaseret. Det betød, at det kunne produceres og bruges billigere end tilsvarende hardwarebaserede certifikater.

Certifikatet garanterer, at certifikatindehaveren har den identitet, der fremgår af certifikatet.

OCES-certifikatet kan principielt anvendes til al kommunikation mellem myndigheder og mellem myndigheder og virksomheder eller borgere. OCES-certifikater kan også med fordel bruges i den private sektor.

Certifikatpolitikkerne udgør en fælles offentlig standard, der regulerer udstedelsen og anvendelsen af den digitale OCES-signatur. De beskriver de retningslinjer, der gælder for udstedelsen af certifikater.

Certifikatpolitikkerne udstikker endvidere det sikkerhedsniveau, der som minimum skal overholdes, hvis certifikatudbyderne vil være OCES-CA.

Der findes i dag følgende OCES-certifikatpolitikker:

• Personcertifikat
• Medarbejdercertifikat
• Virksomhedscertifikat
• Funktionscertifikat

Certifikatpolitikkerne har været revideret flere gange.

Det var altså historien om digital signatur, der kan findes på NemID.nu.

CPR-numre og vertifikater

Standardiseringsprocessen for OCES forankredes tilbage i slutningen af 1990’erne hos Danske Standard i Charlottenlund. Der blev nedsat en arbejdsgruppe kaldet 'Forum for Digital Signatur', hvor leverandører og pilotdeltagere i fællesskab foreslog tekniske standarder på områder, hvor der på det tidspunkt ikke var oplagte internationale standarder eller erfaringer at pege på.

Et af de problemområder, som gav virkelig mange og lange diskussioner, var håndteringen af CPR-nummer i relation til certifikater. CPR-nummer er en nødvendig information for, at især offentlige tjenester kan identificere brugerne i forhold til egne data, men på den anden side følte man, dengang som nu, et behov for at holde borgernes CPR-numre hemmelige, på grund af de måder hvorpå CPR-numre i andre sammenhænge bliver brugt som autentifikation eller adgangsnøgle.

Der blev fremført mange forskellige tekniske løsningsforslag til indkodning af CPR-nummer på en hemmelig måde i de offentligt tilgængelige certifikater, men på grund af det forholdsvis lille antal gyldige CPR-numre blev disse alle opgivet på grund af risikoen for udtømmende søgning.

I sidste ende blev det besluttet af det daværende forskningsministerium at lave et neutralt løbenummer (PID) i certifikaterne og en tilhørende online PID/CPR-opslagstjeneste, hvor offentlige tjenester har lov til at få udleveret det CPR-nummer, der hører til certifikatet.

Private tjenester skal indhente CPR-nummeret fra brugeren selv, som dermed selv udleverer CPR-nummeret, hvorefter tjenesten kan få bekræftet sammenhængen mellem CPR-nummer og certifikat i PID/CPR-tjenesten. Det er disse metoder, som anvendes i dag.

Selve indholdet af OCES-certifikater blev også fastlagt i denne proces, hvor man valgte at lægge så få informationer som muligt i selve certifikatet for at mindske behovet for at besvære brugerne med opdatering af certifikatet, hvis indholdet ændrede sig.

Dermed blev det overladt til de digitale tjenester, der tilbyder brugeren at tilvejebringe og vedligeholde yderligere oplysninger om brugeren, såsom rettigheder, roller, postadresser, eller hvad man ellers kunne tænke sig at vide om brugeren.

I første generation af OCES blev der mulighed for, at brugerne kunne vælge at få e-mailadresse i certifikatet, få certifikatet optaget i en offentlig certifikatdatabase samt vælge at optræde under 'pseudonym', sådan at folkeregisternavnet ikke fremgår af certifikatet, men derimod blot tekststrengen 'Pseudonym'.

Pilotprojekterne i 1999 baserede sig meget på tankerne fra EU med smartcard-teknologi og kvalificerede certifikater, som skulle udstedes ved fysisk identifikation af brugerne. Projekterne viste egentligt, at smartcard-teknologien ikke var hverken moden eller brugervenlig nok til udrulning til borgere og virksomheder på daværende tidspunkt.

Der var ellers stor opbakning og deltagelse fra markedsdeltagere og brugerorganisationer, som nedenstående skema fra evalueringen af pilotprojektet viser:

Og problemerne var talrige, som nedenstående oversigt lakonisk konstaterer …

Første offentlige aktivitet på området efter pilotprojekterne blev, som beskrevet ovenfor i 'Historien om digital signatur', etableringen af en SKI-aftale. Leverandører på denne aftale var Cryptomathic, IBM, KMD og TDC.

Både KMD og TDC etablerede som kvalificerede certificeringscentre et samarbejde med Post Danmark om 'udlevering' af kvalificerede certifikater fra posthusene.

Én af erfaringerne efter SKI-aftalen var, at der grundlæggende behøvedes en 'modtager betaler'-forretningsmodel, da motivationen for digitalisering primært fandtes hos modtagerne, altså myndighederne, imens de enkelte borgere ikke var motiverede for at gå på posthuset og købe en signatur selv!

Man kan med nogen ret mene, at digital signatur teknologien (PKI) gennemgik Gartners ”hype kurve” med tilhørende begejstring efterfulgt af desillusion for efterfølgende forhåbentlig at havne på et ”produktivitets niveau” hvor fokus på den bagvedliggende teknologi forsvinder.

Som det er vist i hype kurven, var de mest udbredte offentlige identifikationsmekanismer tilbage i starten af 0’erne henholdsvis tastselvkoden fra Skat og fælles pinkode fra KMD. Begge løsninger havde et langt liv parallelt med at digital signatur voksede sig stærkere, og udgjorde sammen med en konkurrerende løsning fra PBS kaldet Net-ID, de største konkurrenter i hvad nogle medier dramatisk kaldte signatur-krigen tilbage i 2005.

OCES infrastrukturen
Forløbet endte altså med en projektkonkurrence i 2002.

Forfatteren af denne artikel havde fornøjelsen af at være løsningsarkitekt og efterfølgende ansvarlig for OCES1 implementering og drift hos TDC i perioden 2003-2006.

Projektkonkurrencen og den vindende løsning fra TDC var nødt til at fjerne en række forhindringer i markedet, som illustreret her:

OCES digital signatur var en software baseret løsning, hvor man i stil med netbankernes sikkerhedsløsninger på det tidspunkt opbevarer en privat signeringsnøgle på brugeren harddisk. Visuelt oplevede brugeren at have en særlig software og tilhørende brugsdialoger, som illustreret herunder

Rent teknisk skulle OCES1 signaturen fungere med den standard software og de operativsystemer, som var udbredt i markedet på dette tidspunkt.

Især i startfasen var der meget stor fokus på understøttelse af standard software som anvendtes hos brugeren i forvejen, særligt browserne Firefox og Internet Explorer. Senere blev man nødt til at erkende, at det var sikrere, at få brugeren til at installere særligt software, som beskyttede signaturen, end at vejlede brugerne i selv at konfigurere denne beskyttelse i deres eksisterende software.

Der var stor opmærksomhed omkring den nye digitale signatur fra pressens side. Her nogle overskrifter fra foråret 2003:

• 6/2 TDC skal levere Digital signatur
• 10/2 Digital Signatur med OpenSource
• 12/2 Sander kaldt i samråd om IT-signatur (hvorfor TDC)
• 11/3 5000 Danskere har fået Digital Signatur (ToldSkat)
• 31/3 30.000 udelukket fra digital signatur (adressebeskyttelse)
• 9/7 København indfører digital signatur
• 11/7 Digital signatur til blinde

Efter en periode blev pressens primære fokus dog rettet imod udbredelseshastigheden.

Denne fokus på udbredelseshastigheden skyldes især at der var knyttet en kommerciel bonusaftale på TDC’s kontrakt. Målsætningen var at nå 1,3 mio. brugere i 2007, og allerede sommer 2004 var ambitionen 350.000 brugere, imod de ca. 175.000 brugere, som blev realiseret jf. grafen ovenfor. Dette betød at udrulningen haltede efter målene i alle årene.

Der skete en hastig og innovativ produktudvikling af OCES1 infrastrukturen fra 2003 til 2006 i takt med at de praktiske erfaringer og nye behov viste sig. Af større nyskabelser kan nævnes:

• Mulighed for OCES certifikater for unge mellem 15 og 18 år.
• Tvungen brug af stærkt password til aktivering af signaturen i de forskellige browsere
• Signatur leveret på ”CD Rom” og USB stick
• Mulighed for straks udlevering af signatur fra borgerservices i kommuner
• Udstedelse til borgere med adressebeskyttelse eller bosiddende i udlandet
• Bedre løsninger til blinde og svagtseende
• Opensource softwarekomponenter (opensign og openlogon) ti l tjenesteudbydere
• Straksudstedelse med Tastselv kode, medarbejder bredbånds installationsadresse eller voice response løsning.

Specielt hindringerne for borgernes bestilling af signatur blev søgt mindsket igennem forskellige sikre metoder for identifikation af brugerne, uden at de behøvede at vente på et PIN brev sendt til folkeregisteradressen.

POCES, MOCES, VOCES og FOCES – signaturens mange varianter
Der blev med første generation af digital signatur etableret tre certifikat politikker til forskellige formål og brugergrupper.

Personsignatur (POCES):

• Autentifikation af private personer
• Obligatorisk tilknytning af CPR nummer til PID nummer i certifikat
• Krav om manuel brugerautentifikation ved hver signaturafgivelse
• Mulighed for pseudonym, optionel email adresse i certifikat og optionel optagelse i offentlig adressebog (LDAP katalog).
• Hvis der er et navn i certifikatet, er dette folkeregisternavnet på udstedelsestidspunktet

Medarbejdersignatur (MOCES):

• Autentifikation af personer tilknyttet et CVR nummer
• CVR nummer og organisationsnavn i certifikat
• Krav om manuel brugerautentifikation ved hver signaturafgivelse
• Optionel email adresse i certifikat og optionel optagelse i offentlig adressebog (LDAP katalog).
• Optionel tilknytning af CPR nummer
• Navnet i certifikat inddateres af organisationens lokale administrator, så der kan ikke forventes en ensartet kvalitet af dette

Virksomhedssignatur (VOCES):

• Autentifikation af organisationer
• CVR nummer og organisationsnavn i certifikat
• Ikke krav om manuel brugerautentifikation ved hver signaturafgivelse
• Optionel email adresse i certifikat og optionel optagelse i offentlig adressebog (LDAP katalog).
• Navnet i certifikat inddateres af organisationens lokale administrator, så der kan ikke forventes en ensartet kvalitet af dette

I forbindelse med indførelsen af Nemhandel og ønsket om at kunne udbrede sikker kommunikation billigt til en stor mængde faktureringsinstallationer, blev det besluttet at indføre en fjerde certifikat politik for funktionssignatur, som en billigere ”lillebror” til virksomhedssignatur.

Foranalyse og udbud af OCES2 2007
Da der i 2006 - 2007 skulle træffes beslutning om en afløser for OCES1, var udbredelsen og anvendelsen dog så stor (op mod én mio. brugere), at der ikke var tvivl om, at der skulle efterspørges en afløser som kunne fortsætte ad samme udviklingsvej for det offentlige.

Før udbuddet af OCES2 blev der gennemført en intern fællesoffentlig foranalyse med deltagere fra stat, regioner og kommuner.

Resultaterne af foranalysen kunne aflæses i det udbudsmateriale, som blev anvendt for OCES2. Primære tildelingskriterier var økonomi, sikkerhed samt brugervenlighed og mobilitet.

Tildelingskriterier fra udbuddet om OCES2 lettere forsimplet:

• Løsningens økonomi
• Sikkerhed
• Brugervenlighed og mobilitet
• Det offentlige som tydelig afsender
• Fremme udbredelsen
• Funktionalitet mindst som i OCES1
• Kontinuitet for tjenester og enkel migrering for brugere

OCES2 aftalen og NemID løsningerne
Udbuddet resulterede i en ny kontrakt for OCES2, leveret af det PBS ejede Nets DanID.

Dette firma overtog under udbuddet den eksisterende produktionsplatform fra TDC sammen med den gruppe af medarbejdere der drev denne.

OCES2 løsningerne indeholdt blandt andet en ny teknisk løsning for central opbevaring af private signeringsnøgler for borgere, med autorisation af autentifikation og signering ved hjælp af det berømte og berygtede ”papkort”.

Dette papkort muliggjorde desuden en sikkerhedsløsning dækkende både offentlige tjenester og netbanker, som af borgerne opfattes som én løsning, selvom der teknisk set er to forskellige sikkerhedsmodeller ”omme bagved”.

Én af årsagerne til de to forskellige tekniske sikkerhedsmodeller var et ønske fra bankerne om at anvende ”korttids” certifikater og nøgler, som kun lever under selve banktransaktionen, imens den offentlige digitale forvaltning, og den opstøttende standardisering og lovgivning, arbejder med certifikater som lever i 2-3 år.

De to forskellige tekniske løsninger har i praksis blandt andet bevirket, at netbankernes og det offentliges understøttelse af mobile devices har udviklet sig i forskellige spor, ligesom netbankerne har haft flere frihedsgrader i forhold til kun at autentificere brugere på basis af NemID bruger-ID og password.

Der er også med NemID og OCES2 understøttelse af standard softwarepakker og forskellige operativsystemer jf. nedenstående.

I praksis er den dominerende anvendelse dog implementeret af en java applet i de gængse browsere.

Med OCES2 aftalen koblede den offentlige digitale signatur sig på netbank toget. Dette førte til en hurtig udbredelse med fuld dækning af målgrupperne for digital forvaltning.

OCES3?
OCES2 aftalen med Nets DanID løber til sommer 2015 med mulighed for at forlænge med to gange et år, altså frem til sommer 2017.

Baseret på erfaringerne omkring udbud af OCES2, skal arbejdet med at forberede udbuddet af en afløser påbegyndes tidligere, end man måske lige regner med. (Version2 har netop omtalt at Digitaliseringsstyrelsen er i gang med et udbud af en midlertidig løsning, red.)

Ved designet af den tekniske infrastruktur til OCES2 vægtede kravene til brugervenlighed og mobilitet meget højt.

På disse områder har løsningen da også, trods kritik, vist stor succes, med effektiv udbredelse til hele målgruppen for digital forvaltning.

Hensynet til sikkerhed vægtede også meget højt.

Den grundlæggende arkitektur med en centralt opbevaret privat nøgle, som understøtter høj mobilitet, medfører dog også indbyggede udfordringer omkring ”realtime phishing”, hvor brugere lokkes til at signere noget forkert, samt ”single point of failure”, hvor den centrale infrastruktur lægges ned af fejl eller DDOS angreb.

Begge dele er set demonstreret i praksis siden introduktionen.

Da løsningen blev designet tilbage i 2008, var det dominerende sikkerhedsproblem hos private, at deres computere blev hacket og netbankerne angrebet derigennem.

Særligt var Windows XP udsat for denne type angreb, imens de senere Windows versioner viste større robusthed.

Dette førte dog blot til angreb via andre sårbare softwarekomponenter på disse operativsystemer.

Den valgte løsning, med en engangskode og en central nøgle, gav nogle muligheder for at gøre denne type angreb på brugerens PC vanskeligere og blandt andet forudsætte et angreb i realtid.

Grundlæggende er der dog også med engangskoderne behov for at brugernes computere er sikre, så brugerne kan stole på, hvad der vises på skærmen.

Det offentlige står overfor en vigtig opgave med at afklare ønsker og krav til den næste generation. Herunder kan også ligge overvejelser omkring ejerskab af denne stadig vigtigere infrastruktur og minimering af de problematikker, der hører til at udskifte hele løsningen reglmæssigt!

Som overgangen til OCES2 har vist, var det på ingen måde enkelt at udskifte digital signatur løsninger og leverandører, og i takt med at anvendelsesområderne og afhængighederne øges, bliver det ikke lettere.

Andre lande i norden og europa har haft meget forskellige forløb omkring udviklingen af deres digitale signaturer.

Generelt set har Europa været meget fokuserede på ID-kort lignende chipkortløsninger med billede på, hvor det typisk er vanskeligere at få antallet af elektroniske transaktioner til at stige, imens landene i Norden har været kampplads for banker, postvæsen og teleudbydere som nogle af de centrale interessenter i at etablere digital signatur løsninger med forskellige tekniske løsninger som basis.

Set i det lys har Danmark nok haft en forholdsvis pragmatisk og kosteffektiv historik på dette område indtil nu, med en udrulning og et aktivitetsniveau som vi bestemt ikke behøver at skamme os over.

Således opmuntret ønskes alle gode kræfter god arbejdslyst med videreudviklingen af den digitale signatur i Danmark!

Morten Storm Petersen
Signaturgruppen forår 2013.

Efterskrift efteråret 2016.

I de 12 år vi har haft digital signatur, NemID og OCES standarderne er der sket en rivende udvikling i de digitale tjenester og anvendelsesmulighederne.

Dette har skabt et aktivitetsniveau, hvor der nu også er ved at være basis for at standardisere mere end ét sikkerhedsniveau.

Landskabet af identitetsløsninger på et lidt lavere sikringsniveau end NemID er blevet mere og mere fragmenteret de seneste år.

Det, samt eIDAS forordningen som nu er vedtaget i EU, er baggrunden for udviklingen af den nye National Standard for Identiteters Sikringsniveau (NSIS), som Digitaliseringsstyrelsen har i høring i denne periode.

NSIS bliver en meget central standard i den fremtidige udvikling i Danmark, hvad enten man baserer sig på NemID værktøjerne eller teknologi fra de store softwareproducenter såsom Microsofts ADFS.
eIDAS forordningen omfatter meget af det tekniske standardiseringsarbejde der er udviklet internationalt igennem årerne.

Men til forskel fra dengang loven om digital signatur blev vedtaget, fokuserer man nu på at få de mange forskellige praktiske løsninger, som har vundet indpas i de forskellige europæiske lande, til at kunne snakke sammen.

Her havde loven om digital signatur mere rigide krav til løsningerne, som markederne og brugerne måske ikke var helt klar til.

Mod næste generation af NemID

Her efter 16 år med lov om digital signatur er det lykkedes at lave en aftale imellem det offentlige og pengeinstitutterne om tilvejebringelse og drift af næste generation NemID.

Dermed er der mulighed for, at man kan bevare den populære tværgående funktionalitet, hvor den enkelte bruger med NemID kan tilgå både det offentlige, private tjenesteudbydere og netbanker. Så langt så godt.

Næste skridt er en dialog med potentielle leverandører i efteråret 2016 og et forventet udbud i 2017.

Med de mange daglige brugere på de mange digitale tjenester er der blevet tale om en helt kritisk komponent i digitaliseringen i Danmark.

Og med de mange parter og interessenter tager selv små ændringer lang tid at aftale, og grundlæggende opdateringer tager typisk årevis, da alle parter skal planlægge og gennemføre opdateringer af egne IT systemer.

For at illustrere en anden problematik i at vedligeholde og modernisere en løsning som NemID med så mange aktører og interessenter, så blev den første iPhone introduceret 9. januar 2007, lige omkring det tidspunkt hvor den tekniske løsningsmodel for NemID blev fastlagt.

Og det er først her i 2017, at vi for alvor kan tegne streger til en alvorlig modernisering af NemID! Dette er selvsagt vanskelige vilkår, når man også gerne vil have en tidssvarende løsning!

Så et af de områder, der skal nytænkes, er udnyttelsen af mulighederne i mobile devices.

Et andet område er sikkerheden, hvor vi må gøre os mere modstandsdygtige overfor realtime phishing og denial of service.

Digitaliserings-heltenes fortjenstmedalje med egeløv

Så Digitaliseringsstyrelsen er i gang med et uhyre krævende udbud hvor:

• Stat, kommuner og regioner skal blive enige
• Pengeinstitutterne skal have deres ønsker tilgodeset
• IT sikkerheden skal være markedets bedste!
• Driftsstabiliteten skal være 99,99%
• Brugervenligheden skal være i top, så hele den danske befolkning let kan bruge det!
• 4,6 mio. brugere og 5-600 tjenesteudbydere ikke skal mærke bump i vejen
• Der gerne skal understøttes en agil og fleksibel videreudvikling efterfølgende
• hele herligheden nok heller ikke må koste alverden.

Når projektgruppen hos Digitaliseringsstyrelsen har landet dette projekt til alles tilfredshed, tror jeg faktisk de vil være kvalificerede til at tage fat på at reparere SKATs EFI system, genoplive Amanda og slutte af med at designe et nyt ejendomsvurderingssystem, som alle politikere kan enes om! Så må de have gjort sig fortjent til at få digitaliserings-heltenes fortjenstmedalje med egeløv.

Efterskrift v. Version2: Næste generation af NemID skal efter Digitaliseringsstyrelsens nuværende plan være klar i 2019 - men allerede næste år slutter syvende og sidste år af kontrakten med NemID-leverandøren Nets.

Derfor må styrelsen nu gå i udbud for at finde en ny kustode til Danmarks digitale ID - omend det bliver for en kort stund.