Ehälsomyndigheten Förstudie: VARA med eIDAS Ulf Palmgren 2015-10-21

Bakgrund Nationella varuregistret för apoteksmarknaden (VARA). eHälsomyndigheten tar över ansvaret för sammanställning och förvaltning av läkemedelsleverantörernas kompletterande artikelinformation för läkemedel från Läkemedelsverket. Användare är svenska och utländska läkemedelsföretags personal som idag loggar in med användarnamn och lösenord. En förstudie är initierad av eHälsomyndigheten för att se vilka möjligheter förordningen eIDAS ger.

Förordning eIDAS Syftet med denna förordning är att öka förtroendet för elektroniska transaktioner på den inre marknaden genom att tillhandahålla en gemensam grund för ett säkert elektroniskt samspel mellan medborgare, företag och offentliga myndigheter, och därigenom öka effektiviteten hos offentliga och privata nättjänster, elektronisk affärsverksamhet och e-handel i unionen.

Godkända e-legitimationer eIDAS Konceptuellt Medlemsstat Elektronisk identifiering Godkända e-legitimationer Organ Tillsyn Skadestånd Valfritt att Notifiera medlemsstats e-legitimationer EU Notifierade system Medlemsstat måste Acceptera notifierade system Gränsöverskridande autentisering ska tillhandahållas kostnadsfritt Medlemsstat Betrodda tjänster Betrodda tjänster Kvalificerade Betrodda tjänster Betrodda tjänster Kvalificerade Betrodda tjänster Betrodda tjänster Kvalificerade Betrodda tjänster Organ Tillsyn Skadestånd

eIDAS Nationella Noder En nod i en medlemsstat ska ha förmåga att koppla upp sig med noder i andra medlemsstater. Noderna ska med tekniska medel ha förmågan att särskilja mellan offentliga organ och andra förlitande parter. Vid en medlemsstats genomförande av de tekniska kraven i denna förordning får andra medlemsstater inte åläggas oproportionella tekniska krav och kostnader för att kunna samverka med det system som genomförs i den första medlemsstaten.

Ömsesidigt erkännande Tidplan eIDAS 2014 2015 2016 2017 2018 2019 Publicerad 2014-08-28 Träder i kraft 2014-09-17 Genomförandeakter 2015-09-18 Propp Hösten 2015 Ska tillämpas 2016-07-01 Ömsesidigt erkännande 2018-09-18

Förstudie: Kan eIDAS hjälpa till? Läkemedelsleverantörerna som skall kunna uppdatera sina artiklar finns utspridda runt om i Europa. För att kunna uppdatera och ändra sina artiklar måste leverantören kunna identifiera sig på ett korrekt sätt. Idag sker autentisering med tillitsnivå 2, men det vore önskvärt att höja denna till nivå 3. Det vore också önskvärt att förenkla användarhanteringen. Ytterligare ett förbättringsområde gäller identifiering av organisationer som idag lider av att det inte finns någon vedertagen unik, europeisk identifiering av organisationer.

VARA Behörighetsadministration idag VARA ger läkemedelsleverantören ett administratörskonto VARA Läkemedels-leverantör Administratör Läkemedelsleverantören Administrerar sina användare Behörighet

Inloggning till VARA idag Läkemedels-leverantör Inloggning Användarnamn Lösenord Behörighet

Läkemedels-leverantörer Problembild för VARA Zentiva a.s. postal U. Kabelovny 130 CZ-102 37 Prague 10 Budova Aupark Tower Einsteinova 24 Zentiva Group U Kabelovny 130 102 37 Prague 10 Zentiva k.s. Behov: Unik identifiering av en organisation VARA Läkemedels-leverantörer Webb-gränssnitt Behov: Stark autenticering Kännedom om organisation och roll Följsamhet till eIDAS

Idé: Identitets och behörighetsfederation Skulle uppfylla målen att: förenkla användarhanteringen få stark autentisering med tillitsnivå 3 få en standard personidentitet få en standard organisationsidentitet Intyg Namn PersonID OrganisationsID Behörig att: Läsa Skriva VARA Läkemedels-leverantör Inloggning e-legitimation Behörighet Läkemedels-leverantörer

Mappning mot eIDAS Kan intyg innehålla: Identitet: JA Organisation: Tveksamt Behörighet: NEJ (möjligen via bilateral överenskommelse) eIDAS parkerad fråga: juridiska personer och bindningen mellan en fysisk person och en juridisk person behöver mer detaljerad diskussion

eIDAS: Minimiuppsättning av uppgifter för fysisk person Ska innehålla: nuvarande efternamn, nuvarande förnamn, födelsedatum, en unik identitetsbeteckning som satts samman av den utsändande medlemsstaten i enlighet med de tekniska specifikationerna för gränsöverskridande identifiering och som är mest beständig i tid. Kan innehålla: förnamn och efternamn vid födseln, födelseort, nuvarande adress, kön.

Sverige är unikt! Personnummer tilldelas alla folkbokförda i Sverige sedan 1947 Finland har personbeteckning Danmark har CPR-nummer Norge har födelsenummer I Tyskland är det mot lagen att ha ett enda nummer som knyter ihop alla system. I stället har man olika unika nummer för varje system. Japans parlament har antagit en lag som förser varje medborgare med individuell personnummer. Klart 2016

Sverige är unikt! Till Obefintlighetsregistret (OB) flyttas personer som saknar folkbokföringsadress efter 2 år Avlidnas personers personnummer återanvänds efter 5 år 15 000 st (idag har återanvändning upphört) Byten av personnummer 75 000 st Fingerade personuppgifter Särskilt personskydd Ansökan om juridiskt könsbyte, ny identiteten och nytt personnummer

Sverige är unikt! Samordningsnummer ges till personer som inte är folkbokförda i Sverige arbetar tillfälligt i landet, som pendlar från grannland, studerar vid universitet äger sommarstuga har svenskregistrerad bil, övningskör, behöver svenskt körkort, blir åtalade, hamnat i fängelse

Sverige är unikt! Reservnummer lokalt Orkar ni höra mer? Alla har ett eget system Risk för krockar Orkar ni höra mer?

Slutsatts: Vad löser eIDAS för VARA? Användare är identifierad på säkert sätt i respektive land Användaren har e-legitimation utgiven från sitt land Stark autentisering ger ökad säkerhet Slipper flera olika inloggningskonton Minskad splittrad och tung behörighetsadministration av användarnamn och lösenord Följsamhet till förordningen eIDAS Behöver hantera alternativa identiteter

Konceptuellt VARA i eIDAS Land X EU Sverige VARA Anvisningstjänst Anvisningstjänst E-leg X Autentisering Nationell NOD Svensk NOD Behörighet Attribut

Förstudie Klar under november Visar på möjligheterna med eIDAS Tar upp nästa steg i form av en Pilot Peka på vad som behöver finnas på plats för fullskalig drift Förstudien ägs och drivs av eHälsomyndigheten Deltagare eHälsomyndigheten ESV Inera SKL