Nkom krever skjerpede rutiner rundt utsending av kodebrikker fra BankID
Nasjonal kommunikasjonsmyndighet varsler at BankID kan miste godkjenningen på sikkerhetsnivå «høyt» hvis de ikke strammer inn på hvordan kodebrikker utleveres.
For at BankID skal være godkjent på det høyeste sikkerhetsnivået, kreves det at alle kodebrikker utleveres ved fysisk oppmøte og kontroll av legitimasjon.
– BankID har hatt avvik knyttet til utsendelse av kodebrikken over flere år, og det er deres ansvar å passe på at de følger regelverket. Nkom har over lang tid informert og veiledet aktørene slik at de forstår hva de må utbedre for å være i tråd med lovverket, sier sikkerhetsdirektør Svein Sundfør Scheie i Nkom i en pressemelding.
– Likevel ser vi at avviket fortsatt ikke er lukket, og da varsler vi at de kan miste godkjenningen sin for det høyeste sikkerhetsnivået, fortsetter han.
Varsler tilsyn
For å logge inn på offentlige tjenester, må du bruke elektronisk ID. Du kan velge mellom fire ulike elektroniske identiteter, hvorav én av dem er BankID. Den kan brukes enten med app eller kodebrikke.
Nkom ber dagens BankID, som eies av norske banker, om å dokumentere at de oppfyller kravene til sikkerhetsnivå «høyt».
Dersom de ikke gjør noe med problemet som er påpekt med kodebrikkene, vil BankID bli fjernet fra listen over de som har dette sikkerhetsnivået.
Nkom varsler samtidig tilsyn med selskapet Stø, som drifter dagens BankID-løsning.
– Endrer rutinen
Jan Bjerved, leder av ID i Stø, forsikrer overfor NTB at BankID-utstedelse alltid er basert på fysisk oppmøte og fremvisning av gyldig pass eller ID-kort.
– Forbedringspunktet Nkom peker på, gjelder utlevering av kodebrikke i etterkant. Noen banker har hatt som rutine å sende kodebrikken i posten, på samme måte som politiet sender ut pass og nasjonalt ID-kort. Denne rutinen jobber vi nå med å endre slik at utsendelse av kodebrikker blir i tråd med kravene, sier han.
– Ingen svindeltilfeller
Bjerved viser ellers til at det i 2022 ble påpekt fem forbedringspunkter – og at Stø og bankene har prioritert fire av disse.
– Det femte forbedringspunktet er mer krevende fordi det innebærer å re-identifisere millioner av mennesker. Vi er imidlertid nå godt i gang, men det vil ta noe tid å komme i mål, sier han.
Bjerved sier at selskapet ikke har registrert svindel som følge av at en kodebrikke er blitt sendt til feil person.