Nkom: Seks BankID-utstedere oppfylte ikke sikkerhetskravene

Nasjonal kommunikasjonsmyndighet (Nkom) har konkludert med at seks tidligere utstedere av BankID ikke har oppfylt kravene til sikkerhetsnivå høyt. Bakgrunnen er et kjent avvik ved utstedelse og aktivering av enkelte kodebrikker.

Varselet gjelder Bankenes ID-tjeneste, Danske Bank, DNB Bank, Eika Gruppen, Nordea og SpareBank 1 Utvikling. Dersom Nkom fatter vedtak som varslet, blir disse fjernet fra listen over utstedere på nivå høyt.

Det får ifølge Nkom ingen konsekvenser for brukerne. Stø skal, etter det myndigheten kjenner til, ha overtatt utstederansvaret for alle BankID-kundene. Selskapet omfattes ikke av varselet.

– Vi har konkludert med at den tidligere utstedelsen og aktiveringen av BankID ikke oppfyller kravene til sikkerhetsnivå «høyt», sier seksjonssjef Sander Norrøne Ask i Nkom i en pressemelding.

Avvik kjent siden 2022

Computerworld omtalte allerede 26. mars at BankID kunne miste godkjenningen på høyeste sikkerhetsnivå.

I sin melding den gangen opplyste Nkom at avviket hadde vært kjent siden 2022. Det dreier seg om kodebrikker som er sendt ut uten fysisk identitetskontroll. Ifølge tilsynet krever regelverket at brikkene utleveres ved fysisk oppmøte og kontroll av legitimasjon for at løsningen skal oppfylle kravene til nivå høyt.

Sikkerhetsnivået har betydning for hvilke tjenester en elektronisk ID kan brukes til. Enkelte offentlige tjenester, blant annet innen helse, krever nivå høyt.

I mars fikk bankene fire uker til å dokumentere at kravene var oppfylt. Nå har Nkom konkludert med at den tidligere utstedelsen og aktiveringen ikke tilfredsstilte kravene, og varsler vedtak mot de seks utstederne.

Skal undersøke overføringen til Stø

At Stø har overtatt utstederansvaret, avslutter ikke Nkoms oppfølging. Myndigheten vil i et eget tilsyn undersøke om overføringen av kundene har skjedd på riktig måte.

– Det blir viktig å vurdere om avvikene bankene har hatt, ikke blir med videre. Nkom vil følge opp Stø i et eget tilsyn, som blant annet vil se på dette, sier Ask.

Nkom varslet også i mars tilsyn med Stø. Den gangen understreket myndigheten at selskapet måtte dokumentere at vilkårene for å overta kundene var oppfylt.

Ask opplyser nå at flere av tiltakene Nkom har etterspurt fra Stø, gjennomføres raskere enn aktørene hadde planlagt. Han mener det er positivt, men sier det er for tidlig å fastslå når tilsynet vil være ferdig.

De seks tidligere utstederne har tre uker på seg til å komme med innspill før Nkom fatter vedtak. Et eventuelt vedtak kan påklages til Digitaliserings- og forvaltningsdepartementet.