Høringsnotat vedrørende bekendtgørelse om sikkerhedskrav, m.v. til nøglecentre

Transkript

1 Høringsnotat vedrørende bekendtgørelse om sikkerhedskrav, m.v. til nøglecentre Forskningsministeriet 3. oktober 2000 Telepolitisk kontor CJA J.nr. ITR 4843 Forskningsministeriet sendte et udkast til bekendtgørelse om sikkerhedskrav m.v. i nøglecentre i offentlig høring den 3. juli 2000 med svarfrist den 15. august Generel vurdering af høringssvarene Forskningsministeriet vurderer ud fra høringen, at det udsendte bekendtgørelsesudkast på flere punkter bør revideres, blandt andet for at tage hensyn til de internationale standarder på området, som er ved at blive fastsat. Det er dog ikke muligt at indarbejde samtlige disse ændringer og samtidig lade bekendtgørelsen træde i kraft den 16. oktober 2000, hvilket skyldes, at udkast til bekendtgørelsen skal notificeres som en teknisk forskrift i henhold til informationsprceduredirektivet. Ifølge direktivet må en medlemsstat ikke sætte et notificeret udkast i kraft tidligere end 3 måneder efter notifikationen. Såfremt der gennemføres egentlige materielle ændringer i et udkast skal det desuden notificeres på ny. Forskningsministeriet har derfor valgt at udarbejde en let revideret udgave et det udsendte udkast, som vil blive sat i kraft den 16. oktober Herefter agter ministeriet at foretage en egentlig revision af bekendtgørelsen, som efter en ny notifikation kan sættes i kraft i begyndelsen af Kommentarer til de enkelte bestemmelser i bekendtgørelsen: 2 Finansrådet finder det tilstrækkeligt, at et nøglecenter skal offentliggøre sin certifikatpolitik. Et nøglecenters certificeringspraksis er derimod et så omfattende og detaljeret dokument, som desuden kan indeholde fortrolige oplysninger, hvis offentliggørelse kunne kompromittere sikkerheden i nøglecentret. Efter Finansrådets opfattelse vil det næppe være sandsynligt, at underskrivere kan vurdere, hvorvidt procedurerne i certificeringspraksisen lever op til certfikatpolitikken.

2 Kommunedata påpeger, at standardiseringsorganet ETSI nu har offentliggjort et udkast til retningslinier for CP/CPS, hvilket efter KMD s opfattelse medfører et behov for en præcisering af begreberne i 2. I 2, stk. 2 bør det efter KMD s opfattelse præciseres, hvad der skal forstås ved nøglecentrets ledelse i de tilfælde, hvor en virksomhed har andre forretningsområder end drift af et nøglecenter. Post Danmark går ud fra, at kravet om offentliggørelse af nøglecentrets certfikatpolitik og certificeringspraksis kan opfyldes ved at lægge den ud på nøglecentrets web-site. Endvidere går Post Danmark ud fra, at udtrykket eller dele heraf i stk. 4, gør det muligt at undlade offentliggørelse af dele af certificeringspraksisen, som indeholder sikkerhedsoplysninger og forretningshemmeligheder. Kravet om offentliggørelse af dele af et nøglecenters certificeringspraksis er medtaget for, at skabe åbenhed omkring de procedurer, m.v., som et nøglecenter anvender for at skabe et tilstrækkeligt sikkerhedsniveau. Kravet er dog udformet således, at det undgås at et nøglecenter tvinges til at offentliggøre oplysninger, som kan kompromittere sikkerheden i nøglecentret eller afsløre forretningshemmeligheder. Forskningsministeriet planlægger derfor ikke at fjerne eller slække på kravet i 2, stk. 4. Forskningsministeriet har foretaget en let opstramning af begrebsdefinitionerne i 2 i lyset af ETSI s udkast til retningslinier for CP/CPS. Forskningsministeriet har ændret udtrykket ledelse til daglige ledelse i 2. Ved et nøglecenters daglige ledelse skal forstås en person eller et organ, der er ansvarlig for varetagelsen af nøglecentrets løbende drift. Herved sikres, det fortsat, at der sker en formel godkendelse af nøglecentrets CP og CPS internt i nøglecentrets organisation uden at forhindre, at specielt indholdet af CPS en kan opdateres uden at skulle afvente afholdelsen af for eksempel et bestyrelsesmøde. Det er korrekt forstået, at offentliggørelse på et web-site opfylder kravet i 2, samt at afgivelse af oplysninger efter 10 kan afgives elektronisk. 3

3 Foreningen af Statsautoriserede Revisorer opfordrer til, at teksten i 3 efter.nøglecentrets systemer i anden linie slettes. I stedet bør der indsættes en ny bestemmelse, der stiller krav om, at der i forbindelse med et nøglecenters ophør med at drive virksomhed skal ske en overdragelse til et andet nøglecenter eller, hvis dette ikke er muligt, at der gives meddelelse til certifikatindehaverne om, at deres certifikater er blevet spærrede samt, at de spærrede certifikater opføres på en offentlig liste, der vedligeholdes i minimum seks år. IT-Sikkerhedsrådet finder 3 særdeles vanskelig at forstå og, at bestemmelsen bærer præg af ikke at være gennemarbejdet. For det første undrer det Rådet, at et nøglecenter så vidt muligt skal sikre en uafbrudt drift i 3, mens der skal være adgang til den i 11, stk. 1, nævnte katalogog tilbagekaldelsestjeneste 24 timer i døgnet, uagtet at der er tale om samme type af tjenester i de to bestemmelser. For det andet forekommer det uforståeligt, hvordan man kan sikre drift af nøglecentrets systemer i en situation, hvor nøglecentret ophører med sin virksomhed. Hvis hensigten er, at nøglecentrets virksomhed skal forsøges overdraget til en anden virksomhed, bør dette fremgå tydeligere. Endelig bør bekendtgørelsen indeholde en regel om nøglecentrets forpligtelser ved ophør af virksomheden. Der bør stilles krav om, at aktiviteterne med fuld dokumentation overdrages til et andet nøglecenter, eller hvis dette ikke kan lade sig gøre, at alle certifikater spærres og, at der gives meddeles til indehaverne. De spærrede certifikater bør opføres på en liste, som skal være offentlig tilgængelig i mindst 6 år. Kommunedata mener, at det bør præciseres, hvad der menes med uafbrudt drift i 3. KMD formoder, at der menes en opretholdelse af CRL eller en lignende type katalogtjeneste i de udstedte certifikaters gyldighedsperiode. Udlændingestyrelsen finder formuleringen af 3 for løs og foreslår, at bekendtgørelsen i langt højere grad bør sikre den fortsatte drift af et nøglecenter i tilfælde af konkurs eller betalingsstandsning. Forskningsministeriet vil i lyset af de indkomne kommentarer foretage en gennemgribende revision af 3 i den kommende revision af bekendtgørelsen. Ministeriet har derfor alene foretaget en mindre sproglig opstramning af bestemmelsen, hvorved det gøres tydeligere, at nøglecentret skal træffe foranstaltninger, der sikrer, at nøglecentrets drift hurtigst muligt kan blive

4 genoptaget i to ekstraordinære situationer: systemnedbrud og (mistanke om) kompromittering af nøglecentrets private nøgle. 4 Foreningen af Statsautoriserede Revisorer savner en uddybning af, hvorledes nøglecentret skal forholde sig, hvis der ikke fremvises straffeattest, eller hvis denne viser, at den ansatte har været straffet. IT-Sikkerhedsrådet finder det uklart, hvornår og med hvilke konsekvenser nøglecentret skal anmode om en straffeattest fra sine ansatte, jf. 4. Kommunedata foreslår, at kravet i 4 kun skal omfatte ansatte, som har en nøglefunktion i nøglecentret. KMD mener, at sikkerhedsniveauet vil blive højnet betydeligt, hvis det er nøglecentret selv, der med de ansattes accept, indhenter straffeattester, da mulighederne for forfalskninger herved undgås. Post Danmark peger på, at bestemmelsen er uhensigtsmæssigt formuleret, da det er uklart i hvilket omfang nuværende ansatte og ansatte hos underentreprenører er omfattet, samt hvilke konsekvenser oplysninger om tidligere straffe skal have for den pågældende person. Tele Danmark finder det uhensigtsmæssigt, at kravet vedrørende fremvisning af straffeattest omfatter samtlige ansatte. Bestemmelsen bør derfor præciseres, således, at den alene gælder for de medarbejdere i nøglecentret, som har arbejdsopgaver i tilknytning til udstedelsen af certifikater. Kravet i 4 om fremvisning af straffeattester vil blive præciseret, således, at det fremgår, at nøglecentret skal kontrollere, at ledere og ansatte, der udfører betroede opgaver i eller for nøglecentret, ikke er straffet for forbrydelser, som gør dem uegnede til at udføre deres hverv. Ansatte i virksomheder eller myndigheder, som nøglecentret har outsorucet opgaver til, for eksempel i forbindelse med identitetskontrol, jf. 8, er således også omfattet af bestemmelsen. Loven opstiller ikke noget vandelskrav, og det vil derfor fortsat være nøglecentrets ledelse, som skal foretage den konkrete vurdering af den enkelte ansattes straffeattest. Bestemmelsen er ikke til hinder for, at et nøglecenter følger den fremgangsmåde, som Kommunedata foreslår.

5 5 Efter Danmarks Rederiforenings opfattelse bør 5, sidste pkt. ændres sådan, at der også er dispensationsmulighed for alle typer af virksomheder, der er selvforsikret. Finansrådet mener, at kravet i bekendtgørelsens 5, stk. 2, om, at et nøglecenter skal tegne en obligatorisk forsikring eller garanti går ud over, hvad der er hjemmel til. Der henvises til bemærkningerne til loven, som ifølge Finansrådet må forstås således, at et krav om forsikring, mv. kun kan kræves, hvor dette skønnes nødvendigt ud fra en vurdering af nøglecentrets størrelse og soliditet. Kravene i bekendtgørelsen anses for urimelige og unødvendige for større virksomheder som for eksempel PBS eller et større pengeinstitut. Finansrådet foreslår i stedet, at Telelstyrelsen foretager en vurdering af behovet for eventuel sikkerhedsstillelse. I vurderingen bør indgå om nøglecentret har en omfattende eller begrænset systemrisiko. Finanstilsynet peger på, at bestemmelsen i 5 synes at antyde, at nøglecentre skal tegne en ansvarsforsikring eller en kaution/garanti og gør i den relation opmærksom på, at den finansielle lovgivning giver forsikringsselskaber og pengeinstitutter eneret til at yde sådanne. Begrebet et andet finansielt institut har derfor kun relevans over for institutter fra andre EU/EØS-lande. Generelt bør 5 præcisere nærmere, hvilke forpligtelser der pålægges de enkelte typer af nøglecentre. Forsikring og Pension noterer sig, at bestemmelsen er søgt udformet på et overordnet niveau, men at der formentlig vil være behov for at tage den op til fornyet overvejelse i slutningen af Overordnet er F&P enige i den valgte udformning af bestemmelsen og også i, at bestemmelsen genovervejes i lyset af de indhøstede erfaringer. Samtidig gør F&P dog opmærksom på, at det formentlig vil være meget vanskeligt for et forsikringsselskab at foretage en præcis vurdering af den ansvarsrisiko, som det enkelte nøglecenter har og dermed også at fastsætte en forsikringssum. Vurderingen vil også afhænge af, om nøglecentrene etableres i privat eller offentligt regi. F&P går ud fra, at overholdelsen af kravet i 5 om, at dækningssummen skal stå i et rimeligt forhold til omfanget og karakteren af nøglecentrets aktiviteter påses af systemrevision og omfattes af indberetningskravet i

6 systemrevisionsbekendtgørelsens 4, stk. 1, nr. 6. På denne måde vil Telestyrelsen kunne følge med i, om kravet overholdes. IT- Sikkerhedsrådet konstaterer, at 5 overlader det til nøglecentrets skøn at tegne en passende forsikring. Tele Danmark mener, at 5 også bør give mulighed for, at private virksomheder, der har sådan en størrelse, at de anvender selvforsikring, kan opnå dispensation fra kravene vedrørende forsikring, etc. Den foreslåede dispensationsadgang i 5 fra kravet om, at et nøglecenter skal tegne en forsikring eller garanti omfatter kun offentlige virksomheder, der er selvforsikret. Baggrunden herfor er, at sådanne myndigheder med meget stor sandsynlighed vil være i stand til at udrede eventuelle erstatninger i henhold til lovens 11. Risikoen for, at en privat virksomhed, der driver et nøglecenter, går konkurs eller i betalingsstandsning, er alt andet lige større end for, at en selvforsikret offentlig myndighed ikke kan betale sine fordringer, hvilket er baggrunden for den foreslåede regel. Forskningsministeriet finder ikke, at bemærkningerne til lovens 5 kan forstås på den måde, som Finansrådet har lagt til grund, herunder særligt at der ikke skulle være hjemmel til at fastsætte generelle krav om tegning af forsikring for forskellige typer af nøglecentre. Ved udformningen af kravet er der taget hensyn til omfanget og karakteren af de aktiviteter, som nøglecentret udøver. Forskningsministeriet har overvejet, om det var muligt at opstille et mere enkelt og fast krav om, hvilken forsikring et nøglecenter skal tegne. På det nuværende grundlag, hvor der savnes erfaringer på området, vurderes det dog, at dette ikke er muligt. Ministeriet er dog indstillet på at revurdere bestemmelsen i takt med, at der indvindes flere erfaringer på området. 6 Dansk Dataforening peger på, at sikker kontrol af underskriverens identitet er kerneproblemet i relation til certifikatudstedelse og efterlyser større præcision i bekendtgørelsens krav herom. Der henvises til de procedurer, som anvendes inden for den finansielle sektor.

7 På grundlag af de erfaringer, som man har høstet i forbindelse med sit pilotprojekt, har Erhvervs- og Selskabsstyrelsen enkelte kommentarer til bekendtgørelsen. Det er E&S s erfaring, at et krav om, at hver enkelt certifikatindehaver skal møde op hos nøglecentret eller eventuelt på et posthus eller lignende vil forhindre udbredelsen af elektroniske signaturer. Der bør derfor i 6 være mulighed for, at nøglecentret eller dets repræsentant kan møde op ude i for eksempel en virksomhed og foretage kontrollen. Bestemmelsen i 6, stk. 3, forekommer vag, men Finansrådet er på den anden side tilfreds med, at der ikke stilles detaljerede krav til identitetskontrollen. IT-Brancheforeningen finder, at bekendtgørelsen er særdeles tilfredsstillende og hæfter sig særlig ved, at reglerne om identitetskontrol er blevet yderligere præciseret i forhold til loven, dog således at det kunne fremgå tydeligere, hvilke rapporteringskrav, der gælder i forhold til outsourcing af identitetskontrollen. Post Danmark efterlyser en præcisering af, hvad relevant dokumentation betyder i 6. Post Danmark finder det meget betænkeligt at fravige bekendtgørelsens udgangspunkt om fysisk fremmøde og finder, at den foreslåede undtagelse i 6, stk. 3 kun bør finde anvendelse, hvis nøglecentret samtidig modtager en anden form for identifikation, som oprindeligt er blevet udstedt til vedkommende efter et fysisk fremmøde. Tele Danmark finder, at udtrykket kendskab til underskriverens person i 6 giver anledning til tvivl og foreslår derfor, at bestemmelsen kommer til at indeholde kriterier for grundlaget for kendskabet til underskriveren. Statsadvokaten for Særlig Økonomisk Kriminalitet finder, at det i 6, stk. 1 kunne præciseres, hvilken form for dokumentation, der skal fremvises. Forskningsministeriet har valgt at præcisere bestemmelsen med et specifikt krav om, hvilken form for legitimation for sin identitet en underskriver skal fremvise forud for udstedelse af et kvalificeret certifikat. Kravet svarer til, hvad der gælder efter hvidvaskningsloven. Forskningsministeriet anser det for hensigtsmæssigt at bibeholde muligheden for hovedreglen om, at en underskriver skal give personligt fremmøde i visse tilfælde kan fraviges. Herved gives der mulighed for at

8 nøglecentrene kan anvende mere fleksible og formentlig mindre omkostningstunge identifikationskontroller, under forudsætning af, at dette ikke strider imod sikkerheden omkring certifikatudstedelsen. 6, stk. 2, i bekendtgørelsen er ikke til hinder for, at nøglecentret eller en lokal registreringsenhed, jf. 8 møder op for at foretage identitetskontrollen hjemme hos underskriveren, på dennes arbejdsplads eller lign. 7 Udtrykket andre betryggende procedurer i 7 kan efter Kommunedatas opfattelse fortolkes som et krav om anvendelse af certifikater i forbindelse med identitetskontrol ved fornyelse. KMD mener, at bestemmelsen bør præciseres, da man ellers kunne frygte, at andre lige så betryggende procedurer ikke kan anvendes. 7 udelukker ikke anvendelsen af bestemte procedurer til at foretage en identitetskontrol i forbindelse med fornyelse af et certifikat. Bestemmelsen stiller alene et overordnet krav om, at sådanne procedurer skal være betryggende, hvilket må vurderes i forhold til praksis og internationale standarder på området. 9 Tele Danmark finder, at oplysningerne om de procedurer, som er anvendt i forbindelse med identitetskontrol, naturligt kan indgå i nøglecentrets certifikatpolitik. Kravet i 9 om offentliggørelse af disse procedurer er derfor overflødigt og bør udgå, eftersom der allerede i medfør af 2, stk. 2, er stillet krav om offentliggørelse af certifikatpolitikken. 9 er ikke til hinder for, at oplysninger om identitetskontrollen offentliggøres i nøglecentrets certifikatpolitik. Men da 2 ikke stiller specifikt krav om, at certifikatpolitikken indeholder disse oplysninger, er der behov for, at stille et særskilt krav om offentliggørelse. 10 IT-Sikkerhedsrådet mener, at det bør gøres tydeligere, hvilken sammenhæng, der er mellem kravet om offentliggørelse af CPS og CP og kravet i 10 om oplysninger til indehaverne.

9 Kommunedata går ud fra, at de i 10 nævnte punkter kan indgå i nøglecentrets certifikatpolitik. I nr. 8 er det ikke helt forståeligt, hvad der menes med overdragelse, hvilket bør præciseres. Efter KMD s opfattelse vil ændringer i et certifikats oplysninger altid nødvendiggøre nyudstedelse af certifikatet. Post Danmark går ud fra, at de i 10 nævnte oplysninger kan afgives elektronisk, for eksempel via en . Statsadvokaten for Særlig Økonomisk Kriminalitet peger på, at det i 10, nr. 5 ikke er ganske klart, om opbevaringskravet også omfatter identitetsoplysninger i henhold til 6, hvilket kunne præciseres. I 10, nr. 8 bør det præciseres, at 6 også finder anvendelse i relation til den person, et certifikat overdrages til. Det er korrekt forstået, at de i 10 nævnte oplysninger kan fremgå af et nøglecenters certifikatpolitik, og at oplysningerne kan afgives elektronisk. 10 omfatter også identitetsoplysninger og Forskningsministeriet finder således ikke behov for en yderligere præcisering. 11 Erhvervs- Selskabsstyrelsen mener, at det bør være et krav, at tilbagekaldelseslisten opdateres tilnærmelsesvist real time, jf stk. 3. Kravet om daglig opdatering i bekendtgørelsen er ikke tilstrækkeligt. Forbrugerombudsmanden foreslår, at det i 11 stilles som et krav, at et nøglecenter skal udstede en kvittering, til den der anmoder om at få et certifikat spærret i lighed med bestemmelsen i 11, stk. 7, i lov om visse betalingsmidler. Kommunedata forslår, at der i 11, stk. 3 ikke refereres til en specifik teknisk løsning CRL (Certificate Revocation Lists) - da dette vil forhindre brug af andre måske på længere sigt mere hensigtsmæssige metoder. CRL understøtter ikke muligheden for ekstraordinære opdateringer. Post Danmark går ud fra, det er en forudsætning for, at et nøglecenter kan blive erstatningsansvarlig efter 11 i loven, at overtrædelser af kravene i bekendtgørelsens 11 er begået forsætligt eller uagtsomt.

10 Forskningsministeriet vil den kommende revision af bekendtgørelsen undersøge, om kravet vedrørende opdatering af tilbagekaldelseslisten er tilstrækkeligt set i lyset af de internationale normer og standarder, som findes på området. Forskningsministeriet er enig i, at det er en fordel for alle parter, at der udstedes en kvittering og dermed skabes et bedre bevisgrundlag i forbindelse med, at et nøglecenter modtager en anmodning om tilbagekaldelse af et kvalificeret certifikat og overvejer i en kommende revision af bekendtgørelsen at indføje en regel svarende til 11, stk. 7, i lov om visse betalingsmidler i bekendtgørelsen. 11 er ikke udformet således, at kun en teknisk løsning såsom CRL lister kan opfylde kravet i bestemmelsen. 11 i bekendtgørelsen ændrer ikke på omfanget af erstatningsansvaret i lovens 11.

11 Generelle kommentarer fra høringsparterne Dansk Dataforening DDF går udfra, at bekendtgørelsen har til formål at styrke troværdigheden omkring nøglecentrene men synes dog, at den samlede mængde af krav er for uoverskuelig. DDF mener der er en fare for, at de byrder vedrørende kontrol og tilsyn, som pålægges nøglecentrene kan gøre det svært for potentielle nøglecentre at se nogen forretningsmæssig interesse i at underkaste sig lovens regler. I tilknytning til dette problem, bør det sikres, at nøglecentrenes ansvar præciseres yderligere. DDF mener videre, at der bør laves en vurdering af hvilke omkostninger, der reelt påføres virksomhederne, hvilket også kan blive relevant, hvis man vil udbyde et borgerkort og her kunne overbevise brugerne om, at det er attraktivt for dem at benytte og eventuelt betale for. Vedrørende undersøgelsen af, hvilke omkostninger, der pålægges nøglecentrene, henvises til Erhvervs- og Selskabsstyrelsens bemærkninger nedenfor. Det Centrale Handicapråd Det Centrale Handicapråd beklager stærkt, at der hverken i loven eller i bekendtgørelserne findes hjemme til at kræve hensyntagen til, at handicappede indehavere af certifikater skal have reel mulighed for at benytte elektroniske signaturer. Man henviser til sit høringssvar til loven. Lov om elektroniske signaturer indeholder ikke krav eller hjemmel til at stille krav om, at de produkter og løsninger, som nøglecentre udbyder skal tage hensyn til handicappedes behov. Ideen med loven har været at skabe rammerne for en privat, kommercielt udbud af certifikater med et højt sikkerhedsniveau, hvorimod det ikke har været hensigten med loven at gå direkte ind og stille krav om tilgængelighed m.v. Hensynet til handicappedes muligheder for at drage fordel af de muligheder, der ligger i brugen af elektroniske signaturer, vil derimod indgå i

12 drøftelserne vedrørende de rammeudbud, som i øjeblikket forhandles mellem Forskningsministeriet, SKI, Amtsrådforeningen og Kommunernes Landsforening. Erhvervs- og Selskabsstyrelsen Erhvervs- og Selskabsstyrelsen påpeger, at bekendtgørelsen synes at medføre administrative konsekvenser for erhvervslivet. Derfor bør der foretages en konkret vurdering af bekendtgørelsens konsekvenser til brug for den årlige rapport over lovforslags og bekendtgørelsers administrative konsekvenser for erhvervslivet, som styrelsen udarbejder i medfør af motiveret dagsorden D 92 af 29. april Forskningsministeriet vil sørge for, at den nødvendige vurdering af bekendtgørelsens konsekvenser for erhvervslivet foretages med henblik på den nævnte rapportering til Folketinget. Håndværksrådet Håndværksrådet kan generelt støtte, at der udvikles rammer for udstedelse af kvalificerede certifikater, idet man finder, at udbredelsen af elektronisk handel m.v. er betinget af, at der skabes de fornødne sikkerhedsmæssige rammer. IT-Sikkerhedsrådet IT-Sikkerhedsrådet gentager sin kritik af, at loven og dermed også bekendtgørelsen anvender ordet nøglecenter, der så vidt ses ikke benyttes andetsteds, i stedet for udtrykket certificeringscenter. Rådet efterspørger en forklaring på dette valg fra Forskningsministeriets side. Rådet er meget kritisk overfor bekendtgørelsen, som Rådet finder er mangelfuld på flere punkter og bærer præg af, at Forskningsministeriet har prioriteret interessen i hurtigt at udstede en bekendtgørelse over interessen i at fastsætte en hensigtsmæssig regulering. Rådet anbefaler sammenfattende, at ministeriet foretager en grundig revision af udkastet med inddragelse af det erfaringsmateriale, som findes i offentliggjorte standarder og udenlandsk regulering. Hovedparten af kapitel 2 i bekendtgørelsen tilføjer efter Rådets opfattelse ikke præcision i forhold til loven, som forekommer mere operativ og er desuden i flere tilfælde ikke så lidt upræcis og vildledende.

13 Som nævnt oven for er det Forskningsministeriets intention at foretage en revision af bekendtgørelsen inden for de nærmeste måneder. Undervisningsministeriet Undervisningsministeriet går ud fra, at Rigsrevisionen kan godkende anvendelse af nøglecentre efter disse bekendtgørelser i forbindelse med overførsel af ressourceudløsende data til og fra Undervisningsministeriet. UVM finder, at bekendtgørelserne stiller ganske store krav til kommende nøglecentre, hvilket efter UVM s opfattelse må bygge på en antagelse om, at disse nøglecentre vil have nøgleadministration som hovedbeskæftigelse. Dette vil kunne afholde virksomheder, som kun ønsker at drive et nøglecenter som en bibeskæftigelse fra at involvere sig i denne aktivitet. Bekendtgørelsen tager ikke stilling til, hvilke krav Rigsrevision kan stille i relation til overførsel af ressourceudløsende data. Både loven og bekendtgørelserne bygger i meget vidt omfang på de krav, som er fastsat i direktivet om elektroniske signaturer.

14 Følgende høringsparter har ingen bemærkninger: Advokatsamfundet, Arbejdsministeriet, Arbejdstilsynet, Brancheorganisationen Forbrugerelektronik, By- og Boligministeriet, Civilretsdirektoratet, CSC, Danmarks Nationalbank, Den Danske Dommerforening, Den Sociale Ankestyrelse, Det Danske Center for Menneskerettigheder, Det Kommunale Kartel, Direktoratet for for Arbejdsløshedsforsikringen, Direktoratet for FødevareErhverv, DSB, Dommerfuldmægtigforeningen, Eksport Kredit Fonden, Energistyrelsen, Erhvervsministeriet, Foreningen af Registrerede Revisorer, Justitsministeriet, KODA, Konkurrencestyrelsen, LO, Miljø- og Energiministeriet, Mobilix, Plantedirektoratet, Realkreditrådet, Rigsrevisionen, Skatteministeriet, Socialministeriet, Sonofon, Statens Information, Statens Luftfartsvæsen, SU-styrelsen, Tele 2 A/S, Trafikministeriet, Værdipapircentralen A/S, Økonomiministeriet, Økonomistyrelsen.