Ingen garanti for at BankID beholder sikkerhetsnivået mens klagen behandles

– Svært uforutsigbare

Det har selskapet bak BankID heller ikke tatt for gitt.

«Vi kan imidlertid ikke være sikre på å få innvilget oppsettende virkning, da vi opplever Nkom som svært uforutsigbare», skrev Anders Lande, leder for politikk og samfunn i Stø, i en e-post til Finanstilsynet den 16. april.

Han mente det å nekte dispensasjon for en periode, var «unødvendig formalistisk og uforholdsmessig, gitt de potensielt store samfunnsmessige konsekvensene».

«Digitaliserings- og forvaltningsdepartementet er klageinstans, og vi har tillit til at departementet vil ha en mer helhetlig tilnærming, både til de rettslige vurderingene, dispensasjonsadgangen og de samfunnsmessige konsekvensene som det her er fullt mulig å unngå», skrev Lande videre.

Selskapet står fast ved at deres løsning oppfyller alle krav til sikkerhetsnivå høyt, og har allerede varslet at de vil klage om saken ikke ender slik de ønsker.

– Vi vurderer at BankID oppfyller kravene til sikkerhetsnivå høyt, og har levert dokumentasjon til Nkom som underbygger dette. Dersom Nkom konkluderer med noe annet, vil vi klage og be om at BankID forblir godkjent på høyeste sikkerhetsnivå mens klagen behandles, sier Jan Bjerved, leder for ID i Stø til Altinget nå.

– Vi merker oss at digitaliserings- og forvaltningsminister Karianne Tung har bekreftet at det pågår grundige vurderinger i Nkom, og at eventuelle klager vil bli behandlet grundig i departementet. Dette er viktig for å sikre forutsigbarhet og tillit hos brukere, virksomheter og offentlige myndigheter.

Selskapet mener kravene Nkom stiller er «nye» og ikke kan spores tilbake til den mye omtalte rapporten fra 2022, som både Tung og Nkom peker på som stedet avviket først ble avdekket.

– Fakta i saken er at funnene i fagfellevurderingen ikke omhandlet utlevering av kodebrikker, og at regelverket ikke stiller eksplisitte krav om fysisk oppmøte ved utlevering av kodebrikker. Regelverket gir rom for ulike måter å gjennomføre utleveringen på, og vi mener at kravene til høyeste sikkerhetsnivå er godt ivaretatt, sier Bjerved.

Han understreker likevel at dette er tolkningsspørsmål det ikke er enkelt å sette to streker under, og at det derfor er naturlig med ulike syn på saken.

Unntatt offentligheten

Hva som faktisk står i rapporten, er ikke enkelt for folk flest å finne ut av. «Rapporten er unntatt offentlighet fordi innsyn vil kunne lette gjennomføring av straffbare handlinger», opplyser Digdir i en e-post til Altinget.

Nkom-sjef John-Erlend Velure har uttrykt frustrasjon over at saken fremstilles som om de plutselig reagerer, mens de «over flere år har hatt dialog og oppfølging knyttet til det aktuelle avviket med BankID og eierne av løsningen».

«Sikkerhetsavvikene i BankID ble identifisert allerede i 2021. Nå er fire av fem avvik rettet, men det siste avviket handler om mangelfull identitetskontroll for hundretusener av brukere – et helt grunnleggende krav for klassifisering på sikkerhetsnivå høyt», skrev han i Altinget tidligere i år.

Tilsynsmyndigheten forteller at de ble kjent med avviket i 2022, og har veiledet BankID om løsninger og konsekvenser fra 2023, med omfattende dialog fra 2024. Det har vært møter mellom Nkom og Stø flere ganger, blant annet i desember 2024 og juli 2025, da Nkom oppgir å ha gitt tydelig beskjed om krav og konsekvenser. I januar 2026 ble det gjennomført et møte på direktørnivå mellom Stø og Nkom.

Altinget har ikke lykkes i å få innsyn i noen vesentlig del av denne dialogen, som Nkom mener er nødvendig å unnta offentlighet av sikkerhetshensyn.