Journalnummer: 2023-432-0017.
Resumé
I fire dage kunne de pågældende brugere ikke tilgå større offentlige danske tjenester som borger.dk, e-Boks, sundhed.dk og minretssag.dk ved login med NemID. Nets DanID A/S, som var dataansvarlig på tidspunktet for hændelsen, fulgte deres nødprocedure i forsøget på at genoprette normal drift, ved at gendanne en server med en backup-løsning. Det var imidlertid ikke muligt for Nets DanID A/S at genoprette normaldriften før fire dage efter nedbruddet, da backup-løsningen var utilgængelig. Den test af nødproceduren, der kunne have konstateret årsagen til, at backup-løsningen var utilgængelig, blev senest foretaget ca. to år inden nedbruddet.
Datatilsynet har konkluderet i sagen, at Nets DanID A/S’ procedurer vedrørende afprøvning, vurdering og evaluering af effektiviteten af backup-løsningen ikke var tilstrækkelige. Derudover har Datatilsynet vurderet, at Nets DanID A/S ikke havde truffet tilstrækkelige foranstaltninger for at sikre vedvarende robusthed af NemID-løsningen. På den baggrund har Datatilsynet udtalt alvorlig kritik af Nets DanID A/S, for ikke at have tilstrækkelige foranstaltninger for at opnå et sikkerhedsniveau, der passede til de risici, der var for borgerne.
Datatilsynet har lagt særligt vægt på, at der var tale om kritisk, national infrastruktur, og at nedbruddet derfor potentielt kunne medføre betydelige konsekvenser for de berørte borgere - ikke mindst taget den lange periode i betragtning, som nedbruddet varede.
NemID blev udfaset den 31. oktober 2023, hvorefter det ikke længere var muligt at få og anvende NemID. MitID blev lanceret i 2021 og har erstattet NemID. Afgørelsens indhold om særligt robusthed og i den forbindelse test af backup og genetablering er dog fortsat relevant for dataansvarlige og databehandlere i forhold til andre løsninger. Særligt når der er tale om kritisk, national infrastruktur.
Test af backup og genetablering
Databeskyttelsesforordningens krav om passende sikkerhed vil normalt indebære, at der bør foretages test af backup. Det betyder, at det testes jævnligt, om backup udføres med de forventede intervaller (hyppighed), og om backup-kopien er tilgængelig, indeholder alle relevante data (omfang) og er retvisende (integritet). Derudover bør der foretages test af genetablering, hvor det testes om data reelt kan genindlæses og anvendes i et it-system. Dette er en test af, (1) om genetablering kan udføres med eksisterende vejledninger/procedurer, (2) at alt det, som der er kopier af (hardware, software, data) kan fungere sammen, og (3) at genetablering kan ske hurtigt nok i forhold til, at konsekvensen normalt stiger med tiden (Recovery Time Objective).
1. Indledning
Datatilsynet vender hermed tilbage til sagen, hvor Datatilsynet den 18. januar 2023 indledte en undersøgelse af egen drift om et nedbrud af NemID i juni 2022.
Efter presseomtale var Datatilsynet blevet bekendt med, at der i juni 2022 var nedbrud af NemID, der medførte, at en større del af NemID-brugerne fra den 21. til den 26. juni 2022 oplevede problemer med at anvende NemID, hvilket medførte, at brugerne ikke kunne tilgå større offentlige danske tjenester.
2. Afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at der er grundlag for at udtale alvorlig kritik af, at Nets DanID A/S’ (herefter Nets DanID) behandling af personoplysninger ikke er sket i overensstemmelse med reglerne i databeskyttelsesforordningens[1] artikel 32, stk. 1.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
3. Sagsfremstilling
3.1.
Det fremgik af presseomtalen om NemID-nedbruddet, at det ikke var muligt for de berørte borgere at tilgå tjenester som borger.dk, e-Boks og sundhed.dk, ligesom at nogle advokater ikke kunne tilgå den digitale retssagsportal, minretssag.dk.[2]
Forud for Datatilsynets indledning af undersøgelsen havde Plesner Advokatpartnerselskab (herefter Plesner) på vegne af Nets DanID henvendt sig til Datatilsynet den 24. juni, 4. juli og 14. september 2022 med en beskrivelse af hændelsesforløbet og orientering om en analyse med en beskrivelse af årsagen til nedbruddet i NemID. Plesner oplyste i den forbindelse, at analysen ikke gav anledning til at ændre Nets DanID’s vurdering af, at der ikke var sket et brud på persondatasikkerheden hos Nets DanID.
Ved brev af 18. januar 2023 til Nets DanID oplyste Datatilsynet om tilsynets indledning af undersøgelsen af egen drift og anmodede samtidig virksomheden om at besvare en række spørgsmål.
Plesner fremkom herefter med en udtalelse på vegne af Nets DanID den 1. marts 2023. I den forbindelse fremsendte Plesner Nets DanIDs nødprocedure kaldet ”Disaster Recovery procedure” og en kopi af dokumentation for test af proceduren, der var foretaget den 21. juni 2022.
Ved brev af 31. marts 2023 anmodede Datatilsynet herefter Nets DanID om at besvare en række yderligere spørgsmål. Datatilsynet modtog herefter en udtalelse fra Plesner den 28. april 2023, der besvarede tilsynets spørgsmål på vegne af Nets DanID.
Nets DanID var på tidspunktet for hændelsen dataansvarlig i forhold til administrationen af NemID-løsningen. Dette følger af afsnit 2.1.1. i de almindelige bemærkninger til forslag til lov om udstedelse af NemID med offentlig digital signatur til fysiske personer og til medarbejdere i juridiske enheder.[3]
Lov om udstedelse af NemID med offentlig digital signatur til fysiske personer og til medarbejdere i juridiske enheder[4] blev ophævet den 1. januar 2024.[5]
NemID lukkede den 31. oktober 2023, hvorefter det ikke længere var muligt at få og anvende NemID.[6] MitID blev lanceret i 2021 og har erstattet NemID.[7]
3.2.
Plesner har bekræftet, at Nets DanID på tidspunktet for hændelsen var dataansvarlig for behandlingen af personoplysninger, der skete i forhold til at administrere og træffe afgørelser om udstedelse og spærring af NemID med offentlig digital signatur til fysiske personer og til medarbejdere i juridiske enheder.[8]
Plesner har derudover oplyst, at nedbruddet blev forårsaget af en menneskelig fejl i forbindelse med en ændring på serverinfrastrukturen den 21. juni 2022. Systemdata blev ved implementering af ændringen overskrevet, og det medførte, at det ikke var muligt at genstarte den server, som blev anvendt til opdatering af spærrelisten. Plesner har oplyst, at personoplysninger ikke blev overskrevet eller slettet, men at fejlen medførte, at nye gyldige spærrelister ikke kunne dannes, signeres og tidsstemples. Nedbruddet vedrørte ifølge Plesner alene én server (ICA03 serveren), som havde færre gyldige certifikater, da serveren på daværende tidspunkt ikke længere udstedte certifikater.
Plesner har i den forbindelse oplyst, at spærrelisten indeholdte oplysninger om alle OCES-certifikater, som var ugyldiggjorte (spærrede) i perioden før automatisk udløb tre år efter udstedelsesdatoen. Spærrelisten indeholdt to typer personoplysninger: Et certifikat-serienummer og et tidsstempel for dette, og listen beskrev på den måde de officielt spærrede certifikater.
I forhold til konsekvenserne af nedbruddet har Plesner oplyst, at nogle tjenesteudbydere havde valgt at foretage validering af gyldigheden af certifikater ved check op mod spærrelisten for at sikre, at brugere med et spærret NemID ikke kunne logge ind på tjenesten hos tjenesteudbyderen. Plesner har oplyst, at tjenesteudbyderne selv var ansvarlige for implementering af sikkerhedsforanstaltninger, som knyttede sig til valget om validering af certifikater og anvendelse af NemID som login-løsning til deres tjeneste. Disse tjenesteudbydere kunne ikke foretage et sådan check op mod spærrelisten, da spærrelisten ikke længere var gyldig på grund af udløbet tidstempel. Det medførte, at ingen brugere med certifikater på den server, der var berørt af nedbruddet, kunne logge ind på tjenesteudbyderens tjeneste, selvom, brugeren havde et gyldigt OCES-certifikat, der ikke var spærret og derfor heller ikke fremgik af spærrelisten.
Datatilsynet har forstået på Plesners udtalelse, at de berørte certifikater på den pågældende server både omfattede personcertifikater til fysiske personer, medarbejdercertifikater, funktionscertifikater og virksomhedscertifikater.
En anden server (ICA04 serveren) var ifølge Plesner ikke påvirket af fejlen, og denne server håndterede på daværende tidspunkt spærrelisten for ca. ¾ af alle gyldige NemID-certifikater. Plesner har i den forbindelse fremsendt en opgørelse over, hvor mange certifikater der var påvirket af nedbruddet. I forhold til personcertifikaterne, der blev udstedt til fysiske personer, fremgår det, at 22 procent af dem (ca. 1,2 mio. certifikater) blev udstedt af ICA03-serveren og derfor var påvirket af nedbruddet. De certifikater, der blev udstedt som medarbejder-, funktions- og virksomhedscertifikater af ICA03-serveren udgjorde 25 procent (ca. 300.000 certifikater). Det fremgår endvidere, at det var 23 procent af alle gyldige NemID-certifikater, der var påvirket af nedbruddet, da de var udstedt af ICA03-serveren.
Plesner har oplyst, at i forhold til de tjenesteudbydere, der ikke havde valgt at foretage validering af gyldigheden af certifikaterne ved check op mod spærrelisten, ville brugerne på trods af den manglende opdatering af spærrelisten kunne logge ind med NemID på tjenesten hos den pågældende tjenesteudbyder.
I den forbindelse har Plesner videre oplyst, at Nets DanID foretog udstedelse og spærring af certifikater, men at de ingen indflydelse havde på, hvilke tjenester certifikaterne kunne anvendes til at logge ind på, eller måden hvorpå NemID var integreret i tjenesten. Nets DanID var derfor ifølge Plesner ikke i stand til at angive, hvilke offentlige tjenester som var påvirket af nedbruddet.
Det fremgår af Plesners udtalelse, at Nets DanID implementerede en ”Mini CA”-server som en work around-løsning den 25. juni 2022 – dvs. fire dage efter nedbruddet den 21. juni 2022 – med yderligere ændringer den 26. juni 2022, hvilket medførte, at ICA03-spærrelisterne igen var opdaterede og gyldige. Nets DanID arbejdede samtidig på en permanent løsning, og den 7. juli 2022 blev der implementeret en ændring, der bragte standardmiljøet tilbage på ICA03-serveren.
3.3.
For så vidt angår nedbruddets påvirkning af MitID har Plesner oplyst, at der ikke var en teknisk sammenhæng mellem NemID og MitID. MitID blev derfor ikke direkte påvirket af nedbruddet i NemID.
[Her er en del af afsnittet udeladt]. Plesner har i den forbindelse oplyst, at Digitaliseringsstyrelsen er dataansvarlig for behandling af personoplysninger, der relaterer sig til varetagelsen af disse opgaver, og at Nets DanID er databehandler.
3.4.
Plesner har oplyst, at Nets DanID havde en ændringsprocedure (change management proces), som havde til formål er at sikre, at ændringer gennemgås (reviewes) eller testes, og at eventuelle fejl eller mangler blev rettet, før de blev sat i produktion. I forhold til den ændring, der førte til nedbruddet i NemID, skulle der ikke i henhold til ændringsproceduren foretages test af den pågældende type ændring. Det fulgte af Nets DanIDs ændringsprocedure, at nogle ændringer skulle testes, mens andre typer af ændringer skulle gennemgås (reviewes), inden de blev sat i produktion.
Den ændring, der førte til nedbruddet i NemID, blev ifølge Plesner gennemgået (reviewet) og godkendt af en anden medarbejder end den medarbejder, der gennemførte ændringen, og ændringsproceduren blev korrekt fulgt.
Plesner har herefter oplyst, at der ikke var fejl i ændringsproceduren eller i beskrivelsen af proceduren for implementering af den pågældende ændring på serverinfrastrukturen. Den menneskelige fejl opstod i selve eksekveringen af implementeringen af den pågældende ændring, da eksekveringen fraveg implementeringsproceduren (stepplanen).
Plesner har i øvrigt anført, at en test af den pågældende ændring ikke ville have forhindret nedbruddet, da den ville have ført til samme resultat som de gennemgange (reviews), der blev foretaget. Test eller gennemgangen af den pågældende ændring kunne ifølge Plesner ikke opdage den menneskelige fejl i selve eksekveringen af proceduren for implementering af ændringen.
3.5.
Plesner har oplyst, at årsagen til, at det ikke var muligt at genoprette normaldriften tidligere, var, at Nets DanIDs backup-løsning, som Nets DanID forsøgte at gendanne serveren med, var utilgængelig på grund af mangel på en såkaldt [oplysning udeladt] for den pågældende server, hvilket påvirkede genetableringsproceduren.
Det fremgår af sagen, at Nets DanID havde etableret en nødprocedure, som beskrev processen for håndtering af systemnedbrud. Denne proces blev fulgt i forhold til den manglende opdatering af spærrelisten i juni 2022. Nets DanID konstaterede i den forbindelse, at backup-løsningen på den specifikke server manglede en [oplysning udeladt], og at backup-løsningen derfor ikke virkede.
Derudover fremgår det, at nødproceduren for den specifikke del af NemID, hvor der manglede en fil i backup-løsningen, blev testet ca. to år inden nedbruddet. Nets DanID foretog i marts 2022 test af nødproceduren i en anden del af NemID.
I den forbindelse har Plesner oplyst, at der den 21. juni 2022 blev foretaget test af proceduren. Denne test var allerede forud for nedbruddet planlagt til at blive gennemført på denne dato, og testen blev udført inden nedbruddet. Testen blev gennemført på en præ-produktionsserver, hvor [oplysning udeladt] ikke manglede. [Oplysning udeladt] manglede imidlertid på produktionsserveren. Derfor blev den manglende [oplysning udeladt] på produktionsserveren ikke afdækket ved testen. Formålet med testen den 21. juni 2022 var ifølge Plesner at verificere, at proceduren virkede, samt at træne teamet i at følge proceduren.
3.6.
Plesner har oplyst, at Nets DanID som konsekvens af nedbruddet traf en række foranstaltninger, der skulle forhindre lignende nedbrud fremover. Det fremgår af oplistningen af foranstaltningerne, at Nets DanID bl.a. indførte en proces for regelmæssig test af genetablering af backup i produktionsmiljøet. Det fremgår endvidere, at dataopbevaringslagre mellem ICA- og CA-datalagring og systemdatalagring blev adskilt. Derudover blev replikering af backup til andet datacenter monitoreret, og backups blev gendannet en gang hver måned for at sikre, at det var muligt at gendanne backups, herunder [oplysning udeladt].
En fjerde foranstaltning vedrørte en forbedring af den regelmæssige proces for genetableringstestning af databackup i produktionsmiljøet. Plesner har oplyst, at der blev implementeret løbende kontrol af tilgængeligheden af [oplysning udeladt] på produktionsserveren samt løbende test af, at der kunne gendannes fra backup-løsningen. Plesner har i den forbindelse anført, at det nedbragte risikoen for, at en backup ikke kan gendannes.
I forhold til denne foranstaltning har Plesner oplyst, at der derudover blev implementeret et ”HW snapshot” af serverne, som gjorde det muligt at gendanne en server væsentlig hurtigere end via den oprindelige nødprocedure. Der var dermed to alternative metoder til at gendanne en server, som rammes af nedbrud, som det der fandt sted i juni 2022.
3.7.
Plesner har bemærket, at det er deres vurdering, at fejlen ikke har ført til et brud på persondatasikkerheden hos Nets DanID. I den forbindelse har Plesner oplyst, at NemID-løsningen indeholdt en logisk beskyttelse mod, at en spærreliste, der ikke var ajour, blev anvendt i driften. Der har dermed ifølge Plesner ikke været foretaget behandling af forældede eller ukorrekte oplysninger, og behandlingen var bevidst spærret netop for at forebygge dette.
Plesner har endelig oplyst, at Nets DanID har indberettet nedbruddet i NemID til Digitaliseringsstyrelsen i overensstemmelse med eIDAS-forordningens[9] artikel 19. Det følger af artikel 19, stk. 2, 1. pkt. i eIDAS-forordningen, at de kvalificerede og ikke-kvalificerede tillidstjenesteudbydere, der konstaterer et brud på sikkerheden eller tab af integritet, som har en væsentlig indvirkning på den udbudte tillidstjeneste eller de berørte personoplysninger, hurtigst muligt og under alle omstændigheder inden for 24 timer efter at være blevet opmærksomme på forholdet skal underrette tilsynsorganet, og eventuelt andre relevante organer som f.eks. det kompetente nationale organ for informationssikkerhed eller databeskyttelsesmyndigheden. Digitaliseringsstyrelsen er tilsynsorgan i Danmark på eIDAS-forordningens område.[10]
4. Begrundelse for Datatilsynets afgørelse
Datatilsynet lægger til grund, at spærrelisten på den server, der var påvirket af nedbruddet, ikke kunne anvendes af tjenesteudbyderne til at foretage validering af gyldigheden af certifikater. Nedbruddet medførte derfor, at det i fire dage ikke var muligt for ca. 25 procent af NemID-brugerne at anvende NemID til at logge ind på tjenester, hvor tjenesteudbyderen havde valgt at foretage validering af gyldigheden af certifikater ved check op mod spærrelisten.
Datatilsynet lægger endvidere til grund, at Nets DanIDs backup-løsning på den pågældende server var utilgængelig, og at Nets DanID senest ca. to år inden nedbruddet havde foretaget test af nødproceduren for den del af NemID, hvor der manglede en fil i backup-løsningen.
Det følger af databeskyttelsesforordningens artikel 32, stk. 1, at den dataansvarlige skal træffe passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til de risici, der er ved den dataansvarliges behandlinger af personoplysninger.
Der påhviler således den dataansvarlige en pligt til at identificere de risici, den dataansvarliges behandling udgør for de registrerede og til at sikre, at der indføres passende sikkerhedsforanstaltninger, der beskytter de registrerede mod disse risici.
Det følger endvidere af artikel 32, stk. 1, litra b og d, at den dataansvarlige i den forbindelse – og alt efter hvad der er relevant – bl.a. skal gennemføre foranstaltninger med henblik på at opretholde evnen til at sikre vedvarende fortrolighed, integritet, tilgængelighed og robusthed af behandlingssystemer og -tjenester, samt implementere procedurer for regelmæssig afprøvning, vurdering og evaluering af effektiviteten af de tekniske og organisatoriske foranstaltninger til sikring af behandlingssikkerhed.
Robusthed sigter bl.a. til at sikre behandlingssystemer og -tjenesters tekniske og organisatoriske modstandsdygtighed, f.eks. ved at sikre dem imod skadelige hændelser.
Det er Datatilsynets opfattelse, at kravet i artikel 32 om passende sikkerhed normalt vil indebære, at der bør foretages test af backup. Det indebærer, at det testes jævnligt, om backup udføres med de forventede intervaller (hyppighed), og om backup-kopien er tilgængelig, indeholder alle relevante data (omfang) og er retvisende (integritet).
Der bør endvidere foretages test af genetablering. I den forbindelse bør det testes, om data reelt kan genindlæses og anvendes i et it-system. Dette er en test af, (1) om genetablering kan udføres med eksisterende vejledninger/procedurer, (2) at alt det, som der er kopier af (hardware, software, data) kan fungere sammen, og (3) at genetablering kan ske hurtigt nok i forhold til, at konsekvensen normalt stiger med tiden (Recovery Time Objective). Dette kan udføres som egentlig såkaldt ”Disaster Recovery Test”. Det er væsentligt, at også nødvendige systemfiler kan reetableres.
Da Nets DanIDs backup-løsning var utilgængelig med den konsekvens, at det ikke var muligt at genoprette normaldriften før den 25. juni 2022 – fire dage efter nedbruddet – er det Datatilsynets vurdering, at Nets DanID ikke havde truffet tilstrækkelige foranstaltninger med henblik på at sikre vedvarende robusthed af Nets DanID behandlingssystemer- og tjenester.
Det er derudover Datatilsynets vurdering, at de procedurer, Nets DanID havde implementeret i forhold til afprøvning, vurdering og evaluering af effektiviteten af backup-løsningen, ikke var tilstrækkelige.
På den baggrund finder Datatilsynet, at Nets DanID ikke havde truffet passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passede til de risici, der var ved Nets DanIDs behandling af personoplysninger på den pågældende server, der var omfattet af nedbruddet.
Datatilsynet udtaler derfor alvorlig kritik af, at Nets DanIDs behandling af personoplysninger ikke er sket i overensstemmelse med databeskyttelsesforordningens artikel 32, stk. 1.
Datatilsynet har ved vurderingen af sagen særligt lagt vægt på, at der var tale om kritisk, national infrastruktur. Nedbruddet kunne derfor potentielt medføre betydelige konsekvenser for de borgere, som i flere dage ikke havde mulighed for at tilgå de tjenester, der var påvirket af nedbruddet, som f.eks. borger.dk, e-Boks, minretssag.dk og sundhed.dk. Derudover kunne nedbruddet potentielt medføre konsekvenser for borgere, hvis virksomheder eller offentlige myndigheder ikke havde mulighed for at tilgå større danske tjenester i forbindelse med håndtering af forhold vedrørende disse borgere, f.eks. i forbindelse med sager og sagsoplysning, hvor umiddelbar tilgang til oplysningerne var nødvendig.
Datatilsynet har noteret, at Nets DanID efter nedbruddet implementerede løbende kontrol af tilgængeligheden af [oplysning udeladt] på produktionsserveren og løbende test af, at der kunne gendannes fra backup-løsningen. Datatilsynet har endvidere noteret, at Nets DanID implementerede et ”HW snapshot” af serverne, der ifølge Plesner gjorde det muligt at gendanne en server væsentlig hurtigere end via den oprindelige Disaster Recovery-procedure.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] Dette fremgik af en artikel på dr.dk den 22. november 2022: https://www.dr.dk/nyheder/indland/et-monument-over-inkompetence-rapport-afsloerer-alvorlige-sikkerhedsfejl-foer
[3] Forslag til Lov om udstedelse af NemID med offentlig digital signatur til fysiske personer og til medarbejdere i juridiske enheder, fremsat den 22. februar 2018 (2017/1 LSF 150).
[4] Lov nr. 439 af 8. maj 2018 om udstedelse af NemID med offentlig digital signatur til fysiske personer og til medarbejdere i juridiske enheder.
[5] Det følger af bekendtgørelse nr. 1376 af 27. november 2023 om ophævelse af lov om udstedelse af NemID med offentlig digital signatur til fysiske personer og til medarbejdere i juridiske enheder.
[6] Det fremgår af borger.dk https://www.borger.dk/hjaelp-og-vejledning/hvad-har-du-brug-for-hjaelp-til/NemID og af Digitaliseringsstyrelsens hjemmeside: https://digst.dk/it-loesninger/mitid/forgaengeren-til-mitid/
[7] Det fremgår af Digitaliseringsstyrelsens hjemmeside: https://digst.dk/it-loesninger/mitid/om-mitid/
[8] Plesner har henvist til § 1, stk. 2, i den dagældende bekendtgørelse nr. 899 af 21. juni 2018 om udstedelse og spærring af NemID med offentlig digital signatur til fysiske personer og til medarbejdere i juridiske enheder.
[9] Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 af 23. juli 2014 om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked og om ophævelse af direktiv 1999/93/EF
[10] Det følger af § 2 i Lov nr. 617 af 8. juni 2016 om supplerende bestemmelser til forordning om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked.