Tirsdag 12 November 2024 var sak nr.1 på Stortinget vedtak til lov om elektronisk kommunikasjon (ekomloven) (Lovvedtak 1(2024-2025), jf Innst. 28 L (2024-2025) og Prop. 93 LS (2023-2024)).

I oppdatert lovtekst har det kommet til en paragraf spesifikt for tilbydernes plikt til entydig identifisering av sluttbruker. Denne har sin opprinnelse i tilbake til høsten 2019, da daværende digitaliseringsminister Nikolai Astrup kom med Høring om endring i ekomloven og ekomforskriften med forslag om lovhjemmel for leveringsplikt for bredbånd og tydeligere krav til identifisering av sluttbrukere.

Punktet som gjelder entydig identifisering av sluttbrukere kom med etter at pressen ( Dagens Næringsliv , v/Osman Kibar og Emma Clare Gabrielsen) i mars 2019 dokumenterte #mobilkapring, og fulgte dette opp i en serie artikler hvor også jeg uttalte meg. Jeg leverte også selv et høringssvar for å utdype funn, risiko og anbefalinger.

Konkretisering av kravene til entydig identifisering skulle bidra til bedre sikkerhet i forbindelse med inngåelse, endring og oppsigelse av avtale, samt ved portering av telefonnummer fra en operatør til en annen. Sistnevnte et punkt som også Digitaliseringsminsteren selv hadde opplevd og blitt overrasket over: overføring av hans abonnement til ny eier og operatør uten hans skriftlige samtykke.

Den nye lovteksten nevner de 3 første punktene, men punktet om entydig identifisering ved portering av telefonnummer er utelatt. Lovteksten angir heller ikke noe sikkerhetsnivå for identifiseringen, men sier at tilbyder skal kunne dokumentere identitetskontrollen.

Jeg har spørsmål til lovteksten:

1) Er entydig identifisering av sluttbruker ved portering av nummer bevisst utelatt, ref høringen fra september 2019?

Jeg har dokumentert overfor Norwegian Communications Authority at det er fortsatt enkelt å utføre #mobilkapring av annen persons telefonnummer gjennom forfalskede meldinger til teleoperatør grunnet dårlige rutiner og manglende identifisering.

2) Tilbyder skal kunne dokumentere identitetskontrollen, men det er ikke angitt krav for bruk av eID eller tilsvarende fysisk ID som pass, nasjonalt id kort og førerkort.

En sjekk 7 november 2024 av samtlige tilbydere av privatabonnement på bytt.no viser høyst varierende praksis på entydig identifikasjon av sluttbruker ved opprettelse av nytt abonnement. Funn kan tyde på at enkelte har svært mangelfull identifisering som muliggjør alle de problemer som ble fremhevet i 2019, og som oppdatert lov skulle redusere eller fjerne som en risiko.

Disse 2 punktene bør adresseres spesifikt gjennom oppdatert forskrift. Ellers er jeg redd for at vi ikke har kommet noe lengre enn der vi var våren 2019, med 5 års bortkastet arbeid.

Gjennom #mobilkapring kan ondsinnede aktører kapre andres digitale liv, herunder personer, bedrifter og organisasjoner. Konsekvensene kan bli store for alle parter.