Både offentliga och privata verksamheter kan ansluta sina verksamhetssystem till Naturvårdsverkets API:er för att lämna in information. För att det ska ske på ett säkert sätt används så kallade klient- och servercertifikat.

Ett certifikat fungerar som en e-legitimation mellan system och är en förutsättning för krypterad trafik, som förhindrar att informationen påverkas eller avlyssnas när den skickas mellan system. Med ett server-certifikat, som Naturvårdsverket har, kan anslutande part också vara säker på att anropet skickas till rätt tjänst och att det returnerade svaret är pålitligt. Ett klient-certifikat gör att Naturvårdsverket som erbjuder API-tjänsten kan vara säker på att information skickas från en betrodd part, vilket regleras genom avtal och kvalificeras genom tester.

Notera att det är det anslutande systemet som behöver kunna identifieras med hjälp av klientcertifikatet, inte den anslutande aktören. Se avsnittet Det här gäller för olika aktörer. Respektive anslutande organisation identifieras genom den tilldelade Inloggningsuppgifter och åtkomstnyckeln.

Certifikat för anslutning

Naturvårdsverket begär att organisationer och verksamheter som vill ansluta till myndighetens API:er utgår från EU:s lista över leverantörer av kvalificerade tjänster för eIDAS och skaffar ett kvalificerat certifikat av typen Qualified Certificate for Website Authentication (QWAC).

Leverantörerna på denna lista är certifierade enligt ETSI TS 102 042-standarden för elektroniska certifikat. Det är en europeisk certifiering baserat på ett EU-direktiv som syftar till att underlätta digital kommunikation mellan myndigheter, medborgare och företag i Europa.

QWAC kan användas både för identifiering av en webbplats (server) som en webbplats-användare (client). Notera att det är viktigt att ”client” finns med, leverantörerna har inte alltid detta som standard. Certifikatet ska användas för server- till serverkommunikation.

QWAC är en typ av certifikat som kommer bli standard för banker och andra finansiella institut inom EU genom PSD2-direktivet. Av den anledningen finns en utökning av certifikatet för PSD2. Naturvårdsverket har dock inga krav på att certifikaten ska kunna användas för finansiella tjänster inom Europa. PSD2 behöver inte ingå.

Kostnad för certifikat och hur lång tid det tar att få ett certifikat varierar mellan certifikatutfärdarna. Normalt kan det ta ett par veckor att få sitt certifikat på plats, och ibland kan det krävas det ett fysiskt besök hos leverantörerna för att verifiera sin identitet.

EU:s lista över eIDAS Trust service providers

Naturvårdsverket har inte några samarbeten med enskilda leverantörer eller återförsäljare av klientcertifikat, utan rekommenderar att man utgår från kraven ovan och gärna tar hjälp av EU:s lista.