En MitID-broker er en virksomhed, der har fået adgang til identiteterne i MitID og må videresælge den adgang. Alle andre skal gå gennem en af dem. Det gælder banker, offentlige myndigheder, webshops og softwareleverandører.
Hvorfor man ikke kan koble sig direkte på
Digitaliseringsstyrelsen sælger ikke adgang til MitID stykvis. Kun certificerede brokere får adgang til identiteterne i løsningen, og alle tjenesteudbydere skal gå gennem en broker. Det er ikke en bureaukratisk formalitet. Det er sådan, ansvaret for identiteterne holdes hos et lille antal parter, der er kontrolleret på forhånd.
Konsekvensen for en webshop er enkel. Man kan ikke ringe til staten og bestille et MitID-login. Man vælger en broker, eller en leverandør der selv sidder bag en broker.
Hvad der skal til for at blive broker
En broker skal blandt andet:
- være NSIS-certificeret på mindst niveau Betydelig
- registreres som it-systemleverandør hos NemLog-in
- indgå brokeraftale med Digitaliseringsstyrelsen
Det er en tung proces, og derfor er der få af dem. Pr. juli 2026 er der ti certificerede brokere: BankData, Danske Bank, Digitaliseringsstyrelsen med NemLog-in, Idura, Nordea, Scrive, NBS, Signaturgruppen, Signicat og ZignSec.
En broker er ikke det samme som en løsning
Her går folk galt i byen, når de sammenligner tilbud. En broker leverer adgangen til MitID. Den leverer ikke nødvendigvis et plugin til WooCommerce, et flow der ser ud som resten af butikken, eller en dokumentation Sikkerhedsstyrelsen kan bruge ved et tilsyn.
Mange leverandører på markedet er derfor ikke brokere selv. De sidder oven på en. Det er hverken bedre eller værre, men det er værd at spørge om, for det afgør hvem der har hvilken aftale, og hvem der reelt er databehandler for hvad. VerifyID går selv gennem en certificeret broker.
Brokeren ser ikke altid det hele
At gå gennem en broker betyder ikke, at alt om brugeren flyder gennem den. Ved aldersverifikation kan der bedes om et rent alderssvar, hvor der hverken returneres CPR-nummer eller fødselsdato. Ved KYC er det omvendt: der skal en identitet på bordet, som kan godtgøres over for tilsynsmyndigheden bagefter.
Beslutningen om, hvor meget der udleveres, træffes i det scope, tjenesten beder om. Det er den knap, der afgør, hvor mange personoplysninger der overhovedet kommer ind i systemet.