NemID var det danske eID i lidt over 13 år. Det blev lanceret 1. juli 2010 og lukkede endeligt 31. oktober 2023. I dag er der ingen situation, hvor NemID kan bruges, og efterladt kode fra dengang virker ikke.
Hvem der lavede det
NemID blev udviklet af DanID A/S, senere Nets DanID A/S. I daglig tale blev det oftest forbundet med nøglekortet, som brugeren skulle have ved hånden ud over sin adgangskode.
Udfasningen skete i tre trin
Det er værd at kende rækkefølgen, fordi mange systemer blev ramt på forskellige tidspunkter:
- 31. oktober 2022: NemID kunne ikke længere bruges til netbank og onlinehandel.
- 30. juni 2023: NemID gik i begrænset drift.
- 31. oktober 2023: NemID lukkede endeligt.
Da NemID lukkede, havde godt 5,2 mio. borgere fået MitID, som var blevet lanceret i 2021 og afløste NemID trinvis.
Nøglekortet blev også et problem i banksektoren
Udfasningen var ikke kun et spørgsmål om ny teknologi. Finanstilsynet påbød i 2022 danske pengeinstitutter at stoppe brugen af NemID-nøglekortet som element i stærk kundeautentifikation.
Kravet om stærk kundeautentifikation kommer fra PSD2 og betyder to eller flere elementer fra kategorierne viden, besiddelse og iboende egenskab, hvor elementerne skal være uafhængige. Et papkort med trykte koder holdt ikke længere som det element, det skulle være.
Hvad forskellen betyder i dag
MitID arbejder med tre sikringsniveauer, Lav, Betydelig og Høj, som følger NSIS og eIDAS. MitID er notificeret under eIDAS på Betydelig og Høj siden 24. oktober 2022, og det er den notificering, der gør, at andre EU-lande skal anerkende identiteten.
Der er også en forskel i, hvordan man får adgang som virksomhed. Med MitID kan man ikke koble sig direkte på. Adgangen skal gå gennem en certificeret MitID-broker.
Konsekvensen for identitetskontrol
Skal en virksomhed i dag kontrollere en kundes identitet efter hvidvaskloven § 11, skal kilden være pålidelig og uafhængig, og loven nævner udtrykkeligt elektroniske identifikationsmidler. Et NemID-baseret flow opfylder ikke det, af den simple grund at det ikke findes mere. Det samme gælder aldersverifikation: kravet til et alderskontrolsystem er, at det elektronisk og entydigt bekræfter alderen inden salget, og det kræver noget, der stadig er i drift.