Národní identitní autorita

Popis Národní identitní autority

NIA zajišťuje orgánům veřejné správy státem garantované služby identifikace a autentizace včetně federace údajů o subjektu práva ze základních registrů a možnost předávání přihlašovací identity dle principy Single Sign-On. Pro osoby uvedené v ROB nebo přihlašující se identitou v rámci eIDAS z členských států EU nemusí OVS řešit přihlašovací identity pro své klienty samo. V současném stavu ROB (stav As-Is) tedy pouze pro občany ČR a cizince s trvalým pobytem. V budoucím stavu (stav To-Be) pro občany ČR, cizince s trvalým pobytem a jiné fyzické osoby (EjFO), které mají k ČR právní či majetkový vztah (zahraniční vlastník nemovitosti, zahraniční lékař, zahraniční student, apod.).

Národní identitní autorita vytváří federativní systém, který se skládá z následujících komponent:

Národní bod jako centrální bod federativního systému, který zajišťuje komunikaci a registraci účastníků federace. Tato komponenta zajišťuje současně vždy jednoznačné ztotožnění osoby, která prokazuje svoji totožnost předložením autentizačních prostředků

Kvalifikovaný správce, který vydává jednoznačně identifikovaným fyzickým osobám prostředky pro vzdálenou autentizaci (prokázání totožnosti) a provádí veškeré činnosti spojené se správou těchto prostředků a prokazováním totožnosti fyzické osoby

Základní registry, které poskytují jednoznačnou identifikaci osoby a zajištění vazeb této osoby vůči referenčním údajům o osobě

Národní uzel eIDAS, který zajišťuje přijímání vzdáleného prokázání totožnosti z ohlášených systémů dle nařízení eIDAS a předávání vzdálené identifikace a autentizace z České republiky ostatním státům EU. Ostatní státy EU budou muset akceptovat české identity od 13.9.2020, kdy vyprší lhůta ohlášeného prostředku Elektronického občanského průkazu.

Ačkoliv nyní poskytuje NIA své služby pouze jako "Front-end" řešení za pomoci SAML tokenů, je plánováno i poskytování služeb jako "Back-end" pro využití překladů identity a identifikátorů za pomoci eGON služeb.

Seznam poskytovatelů identity (Identity Provider; IdP)

Název identitního prostředku	Typ prostředku	úroveň prostředku	Popis	URL	Použití pro mezinárodní ověření identity v eIDAS
eObčanka	Elektronický občanský průkaz s aktivovanou částí elektronické identifikace	Vysoká (nejvyšší možná dle eIDAS)	Přihlášení prostřednictvím nového občanského průkazu vydaného po 1. 7. 2018, který obsahuje čip a jeho elektronická funkcionalita byla aktivována. Pro přihlášení tímto občanským průkazem je zapotřebí čtečka dokladů a nainstalovaný příslušný software.	https://info.eidentita.cz/eop/	ANO - eObčanka je zatím jako jediný prostředek ohlášen dle eIDAS pro potřeby mezinárodní identifikace a autentizace. Její použití je pro ostatní státy v rámci eIDAS povinné k použití od září 2020.
Mobilní klíč eGovernmentu	Mobilní aplikace s funkcí ověřování QR kódů	Střední	Mobilní klíč eGovermentu představuje využití přihlašování bez potřeby zadávání dalších ověřovacích kódů. Po jeho instalaci a aktivaci Vám bude umožněno přihlašování ke službám využívajícím elektronickou identifikaci prostřednictvím Národního bodu. Aby vše fungovalo, je nutné mít nainstalovanou aplikaci mobilního klíče na svém mobilním zařízení. Aplikace mobilního klíče je shodná se stávající aplikací mobilního klíče ISDS. Pokud již vlastníte tuto aplikaci pro přihlašování k datovým schránkám, aktualizací této aplikace získáte i možnost využít ji i pro přihlašování ke službám prostřednictvím Národního bodu.	https://info.eidentita.cz/mep/	NE
NIA ID	Jméno + heslo + sms. Klasické přihlašování pomocí druhého faktoru.	Střední	Přihlášení prostřednictvím uživatelského jména a hesla, které jste zadali při založení Vašeho identifikačního prostředku na portálu národního bodu. Přihlášení dokončíte zadáním ověřovacího kódu, který Vám bude zaslán ve formě SMS na Vaše telefonní číslo.	https://info.eidentita.cz/ups/	NE
První certifikační autorita, a.s.	Čipová karta Starcos s identifikačním certifikátem	Vysoká (nejvyšší možná dle eIDAS)	Přihlášení prostřednictvím čipové karty Starcos společnosti První certifikační autorita, a.s., která byla použita pro generování a uložení privátního klíče identitního komerčního certifikátu. Pro přihlášení budete potřebovat čtečku čipových karet (pokud není integrována do PC/NTB) a nainstalovaný ovládací software SecureStore (ke stažení z www.ica.cz).	https://www.ica.cz/ica-identity-provider	NE
MojeID	Přihlašovací údaje do účtu MojeID spárovaný s prostředkem FIDO	Střední	Přihlášení prostřednictvím účtu mojeID. Pro přihlášení je potřeba zabezpečit účet bezpečnostním klíčem (tokenem) certifikovaným od FIDO Alliance alespoň na úroveň L1, a to buď fyzickým (USB, NFC, Bluetooth), anebo systémovým (Windows Hello, Android v. 7 a vyšší). Dále je nutné mít účet mojeID aktivován pro přístup ke službám veřejné správy a jednorázově ověřit svou totožnost (již existujícím prostředkem nebo návštěvou Czech POINTu). Službu mojeID provozuje CZ.NIC, správce domény .CZ.	https://www.mojeid.cz/	NE
IIG - International ID Gateway	Výběr z možných identitních prostředků, které jsou ohlášené jinými členskými státy EU v rámci eIDAS uzlů	nízká až vysoká dle daného prostředku	Aktuálně je možné v rámci eIDAS uzlů vybírat z prostředků, které jsou zveřejnyny na stránkác eIDAS https://ec.europa.eu/cefdigital/wiki/display/EIDCOMMUNITY/Overview+of+pre-notified+and+notified+eID+schemes+under+eIDAS	NE
Bankovní identita	Identita poskytovaná Československou obchodní bankou, a. s.	střední	https://www.csob.cz/portal/csob/csob-identita	Ne
Identita poskytovaná Českou spořitelnou, a. s.	střední	https://www.csas.cz/cs/o-nas/bezpecnost-ochrana-dat/bankovni-identita	Ne
Identita poskytovaná Komerční bankou, a. s.	střední	https://www.kb.cz/cs/podpora/bankovnictvi-a-nastroje/kb-bankovni-identita	Ne
Identita poskytovaná Air Bankou, a. s.	střední	https://www.airbank.cz/produkty/bankovni-identita/	Ne
Identita poskytovaná MONETA Money Bank, a. s.	střední	https://www.moneta.cz/otevrene-bankovnictvi/bankovni-identita	Ne

Statistiky využití identitních prostředků

Data jsou informativní a platná v konkrétním čase 03.12.2021

Celkem státních ID prostředků	654 803
Celkem nestátních ID prostředků	7 608 117
Celkem ID prostředků	8 262 920
Počet profilů alespoň s jedním aktivním prostředkem	4 793 427
Celkový počet unikátních přihlášení	838 530
Konverze - procentuální zastoupení těch, kdo se skutečně přihlásili z těch, kdo se přihlásit mohli	17,49 %
Identitní prostředek	Popis počtu	Počet
eObčanka (od 1.7.2018):	Počet aktivovaných prostředků	481 452
Počet aktivních prostředků	417 899
Počet přihlášení	1 047 905
NIA ID (dříve „Jméno, Heslo, SMS“) (od 1.7.2018):	Počet aktivovaných prostředků	156 815
Počet aktivních prostředků	149 633
Počet přihlášení	4 219 106
Mobilní klíč eGovernmentu (od 16.11.2020):	Počet aktivovaných prostředků	93 187
Počet aktivních prostředků	87 271
Počet přihlášení	1 312 222
Bankovní identita Air Bank:	Počet aktivovaných prostředků	1 146 417
Počet aktivních prostředků	943 554
Počet přihlášení	487 837
Bankovní identita Česká spořitelna:	Počet aktivovaných prostředků	2 393 564
Počet aktivních prostředků	1 963 283
Počet přihlášení	1 782 228
Bankovní identita ČSOB Identita – plně ověřený přístup	Počet aktivovaných prostředků	1 634 119
Počet aktivních prostředků	1 282 161
Počet přihlášení	797 922
Bankovní identita ČSOB Identita – rychlý přístup	Počet aktivovaných prostředků	1 248 915
Počet aktivních prostředků	1 212 172
Počet přihlášení	26 199
První certifikační autorita, karta Starcos:	Počet aktivovaných prostředků	1083
Počet aktivních prostředků	573
Počet přihlášení	88 008
Bankovní identita Komerční banka:	Počet aktivovaných prostředků	970 963
Počet aktivních prostředků	934 386
Počet přihlášení	920 257
MojeID:	Počet aktivovaných prostředků	52 270
Počet aktivních prostředků	45 238
Počet přihlášení	528 808
Bankovní identita MONETA Money Bank:	Počet aktivovaných prostředků	911 819
Počet aktivních prostředků	872 610
Počet přihlášení	254 143
Bankovní identita Raiffeisenbank:	Počet aktivovaných prostředků	369 189
Počet aktivních prostředků	354 106
Počet přihlášení	51 123

Seznam poskytovatelů služeb (Service Provider; SeP)

Poskytovatelů služeb je již více než 50 a v přípravě jsou další. Konečný počet je v řádu stovek. Aktuální seznam je dostupný zde https://info.eidentita.cz/sep/.

Podobně jako jsou jiné státy v rámci eIDAS povinni přijímat české ohlášené prostředky identity (eObčanka), jsou čeští poskytovatelé služeb povinni akcentovat identitu ohlášenou jiným státem v rámci eIDAS. Povinnost umožnit přihlášení pomocí IIG - International Identity Gateway je všem poskytovatelům služeb zapnuta od 30.6.2020.

Atributy vydávané poskytovatelům služeb (Service Providerům; SeP)

Následující atributy jsou NIA vydávány tzv. kvalifikovaným poskytovatelům služby. Problematika je popsána také v části Portály veřejné správy a soukromoprávních uživatelů údajů. Tučně označené atributy odpovídají standardu eIDAS, ostatní atributy sice standardu neodpovídají, kvalifikovaný poskytovatel služby má ale možnost při komunikaci v rámci ČR o jejich vydání zažádat.

Atribut/Element	Název atributu	Popis
Příjmení	CurrentFamilyName	Referenční údaj – Příjmení fyzické osoby. Viz eIDAS reference.
Jméno	CurrentGivenName	Referenční údaj – Jméno, případně jména fyzické osoby. Viz eIDAS reference.
Datum narození	DateOfBirth	Referenční údaj – Datum narození fyzické osoby. Viz eIDAS reference.
Místo narození	PlaceOfBirth	Referenční údaj – Místo narození fyzické osoby. Viz eIDAS reference.
Země narození	CountryCodeOfBirth	Referenční údaj – Země narození fyzické osoby, předávána v kódu podle standardu ISO 3166-3.
Adresa pobytu	CurrentAddress	Referenční údaj – Adresa pobytu fyzické osoby, je předávána zakódovaná pomocí BASE64. Obsahuje (pokud je uvedeno v ROB) název ulice (Thoroughfare), název pošty (PostName), PSČ (PostCode), název obce, případně doplněnou o část obce (CvaddressArea) a číslo domovní/číslo orientační (LocatorDesignator). Atribut vychází z ISA Core Vocabulary a tam je také uveden podrobnější popis atributu.
Email	Email	Emailová adresa uvedená na eidentita.cz v sekci „Vaše údaje“.
Je starší než X	IsAgeOver	Výpočet je starší než X podle referenčního údaje Datum narození.
Věk	Age	Výpočet věku podle referenčního údaje Datum narození.
Telefon	PhoneNumber	Telefonní číslo uvedeno na eidentita.cz v sekci „Vaše údaje“.
Adresa pobytu (předávaná v podobě RÚIAN kódů)	TRadresaID	Referenční údaj – Adresa pobytu fyzické osoby je předávána v kódech podle RUIAN. Obsahuje (pokud je uvedeno v ROB) kódy pro okres, obec, část obce, ulici, PSČ, stavební objekt, adresní místo, číslo domovní a orientační.
Level of Assurance (LoA)	LoA	Stupeň (úroveň) jistoty nebo zajištění. Viz eIDAS reference.
Pseudonym	PersonIdentifier	Identifikátor fyzické osoby.
Typ dokladu	IdType	Druh elektronicky čitelného dokladu.
Číslo dokladu	IdNumber	Číslo elektronicky čitelného dokladu.

Pseudonym - bezvýznamový směrový identifikátor

Pseudonym, neboli identifikátor fyzické osoby, který se od NIA předává je pro každého kvalifikovaného poskytovatele služby jedinečný a neměnný. Neslouží jako veřejný identifikátor, ale jako identifikátor technický. Pokud by došlo na situaci, kdy se pseudonym pro fyzickou osobu změní, bude úřad o této skutečnosti informován prostřednictvím informačního systému základních registrů, protože se mu změní i agendový identifikátor fyzické osoby. Soukromoprávní uživatel údajů o této změně nebude notifikován, protože nemůže být napojen na základní registry nepřímo, avšak tuto službu mu může zprostředkovat jeho nadřízený úřad.

Pokud však chce mít kvalifikovaný poskytovatel služby jistotu o aktuálnosti pseudonymu, musí postupovat dle pravidel propojeného datového fondu, tzn. mít ztotožněn svůj datový kmen a odebírat notifikace z informačního systému základních registrů.

Nevizuální přihlašování z mobilních aplikací

NIA poskytuje soubor rozhraní, které mají za cíl umožnit poskytovatelům služeb (SeP) vytvoření takových vlastních mobilních aplikací a vlastních backendových API, které dohromady budou umět ověřit identitu občana prostřednictvím volání webových služeb, tedy nevizuálně bez interakce občana.

Původně generická Mobilní aplikace bude muset být uživatelem nejprve registrována k užívání a následně bude umožňovat opakované přihlašování k NIA nevizuálním způsobem. Mobilní aplikace bude předávat informaci o provedeném přihlášení do API poskytovatele služeb, které následně z NIA získá JSON Web Token s detaily o přihlášeném uživateli. Fakt registrace bude opakovaně kontrolován na NIA prostřednictvím procesů mobilní aplikace a API, aby uživatel mohl např. při ztrátě zařízení možnosti nevizuálního přihlašování zabránit.

Cílem funkcionality není, aby mobilní aplikace poskytovatele služeb byla na úrovni poskytovatele identity (není to Identity provider). Není ji tedy možné používat pro přihlašování k portálům a jiným službám ostatních poskytovatelů služeb.

Více viz popis na stránkách SRZ ČR.

Pravidla pro Národní identitní autoritu

Zásadním požadavkem bezpečnosti a transparentnosti pro informační systémy veřejné správy je požadavek na jednotnou elektronickou identifikaci externích uživatelů. Pro každou operaci je nutná znalost osoby, která tuto operaci provádí zvláště z hlediska nepopiratelné zodpovědnosti osoby. Externí uživatelé (klienti) informačních systémů veřejné správy musí být jednoznačně identifikováni zvláště z důvodů ochrany osobních údajů a dále z procesního hlediska, jak předpokládá správní řád (jednoznačné prokázání totožnosti účastníků řízení).

Úloha správy přístupů se pro každý informační systém veřejné správy skládá z následujících kroků:

Identifikace – jednoznačné a nepopiratelné určení fyzické osoby, která přistupuje k informačnímu systému veřejné správy

Autentizace – prokázání, že přistupující osoba je tou osobou, za kterou se vydává. Autentizace probíhá předložením autentizačních prostředků (například uživatelské jméno a heslo, autentizační certifikát), které osobě přidělil správce informačního systému

Autorizace – na základě údajů o identifikované a autentizované osobě a dalších údajů o této osobě (například zařazení na pracovní pozici) zařazení osoby do odpovídající role a z toho vyplývající vyhodnocení oprávnění na úkony a data v rámci informačního systému.

NAP v této oblasti vyžaduje naplnění následujících principů pro všechny informační systémy veřejné správy:

Každý úřad, který poskytuje své služby elektronicky a potřebuje pro ně ověřeného klienta, musí využít kvalifikovaný systém elektronické identifikace, jehož služby jsou poskytovány Národní identitní autoritě), kde ověření totožnosti vyžaduje právní předpis nebo výkon působnosti

Pro využití Národní identitní autority se musí organizace stát tzv. Kvalifikovaným poskytovatelem služeb (Service provider; SeP), dle postupu popsaném níže

Každý úřad musí akceptovat nejen identitu českého občana, ale kteréhokoliv občana Evropské Unie dle eIDAS.

Jakýkoliv nový identitní prostor musí být budován tak, aby byl federovaný v rámci Národní identitní autority

Před tvorbou nového identitního prostoru si prvně udělat analýzu, zda nepostačuje již některý z federovaných identitních prostředků v rámci Národní identitní autority

Prostředky pro identifikaci a autentizaci jsou vždy vydány bezpečnou a jednoznačnou cestou identifikované osobě tak, aby byla zajištěna minimální úroveň důvěry. O tomto vydání prostředků existuje trvalý záznam spolu s údaji, jak byla ověřena identita osoby

Osoba, jíž byly prostředky vydány, nedílně zodpovídá za ochranu těchto prostředků před odcizením a zneužitím

Osoba, jíž byly prostředky vydány, nese nedílnou zodpovědnost za všechny úkony, které byly v informačním systému provedeny při použití těchto prostředků

Věcný správce agend, které jsou vykonávány v rámci informačního systému, zodpovídá za obsazení osob do rolí (technicky vykonává technický správce informačního systému, vždy však na základě podkladů o věcných správců). Tuto svoji zodpovědnost může delegovat v rámci organizační struktury na více zodpovědných osob.

Postup ohlášení kvalifikovaného poskytovatele služby (Service provider; SeP)

Následující kroky popisují jednotlivé části procesu, který je naznačen níže, na základě ověření přes ISDS. Aktuálně je registrace organizace prostřednictvím portálu národního bodu přístupná pouze pro orgány veřejné moci, ostatní subjekty musí provést registraci přímo u Správy základních registrů (viz krok 8). Kompletní příručka je dostupná zde.

Uživatel jako zástupce organizace požaduje po portálu národního bodu, který je Service Providerem, službu umožňující registraci dané organizace. Tato registrace umožní fungování dané organizace v NIA a vytváření jednotlivých Service Providerů.

Portál národního bodu kontaktuje Národní identitní autoritu, která ověření zprostředkovává, s požadavkem na ověření dané osoby (uživatele).

Pro ověření uživatele pro registraci organizace či konfigurací jednotlivých Service Providerů je jako Identity Provider určen Informační systém datových schránek (ISDS). Národní identitní autorita provede přesměrování na přihlášení prostřednictvím datových schránek.

Uživatel provede ověření vlastní osoby přihlášením k datovým schránkám. Aby mohl uživatel registrovat organizaci na portálu národního bodu, musí být přihlášen prostřednictvím ISDS (v definované roli a typem schránky OVM). V případě, že organizace není OVM, je potřeba provést registraci u Správy základních registrů.

V případě, kdy je uživatel úspěšně ověřen, Informační systém datových schránek předá Národní identitní autoritě jako výsledek ověření autentizační token obsahující IČO a název subjektu, roli přihlašovaného uživatele a další atributy.

Národní identitní autorita provede sběr atributů v Informačním systému základních registrů (ISZR) na jehož základě následně provede kontrolu existence IČO.

Národní identitní autorita předává portálu národního bodu potřebné atributy z Informačního systému základních registrů a atributy přijaté v autentizačním tokenu z Informačního systému datových schránek, které jsou nutné ke zpracování formuláře pro registraci.

Na základě úspěšného splnění předchozích kroků umožní portál národního bodu uživateli službu registrace organizace (SeP) a zobrazí mu vyplněný formulář pro registraci. Toto platí pouze pro organizace, které jsou OVM. Není-li organizace OVM, jsou místo registračního formuláře zobrazeny podrobné informace o tom, jakým způsobem provést registraci přímo u Správy základních registrů.

Uživatel potvrdí správnost údajů a provedení registrace organizace (SeP).

Portál národního bodu zpracuje přijatý požadavek na registraci a po úspěšném zaregistrování umožní uživateli provést konfiguraci jednotlivých Service Providerů spadající pod danou organizaci (seznam konfigurací kvalifikovaných poskytovatelů).

Uživatel provede konfiguraci Service Providera zahrnující následující údaje:

IČO subjektu

Název kvalifikovaného poskytovatele

Popis kvalifikovaného poskytovatele

URL adresa odkazující na úvodní webové stránky kvalifikovaného poskytovatele

URL adresa pro odeslání požadavků

Adresa pro příjem vydaného tokenu

URL adresa, na kterou bude uživatel přesměrován při odhlášení z Vašeho webu

Načtení certifikátu

Adresa pro načtení veřejné části šifrovacího certifikátu z metadat

Zpřístupnění autentizace prostřednictvím brány eIDAS

Logo kvalifikovaného poskytovatele

Příklad pro poskytovatele zdravotních služeb

Poskytovatel zdravotních služeb není orgán veřejné moci, a proto je třeba zajistit kromě výše uvedeného postupu i následující kroky:

Požádat Ministerstvo zdravotnictví o zavedení do registru práv a povinností jako SPUÚ dle povinností vyplývající ze zákonů č. 250/2017 Sb. a č. 372/2011 Sb., ideálně pod agendou A1086

Na adrese https://www.eidentita.cz/Home/Ovm se přihlásit jako oprávněný uživatel datovou schránkou poskytovatele zdravotních služeb

Nově by se mělo nabídnout ruční zadání údajů s dalším postupem

Pokud se neobjeví, postupovat dle obecných bodů výše – poslání datové zprávy obsahující potřebné údaje (URL, logo….)

Upravit si svůj profil na https://www.eidentita.cz/Home/Ovm pro přístup jiných osob (IT oddělení např.) a správu svého profilu, konfigurovat pro Portál pacienta poskytovatele zdravotních služeb.

Podmínky pro nevizuální přihlašování

Přihlašování z mobilních aplikací je založeno na následujících předpokladech:

Poskytovatel služby musí

vytvořit svoji mobilní aplikaci

vytvořit svoje API

zabezpečit komunikace mezi svým API a mobilní aplikaci

provést registraci svého API a mobilní aplikace v NIA

definovat a zaregistrovat sadu atributů, které budou obsahem JWT (JSON Web Token)

zajistit komunikaci mezi API a NIA pro vyzvedávání JWT

NIA poskytuje

rozhraní pro interaktivní přihlášení

rozhraní pro registraci mobilní aplikace

rozhraní pro přihlášení mobilní aplikace

rozhraní pro API, které si z NIA vyzvedne JWT

Uživatel

musí mít platný a funkční profil NIA a musí mít k dispozici, alespoň jeden platný přihlašovací prostředek. Např. mobilní klíč governmentu anebo bankovní identitu.

si nainstaluje mobilní aplikaci od poskytovatele služby

po prvním spuštění aplikace provede interaktivní přihlášení přes NIA, které zajistí registraci aplikace v NIA

podle potřeby bude opakovat interaktivní přihlášení z aplikace pokud z nějakého důvodu bude registrace v NIA zrušena/zneplatněna (změna konfigurace SePa anebo každých 6 měsíců.)

Po registraci mobilní aplikace může provést přihlášení k NIA. Výsledkem přihlášení je tzv. access token, který mobilní aplikace předá komponentě (API) poskytovatele služeb. Tato komponenta (API) následně zavolá definované rozhraní NIA, kde předá access token a své přihlašovací údaje. Na základě tohoto volání NAI provede vydání JWT.