Konsesjoner og sertifiseringer

Konsesjon som e-pengeforetak

Buypass er gjennom sitt datterselskap Buypass Payment AS tildelt konsesjon fra Finansdepartementet som e-pengeforetak i henhold til finansforetaksloven. LOV-2015-04-10-17, § 2-11. Konsesjon som e-pengeforetak.

Kvalifisert tilbyder av tillitstjenester

Buypass er tildelt status som kvalifisert tilbyder av tillitstjenester av Nasjonal kommunikasjonsmyndighet (Nkom) i henhold til Lov om elektroniske tillitstjenester (eIDAS). Buypass er utsteder av kvalifiserte sertifikater for elektronisk signatur (Personsertifikater), kvalifiserte sertifikater for elektronisk segl (Virksomhetssertifikater) og kvalifiserte sertifikater for nettstedsautentisering (TLS-sertifikater).

Tilbyder av elektronisk ID (eID) på nivå høyt

Buypass er selvdeklarert i henhold til Selvdeklarasjonsforskriften som tilbyder av eID-ordninger på nivå Høyt for:

• Buypass ID på smartkort
• Buypass ID i mobil (inkludert Buypass ID@Work)
• Buypass ID-Nøkkel (Passnøkkel - FIDO2)

 Se NKOM sin liste over selvdeklarerte eID-ordninger 

Sertifiseringer

ETSI EN 319 411

Buypass er sertifisert i henhold til ETSI EN 319 411 standardene for utstedere av digitale sertifikater.

Standardene dekker alle områder av utstedelse og administrasjon av digitale sertifikater, inkludert registreringsprosess med identitetskontroll, utstedelse av digitale sertifikater med sikring av private nøkler, sperretjeneste samt sertifikatsstatustjenester (CRL, OCSP) med mer. Sertifiseringsprosessen innebærer at en akkreditert ekstern revisor bekrefter at sertifikatutsteder har systemer, prosesser og prosedyrer som er i samsvar med kravene som standarden stiller.

Del 1: ETSI EN 319 411-1
Dekker digitale sertifikater generelt, inkludert SSL/TLS-sertifikater. Leverandører av nettlesere og operativsystem, som for eksempel Microsoft, Apple, Google, Mozilla og Oracle (Java) aksepterer denne sertifiseringen som ett av sine krav for å ta inn våre rotsertifikater. Se ETS 018 for detaljer.

Del 2: ETSI EN 319 411-2
Dekker EU kvalifiserte sertifikater i hht eIDAS-forordningen, dette inkluderer kvalifiserte sertifikater for elektronisk signatur (QC eSignature), kvalifiserte sertifikater for elektronisk segl (QC eSeal) og kvalifiserte sertifikater for webside autentisering (QWAC). Sertifiseringen tilfredsstiller kravene i eIDAS-forordningen. Buypass er med dette sertifisert som kvalifisert tilbyder av tillitstjenester (QTSP). En slik sertifisering er en nødvendig forutsetning for å bli registrert på EUs tillitsliste som kvalifisert tilbyder . Se ETS 053 for detaljer.

ISO 27001

Buypass er sertifisert ihht. ISO 27001 – Styrings- /ledelsessystem for informasjonssikkerhet. Standarden har en helhetlig tilnærming til informasjonssikkerhet. ISO 27001 sikrer beskyttelse av  informasjon på følgende måte:

• Konfidensialitet sørger for at informasjon kun er tilgjengelig for autoriserte parter. 
• Integritet sikrer at metodene for håndtering av informasjon er nøyaktige og fullstendige. 
• Tilgjengelighet sørger for at autoriserte brukere har tilgang til informasjon og tilknyttede aktiva når det behøves.

ISO 27001 harmoniserer med andre ledelsessystem for at man enkelt skal kunne kombinere disse, som f.eks ISO 9001.

ISO 9001

Buypass er sertifisert ihht ISO 9001 – Styrings- /ledelsessystem for kvalitet. ISO 9001 er den vanligste og internasjonalt mest anerkjente standarden som sikrer kvaliteten på varer og tjenester i forholdet mellom leverandør og kunde. Standarden er prosessorientert og legger vekt på løpende forbedringer og kundetilfredshet.

PCI-DSS

Buypass er sertifisert i henhold til kredittkortselskapenes datasikkerhets-standard PCI DSS (Payment Card Industry Data Security Standard). Med dette viser Buypass nok en gang at selskapet ligger i front innenfor informasjonssikkerhet.

PCI DSS er ett sett av omfattende krav utarbeidet av bl.a. Visa, Master Card og American Express for å øke sikkerheten i forbindelse med betalingstransaksjoner og håndtering av kortholderopplysninger. Alle virksomheter som prosesserer, lagrer eller overfører kortholderdata og/eller transaksjonsinformasjon fra disse aktørene er pålagt å følge PCI DSS.