sou · GZB378 · 2011-12-01 00:00:00 — i det centrala betalningssystemet Betänkande av Utredningen om stärkt krisberedskap i det centrala betalningssystemet SOU och Ds kan köpas från kundtjänst. För remissutsändningar av SOU och Ds svarar på uppdrag av . Beställningsadress: kundtjänst 106 47 Orderfax: Ordertel: E-post: Internet: Svara på remiss. Hur och varför. Statsrådsberedningen (SB PM 2003:2, reviderad ) – En liten broschyr som underlättar arbetet för den som ska svara på remiss. Broschyren är gratis och kan laddas ner eller beställas på Textbearbetning och layout har utförts av , FA/kommittéservice. Genom beslut fastställde regeringen direktiv för en utredning om stärkt krisberedskap i det centrala betalningssystemet (Fi 2011:09). En särskild utredare skulle utses för att med utgångspunkt i en tidigare rapport i (Fi 2010/1619), ansvarsprincipen och förordningen (2006:942) om krisberedskap och höjd beredskap genomföra utredningen. Syftet var utarbeta förslag som kan ligga till grund för beslut av regering och riksdag avseende beredskap för och hantering av allvarliga avbrott och störningar i det centrala betalningssystemet. Inriktningen skulle enligt direktivet vara att utarbeta förslag till grundläggande säkerhetsnivåer för det centrala betalningssystemet. En ansvarig myndighet skulle föreslås som, utan att överta annans ansvar, får ett nationellt samordningsansvar för såväl förebyggande krisberedskapsåtgärder som åtgärder vid en akut kris i det centrala betalningssystemet. I uppdraget ingick att utarbeta nödvändiga författningsförslag. Redovisning skulle ske . Till särskild utredare förordnades med början . Till utredningen har utsett en referensgrupp bestående av bitr. enhetschef och senior advisor , Myndigheten för samhällsskydd och beredskap (MSB), f.d. generaldirektör , ämnesråd Liso , , dep.sekr. , Försvarsdepartementet, enhetschef , samt ekonom och krisberedskapssamordnare , . Referensgruppen har haft tre sammanträden, varav ett heldagsmöte. Konsulten har biträtt utredningen som sekreterare från . Huvudsekreterare har varit jur.kand. En särskild bilaga Att arbeta med mål inom samhällets krisberedskap har utarbetats av fil.dr , MSB. Utredningen har genomfört besök hos och de största privata aktörerna inom det svenska betalningssystemet. Även , , Myndigheten för samhällsskydd och beredskap samt har besökts. Samråd har skett med (Fi 2011:02). Internationella dokument inom området har kartlagts och analyserats. Utredningen föreslår bl.a. att ska ha det samordnande nationella ansvaret för krisberedskapen i det centrala betalningssystemet. Vidare föreslås en ny lag om krisberedskap i det centrala betalningssystemet och smärre förändringar i lagen (1988:1385) om riksbank samt i offentlighets- och sekretesslagen (2009:400). Utredningen överlämnar betänkandet (SOU 2011:78) Stärkt krisberedskap i det centrala betalningssystemet. Utredningsuppdraget är härmed slutfört. Förslag till lag (2012:000) om krisberedskap i det Förslag till lag om ändring i lagen (1988:1385) om Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)........................................................ Utredningens uppdrag och uppläggning........................ 3.2Myndigheternas redovisningar med anledning av 3.3Krisberedskapsmyndighetens beroende– och Innehåll SOU 2011: Kort beskrivning av centrala betalningssystemet ............ Beskrivning av centrala betalningssystemet............................ Definitionen av det centrala betalningssystemet.................... Begrepp och definitioner ......................................................... 5.3Förslag till grundläggande säkerhetskrav i rapporten Fi 2010/1619............................................................................. 5.4Tidigare arbete med olika typer av målformuleringar och 5.5 Risk- och sårbarhetsanalys....................................................... 5.6Funktionskrav på det centrala betalningssystemet i en 5.7 Kritiska beroenden mellan det centrala betalningssystemet och andra samhällsverksamheter ............ 5.8Förslag till grundläggande säkerhetskrav på det centrala betalningssystemet i en krissituation Samordning av krisberedskapsåtgärder ......................... Behov av samordning av krisberedskapsåtgärder................... 7.3Nuvarande system för samordning av 7.4Innehållet i ett förstärkt samordningsansvar för 7.5Valet av samordningsansvarig myndighet för Behovet av lagreglering ............................................... Val av regleringsform............................................................... Närmare om innehållet i författningsförslaget ...................... 8.3.1 Definitionen av det centrala betalningssystemet........ 8.3.3 Lagens krav på aktörerna i det centrala 8.3.4 Förhållandet mellan och 8.3.7 Överklagande av beslut .......................... Systematiskt säkerhetsarbete med stöd av ISO 27000 .......... Incidentrapportering till CERT-funktion.............................. Ekonomiska konsekvenser för staten..................................... Närmare om konsekvenserna av utredningens förslag Förslaget till lag (2012:000) om krisberedskap i det Förslaget till lag om ändring i lagen (1988:1385) om Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400)...................................................... Att arbeta med resultatmål inom samhällets krisberedskap – teoretiska och metodiska lag (2012:000) om krisberedskap i det centrala betalningssystemet Härigenom föreskrivs följande. 1 § Denna lag innehåller bestämmelser om krisberedskap i det centrala betalningssystemet. 2 § Med det centrala betalningssystemet avses de funktioner i det nationella betalningssystemet som har en sådan betydelse att ett bortfall eller en allvarlig störning, direkt eller , skulle innebära risk eller fara för samhällets funktionalitet eller samhällets grundläggande värden. 3 § Denna lag syftar till 1.att förebygga uppkomsten av allvarliga störningar i det centrala betalningssystemet, och 2.att vid allvarliga störningar i det centrala betalningssystemet säkerställa en tillfredsställande funktion i det centrala betalningssystemet, att följderna av störningarna begränsas, samt att clearing och avveckling av alla transaktioner inom det centrala betalningssystemet kan ske inom utlovad tid. 4 § ansvarar för nationell samordning av krisberedskap i det centrala betalningssystemet. 5 § Bestämmelserna i denna lag är tillämpliga på de myndigheter och företag vars verksamhet utgör del av det centrala betalningssystemet (centrala aktörer). 6 § får meddela föreskrifter om vilka verksamheter som ska anses ingå i det centrala betalningssystemet och vilka aktörer som ska omfattas av denna lag enligt 5 §. 7 § Centrala aktörer ska vidta tillräckliga åtgärder för att förebygga och förbereda sig för att kunna hantera allvarliga störningar i det centrala betalningssystemet. 8 § Centrala aktörer ska ha vidtagit sådana åtgärder att de kan förväntas fullgöra sina uppgifter i det centrala betalningssystemet även vid väsentlig påverkan på 1.den egna verksamheten, 2.centrala system som verksamheten är ansluten till, eller 3.teknisk infrastruktur som verksamheten är beroende av. 9 § Centrala aktörer är även skyldiga att i rimlig utsträckning bistå varandra när någon eller några av dem har drabbats av händelser som avses i 8 §. 10 § De tekniska lösningar och system som används av en central aktör ska vara utformade och användas på sådant sätt att betryggande säkerhet uppnås mot störningar i verksamheten till följd av sådana händelser som avses i 8 §. Särskilt om clearing och avveckling 11 § Utgångspunkten för krisberedskapen i det centrala betalningssystemet är att clearing och avveckling av samtliga transaktioner alltid ska ske i enlighet med ingångna avtal och gällande lagstiftning. får vid särskilda omständigheter i samband med en allvarlig störning i det centrala betalningssystemet besluta om avsteg från första stycket. Förebyggande och förberedande åtgärder 12 § får meddela föreskrifter om krav på förebyggande och förberedande åtgärder. Med dessa avses särskilda åtgärder som behövs för att säkerställa det centrala betalningssystemets funktionsförmåga. får besluta om att förebyggande och förberedande åtgärder ska vidtas av en central aktör. Beslutet får inte vara mer betungande än vad som kan anses vara skäligt med hänsyn till aktörens betydelse för det centrala betalningssystemet. 13 § Varje central aktör, vars ansvarsområde berörs av allvarliga störningar i det centrala betalningssystemet, ska vidta de åtgärder som behövs för att hantera konsekvenserna av dessa. ska vid sådana situationer omgående kunna upprätta en krisledningsfunktion avseende samordning och information. 14 § ska analysera om det finns sådan sårbarhet eller sådana hot och risker inom det centrala betalningssystemet som synnerligen allvarligt kan försämra förmågan till verksamhet inom området. Vid denna analys ska särskilt beakta 1.situationer som uppstår hastigt, oväntat och utan förvarning, eller en situation där det finns ett hot eller en risk att ett sådant läge kan komma att uppstå, 2.situationer som kräver brådskande beslut och samverkan med andra aktörer, 3.att de samhällsviktiga funktionerna i det centrala betalningssystemet kan upprätthållas, och 4. förmågan att hantera mycket allvarliga situationer inom det centrala betalningssystemet. ska värdera och sammanställa resultatet av arbetet i en risk- och sårbarhetsanalys. Redovisningen ska innefatta vilka åtgärder som planeras och en bedömning av behovet av ytterligare åtgärder. ska lämna en redovisning baserad på analysen till , och Myndigheten för samhällsskydd och beredskap. 15 § ska ha ett särskilt ansvar för att planera och att förebygga sårbarheter och motstå hot och risker i det centrala betalningssystemet. 1.samverka med i dess roll som tillsynsmyndighet för privata aktörer i det centrala betalningssystemet, 2.samverka med berörda länsstyrelser i deras roll som områdesansvarig myndighet, 3.samverka med övriga statliga myndigheter, kommuner, landsting, sammanslutningar och näringsidkare som är berörda, 4.beakta det samarbete som sker inom Europeiska unionen och internationella forum i frågor som rör samhällets krisberedskap, 5.beakta behovet av forsknings- och utvecklingsinsatser och annan kunskapsinhämtning såsom erfarenhetsåterföring av inträffade händelser, 6.beakta behovet av säkerhet och kompatibilitet i de tekniska system som är nödvändiga för att det centrala betalningssystemet ska kunna upprätthålla sina samhällsviktiga funktioner, 7.informera Myndigheten för samhällsskydd och beredskap om sin övningsverksamhet för att den ska kunna samordnas med den övningsverksamhet som Myndigheten för samhällsskydd och beredskap planerar. ska vidare verka för att aktörerna i det centrala betalningssystemet deltar i den övningsverksamhet som berör deras ansvarsområden. 16 § ska, när allvarliga störningar i det centrala betalningssystemet uppstår, hålla regeringen informerad om händelseutvecklingen, tillståndet, den förväntade utvecklingen och tillgängliga resurser inom ansvarsområdet samt om vidtagna och planerade åtgärder. 17 § ska efter förfrågan från eller Myndigheten för samhällsskydd och beredskap lämna information rörande beredskapsläget och den information som behövs för samlade lägesbilder. 18 § får ta ut avgifter av centrala aktörer för att finansiera verksamheten med samordningsansvaret i enlighet med denna lag. 19 § Den som på grund av bestämmelser i denna lag eller föreskrifter som meddelats med stöd av lagen har fått kännedom om en enskilds affärs- eller driftförhållanden får inte obehörigen röja eller utnyttja uppgifterna. I det allmännas verksamhet gäller offentlighets- och sekretesslagen (2009:400). 20 § beslut enligt 12 § andra stycket får överklagas hos förvaltningsrätten. Prövningstillstånd krävs vid överklagande till kammarrätten. Annat beslut än beslut om att ta ut avgift gäller om inte annat bestäms i beslutet. Denna lag träder i kraft . lag om ändring i lagen (1988:1385) om riksbank Härigenom föreskrivs att 1 kap. 2 § lagen (1988:1385) om riksbank ska ha följande lydelse. har enligt 9 kap. 13 § regeringsformen ansvaret för samhet skall vara att upprätthålla samhet ska vara att upprätthålla ett fast penningvärde. ett fast penningvärde. ett säkert och effektivt betalnings- säkert och effektivt betalnings- (2012:000) om det centrala betalningssystemet. får meddela föreskrifter inom ramen för sitt ansvar för penningpolitiken. får även meddela föreskrifter såvitt avser verksamhet med anknytning till betalningssystem eller kontantförsörjningsuppdrag. lag om ändring i offentlighets- och sekretesslagen (2009:400) Härigenom föreskrivs att 30 kap. 6 § offentlighets- och sekretesslagen (2009:400) ska ha följande lydelse. Sekretess gäller i en statlig myn- Sekretess gäller i en statlig myn- dighets verksamhet som består i dighets verksamhet som består i övervakning eller kontroll för övervakning eller kontroll för sådan sådan uppgift om en enskilds uppgift om en enskilds ekonom- ekonomiska eller personliga för- hållanden som på begäran har som på begäran har lämnats av lämnats av någon som är skyldig någon som är skyldig att lämna att lämna uppgifter till myndig- heten, om övervakningen eller 1. lagen (1991:980) om handel med finansiella instrument, med finansiella instrument, 2. lagen (1996:1006) om anmäl- 2. lagen (1996:1006) om anmäl- ningsplikt avseende viss finansiell 3. lagen (2000:1087) om anmäl- 3. lagen (2000:1087) om anmäl- ningsskyldighet för vissa innehav ningsskyldighet för vissa innehav av av finansiella instrument, 4. lagen (2004:299) om inlå- 5. lagen (2005:377) om straff 5. lagen (2005:377) om straff för för marknadsmissbruk vid handel marknadsmissbruk vid handel med med finansiella instrument, eller 6. lagen (2006:451) om offent- 6. lagen (2006:451) om offent- liga uppköpserbjudanden på aktie- liga uppköpserbjudanden på aktie- beredskap i det centrala betalning- Om en uppgift som avses i första stycket rör den uppgiftsskyldige, gäller sekretessen endast om denne kan antas lida skada eller men om uppgiften röjs och sekretessen inte motverkar syftet med uppgiftsskyldigheten. För uppgift i en allmän handling gäller sekretessen i högst tjugo Utredningens uppdrag är att med utgångspunkt i rapporten (Fi 2010/1619) och avlämnade remissvar vidareutveckla och ytterligare konkretisera de förslag som där anges avseende grundläggande säkerhetsnivåer och nationellt samordningsansvar för såväl förebyggande krisberedskapsåtgärder som åtgärder vid en akut kris inom det centrala betalningssystemet. Inriktningen på arbetet ska vara att ta fram förslag till grundläggande säkerhetsnivåer för det centrala betalningssystemet av mer kvantitativ karaktär. Vidare ska inriktningen vara att det föreslås en ansvarig myndighet som, utan att överta annans ansvar, ska ha ett nationellt samordningsansvar för såväl förebyggande krisberedskapsåtgärder som åtgärder vid en akut kris i det centrala betalningssystemet. I rapporten i betalningssystemet (RiR 2007:28) konstaterade att det fanns ett antal avgörande brister i statens åtgärder för att förebygga och hantera allvarliga störningar i det centrala betalningssystemet. konstaterade i rapporten att ett stort antal myndigheter hade ansvar för den finansiella sektorns krisberedskap och att en privat-offentlig samverkan bedrevs. Ingen myndighet ansåg sig emellertid ha ett övergripande och samlat ansvar för ledning, planering, samverkan och uppföljning av krisberedskapen inom betalningssystemet. Oklarheten i ansvarsförhållanden och uppgifter bidrog till att det saknades en samlad bild av hot, risker, sårbarheter och konsekvenser samt att myndigheterna inte hade samordnat sina förberedande åtgärder tillräckligt. anförde i rapporten att regeringen borde fastställa vilka grundläggande säkerhetskrav som ska gälla för betalningssystemet och dess nödvändiga infrastruktur. Regeringen borde också fastställa hur uthålligt betalningssystemet måste vara. Regeringen borde enligt även fastställa vilken myndighet som har det övergripande krisberedskapsansvaret för betalningssystemet och incidentbevakningen samt föreslå i vilka avseenden eller ska ha ansvar för krisberedskapen. och fick av regeringen i uppdrag att redovisa vilka initiativ som hade tagits eller var planerade med anledning av . Även sammanställde en liknande redovisning. Med anledning av och de redovisningar som , och lämnade i frågan utarbetades inom en rapport innehållande förslag på hur statens förmåga att hantera allvarliga kriser i betalningssystemet kunde stärkas, Fi 2010/1619. I rapporten föreslogs bl.a. att ett nationellt samordningsansvar skulle införas och att var den myndighet som skulle ges detta ansvar. Vidare föreslogs att detta ansvar samt grundläggande säkerhetskrav (mål) skulle regleras genom en ny lag. Rapporten har remitterats. Någon allmänt vedertagen definition av begreppet det centrala betalningssystemet finns inte. I utredningen definieras det centrala betalningssystemet som de funktioner i det nationella betalningssystemet som har en sådan betydelse att ett bortfall, direkt eller , skulle innebära en risk eller fara för samhällets funktionalitet eller samhällets grundläggande värden. Viktiga system inom det centrala betalningssystemet är – systemet för stora betalningar, Bankgirocentralens betalningssystem för massbetalningar, Euroclear VPC-system där transaktioner från aktie- och räntemarknaden clearas och avvecklas samt OMX Derivatives Markets som är central motpart för standardiserade derivatkontrakt. Andra viktiga aktörer inom det centrala betalningssystemet är samt de fyra storbankerna. Den ovan redovisade beskrivningen utgör dock inget försök att exakt definiera det centrala betalningssystemet. I utredningen föreslås att det ska vara en uppgift för att definiera vilka aktörer och verksamheter som ska anses ingå i det centrala betalningssystemet. Det kan förutses att denna definition kommer att bli föremål för en fortlöpande översyn av med hänsyn till den dynamik som präglar utvecklingen inom den finansiella sektorn. Utredningen föreslår att tilldelas det nationella samordningsansvaret för krisberedskap i det centrala betalningssystemet. Samordningsansvaret innefattar inte ett övertagande av ansvar från en annan aktör i det centrala betalningssystemet för det fall en kris uppstår. Däremot får ett ansvar att leda samordningen mellan aktörerna i en sådan situation. samordningsansvar för krisberedskap ska avse det centrala betalningssystemet. ska fortsatt ha krisberedskapsansvaret för den finansiella sektorn i övrigt. tillsynsansvar över de privata aktörerna i det centrala betalningssystemet kvarstår. Utgångspunkten för utredningens förslag till grundläggande säkerhetskrav på det centrala betalningssystemet är att målen bör ha en kvantitativ (mätbar) karaktär för att kunna värderas och vara föremål för revision. De säkerhetskrav som bör ställas på det centrala betalningssystemet bör utformas som en kombination av funktionskrav på detta system och krav på de tekniska system – externa och interna – som det centrala betalningssystemet är beroende av. får i den av utredningen föreslagna lagen uppgiften att genomföra en årlig risk- och sårbarhetsanalys i syfte att identifiera de kriser som kan drabba det centrala betalningssystemet. Beredskapsplaneringen bör syfta till att hantera alla de kriser som identifieras i risk- och sårbarhetsanalysen. med allvarliga konsekvenser bör värderas. Kritiska beroenden som finns mellan det centrala betalningssystemet och andra samhällsverksamheter ska identifieras. Risk- och sårbarhetsanalyser ska vara förankrade på ledningsnivå. Utredningen formulerar också funktionskrav på det centrala betalningssystemet. Målet är att det centrala betalningssystemet även vid en allvarlig kris kan avveckla alla transaktioner i enlighet med ingångna avtal och gällande lagstiftning, i regel senast under pågående bankdag. Reservsystem och alternativa driftsmiljöer ska genom kontinuitetsplaner vara väl förberedda att klara målet. Kontinuitetsplaner måste innefatta tider för återställande av system. Målet för tiden till återstart vid ett avbrott i centrala betalningssystemet bör vara högst . De krav eller mål som utredningen föreslår ansluter sig väl till de rekommendationer som formuleras inom ramen för () och (). Det går dock inte helt att bortse från att det kan uppstå situationer då högt ställda mål inte kan tillgodoses. Att utgå ifrån att det centrala betalningssystemet inte under några omständigheter kan drabbas av sådana händelser är knappast tillrådligt. Därför är det nödvändigt att i ett svårt krisläge ha förberett åtgärder som utgår ifrån att endast en del av transaktionerna i det centrala betalningssystemet kan hanteras eller att det kan ta än en bankdag att avveckla transaktionerna. I sådana lägen måste vissa typer av transaktioner ges företräde krisen varar. Det bör inte ske slumpmässigt och improviserat utan bör utgå från en uppsättning på förhand fastlagda prioriteringsprinciper. Aktörerna inom det centrala betalningssystemet föreslås också bli skyldiga att i rimlig utsträckning bistå varandra när något eller några av dem drabbas av allvarliga tekniska störningar eller avbrott. De grundläggande säkerhetskrav som bör ställas på det centrala betalningssystemet sammanfattas av utredningen på följande sätt: 1.Målet är att det centrala betalningssystemet även vid en allvarlig kris kan avveckla alla transaktioner i enlighet med ingångna avtal och gällande lagstiftning, i regel senast under pågående bankdag. 2.Vid en allvarlig störning eller avbrott i verksamheten hos en aktör i det centrala betalningssystemet ska återgång till ordinarie drift eller övergång till reservsystem ske senast . 3.Om detta inte är möjligt ska en alternativplanering finnas som gör det möjligt att vid en kris prioritera de viktigaste transaktionerna. 4.Principer och metoder för att identifiera och vid en kris prioritera de viktigaste transaktionerna ska utvecklas. Aktörerna i det centrala betalningssystemet utgörs av både myndigheter och privata företag. Ett samarbete mellan de berörda parterna avseende krisberedskapsåtgärder inom det centrala betalningssystemet är därför nödvändigt. Den privat-offentliga samverkan som behöver ske bör även i fortsättningen hanteras inom ramen för samarbetet inom den finansiella sektorns privat-offentliga samverkansorgan, FSPOS. Behovet av att samordna de krisberedskapsåtgärder som vidtas beträffande det centrala betalningssystemet har ytterst att göra med att olika aktörer inom detta system är beroende av varandra och att de krisberedskapsåtgärder som vidtas av dessa aktörer måste ligga på en sådan nivå att de mål som sätts för systemets samlade prestationsförmåga vid en kris kan uppnås. Behovet av att samordna såväl beredskapsåtgärder som operativa åtgärder under en kris är större inom det centrala betalningssystemet än inom många andra verksamheter. Anledningen är att systemet omfattar ett antal aktörer vars verksamheter är nödvändiga för att systemet ska fungera och där ett bortfall av en aktör kan få långtgående konsekvenser för systemet som helhet. Betydelsen av detta förstärks av att hela det finansiella systemet är beroende av att det centrala betalningssystemet fungerar. Brister i beredskapen hos en aktör kan därför få omfattande spridningseffekter inom hela den finansiella sektorn. Av dessa skäl måste höga krav ställas på samordningen av de krisberedskapsåtgärder som vidtas beträffande det centrala betalningssystemet. saknas ett system som är direkt inriktat mot samordning av de krisberedskapsåtgärder som vidtas beträffande det centrala betalningssystemet. Vid kriser i det centrala betalningssystemet är det väsentligt att det finns en krisledningsfunktion med befogenhet att samordna de åtgärder som behöver vidtas för att minska skadeverkningarna och att återupprätta systemets funktion så snabbt som möjligt.