sou · GZB378 · 2011-12-01 00:00:00 — I ett senare skede får bedömas behovet av att inrätta en särskild CSIRT för det centrala betalningssystemet eller en större del av den finansiella sektorn. En sådan bedömning kan exempelvis ske inom ramen för samarbetet i FSPOS. Utredningen föreslår därför att den befintliga CERT-SE vid MSB initialt förstärks med tjänster som främst avdelas och rekryteras för att möjliggöra ett fördjupat engagemang i incidenthanteringen och rapporteringen inom det finansiella området. Omfattningen av och kostnaderna för en förstärkning bör värderas inom ramen för det ordinarie budgetarbetet. förslag vad gäller IT-incidenthantering berörs i direktiven till denna utredning. Det konstateras att remissvaren ger vid handen att formerna för IT-incidenthanteringen bör övervägas. Mot bakgrund av att ett syfte med uppdraget till denna utredning är att ta fram ett utvecklat förslag avseende beredskap för och hantering av allvarliga avbrott och störningar i det centrala betalningssystemet, som kan ligga till grund för beslut av regering och riksdag har utredningen valt att redovisa förslag i frågan. 10.1Ekonomiska konsekvenser för staten I rapporten 2010/1619 bedömdes att de initiala kostnaderna för att bygga upp en funktion för det nationella samordningsansvaret skulle uppgå till , samt att de löpande årliga kostnaderna skulle uppgå till cirka 5–. Utredningen gör ingen annan bedömning av dessa förväntade kostnader. Kostnaderna bedöms kunna finansieras inom ramen för de vinster som verksamhet genererar. ges dock en möjlighet att ta ut avgifter från de berörda aktörerna för att finansiera verksamheten med samordningsansvaret enligt utredningens förslag. Med den föreslagna regleringen följer vidare en marginellt utökad omfattning av tillsynsarbete, som bedöms kunna hanteras inom befintliga anslag. Möjligheten att överklaga vissa av beslut skulle kunna leda till ökade kostnader för domstolarna. Antalet överklagade beslut kan dock förväntas bli mycket begränsat med hänsyn till antalet aktörer som kommer att omfattas av regleringen. Mot de ovan redovisade kostnaderna ska ställas effekten av ett stärkt ansvar för krisberedskapen inom det centrala betalningssystemet. I händelse av en allvarlig kris i detta system skulle mycket stora samhällsekonomiska kostnader riskera att uppstå. 10.2Närmare om konsekvenserna av utredningens förslag Betänkandet innehåller, i linje med kommittédirektiven, förslag till nya regler. Mot bakgrund av detta ska, enligt 15 a § kommittéförordningen (1998:1474), förslagens kostnadsmässiga och andra konsekvenser anges i betänkandet. Som framgår av redovisningen i kapitel 3 utgör i betalningssystemet en viktig utgångspunkt för denna utredning. I rapporten konstaterades att statens förmåga att hantera en allvarlig kris i betalningssystemet är bristfällig samt att regeringen inte har skaffat sig en samlad bild av hot och störningar inom området. Vidare konstaterades i rapporten att ett utpekat övergripande ansvar för krisberedskapsansvaret inom området saknades. bedrevs inom ett arbete som resulterade i en rapport (Fi 2010/1619) som har remitterats. Utredningens uppdrag är att vidareutveckla och ytterligare konkretisera de förslag som lämnas i rapporten avseende grundläggande säkerhetsnivåer och nationellt samordningsansvar för såväl förebyggande krisberedskapsåtgärder som åtgärder vid en akut kris inom det centrala betalningssystemet. I uppdraget ingår att ta fram nödvändiga författningsförslag. Den i utredningen föreslagna ordningen innebär i första hand att ansvarsfördelningen på området tydliggörs samt att förutsättningar för styrning och uppföljning skapas genom att funktionskrav för de berörda aktörerna föreslås införas. Dessa krav redogörs för i kapitel 5. De brister i den nuvarande ordningen som beskrivits i kan åtgärdas på olika sätt. Ett tänkbart alternativ är att genom informationsinsatser förtydliga samtliga berörda aktörers ansvar för krisberedskapen på området. Härigenom skulle en ökad medvetenhet uppnås till en mycket begränsad kostnad. Ett annat tänkbart alternativ är att genom ett frivilligt samarbete grundat på civilrättsliga avtal mellan samtliga berörda aktörer förtydliga ansvarsfördelningen. Gemensamt för båda dessa alternativ är att staten inte får någon tydlig möjlighet att styra aktörernas arbete med krisberedskapen på området. Ett tredje alternativ är att författningsreglera vilken myndighet som ska ha det övergripande krisberedskapsansvaret och ange inriktningen för hur krisberedskapen bland de berörda aktörerna bör vara utformad. Härigenom uppnås en önskad tydlighet i ansvarsfördelningen samt ges möjlighet till styrning och uppföljning av aktörernas verksamhet. reglering innebär dock en risk för ett mindre flexibelt samarbete på området och riskerar dessutom medföra ökade administrativa kostnader för den myndighet som ges det nationella samordningsansvaret samt för övriga berörda aktörer. För det fall inga åtgärder vidtas på området skulle dagens otydliga ansvarsfördelning bestå och statens förmåga att hantera en allvarlig kris i det centrala betalningssystemet riskera att vara otillfredsställande. I händelse av en sådan allvarlig kris skulle en otillfredsställande krisberedskap kunna medföra stora samhällsekonomiska kostnader. De aktörer som omfattas av den föreslagna regleringen är ett mycket begränsat antal, såväl myndigheter som företag. Regleringen kommer endast att bli tillämplig på aktörerna i det centrala betalningssystemet i landet, dvs. ett fåtal större aktörer. Ansvaret att definiera vilka aktörer som ska ingå i det centrala betalningssystemet föreslås vila på myndigheten med det nationella samordningsansvaret på området. Det går därför inte att med exakthet ange hur många aktörer som lagen kan komma att bli tillämplig på, men det förefaller mycket osannolikt att antalet privata aktörer som skulle omfattas av lagen överstiger ett tiotal. Privata aktörer som bör komma att ingå i det centrala betalningssystemet är t.ex. de fyra största bankerna i samt huvudmännen för clearing- och avvecklingssystemen för betalningar, värdepapperstransaktioner och derivat. Jämförelse av konsekvenserna för de övervägda alternativen Som framgår ovan skulle en tänkbar lösning vara att genom civilrättliga avtal med samtliga aktörer i det centrala betalningssystemet fördela krisberedskapsansvaret för systemet samt att i avtal reglera vilken förmåga att motstå störningar som är rimlig. Med hänsyn till bl.a. de stora ekonomiska konsekvenserna för samhället som en allvarlig kris i det centrala betalningssystemet skulle kunna leda till framstår det dock som motiverat att krisberedskapsansvaret på området är tydligt författningsreglerat. Det författningsförslag som tagits fram i utredningen anger på vilket sätt krisberedskapsansvaret på området ska samordnas. I utredningen föreslås att ska ha det nationella samordningsansvaret. bemyndigas att meddela föreskrifter som kommer att bli tillämpliga på aktörerna i det centrala betalningssystemet. Genom den föreslagna lösningen skapas möjligheter för ett mer flexibelt regelverk än om t.ex. säkerhetskraven skulle anges i lag. Som framgår av kapitel 6 är en fungerande privat-offentlig samverkan på området nödvändig för att det centrala betalningssystemet ska fungera. Den nuvarande ordningen för sådan samverkan föreslås inte ändras. Det befintliga samarbetet bedöms utgöra en god grund för att de föreskrifter som meddelar kommer att vara väl förankrade bland aktörerna i det centrala betalningssystemet. Förhållandet till medlemskap i unionen Fördelningen av ansvaret för krisberedskapen i det centrala betalningssystemet i medlemsstaterna är inte reglerat inom . Regleringen står därför inte i konflikt med medlemskap i unionen. Utredningens förslag bedöms vara väl förenligt med det arbete som pågår i andra internationella forum, såsom och , vars arbete på området beskrivs i avsnitt 5.6. Tidpunkt för ikraftträdande och speciella informationsinsatser Utredningen har angivit den föreslagna tidpunkten för ikraftträdande med hänsyn till behovet av tid för förberedelser för den nya lagen. De aktörer som lagen kommer att omfatta har en god kännedom om utredningens arbete. Eventuella bedömningar kring ikraftträdande kan istället komma behöva göras av vid meddelande av föreskrifter på området. Några särskilda informationsinsatser bedöms inte vara motiverade med hänsyn till den mycket begränsade grupp av aktörer som kommer att omfattas av lagens bestämmelser. Antalet företag som berörs Som beskrivits ovan kommer ett mycket begränsat antal företag att beröras av den föreslagna regleringen. Antalet överstiger sannolikt inte ett tiotal, och någon dramatisk förändring kan inte förutses . I kapitel 4 redogörs för några av de viktigaste aktörerna i det centrala betalningssystemet. Det blir dock en uppgift för att definiera vilka aktörer som ska anses ingå i det centrala betalningssystemet. De företag som kommer att omfattas av regleringen är samtliga verksamma i den finansiella sektorn. De står samtliga under tillsyn av och ingår i det finansiella system som övervakas av . Tidsåtgång och administrativa kostnader En uppskattning av tidsåtgången är självklart mycket vansklig att göra, men en kvalificerad gissning är att den föreslagna regleringen i sig inte kommer att medföra någon extra tidsåtgång för de berörda företagen. Genom regleringen skapas dock möjligheter för att meddela föreskrifter som dessa företag måste anpassa sin verksamhet efter. I detta sammanhang ska noteras att det finns en krisberedskap på området som har byggts upp inom ramen för en fortlöpande dialog mellan berörda myndigheter och privata aktörer. De exakta formerna för fortsatta arbete på området går inte att med exakthet bedöma i detta läge, men det fruktsamma privat-offentliga samarbetet kommer även fortsättningsvis utgöra en central del i arbetet, men med en tydligare ansvarsfördelning i grunden. Även ett nära samarbete mellan och kommer att krävas, vilket beskrivs i avsnitt 7.5. Detta för att undvika att de berörda företagen drabbas av onödiga kostnader för att upprätta, lagra eller överföra information eller uppgifter som föranletts av föreskrifter. Denna information kan förväntas lämnas till i dess egenskap av tillsynsansvarig myndighet. Den föreslagna regleringen bedöms inte i sig orsaka några andra kostnader för berörda företag i form av krav på t.ex. investeringskostnader eller utökning av personalresurser, eftersom aktörerna bedöms upprätthålla en hög beredskapsnivå. förslaget innehåller en möjlighet för att genom avgifter från de berörda aktörerna finansiera verksamheten med samordningsansvaret. Som anges i kapitel 11 under den aktuella bestämmelsen finansierar dock normalt sin verksamhet genom de vinster den egna verksamheten genererar. De privata aktörer som sannolikt kommer att omfattas av den föreslagna regleringen står under tillsyn av och deras verksamhet har utvärderats av och gemensamt, vilket redogörs för i kapitel 4. Som tidigare angivits syftar den föreslagna regleringen i första hand till att förtydliga ansvarsfördelningen för krisberedskapen på området. I betänkandet anges vidare funktionskrav som föreslås ska gälla för de berörda aktörerna, dvs. krav på funktionsförmåga i en krissituation. Dessa innehåller kvantitativa mål som är i linje med pågående internationellt regleringsarbete, och som redogörs för i avsnitt 5.6. Varken den föreslagna ansvarsfördelningen eller de föreslagna funktionskraven bedöms påverka de svenska aktörerna i förhållande till motsvarande utländska aktörer. Som ovan angivits saknas en uttrycklig EU-rättslig reglering på området. Med hänsyn till det utvecklade internationella regelverket bedöms de nu föreslagna reglerna dock inte påverka de svenska aktörernas konkurrensförhållanden jämfört med motsvarande aktörer inom den Europeiska unionen. Hänsyn till små företag Den föreslagna regleringen kommer med mycket stor sannolikhet inte att bli tillämplig på små företag, eftersom dessa inte bör kunna få en sådan betydelse för betalningssystemet i landet att de av bedöms utgöra en del av det centrala betalningssystemet. Med små företag avses här företag med färre än 50 anställda. Definitionen av det centrala betalningssystemet följer av författningsförslaget och är beskriven i avsnitt 8.3.1. Definitionen är av en sådan karaktär att den aktör som ska uppfylla de krav som uppställs måste bedriva en verksamhet som skiljer sig betydligt från den som bedrivs i små företag. Det kan också noteras att de företag som berörs av den föreslagna regleringen samtliga omsätter mycket stora värden. Den föreslagna regleringen bedöms inte ha betydelse för den kommunala självstyrelsen, för sysselsättning och offentlig service i olika delar av landet, för jämställdheten mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen. Betänkandets förslag avseende krav på informationssäkerhet är redovisade i kapitel 9. Förslagen i denna del kan förväntas ha en preventiv verkan på ekonomisk och annan allvarlig brottslighet. 11.1Förslaget till lag (2012:000) om krisberedskap i det centrala betalningssystemet 1 § Med begreppet krisberedskap avses den betydelse som angivits i 4 § förordningen (2006:942) om krisberedskap och höjd beredskap (krisberedskapsförordningen), dvs. förmågan att genom utbildning, övning och andra åtgärder samt genom den organisation och de strukturer som skapas före, under och efter en kris förebygga, motstå och hantera krissituationer. 2 § Definitionen av det centrala betalningssystemet utgår från den gängse definitionen av samhällsviktig verksamhet. Med det nationella betalningssystemet avses samtliga de system för clearing och avveckling av pengar eller värdepapper som tillhandahålls och används av myndigheter såsom och samt tillståndspliktiga institut i såsom banker och clearingorganisationer. Av 6 § följer att det är uppgift att närmare ange vilka aktörer som ska anses ingå i det centrala betalningssystemet och omfattas av bestämmelserna i lagen. 3 § Ett första syfte med lagen är att undvika att allvarliga störningar i det centrala betalningssystemet över huvud taget uppstår. Med allvarlig störning avses samtliga allvarliga fel, störningar eller avbrott som påverkar funktionaliteten i det centrala betalningssystemet. Det centrala betalningssystemet består av aktörer vars verksamhet utöver sådana operativa risker, även är exponerade för risker som kan leda till finansiella kriser. De finansiella kriser som riskerar att uppstå inom det centrala betalningssystemet omfattas inte av denna lag, så länge inte den finansiella krisen orsakar en allvarlig störning i funktionaliteten i systemet. En sådan koppling är dock inte osannolik. Omvänt riskerar en allvarlig operativ störning i det centrala betalningssystemet att omgående leda till en finansiell kris hos någon av aktörerna i det centrala betalningssystemet. För det fall allvarliga fel, störningar eller avbrott trots allt uppstår i det centrala betalningssystemet eller en krissituation i samhället i övrigt uppstår ska det centrala betalningssystemets funktion ändå vara tillfredsställande, t.ex. genom i förväg etablerade reservsystem och alternativa driftsformer. Den närmare innebörden av vilka åtgärder som krävs för att säkerställa en tillfredsställande nivå av funktionalitet blir en fråga för att ange enligt 11– 12 §§. Dessutom ska följderna av allvarliga fel, störningar eller avbrott begränsas. Att clearing och avveckling av transaktioner ska kunna ske inom utlovad tid omfattas visserligen av kravet på upprätthållande av tillfredsställande funktion i det centrala betalningssystemet. Genom att särskilt lyfta fram kravet förmåga till clearing och avveckling av transaktioner inom utlovad tid betonas dock kärnfunktionen i det centrala betalningssystemet. I 11 § anges närmare hur fullgörandet av clearing och avveckling av transaktioner ska ske. Att clearing och avveckling sker inom utlovad tid innebär att verksamheten sker i enlighet med de skyldigheter som gäller i det specifika systemet. Skyldigheterna följer av avtal eller författning. En stark koppling finns mellan värdepapperstransaktionerna och betalningssystemet, eftersom de stora betalningsflöden som genereras i handeln med finansiella instrument svarar för en betydande del av det samlade flödet av betalningar i det centrala betalningssystemet. Med hänsyn till denna starka koppling har begreppet transaktion använts för att beskriva den verksamhet som genomförs i det centrala betalningssystemet. Med transaktion avses i denna lag överföring av betalningar och värdepapper. 4 § Av nationella samordningsansvar följer att myndigheten, utan att avsteg görs från ansvarsprincipen, ska samordna och koordinera arbetet enligt denna lag. ansvar utvecklas närmare i 13–17 §§. 5 § I bestämmelsen anges lagens tillämpningsområde. Såväl myndigheter som privata aktörer kan av komma att anses ingå i det centrala betalningssystemet. I den fortsatta lagtexten används begreppet central aktör gemensamt för samtliga de aktö- rer, myndigheter och företag, vars verksamhet av anses utgöra del av det centrala betalningssystemet i landet. kan förutses komma att ingå i det centrala betalningssystemet i dess egenskap av huvudman för RIX-systemet. 6 § bemyndigas i denna bestämmelse att meddela föreskrifter om vilka verksamheter som ska ingå i det centrala betalningssystemet och vilka aktörer som ska omfattas av lagen. Till ledning för bedömning finns den definition som anges i 2 §. Av 8 kap. 13 § första stycket regeringsformen följer att genom lag kan uppdra åt att meddela föreskrifter inom dess ansvarsområde enligt 9 kap. och i fråga om dess uppgift att främja ett säkert och effektivt betalningsväsende. Det aktuella bemyndigandet att meddela föreskrifter bedöms rymmas inom uppgift att främja ett säkert och effektivt betalningsväsende. 7 § I denna bestämmelse anges de grundläggande krav som ska gälla för de aktörer som av angivits som centrala aktörer enligt lagens terminologi. Med uttrycket förebygga allvarliga störningar avses det arbete som går ut på att undvika att störningarna överhuvudtaget uppstår. Förberedelser för att kunna hantera en allvarlig störning innebär att konsekvenserna för det fall en allvarlig störning uppstår ska begränsas så långt möjligt. 8 § Bestämmelsen syftar till att närmare ange inom vilka områden aktörerna inom det centrala betalningssystemet ska ha förmåga att hantera påfrestningar. Med denna bestämmelse tydliggörs att en aktör i det centrala betalningssystemet inte annat än i rena undantagsfall ska kunna undgå ansvar för sin oförmåga att fullgöra sina uppgifter i det centrala betalningssystemet med hänvisning till externa faktorer. Med undantagsfall avses här synnerligen allvarliga störningar, såsom naturkatastrofer och dylikt. Punkten 1 avser t.ex. pandemier och andra tillstånd som orsakar ett kraftigt bortfall av personal hos en central aktör. Med centrala system som verksamheten är ansluten till enligt punkten 2 avses t.ex. SWIFT och andra system som vanligen används av aktörerna i det finansiella systemet. Med teknisk infrastruktur som verksamheten är beroende av enligt punkten 3 avses grundläggande infrastruktur som t.ex. elförsörjning och telekommunikation. 9 § Samverkansskyldigheten mellan myndigheter följer av förvaltningslagen (1986:223) och krisberedskapsförordningen. Aktuell bestämmelse syftar till att även de privata aktörer som kan komma att omfattas av lagen ska ha skyldighet att samverka vid störningar, i syfte att uppnå en högre krisberedskap på systemnivå. 10 § I bestämmelsen uttrycks ett särskilt krav på aktörernas tekniska lösningar och system. Med detta begrepp avses t.ex. de IT- system som är helt centrala för aktörernas förmåga att fullgöra sina uppgifter i det centrala betalningssystemet. Informationssäkerhet, såväl utformningen av de tekniska lösningarna och systemen som handhavandet av dessa, omfattas av kravet. Detta innebär att det finns möjlighet att ställa krav på t.ex. informationssäkerhetsstandard, incidentrapportering, säkerhetsklassning av tjänster och utbildning av personal hos de aktörer som omfattas av lagens bestämmelser. 11 § I första stycket anges den huvudregel som ska gälla för krisberedskapen avseende clearing och avveckling av transaktioner inom det centrala betalningssystemet. Med clearing avses avräkning av förpliktelser och sammanställning av instruktion för transaktioner. Med avveckling avses det slutliga fullgörandet av förpliktelsen att betala eller leverera värdepapper som sker genom överförandet av betalningsmedel eller värdepapper. I praktiken torde det uppställda kravet i regel innebära att clearing och avveckling alltid ska ske under innevarande dag. ges i andra stycket en rätt att i enskilda fall besluta om avsteg från huvudregeln i första stycket. Ett sådant beslut kan vara motiverat med hänsyn till att det trots vidtagna krisberedskapsåtgärder i vissa fall kan uppstå mycket allvarliga störningar i det centrala betalningssystemet. beslut i ett sådant läge syftar till att klargöra för den berörda aktören, samt i dess tillsynsarbete, vilken nivå på krisberedskapsarbetet som är rimlig att kräva i den uppkomna situationen. 12 § I första stycket ges rätt att meddela föreskrifter om vilka krav på förebyggande och förberedande åtgärder som ska gälla för aktörerna i det centrala betalningssystemet. således möjlighet att meddela föreskrifter avseende de krav på åtgärder som de centrala aktörerna åläggs i 7–10 §§. Utöver möjligheten att meddela föreskrifter har enligt andra stycket även rätt att fatta beslut i det enskilda fallet om konkreta åtgärder som ska vidtas av en central aktör. Bestämmelsen motiveras av att bör ha möjlighet att i undantagsfall kunna få en enskild aktör att vidta de åtgärder som bedöms nödvändiga för att upprätthålla krisberedskapen i det centrala betalningssystemet. Rätten att överklaga ett beslut enligt andra stycket följer av 20 §. Beträffande möjligheten att bemyndiga att meddela föreskrifter i detta avseende, se 6 §. 13 § Det ansvar som samordnande myndighet för krisberedskapen inom det centrala betalningssystemet vilket ges i lagen bör inte nämnvärt avvika ifrån hur ansvaret för krisberedskapen i samhället i övrigt är utformad. Med denna utgångspunkt har i lagen införts ett antal grundläggande principer för krisberedskapen, delvis sammanfallande med krisberedskapsförordningen. I första stycket klargörs uttryckligen att ansvarsprincipen ska gälla, dvs. att den myndighet som har ansvar för en verksamhet också har ansvaret för att verksamheten ska fungera vid en kris. ska således inte ta över annan myndighets eller privat aktörs ansvar för viss verksamhet, utan samordna och koordinera beslutsfattandet. Bestämmelsen motsvarar 5 § första stycket i krisberedskapsförordningen. I andra stycket anges att ska kunna upprätta en krisledningsfunktion när en kris uppstår. Bestämmelsen motsvarar delvis 13 § krisberedskapsförordningen. Krisledningen innebär således inte att ska överta annan aktörs ansvar när en kris uppstår. Med krisledningsfunktion avseende samordning och information avses här leda och samordna de åtgärder som vidtas av det centrala aktörerna för att hantera krisen, löpande upprätta lägesrapporter samt samordna den information som riktas till allmänheten och media om krisens förlopp. 14 § ska enligt första stycket upprätta en risk- och sårbarhetsanalys för det centrala betalningssystemet. Bestämmelsen motsvarar i princip 9 § krisberedskapsförordningen och syftar till att säkerställa att analysen utformas i enlighet med krisberedskapsarbetet i övrigt i samhället. En redovisning baserad på analy- sen ska utöver att lämnas till och även lämnas till . 15 § Bestämmelsen ansluter sig till det särskilda ansvar som anges i 11 § krisberedskapsförordningen och syftar till att närmare ange vilka skyldigheter får genom det nationella samordningsansvaret.