sou · GZB378 · 2011-12-01 00:00:00 — De innehåller dessutom myndigheternas självskattningar av i vilken utsträckning de aktuella förmågorna har uppnåtts. Det fortsatta arbetet med grundläggande säkerhetsnivåer KBM och därefter MSB har vidareutvecklat konceptet grundläggande säkerhetsnivåer och tagit fram exempel på hur sådana nivåer skulle kunna formuleras för ett antal samhällsverksamheter. Man har också arbetat vidare med att precisera vilka verksamheter som bör betraktas som samhällsviktiga i ett krisberedskapsperspektiv. MSB har redovisat en strategi för skydd av samhällsviktig verksamhet inom krisberedskapen.2 MSB har till regeringen redovisat resultatet av ett arbete beträffande resultatmål inom krisberedskapen.3 Sådana mål har redovisats för försörjningen med dricksvatten, livsmedel och värme. Dessutom redovisas ett förslag till fortsatt arbete. De mål som har föreslagits är individorienterade. I arbetet har stor vikt lagts vid att redovisa mål som är konkreta och uppföljningsbara. I bilaga 2 beskrivs de metoder som har tillämpats i detta arbete närmare. KBM genomförde ett omfattande arbete med att kartlägga kritiska beroenden mellan olika samhällsverksamheter. Med kritiska beroenden avses att en annan verksamhet måste fungera på en viss nivå för att primärverksamheten ska fungera. Inom ramen för KBM:s beroendeprojekt genomfördes 2Ett fungerande samhälle i en föränderlig värld – nationell strategi för skydd av samhällsviktig verksamhet, . 3Förslag till resultatmål för samhällets krisberedskap för försörjningen av dricksvatten, livsmedel och värme, dnr 2010-4539. en särskild kartläggningsstudie avseende beroenden inom den finansiella sektorn. Insatser med särskild inriktning mot den finansiella sektorn Många av de generella insatser som har nämnts ovan har även berört den finansiella sektorn. Härutöver har arbete med särskild inriktning mot den finansiella sektorn genomförts av FSPOS och inom SOES. FSPOS har bl.a. en arbetsgrupp som föreslagit en strategi för att ta fram grundläggande säkerhetsnivåer inom den finansiella sektorn. Arbetet vad gäller dessa frågor omfattar bl.a. identifiering av prioriterade tjänster samt acceptabla servicenivåer och avbrottstider för dessa. Inom SOES har bl.a. arbete vad gäller alternativa utbetalningsvägar bedrivits. En årlig risk- och sårbarhetsanalys bör genomföras i syfte att identifiera de kriser som kan drabba det centrala betalningssystemet. Planeringen bör syfta till att skapa förmåga att hantera alla de kriser som identifieras i risk- och sårbarhetsanalysen. I rapporten 2010/1619 anges tre s.k. typkriser som det centrala betalningssystemet kan komma att utsättas för (infrastrukturkris, kärnkris och utbetalningskris). Varaktigheten av dessa kriser anges till 2–i de båda förstnämnda fallen och i det sistnämnda fallet. Med hänsyn till denna utrednings direktiv är det främst de s.k. infrastruktur- och kärnkriserna som är av intresse i detta sammanhang. Infrastrukturkrisen avser en situation med kraftiga störningar i elförsörjningen, tele- och datakommunikationerna samt Internet av 2–. Kärnkrisen avser en situation där en av aktörerna alternativt ett väsentligt delsystem inom det centrala betalningssystemet faller bort . Tyngdpunkten i rapporten har lagts på kriser som medför allvarliga tekniska fel och störningar men som inte har haft vad som i rapporten benämns katastrofala konsekvenser. MSB har i sitt remissvar på rapporten ifrågasatt denna begränsning och efterlyst en beskrivning av vad som händer om krisen eskalerar till en mycket allvarlig kris, dvs. en kris med "katastrofala följder". Myndigheten understryker också att även andra typer av kriser än tekniska fel i de system som betjänar det centrala betalningssystemet bör analyseras. Också Statskontoret anser att de krisbegrepp som har valts i rapporten är alltför snävt avgränsade. i anser att en komplettering bör göras med förhållanden som avser höjd beredskap. Flera remissinstanser – bl.a. – efterlyser också en tydligare definition av vad som menas med allvarliga tekniska störningar och avbrott. Det centrala betalningssystemet är en mycket viktig samhällsfunktion. Långvariga och omfattande störningar i detta system får följdeffekter på hela det finansiella systemet och därmed på samhället i stort. Återkommande störningar i systemet kan medföra att förtroendet för betalningssystemet och viktiga aktörer i detta går förlorat. Psykologiska effekter av detta slag kan allvarligt försvåra en kris. Av dessa skäl finns det anledning att ha en hög ambitionsnivå då det gäller hanteringen av allvarliga kriser inom detta område. Detta innebär att det bör finnas en planering också för osannolika händelser med långtgående eller katastrofala konsekvenser även beträffande det centrala betalningssystemet. Att utgå från att sådana händelser inte drabbar det centrala betalningssystemet kan medföra att skadeverkningarna blir värre än nödvändigt om det osannolika faktiskt skulle inträffa. Störningar och påfrestningar som kan drabba det centrala betalningssystemet omfattar dels händelser av det slag som beskrivs i de typkriser som anges i rapporten 2010/1619 men också allvarligare händelser, t.ex. olika former av cyberattacker. I samverkansövningen SAMÖ-08 omfattade det övade scenariot en organiserad IT-attack mot det finansiella systemet. Scenariot utgick från ett omvärldsexempel som KBM hade tagit fram på regeringens uppdrag med stöd av Säkerhetspolisen, och . För att få en samlad bild av de hot, risker och sårbarheter som kan ge upphov till kriser inom det centrala betalningssystemet är det nödvändigt att genomföra en risk- och sårbarhetsanalys som är direkt inriktad mot detta system. Denna risk- och sårbarhetsanalys bör genomföras i enlighet med de anvisningar som MSB har utfärdat för risk- och sårbarhetsanalyser. Anvisningarna bygger på 9 § förordningen (2006:942) om krisberedskap och höjd beredskap. Om arbetet utförs på detta sätt kan resultatet lättare jämföras med de risk- och sårbarhetsanalyser som genomförs inom andra delar av krisberedskapen. En fördel med risk- och sårbarhetsanalyser är att de ger en väl underbyggd grund för att identifiera och värdera hot, risker och sårbarhet som finns i verksamheten. Även osannolika händelser med allvarliga konsekvenser bör värderas. Det ger helhetsperspektiv på riskprofilen och på nödvändiga åtgärder. Arbetet med risk- och sårbarhetsanalyser måste förankras på ledningsnivå. Det är en uppgift för verkställande ledning att ta slutlig ställning till risk- och sårbarhetsanalyser. Den beredskapsplanering som avser det centrala betalningssystemet bör syfta till att skapa förmåga att hantera alla de kriser som identifieras i risk- och sårbarhetsanalysen. Man bör således inte göra undantag för någon viss typ av kriser eller begränsa planeringen till att omfatta kriser med kort varaktighet eller kriser som anses vara mindre allvarliga. Det är också väsentligt att de satsningar som genomförs inom det centrala betalningssystemet ligger på en nivå som är jämförbar med satsningar som görs inom andra delar av det finansiella systemet eller inom andra delar av krisberedskapen. Om satsningarna inom det centrala betalningssystemet läggs på en alltför låg nivå riskerar man att detta system blir en flaskhals inom det finansiella systemet. Om nivån läggs alltför högt riskerar man istället att den robusthet som skapas inte kan utnyttjas och blir onödigt kostsam. Exakt vilka avvägningar som blir följden av detta resonemang kan inte anges i denna text utan måste ut efter en dialog mellan de aktörer som är ansvariga för krisberedskapsåtgärder inom det centrala betalningssystemet. 5.6Funktionskrav på det centrala betalningssystemet i en krissituation Målet är att det centrala betalningssystemet även vid en allvarlig kris kan avveckla alla transaktioner i enlighet med ingångna avtal och gällande lagstiftning, i regel senast under pågående bankdag. Reservsystem och alternativa driftsmiljöer ska vara väl förberedda att klara målet. Med funktionskrav avses i det följande krav på det centrala betalningssystemets prestationsförmåga i en krissituation. Funktionskrav kan uttryckas på olika sätt. De kan avse den betalningsvolym som systemet minst ska ha förmåga att avveckla . De kan också uttryckas som den maximala tid som det får ta att avveckla en transaktion. Funktionskraven kan också formuleras i uthållighetstermer, dvs. att det centrala betalningssystemet ska ha förmåga att klara en viss minsta betalningsvolym och en viss maximal avvecklingstid oavsett störningar . Om funktionskraven uttrycks på detta sätt är det möjligt att kvantifiera dem. Detta har också skett beträffande RIX-systemet. Kravet på RIX-systemet är att merparten av alla betalningar i detta system ska kunna avvecklas under en bankdag, också om systemet utsätts för störningar. omfattas som medlem i Europeiska unionen av dess regler. finns en ny struktur för tillsyn över EU:s finansiella marknader, Europeiska systemet för finansiella marknader (EFSF). Där ingår () och tre tillsynsmyndigheter. Dessa är Europeiska bankmyndigheten (), Europeiska försäkrings- och tjänstepensionsmyndigheten (EIOPA) och Europeiska värdepappers- och marknadsmyndigheten (). Dessa europeiska myndigheters uppgifter är att harmonisera regler och att samordna tillsynen inom EU och avge förslag till tekniska standarder. deltar i de tre myndigheternas arbete i olika arbetsgrupper. deltar med rösträtt i ESRB. På global nivå verkar flera organisationer för att skapa en gemensam, internationell regel- och tillsynsstandard på finansmarknaderna. Samarbetet i dessa organisationer bygger på internationella avtal. Bland organisationerna finns inom ramen för (), och (). tar fram standarder, riktlinjer och rekommendationer som är normgivande för de flesta tillsynsmyndigheter. Inom IOSCO samarbetar över hundra tillsynsmyndigheter kring gemensamma regler för värdepappersmarknadens aktörer. IOSCO ger rekommendationer till medlemmarna om hur de bör behandla olika tillsynsfrågor. har en arbetsgrupp () som har tagit fram huvudprinciper för systemviktiga betalsystem.4 CPSS har också tillsammans 4 for , 2001. med IOSCO utarbetat rekommendationer för värdepapperssystem och rekommendationer för centrala aktörer.5 CPSS och IOSCO befinner sig i slutfasen av det gemensamma arbetet med nya rekommendationer om principer för finansmarknadens infrastruktur.6 De nya CPSS/IOSCO-rekommen- dationerna planeras ersätta bl.a. de ovan nämnda befintliga dokumenten. Gemensamt för de internationella organen är att de i sitt arbete med standarder och rekommendationer utgår ifrån kontinuitetsmål, dvs. den systemviktiga verksamheten ska målsättas, planeras och drivas så att den kan bedrivas fullt ut även vid svåra störningar. Det innebär särskilda krav på tillgänglighet, väl övad reservkapacitet och även tillgång till alternativa driftsställen. Funktionella mål formuleras bl.a. som krav på längsta acceptabla avbrottstid, innan reservlösningar ska vara i drift. Normalt för all kontinuitetsplanering är att alla betalningar eller transaktioner minst ska vara avvecklade under en bankdag. Längsta acceptabla avbrottstid medan reservsystem eller alternativa driftsmiljöer uppstartas rör sig om maximalt , även vid allvarliga störningar. Alla betalsystem möter operativa risker, dvs. risker i driftsmiljön. Orsaker kan härröra både från interna och externa källor. Det kan vara brister i informationssystem eller i interna processer, mänskliga fel, ledningsmisstag eller störningar i externa system som kan begränsa, försämra eller skapa avbrott i verksamheten. kan det vara svårt att identifiera eller att förstå risker och att utöva de kontroller och processer som är nödvändiga för att begränsa och hantera dessa. Externa risker kan bl.a. vara naturkatastrofer, terrorism eller pandemier. Det kan leda till följdeffekter, förseningar, förluster, likviditetsproblem och systemrisker men också till begränsningar i information om transaktionsdata. Operativa risker inom det centrala betalningssystemet innefattar t.ex. även risker för fel eller förseningar i datakapacitet, oegentligheter och informationsläckor. Konsekvenserna av allvarliga störningar kan snabbt bli betydande även i andra delar av betalningssystemet. 5Recommendations for securities settlement systems, of the of Securities Commissions, och Recommendations for central counterparties, of the Commissions, . 6Principles for Financial Market Infrastructures, Final Draft of the Consultative Report, . Målen för driftssäkerheten måste därför ställas mycket högt. Avveckling av transaktioner dvs. clearing och avveckling av betalningar och värdepappershandel bör senast vara klar vid bankdagens slut. måste målen ställas högre då avveckling sker kontinuerligt under bankdagen eller som vid realtidsbetalningar, vilka sannolikt blir allt vanligare . Kontinuitetsplaner måste innefatta tider för återställande av system. Det bör utöver normala backup- och reservsystem även innefatta tillgång till en andra driftsmiljö, fysiskt skild från den ordinarie anläggningen. Utredningen föreslår att målet för tiden till återstart vid ett avbrott i det centrala betalningssystemet bör vara högst . Med tanke på det centrala betalningssystemets betydelse för samhällets funktionsförmåga bör man inte utesluta att det t.ex. kan komma att ställas krav på även en tredje alternativ driftsmiljö. Kontinuitetsplaner bör även innehålla väl förberedda åtgärdsplaner för krishantering, innefattande även förberedelse för informationsgivning till övriga aktörer inom det centrala betalningssystemet, till media och till allmänheten. En aktör inom centrala betalningssystemet som genom avtal driver verksamhet genom en annan aktör i det centrala betalningssystemet eller genom att en tredje part, exempelvis dataföretag, driver verksamheten genom outsourcing, måste självfallet säkerställa att verksamheten svarar upp mot samma mål och krav som när aktören själv bedriver verksamheten. Fördelen med att kvantifiera funktionskraven är att de då kan fungera effektivt som styrinstrument och att det är lätt att i efterhand följa upp om de krav som ställs på systemet har tillgodosetts. Nackdelen är att det kan vara svårt att lägga kvantifieringarna på rätt nivå och att alltför ambitiösa krav kan medföra höga kostnader för olika typer av säkerhetsåtgärder. Det går dock inte helt att bortse från att det kan uppstå situationer då högt ställda mål inte kan tillgodoses. Inom krisberedskapen finns från andra samhällssektorer många exempel på händelser, som inte har förutsetts och som har fått katastrofala följder. Att utgå från att det centrala betalningssystemet inte under några omständligheter kan drabbas av sådana händelser är knappast tillrådligt. Av dessa skäl är det nödvändigt att i ett allvarligt krisläge ha tillgång till en alternativ planering som innebär att man har förberett åtgärder som utgår från att endast en del av de begärda transaktionerna i det centrala betalningssystemet kan hanteras eller att det kan ta betydligt än en bankdag att avveckla transaktionerna. Konkret innebär detta att man i sådana lägen måste ge vissa typer av transaktioner företräde som krisen varar. Detta bör inte ske slumpmässigt och improviserat utan bör utgå från en uppsättning på förhand fastlagda prioriteringsprinciper. Prioriteringar kan göras på flera sätt. En möjlighet är att prioritera vissa aktörer i det centrala betalningssystemet eller vissa tjänster i detta system. Resultatet kan då bli att vissa funktioner i systemet kan falla bort. I sammanhanget kan nämnas att börshandeln ibland stängs ned för kortare perioder i syfte att undvika panikreaktioner och alltför stora kursfall. Vid långvariga kriser som drabbar det centrala betalningssystemet måste andra prioriteringsprinciper tillämpas. En möjlighet är att då prioritera samhällsviktiga transaktioner, även om det inte alltid går att förutse vad som bör prioriteras vid varje givet tillfälle. Med samhällsviktiga transaktioner kan t.ex. avses sådant som är nödvändigt för att tillgodose individens grundläggande behov. Detta gäller utbetalningar av löner, pensioner och sjukersättningar samt betalningstransaktioner som är nödvändiga för att hyresbetalningar, arbetsresor och dagligvaruinköp ska fungera. Inom FSPOS har ett arbete påbörjats med att formulera grundläggande säkerhetsnivåer för olika typer av finansiella tjänster. Detta arbete kommer dock inte att vara klart då denna utredning ska redovisa sitt resultat. Inom ramen för detta arbete kommer man att behöva ta fram kriterier för hur prioriteringar i det enskilda fallet ska göras. 5.7Kritiska beroenden mellan det centrala betalningssystemet och andra samhällsverksamheter De kritiska beroenden som finns mellan det centrala betalningssystemet och andra samhällsverksamheter ska identifieras. Dessutom ska omfattningen och karaktären av dessa beroenden analyseras ingående och effekterna av en viss störning i en beroenderelation så långt som möjligt kvantifieras. Beträffande grundläggande tekniska system som el, tele och data ska funktionen säkras genom dubblering av anslutningar och genom olika typer av reservförfaranden. Dessutom ska en eller flera reserv- uppehållsplatser finnas för viktiga funktioner inom det centrala betalningssystemet. Begreppet kritiska beroenden definierades i avsnitt 5.2. Beroenden kan vara både ingående och utåtgående och verka i flera led. I det följande behandlas endast de beroenden som är en direkt förutsättning för att det centrala betalningssystemet ska fungera (ingående beroenden). Det rör sig om infrastruktursystem som el, tele och data (slutna nätverk och Internet). Hit kan också räknas de reservsystem och övriga säkerhetsanordningar som aktörerna i det centrala betalningssystemet har byggt upp för egen del (reservkraft, dubblerade och geografiskt åtskilda verksamhetsställen, kvalificerat skalskydd m.m.). Som framgått ovan är nästan all samhällsverksamhet direkt eller indirekt beroende av att det centrala betalningssystemet fungerar (utåtgående beroenden). Det ingår inte i denna utrednings uppdrag att analysera dessa beroenden. I detta sammanhang kan det dock finnas anledning att konstatera att de starka beroenden som finns mellan det centrala betalningssystemet och övriga delar av det finansiella systemet medför att man måste göra en helhetsbedömning då man tar ställning till vilka krav som bör ställas på det centrala betalningssystemet. Risken är annars stor att de lösningar som föreslås medför suboptimeringar. I rapporten 2010/1619 redovisas en genomgång av beredskapsläget i det centrala betalningssystemet. De s.k. infrastruktur- och kärnkriserna drabbar i stor utsträckning de kritiska beroenden som finns inom det centrala betalningssystemet. De slutsatser som dras i rapporten är att beredskapsläget vad gäller denna typ av kriser är tillfredsställande hos aktörerna inom detta system. Samtliga aktörer uppges ha reservkraft med en uthållighet om 3–utan extra tillförsel av drivmedel, dubblerade kommunikationslinjer till externa samarbetspartners, redundans vad gäller IT- system samt driftsmiljöer som ligger fysiskt åtskilda från det primära verksamhetsstället. Funktionskrav av den typ som behandlades i avsnitt 5.6 bör kompletteras med krav på de tekniska system som det centrala betalningssystemet är beroende av för att kunna fungera. Det är därför viktigt att identifiera de kritiska beroenden som måste vara tillgodosedda för att det centrala betalningssystemet ska fungera. De viktigaste av dessa beroenden hänför sig till infrastruktur- tjänster som el, tele- och datakommunikation samt reservsystem av den typ som nämndes ovan. Det är nödvändigt att man preciserar kraven på dessa system. I det följande ges några exempel på hur detta kan ske. Ett nästan självklart krav är att alla aktörer i det centrala betalningssystemet ska ha tillgång till reservkraft och dubbla ingångar för strömmatning. Det är dock väsentligt att kapaciteten hos reservkraftsystemen är tillräcklig för att hålla igång alla de funktioner hos den berörda aktören som är nödvändiga för att det centrala betalningssystemet ska fungera på den nivå som är fastställd. Det är också nödvändigt att reservkraften har tillräcklig uthållighet. En uthållighet om 3–är inte tillräcklig, såvida inte aktörerna har avtal om säker tillförsel av drivmedel. Uthålligheten bör anges i veckor snarare än med innebörden att även drivmedelsavtal med prioritet är nödvändiga för att uppnå en tillräcklig uthållighet. Dessutom är det nödvändigt att reservkraften prövas ofta och att personalen har tillräcklig utbildning för att få systemet att fungera. Det finns många exempel på reservkraftsystem från olika samhällsområden som inte har gått igång som planerat vid ett strömavbrott. Störningståliga tele- och datakommunikationer med andra viktiga aktörer i det centrala betalningssystemet har också en avgörande betydelse för att betalningssystemet ska fungera i en krissituation. De möjligheter som står till buds för en enskild aktör i systemet är att ha tillgång till alternativa kommunikationsvägar. Detta krav verkar vara tillgodosett i stor utsträckning hos aktörerna i det centrala betalningssystemet. Det finns dock anledning att följa de råd som lämnas i den vägledning för användare vid anskaffning av robust elektronisk kommunikation som har utarbetats av Post- och telestyrelsen.7 Ytterligare ett krav i detta sammanhang är att varje aktör bör ha en tydlig policy för vilken typ av information som kan förmedlas via Internet och vilken information som måste förmedlas via slutna nätverk. I detta ligger också att känsliga system måste vara så skyddade att de inte kan nås via Internet ens vid kvalificerade intrångsförsök. Vad gäller de interna IT-systemen finns det anledning att ha en hög ambitionsnivå beträffande informationssäkerheten. Den betydelse som det centrala betalningssystemet har för samhället ökar i sig risken för att de deltagande aktörernas IT-system ska utsättas för cyberattacker och andra typer av intrångsförsök. 7 Robust elektronisk kommunikation – vägledning för användare vid anskaffning. av nuläget som ges i rapporten 2010/1619 gör det inte möjligt att bedöma på vilken nivå som informationssäkerhetsarbetet befinner sig hos de aktörer som bär upp det centrala betalningssystemet. MSB har i sitt remissvar på rapporten 2010/1619 framhållit att det informationssäkerhetsarbete som bedrivs vad gäller det centrala betalningssystemet bör kopplas till det generella arbete som bedrivs på nationell nivå beträffande informationssäkerhetsfrågor och till den nationella hanterandeplan för allvarliga IT- incidenter som MSB har tagit fram. MSB riktar också kritik mot rapporten för att den inte har analyserat konsekvenserna av tillräckligt allvarliga kriser inom informationssäkerhetsområdet. Myndigheten föreslår också att informationssäkerhetsarbetet inom det centrala betalningssystemet ska bedrivas enligt de nationella och internationella standarderna ISO/IEC 27001 och 27002. Dessa krav bör beaktas i det informationssäkerhetsarbete som bedrivs vad gäller det centrala betalningssystemet. Dessutom bör de krav som ställs i de s.k. CPSS/IOSCO-rekommendationerna om att reservsystem ska kunna startas iakttas. Utredningen finner detta mål rimligt och konstaterar att det tillämpas av flera aktörer som kan förväntas komma att ingå i det centrala betalningssystemet. Utredningen återkommer till informationssäkerhetsfrågorna i kapitel 9. I utredningens direktiv framhålls att utredningen ska beakta de krav som ställs i säkerhetsskyddslagstiftningen. En striktare tillämpning av dessa krav kan t.ex. medföra att personalkontroll genom Säkerhetspolisens försorg genomförs för alla nyckelbefattningar inom det centrala betalningssystemet (också hos privata aktörer). Ytterligare ett exempel på säkerhetsåtgärder som bör övervägas är nivån på skalskyddet för lokaler som används för verksamhet som är väsentlig för det centrala betalningssystemet.