sou · GZB378 · 2011-12-01 00:00:00 — Det innebär bl.a. ledningssystem hos varje aktör, i enlighet med ansvarsprincipen, med klart definierade ansvar och roller för informationssäkerhet, systematiskt arbete med riskanalyser och informationsklassning. Utredningen föreslår att i egenskap av nationell samordnare bör ges rätten att meddela föreskrifter på området. Det centrala betalningssystemet kan inte uteslutas som mål för t.ex. antagonistiska IT-angrepp. För att så långt möjligt skydda det centrala betalningssystemet från störningar bör kraven på administrativ och teknisk informationshantering därför ställas högt och IT-incidenter hanteras på ett systematiskt sätt. Syftet med IT-incidenthantering är att i realtid eller nära realtid medverka till att attacker mot datasystem avstyrs och upphör. Incidentstödet ska ha överblick och kunskaper om IT-hot och informationssäkerhet i ett helhetsperspektiv samt förmåga att kunna skilja okvalificerade och osystematiska intrångsförsök från kvalificerade och systematiska angrepp. Kvalificerad rådgivning ska kunna lämnas. Utredningen föreslår en förstärkning av den befintliga funktionen CERT-SE vid MSB med kompetens för incidenthantering rörande det centrala betalningssystemet. I ett senare skede, om behov finns, bör det vara möjligt att inrätta en separat incidenthanteringsfunktion för det centrala betalningssystemet eller en större del av den finansiella sektorn. Eftersom MSB är en samordnande myndighet utan sektorsansvar för krisberedskap inom den finansiella sektorn, är det logiskt om en sådan funktion för den finansiella sektorn i så fall senare upprättas utanför MSB, exempelvis inom . 2Utredningens uppdrag och uppläggning Enligt utredningens direktiv (dir. 2011:58), bilaga 1, ska utredningen med utgångspunkt i rapporten 2010/1619 vidareutveckla och ytterligare konkretisera de förslag som lämnas i rapporten avseende grundläggande säkerhetsnivåer och nationellt samordningsansvar för såväl förebyggande krisberedskapsåtgärder som åtgärder vid en akut kris inom det centrala betalningssystemet. I uppdraget ingår att ta fram nödvändiga författningsförslag. Inriktningen på arbetet ska vara att ta fram förslag till grundläggande säkerhetsnivåer för det centrala betalningssystemet av mer kvantitativ karaktär. Vidare ska inriktningen vara att det föreslås en ansvarig myndighet som, utan att överta annans ansvar, ska ha ett nationellt samordningsansvar för krisberedskapen i det centrala betalningssystemet. Utredningen har bestått av den särskilde utredaren, en huvudsekreterare samt en konsult. En referensgrupp bestående av representanter från , , , Myndigheten för samhällsskydd och beredskap (MSB) samt har biträtt utredningens arbete. Möten med referensgruppen har hållits . En utgångspunkt för utredningens arbete har varit dels i betalningssystemet (RiR 2007:28) samt dels 2010/1619. Den senare har remissbehandlats och remissvaren har utgjort ett värdefullt material för utredningen. Utredningens uppdrag och uppläggning Utredningen har analyserat tidigare och pågående arbeten med att formulera mål och utveckla krisberedskap också inom andra samhällsområden bl.a. inom ramen för MSB:s och tidigare verksamhet. En särskild bilaga 2 redovisar i sammanfattning detta arbete. Utredningsarbetet har omfattat besök hos och de största privata aktörerna inom det svenska betalningssystemet. Utredningen har även besökt , , MSB samt . Vidare har utredningen haft samråd med (Fi 2011:02). Internationella dokument inom området har kartlagts och analyserats. De utvärderingar av aktörerna inom det centrala betalningssystemet som har gjorts av samt och gemensamt har analyserats. Utredningen har definierat begrepp som används i samband med krishantering. Utredningsförslaget innehåller dels en kortfattad beskrivning av det centrala betalningssystemet, dels en relativt omfattande del som beskriver hur grundläggande säkerhetsnivåer eller mål kan utformas och anges. Ett kortare avsnitt beskriver värdet av det privat-offentliga samarbete som finns inom det centrala betalningssystemet. Därefter behandlas behovet av samordning av krisberedskapsåtgärder för att förebygga och förbereda krisberedskapen inom området. utpekas av utredningen som den myndighet som tilldelas ett sammanhållande ansvar för samordning av krisberedskapen i det centrala betalningssystemet. Ansvarsfördelningen mellan och klargörs. Därefter redovisas behovet av lagreglering inom området. Förslag till en ny lag om krisberedskap i det centrala betalningssystemet med författningskommentarer redovisas, jämte förslag om smärre ändringar i lagen (1988:1385) om riksbank och i offentlighets- och sekretesslagen (2009:400). Ett särskilt avsnitt om informationssäkerhet kompletterar utredningens betänkande, där behovet av tillämpning av standarder för informationssäkerhet och tillgång till incidenthantering utvecklas. En konsekvensanalys har genomförts enligt direktiven och redovisas i betänkandet. I rapporten i betalningssystemet konstaterade att det fanns ett antal avgörande brister i statens åtgärder för att förebygga och hantera allvarliga störningar i det centrala betalningssystemet.1 bedömde att såväl förmågan att förebygga som att hantera sådana störningar var bristfällig. fann brister i både regeringens givna förutsättningar och i myndigheternas genomförande av krishanteringen. Brister i regeringens givna förutsättningar noterade att regeringen inte hade fastställt krav på grundläggande säkerhet och uthållighet i betalningssystemet. Till följd av detta var målen otydliga, vilket försvårade möjligheterna för myndigheterna att kunna förbereda och inrikta beredskapsåtgärder på ett effektivt sätt. konstaterade att ett stort antal myndigheter hade ansvar för den finansiella sektorns krisberedskap och att den privatoffentliga samverkan hade breddats och intensifierats. Ingen myndighet ansåg sig emellertid ha ett övergripande och samlat ansvar för ledning, planering, samverkan och uppföljning av krisberedskapen inom betalningssystemet. Dessutom påpekade bl.a. att sekretessproblem försvårade samverkan mellan myndigheter och näringsliv. Oklarheten i ansvarsförhållanden och uppgifter bidrog till att det saknades en samlad bild av hot, risker, sårbarheter och konsekvenser samt att myndigheterna inte hade samordnat sina förberedande åtgärder tillräckligt. 1 RiR 2007:28. Uppföljningen inom området var omfattande men alltför uppsplittrad. En genomarbetad strategi för hur uppföljningen skulle ske saknades, och vad och hur myndigheterna följde upp varierade därför. Vidare var resultatet av tillsynen inte integrerad i myndigheternas övergripande rapportering om risker och sårbarheter. I fanns ingen tydlig samordning av informationshanteringen, vilket försvårade för regering och riksdag att få en heltäckande bild av beredskapen i det centrala betalningssystemet. Myndigheternas genomförande av krishanteringen En samlad bild av hot, risker och sårbarheter inom det centrala betalningssystemet i enlighet med krisberedskapsförordningens2 krav saknades enligt . Viss analys av karaktären samlad riskbedömning hade ställts samman av . Denna analys saknade dock fördjupade analysresultat från el-, tele-, och IT-området och resultat från de fördjupade analyser som hade gjort. Flera typer av hot hade inte analyserats och analyser av åtgärder var ofullständiga. Bristerna i analyserna kunde förklaras av bl.a. myndigheternas uppfattning att sekretesslagstiftningen var otillräcklig för att förhindra att grundläggande information om sårbarheter inom myndighetens egna ansvarsområde lämnades ut samt att betalningssystemet upplevdes som ett svårt område att analysera. De bristande risk- och sårbarhetsanalyserna ledde enligt till att det inte var säkerställt att de förebyggande åtgärder som vidtagits av ansvariga myndigheter och institut var tillräckliga för att kunna förhindra omfattande skadeverkningar för medborgare, företag och samhälle. bedömde att det inte var säkerställt att berörda aktörers krisledningar fungerade väl tillsammans om en kris skulle inträffa, eftersom övningar inte hade genomförts i tillräcklig omfattning. Tillsynen och övervakningen av tekniska risker inom betalningssystemet var enligt svag. Varken , eller verifierade bankernas och teleoperatörernas riskbedömningar under de år som närmast föregick rapporten. Föreskrifter om skyddsåtgärder mot tekniska hot och risker saknades, på grund av att myndigheterna inte ansåg sig ha tillräckligt lagstöd för att avkräva instituten en viss föreskriven säkerhet. 2 Förordningen (2006:942) om krisberedskap och höjd beredskap. anförde i rapporten att regeringen borde fastställa vilka grundläggande säkerhetskrav som ska gälla för betalningssystemet och dess nödvändiga infrastruktur. Regeringen borde också fastställa hur uthålligt betalningssystemet måste vara. Regeringen borde enligt även fastställa vilken myndighet som har det övergripande krisberedskapsansvaret för betalningssystemet och incidentbevakningen samt föreslå i vilka avseenden ska ha ansvar för krisberedskapen. Regeringen borde även precisera samverkansområdenas arbete och sammansättning. anförde vidare att regeringen borde se över hur uppföljningen av krisberedskapen inom betalningssystemet följs upp. rekommenderade att regeringen säkerställde att analyser av risker och sårbarheter i det centrala betalningssystemet gjordes och att analyserna uppfyllde krisberedskapsförordningens krav. Regeringen borde också se över hanteringen av sekretessbelagda uppgifter och överväga att ge en myndighet föreskriftsrätt över hur risk- och sårbarhetsanalyserna ska utformas och följas upp. Vidare borde regeringen se över hur myndigheter och institut förbereder sig för en akut allvarlig störning i betalningssystemet. En långsiktig strategi för gemensamma övningar borde utarbetas och funktionen Tjänsteman i beredskap etableras inom den finansiella sektorn.3 Ledningsansvaret för krisförberedelserna och behovet av en förberedd gemensam ledningsorganisation och en central ledningsplats inom sektorn borde ses över. Myndigheternas krisplaner borde kompletteras med åtgärder som behövs för att samverkan ska kunna ske med andra aktörer som kan bidra till att höja beredskapen i betalningssystemet. anförde även att , och via inspektioner på plats borde faktiskt kontrollera att instituten hade infört de skyddsåtgärder man uppgav sig ha infört och att kontrollsystemet fungerade som det var tänkt. ansåg också att borde använda sin föreskriftsrätt och sina sanktionsmöjligheter. 3 En Tjänsteman i beredskap har enligt 12 § krisberedskapsförordningen i uppgift att initiera och samordna det inledande arbetet för att upptäcka, verifiera, larma och informera vid allvarliga kriser. 3.2Myndigheternas redovisningar med anledning av rapport och fick av regeringen i uppdrag att redovisa vilka initiativ som hade tagits eller var planerade med anledning av rapport.4 Även sammanställde en liknande redovisning.5 konstaterade att myndigheten inte hade ett tillsynsansvar över betalningssystemet utan endast över vissa av de företag som ingår i det. Det fanns inte heller något krav från lagstiftaren på att dessa företag skulle hålla en viss lägsta driftsäkerhet för betaltjänster. Mot denna bakgrund arbetade därför huvudsakligen tillsammans med företagen och andra myndigheter i frivillig samverkan för att identifiera riskerna, öka motståndskraften och stärka krishanteringsförmågan. konstaterade att regering och riksdag, i syfte att ytterligare höja ambitionsnivån i arbetet med att säkerställa en hög säkerhet i betalningssystemet, hade möjlighet att fastställa i lag en miniminivå för betalningssystemets drift samt utse en myndighet som ansvarig för analysen och eventuellt tillsynen eller övervakningen av riskerna i hela betalningssystemet. redovisade i sin rapport en kartläggning över risker och sårbarheter i den statliga betalningsmodellen. Det svenska betalningssystemet bedömdes av som säkert och stabilt, men risker och sårbarheter konstaterades inom fyra områden: de statliga betalningarnas mängd och storlek, den statliga betalningsmodellens komplexitet, myndigheternas interna kontroll och finansiella risker i de statliga betalningarna. föreslog i rapporten ett antal åtgärder, varav de mest centrala var att myndigheterna borde fortsätta att se över, 4Finansinspektionen: Ansvaret för betalningssystemet, 2008:10, : Risker och sårbarheter i den statliga betalningsmodellen, 2008/198. 5PM Krisberedskap i betalningssystemet, 2007-829-STA. identifiera och dokumentera sina reservrutiner för interna system för att försäkra sig om att reservrutiner fanns att tillgå i ett nödläge, att borde tydliggöra vilka regler som gäller för myndigheterna för att utse behöriga personer att förfoga över myndighetens medel på bankkonton samt att regeringen borde skapa tydligare ansvarsgränser mellan och så att kunde fortsätta att effektivisera den statliga likviditetsstyrningen. avsåg att komplettera föreskrifterna till betalningsförordningen6 med krav på att myndigheter som hanterar omfattande eller kritiska samhällsbetalningar ska identifiera, avropa och dokumentera vilka tillgängliga reservrutiner som används för varje typ av affärssystem eller internt system som producerar betalningsuppdrag, för varje typ av kommunikation med banken och för varje betalningstjänst som myndigheten använder i banken. ansåg att pekade på ett antal faktiska brister i krisberedskap och krisförberedelser avseende betalningssystemet och de företag som ingår. ansåg även att flera av förslag var lämpliga att genomföra men att lösningar i första hand borde sökas i samförstånd med marknadsparterna snarare än genom lagstiftning. Inriktningen och avgränsningen av arbete utgick ifrån den tolkning gjorde av dess mandat att främja ett säkert och effektivt betalningsväsende. arbete var till övervägande del inriktat på att säkra bankernas och infrastrukturens finansiella stabilitet. Vad gäller konventionella7 kriser inriktades förberedelser i första hand på att säkerställa att egna funktioner kunde upprätthållas. uppgav att myndigheten även utförde löpande översyn av den för betalningssystemets funktion kritiska infrastrukturen. I det arbetet genomfördes utvärderingar gentemot internationellt utarbetade standarder. ansåg det vara rimligt att grundläggande säkerhetskrav fastställdes och att lagstiftning kunde behöva tillämpas när det gällde den grundläggande infrastruktur som hela samhället är beroende 6Förordningen (2006:1097) om statliga myndigheters betalningar och medelsförvaltning. 7Riksbanken betecknade operativa kriser som konventionella kriser. ansåg det vara lämpligt att en myndighet utsågs till att ha det övergripande krisberedskapsansvaret för betalningssystemet, men hade ingen synpunkt på vilken myndighet som skulle ges uppdraget. ansåg vidare det rimligt att utse en central samordnare som samlade in och analyserade information om myndigheternas krisberedskap. såg dock problem med en ansvarig myndighet i detta avseende i förhållande till det väl fungerande samarbetet inom SOES och FSPOS.8 konstaterade att omfattande störningar i el- eller teleförsörjningen som är längre än var ett samhällsproblem av större betydelse än enbart för betalningssystemet. En ekonomisk analys borde därför utföras avseende vad som borde göras inom de enskilda företagen respektive vad som borde göras av samhället generellt för att minska sårbarheten i el- och telesystemen. 3.3Krisberedskapsmyndighetens beroende– och konsekvensanalys Dåvarande fick av regeringen i uppdrag att genomföra en analys av beroenden mellan samhällsviktiga verksamheter. Inom ramen för uppdraget författades en rapport innehållande en kartläggning och analys av kritiska beroenden för sektorn finansiella tjänster.9 Rapporten var avgränsad till konsekvenser av konventionella kriser, men poängterade även det starka sambandet mellan finansiella och konventionella kriser. I rapporten konstaterades även att internationella beroenden ökar. Elberoendet var visserligen mycket stort inom den finansiella sektorn, men reservlösningar i de centrala delarna av det finansiella systemet fanns. De systemcentrala aktörerna var väl medvetna om elberoendet och hade i de flesta fall vidtagit åtgärder i form av dubbel matning och installerad reservkraft. Tillgången till reservkraft i det finansiella systemet avtog utanför systemets centrum, vilket kunde leda till att ett i och för sig fungerande betalningssystem inte kunde användas till följd av elbortfall i utkanten av systemet. 8Samverkansområdet för ekonomisk säkerhet (SOES) samt Finansiella sektorns privatoffentliga samverkansprojekt, sedermera samverkansgrupp (FSPOS). 9Beroende- och konsekvensanalys, finansiella tjänster. Offentligt arbetsmaterial från projekt , dnr 0021/2007. Även avseende elektronisk kommunikation hade de systemcentrala aktörerna vidtagit åtgärder för att skapa redundans, t.ex. i form av dubbla leverantörer och reservrutiner. Redundansen inom den elektroniska kommunikationen var dock svårare att fastställa än på elsidan eftersom alternativa elektroniska kommunikationsvägar ofta låg utom aktörernas egna kontroll, medan el kunde produceras i egna lokala reservaggregat. Den finansiella sektorn som helhet bedömdes vara mindre beroende av personal, med kontanthantering och kundtjänst som undantag. Detta eftersom de vitala processerna inom det finansiella systemet inte är personalintensiva. I rapporten slogs fast att förtroende och tillit inom den finansiella sektorn var av fundamental betydelse. konstaterade i rapporten att det enligt en allmänt spridd uppfattning var den finansiella marknaden som hade det primära ansvaret för att hantera stora operativa avbrott. I rapporten poängterades behovet av att närmare tydliggöra gränsen mellan de finansiella tjänsteleverantörernas ansvar å ena sidan och el- och telefonileverantörernas ansvar å andra sidan. genomfördes i dåvarande regi en samverkansövning med ett tjugotal myndigheter och organisationer som övade aktörer. Övningsscenariot omfattade en organiserad IT-attack mot de finansiella systemen i samhället, med risk för förtroendekris som följd. Det övergripande målet för övningen var att övade aktörer skulle utveckla sin förmåga att i samverkan upprätthålla förtroendet för samhällets institutioner vid en samhällskris. utvärdering av övningen visade att aktörerna inte i någon större omfattning samverkade utanför befintliga nätverk och att övningsdeltagarna inte upplevde att det skapades någon gemensam lägesuppfattning.10 Av ansvarsprincipen följer myndigheternas ansvar när det gäller det egna ansvarsområdet, men även varje aktörs ansvar att samverka med andra. Samverkan förutsätter att aktörerna ser en nytta i och har ett behov av att samverka. För att öka viljan och förmågan till samverkan borde berörda aktörer ha bättre kunskap om krisberedskapssystemets ramverk, en ökad förståelse för betydelsen av samverkan i en 10 Utvärdering av Samverkansövning 2008, KBM dnr 1470/2007. krissituation, en ökad kunskap om andra aktörers ansvar och mandat i en kris samt en ökad kunskap om andra aktörers behov av information. Vidare konstaterade i utvärderingen bl.a. att rutiner och former för att skapa samlade lägesuppfattningar borde klargöras. Samlade lägesuppfattningar ges av regeringen stor vikt i prop. 2007/08:92 Stärkt krisberedskap – för säkerhets skull. För att detta skulle kunna förverkligas behövdes tydliga former och rutiner för hur lägesuppfattningar skulle skapas och användas. Därutöver kunde bl.a. konstateras att det vid övningens telefonkonferenser fanns inslag av bristande mötesdisciplin och säkerhet. Även behovet av en aktör på nationell nivå med ett utpekat ansvar för information till allmänheten tydliggjordes. Med anledning av och de redovisningar som , och lämnade i frågan genomfördes det s.k. inom under 2010.11 I den rapport som togs fram i projektet lämnades förslag på hur statens förmåga att hantera allvarliga kriser i betalningssystemet kunde stärkas.12 I syfte att förbättra regeringens möjligheter till styrning och uppföljning föreslogs i rapporten att grundläggande säkerhetskrav (mål) för krisberedskapen inom de centrala betalningssystemet skulle formuleras. Målen föreslogs i allt väsentligt vara av kvalitativ karaktär. Därutöver föreslogs att ett nationellt samordningsansvar skulle införas. I det nationella samordningsansvaret föreslogs ingå att leda privat-offentlig samverkan, leda och genomföra övningsverksamheten, ansvara för teknisk granskning av gränssnitt, ansvara för att IT- incidentrapporteringen samordnas, ansvara för att det regelbundet upprättas en aggregerad risk- och sårbarhetsanalys, ansvara för att det upprättas årlig lägesrapportering till regering och riksdag, utöka övervakning och tillsyn av en ny krisberedskapsreglering på det aktuella området samt planera för informations- och kommunikationssamordning vid kriser. Det nationella samordningsansvaret föreslogs ges till . 11Stärkt krisberedskap i betalningssystemet. 12Fi 2010/1619. De grundläggande säkerhetskraven (målen) och det nationella samordningsansvaret föreslogs regleras genom en ny lag. Rapporten har remitterats. Av remissvaren framgår att en majoritet tillstyrkte förslaget om reglering av grundläggande säkerhetskrav samt förslaget om en nationell samordnare. avstyrkte förslaget med hänvisning till att tillsynsansvaret kunde anses väl reglerat. Även ifrågasatte förslaget på liknande grunder. avstyrkte förslaget med hänsyn till att konsekvensutredningen var bristfällig. ansåg att arbetet med den nya regleringen var angelägen och framhöll att osäkerheten bland inblandade aktörer om vad som gäller framöver kunde leda till ineffektivitet. Såväl som efterlyste ett klart uttalande om att ansvarsprincipen fortsatt skulle gälla. ville se kvantitativa mål även för samhällsviktiga betalningar och inte bara för centrala betalningar i RIX- systemet. Statskontoret uppgav att kraven ska vara uppföljningsbara och att uttryck såsom inom rimlig tid, tillräckliga åtgärder och rimlig utsträckning därför borde omformuleras. Myndigheten för samhällsskydd och beredskap anförde att terminologin och metoder i det kommande arbetet borde hämtas från informationssäkerhetsområdet. Även stöd från internationella standarder borde inhämtas. ansåg det angeläget att redundans i systemen skapades genom krav och upphandling och inte genom upprättandet av parallella infrastrukturer i offentlig regi. efterlyste tydligare definitioner av begreppen det centrala betalningssystemet samt samhällsviktiga betalningar. 4Kort beskrivning av centrala betalningssystemet I detta kapitel beskrivs de viktigaste aktörerna i det centrala betalningssystemet, i syfte att ge en översiktlig bild över hur betalningssystemet är uppbyggt. Därtill återges utfallet av de utvärderingar av verksamheten hos några av dessa aktörer som tillsammans med genomförde under 2010.1 Utvärderingarna genomförs gemensamt av myndigheterna inom ramen för den överenskommelse om samarbete rörande finansiell stabilitet som har träffats dem emellan.2 Dessa utvärderingar innehåller bl.a. en genomgång av de operativa riskerna i verksamheterna. En allmänt vedertagen definition av begreppet det centrala betalningssystemet saknas. I definieras det centrala betalningssystemet som de tekniska och administrativa system som gör det möjligt att betala för varor och tjänster i samhället.3 I avses med det centrala betalningssystemet den del av betalningssystemet som måste fungera för att de grundläggande finansiella tjänsterna i samhället ska kunna fungera. Med de grundläggande finansiella tjänsterna avses i rapporten – i enlighet med indelning – betalningsförmedling, riskhantering och sparande/investeringar.4 Som framgår av denna utrednings författningsförslag definieras här det centrala betalningssystemet som de funktioner i det nationella betalningssystemet som har en sådan betydelse att ett bortfall, 1Utvärderingen av RIX-systemet har utförts av .