sou · GZB378 · 2011-12-01 00:00:00 — Härigenom uppnås en önskad tydlighet i ansvarsfördelningen samt ges möjlighet till styrning och uppföljning av aktörernas verksamhet. reglering innebär dock en risk för ett mindre flexibelt samarbete på området och riskerar dessutom medföra ökade administrativa kostnader för den myndighet som ges det nationella samordningsansvaret samt för övriga berörda aktörer. För det fall inga åtgärder vidtas på området skulle dagens otydliga ansvarsfördelning bestå och statens förmåga att hantera en allvarlig kris i det centrala betalningssystemet riskera att vara otillfredsställande. I händelse av en sådan allvarlig kris skulle en otillfredsställande krisberedskap kunna medföra stora samhällsekonomiska kostnader. De aktörer som omfattas av den föreslagna regleringen är ett mycket begränsat antal, såväl myndigheter som företag. Regleringen kommer endast att bli tillämplig på aktörerna i det centrala betalningssystemet i landet, dvs. ett fåtal större aktörer. Ansvaret att definiera vilka aktörer som ska ingå i det centrala betalningssystemet föreslås vila på myndigheten med det nationella samordningsansvaret på området. Det går därför inte att med exakthet ange hur många aktörer som lagen kan komma att bli tillämplig på, men det förefaller mycket osannolikt att antalet privata aktörer som skulle omfattas av lagen överstiger ett tiotal. Privata aktörer som bör komma att ingå i det centrala betalningssystemet är t.ex. de fyra största bankerna i samt huvudmännen för clearing- och avvecklingssystemen för betalningar, värdepapperstransaktioner och derivat. Jämförelse av konsekvenserna för de övervägda alternativen Som framgår ovan skulle en tänkbar lösning vara att genom civilrättliga avtal med samtliga aktörer i det centrala betalningssystemet fördela krisberedskapsansvaret för systemet samt att i avtal reglera vilken förmåga att motstå störningar som är rimlig. Med hänsyn till bl.a. de stora ekonomiska konsekvenserna för samhället som en allvarlig kris i det centrala betalningssystemet skulle kunna leda till framstår det dock som motiverat att krisberedskapsansvaret på området är tydligt författningsreglerat. Det författningsförslag som tagits fram i utredningen anger på vilket sätt krisberedskapsansvaret på området ska samordnas. I utredningen föreslås att ska ha det nationella samordningsansvaret. bemyndigas att meddela föreskrifter som kommer att bli tillämpliga på aktörerna i det centrala betalningssystemet. Genom den föreslagna lösningen skapas möjligheter för ett mer flexibelt regelverk än om t.ex. säkerhetskraven skulle anges i lag. Som framgår av kapitel 6 är en fungerande privat-offentlig samverkan på området nödvändig för att det centrala betalningssystemet ska fungera. Den nuvarande ordningen för sådan samverkan föreslås inte ändras. Det befintliga samarbetet bedöms utgöra en god grund för att de föreskrifter som meddelar kommer att vara väl förankrade bland aktörerna i det centrala betalningssystemet. Förhållandet till medlemskap i unionen Fördelningen av ansvaret för krisberedskapen i det centrala betalningssystemet i medlemsstaterna är inte reglerat inom . Regleringen står därför inte i konflikt med medlemskap i unionen. Utredningens förslag bedöms vara väl förenligt med det arbete som pågår i andra internationella forum, såsom och , vars arbete på området beskrivs i avsnitt 5.6. Tidpunkt för ikraftträdande och speciella informationsinsatser Utredningen har angivit den föreslagna tidpunkten för ikraftträdande med hänsyn till behovet av tid för förberedelser för den nya lagen. De aktörer som lagen kommer att omfatta har en god kännedom om utredningens arbete. Eventuella bedömningar kring ikraftträdande kan istället komma behöva göras av vid meddelande av föreskrifter på området. Några särskilda informationsinsatser bedöms inte vara motiverade med hänsyn till den mycket begränsade grupp av aktörer som kommer att omfattas av lagens bestämmelser. Antalet företag som berörs Som beskrivits ovan kommer ett mycket begränsat antal företag att beröras av den föreslagna regleringen. Antalet överstiger sannolikt inte ett tiotal, och någon dramatisk förändring kan inte förutses . I kapitel 4 redogörs för några av de viktigaste aktörerna i det centrala betalningssystemet. Det blir dock en uppgift för att definiera vilka aktörer som ska anses ingå i det centrala betalningssystemet. De företag som kommer att omfattas av regleringen är samtliga verksamma i den finansiella sektorn. De står samtliga under tillsyn av och ingår i det finansiella system som övervakas av . Tidsåtgång och administrativa kostnader En uppskattning av tidsåtgången är självklart mycket vansklig att göra, men en kvalificerad gissning är att den föreslagna regleringen i sig inte kommer att medföra någon extra tidsåtgång för de berörda företagen. Genom regleringen skapas dock möjligheter för att meddela föreskrifter som dessa företag måste anpassa sin verksamhet efter. I detta sammanhang ska noteras att det finns en krisberedskap på området som har byggts upp inom ramen för en fortlöpande dialog mellan berörda myndigheter och privata aktörer. De exakta formerna för fortsatta arbete på området går inte att med exakthet bedöma i detta läge, men det fruktsamma privat-offentliga samarbetet kommer även fortsättningsvis utgöra en central del i arbetet, men med en tydligare ansvarsfördelning i grunden. Även ett nära samarbete mellan och kommer att krävas, vilket beskrivs i avsnitt 7.5. Detta för att undvika att de berörda företagen drabbas av onödiga kostnader för att upprätta, lagra eller överföra information eller uppgifter som föranletts av föreskrifter. Denna information kan förväntas lämnas till i dess egenskap av tillsynsansvarig myndighet. Den föreslagna regleringen bedöms inte i sig orsaka några andra kostnader för berörda företag i form av krav på t.ex. investeringskostnader eller utökning av personalresurser, eftersom aktörerna bedöms upprätthålla en hög beredskapsnivå. förslaget innehåller en möjlighet för att genom avgifter från de berörda aktörerna finansiera verksamheten med samordningsansvaret. Som anges i kapitel 11 under den aktuella bestämmelsen finansierar dock normalt sin verksamhet genom de vinster den egna verksamheten genererar. De privata aktörer som sannolikt kommer att omfattas av den föreslagna regleringen står under tillsyn av och deras verksamhet har utvärderats av och gemensamt, vilket redogörs för i kapitel 4. Som tidigare angivits syftar den föreslagna regleringen i första hand till att förtydliga ansvarsfördelningen för krisberedskapen på området. I betänkandet anges vidare funktionskrav som föreslås ska gälla för de berörda aktörerna, dvs. krav på funktionsförmåga i en krissituation. Dessa innehåller kvantitativa mål som är i linje med pågående internationellt regleringsarbete, och som redogörs för i avsnitt 5.6. Varken den föreslagna ansvarsfördelningen eller de föreslagna funktionskraven bedöms påverka de svenska aktörerna i förhållande till motsvarande utländska aktörer. Som ovan angivits saknas en uttrycklig EU-rättslig reglering på området. Med hänsyn till det utvecklade internationella regelverket bedöms de nu föreslagna reglerna dock inte påverka de svenska aktörernas konkurrensförhållanden jämfört med motsvarande aktörer inom den Europeiska unionen. Hänsyn till små företag Den föreslagna regleringen kommer med mycket stor sannolikhet inte att bli tillämplig på små företag, eftersom dessa inte bör kunna få en sådan betydelse för betalningssystemet i landet att de av bedöms utgöra en del av det centrala betalningssystemet. Med små företag avses här företag med färre än 50 anställda. Definitionen av det centrala betalningssystemet följer av författningsförslaget och är beskriven i avsnitt 8.3.1. Definitionen är av en sådan karaktär att den aktör som ska uppfylla de krav som uppställs måste bedriva en verksamhet som skiljer sig betydligt från den som bedrivs i små företag. Det kan också noteras att de företag som berörs av den föreslagna regleringen samtliga omsätter mycket stora värden. Den föreslagna regleringen bedöms inte ha betydelse för den kommunala självstyrelsen, för sysselsättning och offentlig service i olika delar av landet, för jämställdheten mellan kvinnor och män eller för möjligheterna att nå de integrationspolitiska målen. Betänkandets förslag avseende krav på informationssäkerhet är redovisade i kapitel 9. Förslagen i denna del kan förväntas ha en preventiv verkan på ekonomisk och annan allvarlig brottslighet. 11.1Förslaget till lag (2012:000) om krisberedskap i det centrala betalningssystemet 1 § Med begreppet krisberedskap avses den betydelse som angivits i 4 § förordningen (2006:942) om krisberedskap och höjd beredskap (krisberedskapsförordningen), dvs. förmågan att genom utbildning, övning och andra åtgärder samt genom den organisation och de strukturer som skapas före, under och efter en kris förebygga, motstå och hantera krissituationer. 2 § Definitionen av det centrala betalningssystemet utgår från den gängse definitionen av samhällsviktig verksamhet. Med det nationella betalningssystemet avses samtliga de system för clearing och avveckling av pengar eller värdepapper som tillhandahålls och används av myndigheter såsom och samt tillståndspliktiga institut i såsom banker och clearingorganisationer. Av 6 § följer att det är uppgift att närmare ange vilka aktörer som ska anses ingå i det centrala betalningssystemet och omfattas av bestämmelserna i lagen. 3 § Ett första syfte med lagen är att undvika att allvarliga störningar i det centrala betalningssystemet över huvud taget uppstår. Med allvarlig störning avses samtliga allvarliga fel, störningar eller avbrott som påverkar funktionaliteten i det centrala betalningssystemet. Det centrala betalningssystemet består av aktörer vars verksamhet utöver sådana operativa risker, även är exponerade för risker som kan leda till finansiella kriser. De finansiella kriser som riskerar att uppstå inom det centrala betalningssystemet omfattas inte av denna lag, så länge inte den finansiella krisen orsakar en allvarlig störning i funktionaliteten i systemet. En sådan koppling är dock inte osannolik. Omvänt riskerar en allvarlig operativ störning i det centrala betalningssystemet att omgående leda till en finansiell kris hos någon av aktörerna i det centrala betalningssystemet. För det fall allvarliga fel, störningar eller avbrott trots allt uppstår i det centrala betalningssystemet eller en krissituation i samhället i övrigt uppstår ska det centrala betalningssystemets funktion ändå vara tillfredsställande, t.ex. genom i förväg etablerade reservsystem och alternativa driftsformer. Den närmare innebörden av vilka åtgärder som krävs för att säkerställa en tillfredsställande nivå av funktionalitet blir en fråga för att ange enligt 11– 12 §§. Dessutom ska följderna av allvarliga fel, störningar eller avbrott begränsas. Att clearing och avveckling av transaktioner ska kunna ske inom utlovad tid omfattas visserligen av kravet på upprätthållande av tillfredsställande funktion i det centrala betalningssystemet. Genom att särskilt lyfta fram kravet förmåga till clearing och avveckling av transaktioner inom utlovad tid betonas dock kärnfunktionen i det centrala betalningssystemet. I 11 § anges närmare hur fullgörandet av clearing och avveckling av transaktioner ska ske. Att clearing och avveckling sker inom utlovad tid innebär att verksamheten sker i enlighet med de skyldigheter som gäller i det specifika systemet. Skyldigheterna följer av avtal eller författning. En stark koppling finns mellan värdepapperstransaktionerna och betalningssystemet, eftersom de stora betalningsflöden som genereras i handeln med finansiella instrument svarar för en betydande del av det samlade flödet av betalningar i det centrala betalningssystemet. Med hänsyn till denna starka koppling har begreppet transaktion använts för att beskriva den verksamhet som genomförs i det centrala betalningssystemet. Med transaktion avses i denna lag överföring av betalningar och värdepapper. 4 § Av nationella samordningsansvar följer att myndigheten, utan att avsteg görs från ansvarsprincipen, ska samordna och koordinera arbetet enligt denna lag. ansvar utvecklas närmare i 13–17 §§. 5 § I bestämmelsen anges lagens tillämpningsområde. Såväl myndigheter som privata aktörer kan av komma att anses ingå i det centrala betalningssystemet. I den fortsatta lagtexten används begreppet central aktör gemensamt för samtliga de aktö- rer, myndigheter och företag, vars verksamhet av anses utgöra del av det centrala betalningssystemet i landet. kan förutses komma att ingå i det centrala betalningssystemet i dess egenskap av huvudman för RIX-systemet. 6 § bemyndigas i denna bestämmelse att meddela föreskrifter om vilka verksamheter som ska ingå i det centrala betalningssystemet och vilka aktörer som ska omfattas av lagen. Till ledning för bedömning finns den definition som anges i 2 §. Av 8 kap. 13 § första stycket regeringsformen följer att genom lag kan uppdra åt att meddela föreskrifter inom dess ansvarsområde enligt 9 kap. och i fråga om dess uppgift att främja ett säkert och effektivt betalningsväsende. Det aktuella bemyndigandet att meddela föreskrifter bedöms rymmas inom uppgift att främja ett säkert och effektivt betalningsväsende. 7 § I denna bestämmelse anges de grundläggande krav som ska gälla för de aktörer som av angivits som centrala aktörer enligt lagens terminologi. Med uttrycket förebygga allvarliga störningar avses det arbete som går ut på att undvika att störningarna överhuvudtaget uppstår. Förberedelser för att kunna hantera en allvarlig störning innebär att konsekvenserna för det fall en allvarlig störning uppstår ska begränsas så långt möjligt. 8 § Bestämmelsen syftar till att närmare ange inom vilka områden aktörerna inom det centrala betalningssystemet ska ha förmåga att hantera påfrestningar. Med denna bestämmelse tydliggörs att en aktör i det centrala betalningssystemet inte annat än i rena undantagsfall ska kunna undgå ansvar för sin oförmåga att fullgöra sina uppgifter i det centrala betalningssystemet med hänvisning till externa faktorer. Med undantagsfall avses här synnerligen allvarliga störningar, såsom naturkatastrofer och dylikt. Punkten 1 avser t.ex. pandemier och andra tillstånd som orsakar ett kraftigt bortfall av personal hos en central aktör. Med centrala system som verksamheten är ansluten till enligt punkten 2 avses t.ex. SWIFT och andra system som vanligen används av aktörerna i det finansiella systemet. Med teknisk infrastruktur som verksamheten är beroende av enligt punkten 3 avses grundläggande infrastruktur som t.ex. elförsörjning och telekommunikation. 9 § Samverkansskyldigheten mellan myndigheter följer av förvaltningslagen (1986:223) och krisberedskapsförordningen. Aktuell bestämmelse syftar till att även de privata aktörer som kan komma att omfattas av lagen ska ha skyldighet att samverka vid störningar, i syfte att uppnå en högre krisberedskap på systemnivå. 10 § I bestämmelsen uttrycks ett särskilt krav på aktörernas tekniska lösningar och system. Med detta begrepp avses t.ex. de IT- system som är helt centrala för aktörernas förmåga att fullgöra sina uppgifter i det centrala betalningssystemet. Informationssäkerhet, såväl utformningen av de tekniska lösningarna och systemen som handhavandet av dessa, omfattas av kravet. Detta innebär att det finns möjlighet att ställa krav på t.ex. informationssäkerhetsstandard, incidentrapportering, säkerhetsklassning av tjänster och utbildning av personal hos de aktörer som omfattas av lagens bestämmelser. 11 § I första stycket anges den huvudregel som ska gälla för krisberedskapen avseende clearing och avveckling av transaktioner inom det centrala betalningssystemet. Med clearing avses avräkning av förpliktelser och sammanställning av instruktion för transaktioner. Med avveckling avses det slutliga fullgörandet av förpliktelsen att betala eller leverera värdepapper som sker genom överförandet av betalningsmedel eller värdepapper. I praktiken torde det uppställda kravet i regel innebära att clearing och avveckling alltid ska ske under innevarande dag. ges i andra stycket en rätt att i enskilda fall besluta om avsteg från huvudregeln i första stycket. Ett sådant beslut kan vara motiverat med hänsyn till att det trots vidtagna krisberedskapsåtgärder i vissa fall kan uppstå mycket allvarliga störningar i det centrala betalningssystemet. beslut i ett sådant läge syftar till att klargöra för den berörda aktören, samt i dess tillsynsarbete, vilken nivå på krisberedskapsarbetet som är rimlig att kräva i den uppkomna situationen. 12 § I första stycket ges rätt att meddela föreskrifter om vilka krav på förebyggande och förberedande åtgärder som ska gälla för aktörerna i det centrala betalningssystemet. således möjlighet att meddela föreskrifter avseende de krav på åtgärder som de centrala aktörerna åläggs i 7–10 §§. Utöver möjligheten att meddela föreskrifter har enligt andra stycket även rätt att fatta beslut i det enskilda fallet om konkreta åtgärder som ska vidtas av en central aktör. Bestämmelsen motiveras av att bör ha möjlighet att i undantagsfall kunna få en enskild aktör att vidta de åtgärder som bedöms nödvändiga för att upprätthålla krisberedskapen i det centrala betalningssystemet. Rätten att överklaga ett beslut enligt andra stycket följer av 20 §. Beträffande möjligheten att bemyndiga att meddela föreskrifter i detta avseende, se 6 §. 13 § Det ansvar som samordnande myndighet för krisberedskapen inom det centrala betalningssystemet vilket ges i lagen bör inte nämnvärt avvika ifrån hur ansvaret för krisberedskapen i samhället i övrigt är utformad. Med denna utgångspunkt har i lagen införts ett antal grundläggande principer för krisberedskapen, delvis sammanfallande med krisberedskapsförordningen. I första stycket klargörs uttryckligen att ansvarsprincipen ska gälla, dvs. att den myndighet som har ansvar för en verksamhet också har ansvaret för att verksamheten ska fungera vid en kris. ska således inte ta över annan myndighets eller privat aktörs ansvar för viss verksamhet, utan samordna och koordinera beslutsfattandet. Bestämmelsen motsvarar 5 § första stycket i krisberedskapsförordningen. I andra stycket anges att ska kunna upprätta en krisledningsfunktion när en kris uppstår. Bestämmelsen motsvarar delvis 13 § krisberedskapsförordningen. Krisledningen innebär således inte att ska överta annan aktörs ansvar när en kris uppstår. Med krisledningsfunktion avseende samordning och information avses här leda och samordna de åtgärder som vidtas av det centrala aktörerna för att hantera krisen, löpande upprätta lägesrapporter samt samordna den information som riktas till allmänheten och media om krisens förlopp. 14 § ska enligt första stycket upprätta en risk- och sårbarhetsanalys för det centrala betalningssystemet. Bestämmelsen motsvarar i princip 9 § krisberedskapsförordningen och syftar till att säkerställa att analysen utformas i enlighet med krisberedskapsarbetet i övrigt i samhället. En redovisning baserad på analy- sen ska utöver att lämnas till och även lämnas till . 15 § Bestämmelsen ansluter sig till det särskilda ansvar som anges i 11 § krisberedskapsförordningen och syftar till att närmare ange vilka skyldigheter får genom det nationella samordningsansvaret. 16 § Genom denna bestämmelse åläggs en skyldighet att hålla regeringen informerad vid allvarliga fel, störningar eller avbrott i det centrala betalningssystemet. Bestämmelsen motsvarar i huvudsak 14 § krisberedskapsförordningen. 17 § Bestämmelsen ger en skyldighet att efter förfrågan lämna information till och om beredskapsläget inom det centrala betalningssystemet samt sådan information som krävs för samlade lägesbilder. Med information rörande beredskapsläget avses sådan information som är nödvändig för eller MSB att ta del av för att kunna få en bild över beredskapsläget inom det centrala betalningssystemet. Begreppet lägesbild anges i prop. 2007/08:92 som en sammanställning av uppgifter för att skapa en bild över vad som har hänt, händer eller kommer att hända. Skyldigheten för att enligt denna bestämmelse förse myndigheterna med information förutsätter inte att en allvarlig störning i det centrala betalningssystemet bedöms föreligga. Skyldigheten gäller dock enbart sådan information som har en koppling till samordningsansvar för krisberedskapen i det centrala betalningssystemet. stödjer regeringen i dess roll som ansvarig för krishanteringen på nationell nivå. ska därför ha en skyldighet att lämna uppgifter till samt den myndighet under regeringen, Myndigheten för samhällsskydd och beredskap, som ansvarar för utveckla och stödja samhällets förmåga att hantera olyckor och kriser. Skyldigheten att hålla regeringen informerad vid en allvarlig störning framgår av 16 §. Bestämmelsen motsvarar huvudsakligen 15 § krisberedskapsförordningen. 18 § Bestämmelsen syftar till att ge möjlighet att genom uttag av avgifter från aktörerna i det centrala betalningssystemet finansiera det samordningsansvar som åläggs myndigheten genom denna lag. finansierar dock normalt sin verksamhet genom de vinster den egna verksamheten genererar. 19 § I första stycket anges att tystnadsplikt gäller för den som fått kännedom om enskilds affärs- eller driftförhållanden. Bestämmelsen får betydelse för personer som är eller har varit verksamma inom de företag som utgör del av det centrala betalningssystemet. Endast den som obehörigen för en uppgift vidare bryter mot tystnadsplikten. Bestämmelsen är motiverad av att det inte är uteslutet att aktörerna i det centrala betalningssystemet inom ramen för den dialog som kan förväntas ske dem emellan får del av känslig information. Som framgår av andra stycket gäller offentlighets- och sekretesslagens bestämmelser i det allmännas verksamhet. Bestämmelser om straff för den som bryter mot tystnadsplikten i denna paragraf finns i 20 kap. 3 § . 20 § I första stycket regleras rätten att överklaga beslut som har meddelats av med stöd av denna lag. Rätten att överklaga motiveras av att genom lagen ges möjlighet att fatta beslut som kan innebära myndighetsutövning gentemot enskild. I andra stycket anges att beslut som huvudregel ska gälla . Undantag gäller för beslut om påförande av avgift. Det är i beredskapshänseende angeläget att besluten kan verkställas utan hinder av att de överklagas. kan förordna annat om myndigheten anser att så kan ske utan fara för beredskapen i det centrala betalningssystemet. 11.2Förslaget till lag om ändring i lagen (1988:1385) om riksbank 1 kap. 2 § Ett nytt fjärde stycke införs i paragrafen, där det klargörs att har samordningsansvaret för krisberedskapen i det centrala betalningssystemet. Tillägget innebär ett förtydligande av uppdrag att verka för ett säkert och effektivt betalningsväsende. 11.3Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400) 30 kap. 6 § Av denna bestämmelse följer att en uppgift om en enskilds ekonomiska eller personliga förhållanden omfattas av sekretess i en statlig myndighets verksamhet som består i övervakning eller kontroll om uppgiften som har lämnats av någon som är skyldig att lämna uppgiften till myndigheten enligt vissa i bestämmelsen uppräknade lagar. En ny sjunde punkt läggs till uppräkningen i syfte att möjliggöra att erforderligt skydd för de uppgifter som de centrala aktörerna lämnar till . Av 6 kap. 9 § första stycket lagen (1988:1385) om riksbank följer att ett finansinstitut eller annat företag som står under tillsyn av ska till lämna de uppgifter som anser nödvändiga för bl.a. att övervaka betalningssystemets stabilitet. Det ansvar för krisberedskapen i det centrala betalningssystemet som föreslås ges till bedöms rymmas inom detta begrepp, och de aktörer som är föremål för tillsyn och omfattas av den föreslagna lagen är således skyldiga att lämna uppgifter till . Stärkt krisberedskap i det centrala