sou · GZB378 · 2011-12-01 00:00:00 — 8.3.1 Definitionen av det centrala betalningssystemet........ 8.3.3 Lagens krav på aktörerna i det centrala 8.3.4 Förhållandet mellan och 8.3.7 Överklagande av beslut .......................... Systematiskt säkerhetsarbete med stöd av ISO 27000 .......... Incidentrapportering till CERT-funktion.............................. Ekonomiska konsekvenser för staten..................................... Närmare om konsekvenserna av utredningens förslag Förslaget till lag (2012:000) om krisberedskap i det Förslaget till lag om ändring i lagen (1988:1385) om Förslaget till lag om ändring i offentlighets- och sekretesslagen (2009:400)...................................................... Att arbeta med resultatmål inom samhällets krisberedskap – teoretiska och metodiska lag (2012:000) om krisberedskap i det centrala betalningssystemet Härigenom föreskrivs följande. 1 § Denna lag innehåller bestämmelser om krisberedskap i det centrala betalningssystemet. 2 § Med det centrala betalningssystemet avses de funktioner i det nationella betalningssystemet som har en sådan betydelse att ett bortfall eller en allvarlig störning, direkt eller , skulle innebära risk eller fara för samhällets funktionalitet eller samhällets grundläggande värden. 3 § Denna lag syftar till 1.att förebygga uppkomsten av allvarliga störningar i det centrala betalningssystemet, och 2.att vid allvarliga störningar i det centrala betalningssystemet säkerställa en tillfredsställande funktion i det centrala betalningssystemet, att följderna av störningarna begränsas, samt att clearing och avveckling av alla transaktioner inom det centrala betalningssystemet kan ske inom utlovad tid. 4 § ansvarar för nationell samordning av krisberedskap i det centrala betalningssystemet. 5 § Bestämmelserna i denna lag är tillämpliga på de myndigheter och företag vars verksamhet utgör del av det centrala betalningssystemet (centrala aktörer). 6 § får meddela föreskrifter om vilka verksamheter som ska anses ingå i det centrala betalningssystemet och vilka aktörer som ska omfattas av denna lag enligt 5 §. 7 § Centrala aktörer ska vidta tillräckliga åtgärder för att förebygga och förbereda sig för att kunna hantera allvarliga störningar i det centrala betalningssystemet. 8 § Centrala aktörer ska ha vidtagit sådana åtgärder att de kan förväntas fullgöra sina uppgifter i det centrala betalningssystemet även vid väsentlig påverkan på 1.den egna verksamheten, 2.centrala system som verksamheten är ansluten till, eller 3.teknisk infrastruktur som verksamheten är beroende av. 9 § Centrala aktörer är även skyldiga att i rimlig utsträckning bistå varandra när någon eller några av dem har drabbats av händelser som avses i 8 §. 10 § De tekniska lösningar och system som används av en central aktör ska vara utformade och användas på sådant sätt att betryggande säkerhet uppnås mot störningar i verksamheten till följd av sådana händelser som avses i 8 §. Särskilt om clearing och avveckling 11 § Utgångspunkten för krisberedskapen i det centrala betalningssystemet är att clearing och avveckling av samtliga transaktioner alltid ska ske i enlighet med ingångna avtal och gällande lagstiftning. får vid särskilda omständigheter i samband med en allvarlig störning i det centrala betalningssystemet besluta om avsteg från första stycket. Förebyggande och förberedande åtgärder 12 § får meddela föreskrifter om krav på förebyggande och förberedande åtgärder. Med dessa avses särskilda åtgärder som behövs för att säkerställa det centrala betalningssystemets funktionsförmåga. får besluta om att förebyggande och förberedande åtgärder ska vidtas av en central aktör. Beslutet får inte vara mer betungande än vad som kan anses vara skäligt med hänsyn till aktörens betydelse för det centrala betalningssystemet. 13 § Varje central aktör, vars ansvarsområde berörs av allvarliga störningar i det centrala betalningssystemet, ska vidta de åtgärder som behövs för att hantera konsekvenserna av dessa. ska vid sådana situationer omgående kunna upprätta en krisledningsfunktion avseende samordning och information. 14 § ska analysera om det finns sådan sårbarhet eller sådana hot och risker inom det centrala betalningssystemet som synnerligen allvarligt kan försämra förmågan till verksamhet inom området. Vid denna analys ska särskilt beakta 1.situationer som uppstår hastigt, oväntat och utan förvarning, eller en situation där det finns ett hot eller en risk att ett sådant läge kan komma att uppstå, 2.situationer som kräver brådskande beslut och samverkan med andra aktörer, 3.att de samhällsviktiga funktionerna i det centrala betalningssystemet kan upprätthållas, och 4. förmågan att hantera mycket allvarliga situationer inom det centrala betalningssystemet. ska värdera och sammanställa resultatet av arbetet i en risk- och sårbarhetsanalys. Redovisningen ska innefatta vilka åtgärder som planeras och en bedömning av behovet av ytterligare åtgärder. ska lämna en redovisning baserad på analysen till , och Myndigheten för samhällsskydd och beredskap. 15 § ska ha ett särskilt ansvar för att planera och att förebygga sårbarheter och motstå hot och risker i det centrala betalningssystemet. 1.samverka med i dess roll som tillsynsmyndighet för privata aktörer i det centrala betalningssystemet, 2.samverka med berörda länsstyrelser i deras roll som områdesansvarig myndighet, 3.samverka med övriga statliga myndigheter, kommuner, landsting, sammanslutningar och näringsidkare som är berörda, 4.beakta det samarbete som sker inom Europeiska unionen och internationella forum i frågor som rör samhällets krisberedskap, 5.beakta behovet av forsknings- och utvecklingsinsatser och annan kunskapsinhämtning såsom erfarenhetsåterföring av inträffade händelser, 6.beakta behovet av säkerhet och kompatibilitet i de tekniska system som är nödvändiga för att det centrala betalningssystemet ska kunna upprätthålla sina samhällsviktiga funktioner, 7.informera Myndigheten för samhällsskydd och beredskap om sin övningsverksamhet för att den ska kunna samordnas med den övningsverksamhet som Myndigheten för samhällsskydd och beredskap planerar. ska vidare verka för att aktörerna i det centrala betalningssystemet deltar i den övningsverksamhet som berör deras ansvarsområden. 16 § ska, när allvarliga störningar i det centrala betalningssystemet uppstår, hålla regeringen informerad om händelseutvecklingen, tillståndet, den förväntade utvecklingen och tillgängliga resurser inom ansvarsområdet samt om vidtagna och planerade åtgärder. 17 § ska efter förfrågan från eller Myndigheten för samhällsskydd och beredskap lämna information rörande beredskapsläget och den information som behövs för samlade lägesbilder. 18 § får ta ut avgifter av centrala aktörer för att finansiera verksamheten med samordningsansvaret i enlighet med denna lag. 19 § Den som på grund av bestämmelser i denna lag eller föreskrifter som meddelats med stöd av lagen har fått kännedom om en enskilds affärs- eller driftförhållanden får inte obehörigen röja eller utnyttja uppgifterna. I det allmännas verksamhet gäller offentlighets- och sekretesslagen (2009:400). 20 § beslut enligt 12 § andra stycket får överklagas hos förvaltningsrätten. Prövningstillstånd krävs vid överklagande till kammarrätten. Annat beslut än beslut om att ta ut avgift gäller om inte annat bestäms i beslutet. Denna lag träder i kraft . lag om ändring i lagen (1988:1385) om riksbank Härigenom föreskrivs att 1 kap. 2 § lagen (1988:1385) om riksbank ska ha följande lydelse. har enligt 9 kap. 13 § regeringsformen ansvaret för samhet skall vara att upprätthålla samhet ska vara att upprätthålla ett fast penningvärde. ett fast penningvärde. ett säkert och effektivt betalnings- säkert och effektivt betalnings- (2012:000) om det centrala betalningssystemet. får meddela föreskrifter inom ramen för sitt ansvar för penningpolitiken. får även meddela föreskrifter såvitt avser verksamhet med anknytning till betalningssystem eller kontantförsörjningsuppdrag. lag om ändring i offentlighets- och sekretesslagen (2009:400) Härigenom föreskrivs att 30 kap. 6 § offentlighets- och sekretesslagen (2009:400) ska ha följande lydelse. Sekretess gäller i en statlig myn- Sekretess gäller i en statlig myn- dighets verksamhet som består i dighets verksamhet som består i övervakning eller kontroll för övervakning eller kontroll för sådan sådan uppgift om en enskilds uppgift om en enskilds ekonom- ekonomiska eller personliga för- hållanden som på begäran har som på begäran har lämnats av lämnats av någon som är skyldig någon som är skyldig att lämna att lämna uppgifter till myndig- heten, om övervakningen eller 1. lagen (1991:980) om handel med finansiella instrument, med finansiella instrument, 2. lagen (1996:1006) om anmäl- 2. lagen (1996:1006) om anmäl- ningsplikt avseende viss finansiell 3. lagen (2000:1087) om anmäl- 3. lagen (2000:1087) om anmäl- ningsskyldighet för vissa innehav ningsskyldighet för vissa innehav av av finansiella instrument, 4. lagen (2004:299) om inlå- 5. lagen (2005:377) om straff 5. lagen (2005:377) om straff för för marknadsmissbruk vid handel marknadsmissbruk vid handel med med finansiella instrument, eller 6. lagen (2006:451) om offent- 6. lagen (2006:451) om offent- liga uppköpserbjudanden på aktie- liga uppköpserbjudanden på aktie- beredskap i det centrala betalning- Om en uppgift som avses i första stycket rör den uppgiftsskyldige, gäller sekretessen endast om denne kan antas lida skada eller men om uppgiften röjs och sekretessen inte motverkar syftet med uppgiftsskyldigheten. För uppgift i en allmän handling gäller sekretessen i högst tjugo Utredningens uppdrag är att med utgångspunkt i rapporten (Fi 2010/1619) och avlämnade remissvar vidareutveckla och ytterligare konkretisera de förslag som där anges avseende grundläggande säkerhetsnivåer och nationellt samordningsansvar för såväl förebyggande krisberedskapsåtgärder som åtgärder vid en akut kris inom det centrala betalningssystemet. Inriktningen på arbetet ska vara att ta fram förslag till grundläggande säkerhetsnivåer för det centrala betalningssystemet av mer kvantitativ karaktär. Vidare ska inriktningen vara att det föreslås en ansvarig myndighet som, utan att överta annans ansvar, ska ha ett nationellt samordningsansvar för såväl förebyggande krisberedskapsåtgärder som åtgärder vid en akut kris i det centrala betalningssystemet. I rapporten i betalningssystemet (RiR 2007:28) konstaterade att det fanns ett antal avgörande brister i statens åtgärder för att förebygga och hantera allvarliga störningar i det centrala betalningssystemet. konstaterade i rapporten att ett stort antal myndigheter hade ansvar för den finansiella sektorns krisberedskap och att en privat-offentlig samverkan bedrevs. Ingen myndighet ansåg sig emellertid ha ett övergripande och samlat ansvar för ledning, planering, samverkan och uppföljning av krisberedskapen inom betalningssystemet. Oklarheten i ansvarsförhållanden och uppgifter bidrog till att det saknades en samlad bild av hot, risker, sårbarheter och konsekvenser samt att myndigheterna inte hade samordnat sina förberedande åtgärder tillräckligt. anförde i rapporten att regeringen borde fastställa vilka grundläggande säkerhetskrav som ska gälla för betalningssystemet och dess nödvändiga infrastruktur. Regeringen borde också fastställa hur uthålligt betalningssystemet måste vara. Regeringen borde enligt även fastställa vilken myndighet som har det övergripande krisberedskapsansvaret för betalningssystemet och incidentbevakningen samt föreslå i vilka avseenden eller ska ha ansvar för krisberedskapen. och fick av regeringen i uppdrag att redovisa vilka initiativ som hade tagits eller var planerade med anledning av . Även sammanställde en liknande redovisning. Med anledning av och de redovisningar som , och lämnade i frågan utarbetades inom en rapport innehållande förslag på hur statens förmåga att hantera allvarliga kriser i betalningssystemet kunde stärkas, Fi 2010/1619. I rapporten föreslogs bl.a. att ett nationellt samordningsansvar skulle införas och att var den myndighet som skulle ges detta ansvar. Vidare föreslogs att detta ansvar samt grundläggande säkerhetskrav (mål) skulle regleras genom en ny lag. Rapporten har remitterats. Någon allmänt vedertagen definition av begreppet det centrala betalningssystemet finns inte. I utredningen definieras det centrala betalningssystemet som de funktioner i det nationella betalningssystemet som har en sådan betydelse att ett bortfall, direkt eller , skulle innebära en risk eller fara för samhällets funktionalitet eller samhällets grundläggande värden. Viktiga system inom det centrala betalningssystemet är – systemet för stora betalningar, Bankgirocentralens betalningssystem för massbetalningar, Euroclear VPC-system där transaktioner från aktie- och räntemarknaden clearas och avvecklas samt OMX Derivatives Markets som är central motpart för standardiserade derivatkontrakt. Andra viktiga aktörer inom det centrala betalningssystemet är samt de fyra storbankerna. Den ovan redovisade beskrivningen utgör dock inget försök att exakt definiera det centrala betalningssystemet. I utredningen föreslås att det ska vara en uppgift för att definiera vilka aktörer och verksamheter som ska anses ingå i det centrala betalningssystemet. Det kan förutses att denna definition kommer att bli föremål för en fortlöpande översyn av med hänsyn till den dynamik som präglar utvecklingen inom den finansiella sektorn. Utredningen föreslår att tilldelas det nationella samordningsansvaret för krisberedskap i det centrala betalningssystemet. Samordningsansvaret innefattar inte ett övertagande av ansvar från en annan aktör i det centrala betalningssystemet för det fall en kris uppstår. Däremot får ett ansvar att leda samordningen mellan aktörerna i en sådan situation. samordningsansvar för krisberedskap ska avse det centrala betalningssystemet. ska fortsatt ha krisberedskapsansvaret för den finansiella sektorn i övrigt. tillsynsansvar över de privata aktörerna i det centrala betalningssystemet kvarstår. Utgångspunkten för utredningens förslag till grundläggande säkerhetskrav på det centrala betalningssystemet är att målen bör ha en kvantitativ (mätbar) karaktär för att kunna värderas och vara föremål för revision. De säkerhetskrav som bör ställas på det centrala betalningssystemet bör utformas som en kombination av funktionskrav på detta system och krav på de tekniska system – externa och interna – som det centrala betalningssystemet är beroende av. får i den av utredningen föreslagna lagen uppgiften att genomföra en årlig risk- och sårbarhetsanalys i syfte att identifiera de kriser som kan drabba det centrala betalningssystemet. Beredskapsplaneringen bör syfta till att hantera alla de kriser som identifieras i risk- och sårbarhetsanalysen. med allvarliga konsekvenser bör värderas. Kritiska beroenden som finns mellan det centrala betalningssystemet och andra samhällsverksamheter ska identifieras. Risk- och sårbarhetsanalyser ska vara förankrade på ledningsnivå. Utredningen formulerar också funktionskrav på det centrala betalningssystemet. Målet är att det centrala betalningssystemet även vid en allvarlig kris kan avveckla alla transaktioner i enlighet med ingångna avtal och gällande lagstiftning, i regel senast under pågående bankdag. Reservsystem och alternativa driftsmiljöer ska genom kontinuitetsplaner vara väl förberedda att klara målet. Kontinuitetsplaner måste innefatta tider för återställande av system. Målet för tiden till återstart vid ett avbrott i centrala betalningssystemet bör vara högst . De krav eller mål som utredningen föreslår ansluter sig väl till de rekommendationer som formuleras inom ramen för () och (). Det går dock inte helt att bortse från att det kan uppstå situationer då högt ställda mål inte kan tillgodoses. Att utgå ifrån att det centrala betalningssystemet inte under några omständigheter kan drabbas av sådana händelser är knappast tillrådligt. Därför är det nödvändigt att i ett svårt krisläge ha förberett åtgärder som utgår ifrån att endast en del av transaktionerna i det centrala betalningssystemet kan hanteras eller att det kan ta än en bankdag att avveckla transaktionerna. I sådana lägen måste vissa typer av transaktioner ges företräde krisen varar. Det bör inte ske slumpmässigt och improviserat utan bör utgå från en uppsättning på förhand fastlagda prioriteringsprinciper. Aktörerna inom det centrala betalningssystemet föreslås också bli skyldiga att i rimlig utsträckning bistå varandra när något eller några av dem drabbas av allvarliga tekniska störningar eller avbrott. De grundläggande säkerhetskrav som bör ställas på det centrala betalningssystemet sammanfattas av utredningen på följande sätt: 1.Målet är att det centrala betalningssystemet även vid en allvarlig kris kan avveckla alla transaktioner i enlighet med ingångna avtal och gällande lagstiftning, i regel senast under pågående bankdag. 2.Vid en allvarlig störning eller avbrott i verksamheten hos en aktör i det centrala betalningssystemet ska återgång till ordinarie drift eller övergång till reservsystem ske senast . 3.Om detta inte är möjligt ska en alternativplanering finnas som gör det möjligt att vid en kris prioritera de viktigaste transaktionerna. 4.Principer och metoder för att identifiera och vid en kris prioritera de viktigaste transaktionerna ska utvecklas. Aktörerna i det centrala betalningssystemet utgörs av både myndigheter och privata företag. Ett samarbete mellan de berörda parterna avseende krisberedskapsåtgärder inom det centrala betalningssystemet är därför nödvändigt. Den privat-offentliga samverkan som behöver ske bör även i fortsättningen hanteras inom ramen för samarbetet inom den finansiella sektorns privat-offentliga samverkansorgan, FSPOS. Behovet av att samordna de krisberedskapsåtgärder som vidtas beträffande det centrala betalningssystemet har ytterst att göra med att olika aktörer inom detta system är beroende av varandra och att de krisberedskapsåtgärder som vidtas av dessa aktörer måste ligga på en sådan nivå att de mål som sätts för systemets samlade prestationsförmåga vid en kris kan uppnås. Behovet av att samordna såväl beredskapsåtgärder som operativa åtgärder under en kris är större inom det centrala betalningssystemet än inom många andra verksamheter. Anledningen är att systemet omfattar ett antal aktörer vars verksamheter är nödvändiga för att systemet ska fungera och där ett bortfall av en aktör kan få långtgående konsekvenser för systemet som helhet. Betydelsen av detta förstärks av att hela det finansiella systemet är beroende av att det centrala betalningssystemet fungerar. Brister i beredskapen hos en aktör kan därför få omfattande spridningseffekter inom hela den finansiella sektorn. Av dessa skäl måste höga krav ställas på samordningen av de krisberedskapsåtgärder som vidtas beträffande det centrala betalningssystemet. saknas ett system som är direkt inriktat mot samordning av de krisberedskapsåtgärder som vidtas beträffande det centrala betalningssystemet. Vid kriser i det centrala betalningssystemet är det väsentligt att det finns en krisledningsfunktion med befogenhet att samordna de åtgärder som behöver vidtas för att minska skadeverkningarna och att återupprätta systemets funktion så snabbt som möjligt. Det bör även vara en uppgift i det nationella samordningsansvaret att utbilda och öva personal som ska ha uppgifter i krisledningsorganisationen. Följande uppgifter bör därför ingå i det nationella samordningsansvaret för krisberedskapsåtgärder inom det centrala betalningssystemet: 1.Utforma föreskrifter avseende grundläggande säkerhetskrav på det centrala betalningssystemet vid en kris. 2.Ta fram en risk- och sårbarhetsanalys för det centrala betalningssystemet i enlighet med de anvisningar för risk- och sårbarhetsanalyser som gäller inom krisberedskapen. 3.Leda och samordna beredskapsplaneringen inom det centrala betalningssystemet med inriktning mot de krissituationer som identifieras i risk- och sårbarhetsanalysen. 4.Utbilda och öva personal inom det centrala betalningssystemet för de krisberedskapsuppgifter som behöver utföras. 5.Verka för att en effektiv privat-offentlig samverkan sker mellan det centrala betalningssystemets aktörer. 6.Lämna information om beredskapsläget vad gäller det centrala betalningssystemet efter förfrågan från eller Myndigheten för samhällsskydd och beredskap (MSB). Under en pågående kris bör det nationella samordningsansvaret för det centrala betalningssystemet omfatta följande uppgifter: 1.Leda och samordna de åtgärder som vidtas av det centrala betalningssystemets aktörer för att hantera krisen. 2.Löpande upprätta lägesrapporter som redovisas till riksdag och regering samt till MSB och andra myndigheter. 3.Samordna den information som riktas till allmänheten och media om krisens förlopp. I utredningen föreslås att ges det nationella samordningsansvaret för krisberedskapen i det centrala betalningssystemet. Av konstitutionella ställning följer att den i utredningen föreslagna ordningen ska regleras i lag. innehåller de grundläggande principerna för samordningsansvar samt principerna för de grundläggande krav som är rimliga att sätta upp för krisberedskapen i det centrala betalningssystemet. Förslaget innehåller även bemyndiganden för att meddela närmare föreskrifter för vissa delar av lagens tillämpning. Den föreslagna ordningen innebär att ett nära samarbete mellan och kommer att krävas inom detta område. finns ett väl utvecklat samarbete mellan dessa myndigheter i olika frågor. Vad avser finansiella kriser finns också en överenskommelse mellan myndigheterna om bl.a. samråd, informationsutbyte och informationsinhämtning. I överenskommelsen anges att myndigheterna ska ha rutiner som möjliggör för den andra parten att på ett enkelt sätt få uppgift om vilken information som myndigheten besitter. Myndigheterna åtar sig att samarbeta för att samordna insamlandet av data av snarlikt innehåll. Ett liknande samarbete torde kunna förutses även vid ickefinansiella kriser och den nya ordning som föreslås i denna utredning bedöms därför inte innebära något behov av ytterligare lagtiftning i detta avseende. Det ingår i tillsyn att följa upp efterlevnaden av de föreskrifter som meddelar. Myndigheternas krisberedsarbete regleras i krisberedskapsförordningen. Förordningen är tillämplig på statliga myndigheter under regeringen och således inte på . För att undvika att den nu föreslagna ordningen medför en splittring av myndigheternas krisberedskapsarbete har vissa centrala delar av innehållet i krisberedskapsförordningen kommit till uttryck i författningsförslaget. Den föreslagna ordningen innebär inte att ansvaret för de myndigheter som omfattas av krisberedskapsförordningen påverkas. Enligt MSB och () har det skett en markant ökning av antalet IT-angrepp gentemot alla nivåer och funktioner i samhället. Den finansiella sektorn är ett naturligt mål för olika typer av angrepp då verksamheten hanterar stora värden. För att få ett ändamålsenligt skydd krävs inte bara robusthet definierat som tillgänglighet utan även skyddsåtgärder för konfidentialitet, riktighet och spårbarhet. Krisberedskap förutsätter ett långsiktigt och systematiskt arbete med informationssäkerhet under normala förhållanden. Systematik ger möjlighet att hantera den dynamiska hotbilden och vidta rätt åtgärder vid olika typer av allvarliga störningar eller kriser. I en kritisk situation för det centrala betalningssystemet krävs ett friktionsfritt samarbete mellan flera, ibland ett stort antal aktörer. Ur denna aspekt skulle gemensamma begrepp och metoder underlätta samordning om allvarliga störningar skulle uppstå. Utredningen bedömer det lämpligt att i föreskrift ange att ett systematiskt informationssäkerhetsarbete ska bedrivas av det centrala betalningssystemets aktörer enligt de nationella och internationella standarderna ISO/IEC 27001 och ISO/IEC 27002.