sou · GZB378 · 2011-12-01 00:00:00 — Det bör även vara en uppgift i det nationella samordningsansvaret att utbilda och öva personal som ska ha uppgifter i krisledningsorganisationen. Följande uppgifter bör därför ingå i det nationella samordningsansvaret för krisberedskapsåtgärder inom det centrala betalningssystemet: 1.Utforma föreskrifter avseende grundläggande säkerhetskrav på det centrala betalningssystemet vid en kris. 2.Ta fram en risk- och sårbarhetsanalys för det centrala betalningssystemet i enlighet med de anvisningar för risk- och sårbarhetsanalyser som gäller inom krisberedskapen. 3.Leda och samordna beredskapsplaneringen inom det centrala betalningssystemet med inriktning mot de krissituationer som identifieras i risk- och sårbarhetsanalysen. 4.Utbilda och öva personal inom det centrala betalningssystemet för de krisberedskapsuppgifter som behöver utföras. 5.Verka för att en effektiv privat-offentlig samverkan sker mellan det centrala betalningssystemets aktörer. 6.Lämna information om beredskapsläget vad gäller det centrala betalningssystemet efter förfrågan från eller Myndigheten för samhällsskydd och beredskap (MSB). Under en pågående kris bör det nationella samordningsansvaret för det centrala betalningssystemet omfatta följande uppgifter: 1.Leda och samordna de åtgärder som vidtas av det centrala betalningssystemets aktörer för att hantera krisen. 2.Löpande upprätta lägesrapporter som redovisas till riksdag och regering samt till MSB och andra myndigheter. 3.Samordna den information som riktas till allmänheten och media om krisens förlopp. I utredningen föreslås att ges det nationella samordningsansvaret för krisberedskapen i det centrala betalningssystemet. Av konstitutionella ställning följer att den i utredningen föreslagna ordningen ska regleras i lag. innehåller de grundläggande principerna för samordningsansvar samt principerna för de grundläggande krav som är rimliga att sätta upp för krisberedskapen i det centrala betalningssystemet. Förslaget innehåller även bemyndiganden för att meddela närmare föreskrifter för vissa delar av lagens tillämpning. Den föreslagna ordningen innebär att ett nära samarbete mellan och kommer att krävas inom detta område. finns ett väl utvecklat samarbete mellan dessa myndigheter i olika frågor. Vad avser finansiella kriser finns också en överenskommelse mellan myndigheterna om bl.a. samråd, informationsutbyte och informationsinhämtning. I överenskommelsen anges att myndigheterna ska ha rutiner som möjliggör för den andra parten att på ett enkelt sätt få uppgift om vilken information som myndigheten besitter. Myndigheterna åtar sig att samarbeta för att samordna insamlandet av data av snarlikt innehåll. Ett liknande samarbete torde kunna förutses även vid ickefinansiella kriser och den nya ordning som föreslås i denna utredning bedöms därför inte innebära något behov av ytterligare lagtiftning i detta avseende. Det ingår i tillsyn att följa upp efterlevnaden av de föreskrifter som meddelar. Myndigheternas krisberedsarbete regleras i krisberedskapsförordningen. Förordningen är tillämplig på statliga myndigheter under regeringen och således inte på . För att undvika att den nu föreslagna ordningen medför en splittring av myndigheternas krisberedskapsarbete har vissa centrala delar av innehållet i krisberedskapsförordningen kommit till uttryck i författningsförslaget. Den föreslagna ordningen innebär inte att ansvaret för de myndigheter som omfattas av krisberedskapsförordningen påverkas. Enligt MSB och () har det skett en markant ökning av antalet IT-angrepp gentemot alla nivåer och funktioner i samhället. Den finansiella sektorn är ett naturligt mål för olika typer av angrepp då verksamheten hanterar stora värden. För att få ett ändamålsenligt skydd krävs inte bara robusthet definierat som tillgänglighet utan även skyddsåtgärder för konfidentialitet, riktighet och spårbarhet. Krisberedskap förutsätter ett långsiktigt och systematiskt arbete med informationssäkerhet under normala förhållanden. Systematik ger möjlighet att hantera den dynamiska hotbilden och vidta rätt åtgärder vid olika typer av allvarliga störningar eller kriser. I en kritisk situation för det centrala betalningssystemet krävs ett friktionsfritt samarbete mellan flera, ibland ett stort antal aktörer. Ur denna aspekt skulle gemensamma begrepp och metoder underlätta samordning om allvarliga störningar skulle uppstå. Utredningen bedömer det lämpligt att i föreskrift ange att ett systematiskt informationssäkerhetsarbete ska bedrivas av det centrala betalningssystemets aktörer enligt de nationella och internationella standarderna ISO/IEC 27001 och ISO/IEC 27002. Det innebär bl.a. ledningssystem hos varje aktör, i enlighet med ansvarsprincipen, med klart definierade ansvar och roller för informationssäkerhet, systematiskt arbete med riskanalyser och informationsklassning. Utredningen föreslår att i egenskap av nationell samordnare bör ges rätten att meddela föreskrifter på området. Det centrala betalningssystemet kan inte uteslutas som mål för t.ex. antagonistiska IT-angrepp. För att så långt möjligt skydda det centrala betalningssystemet från störningar bör kraven på administrativ och teknisk informationshantering därför ställas högt och IT-incidenter hanteras på ett systematiskt sätt. Syftet med IT-incidenthantering är att i realtid eller nära realtid medverka till att attacker mot datasystem avstyrs och upphör. Incidentstödet ska ha överblick och kunskaper om IT-hot och informationssäkerhet i ett helhetsperspektiv samt förmåga att kunna skilja okvalificerade och osystematiska intrångsförsök från kvalificerade och systematiska angrepp. Kvalificerad rådgivning ska kunna lämnas. Utredningen föreslår en förstärkning av den befintliga funktionen CERT-SE vid MSB med kompetens för incidenthantering rörande det centrala betalningssystemet. I ett senare skede, om behov finns, bör det vara möjligt att inrätta en separat incidenthanteringsfunktion för det centrala betalningssystemet eller en större del av den finansiella sektorn. Eftersom MSB är en samordnande myndighet utan sektorsansvar för krisberedskap inom den finansiella sektorn, är det logiskt om en sådan funktion för den finansiella sektorn i så fall senare upprättas utanför MSB, exempelvis inom . 2Utredningens uppdrag och uppläggning Enligt utredningens direktiv (dir. 2011:58), bilaga 1, ska utredningen med utgångspunkt i rapporten 2010/1619 vidareutveckla och ytterligare konkretisera de förslag som lämnas i rapporten avseende grundläggande säkerhetsnivåer och nationellt samordningsansvar för såväl förebyggande krisberedskapsåtgärder som åtgärder vid en akut kris inom det centrala betalningssystemet. I uppdraget ingår att ta fram nödvändiga författningsförslag. Inriktningen på arbetet ska vara att ta fram förslag till grundläggande säkerhetsnivåer för det centrala betalningssystemet av mer kvantitativ karaktär. Vidare ska inriktningen vara att det föreslås en ansvarig myndighet som, utan att överta annans ansvar, ska ha ett nationellt samordningsansvar för krisberedskapen i det centrala betalningssystemet. Utredningen har bestått av den särskilde utredaren, en huvudsekreterare samt en konsult. En referensgrupp bestående av representanter från , , , Myndigheten för samhällsskydd och beredskap (MSB) samt har biträtt utredningens arbete. Möten med referensgruppen har hållits . En utgångspunkt för utredningens arbete har varit dels i betalningssystemet (RiR 2007:28) samt dels 2010/1619. Den senare har remissbehandlats och remissvaren har utgjort ett värdefullt material för utredningen. Utredningens uppdrag och uppläggning Utredningen har analyserat tidigare och pågående arbeten med att formulera mål och utveckla krisberedskap också inom andra samhällsområden bl.a. inom ramen för MSB:s och tidigare verksamhet. En särskild bilaga 2 redovisar i sammanfattning detta arbete. Utredningsarbetet har omfattat besök hos och de största privata aktörerna inom det svenska betalningssystemet. Utredningen har även besökt , , MSB samt . Vidare har utredningen haft samråd med (Fi 2011:02). Internationella dokument inom området har kartlagts och analyserats. De utvärderingar av aktörerna inom det centrala betalningssystemet som har gjorts av samt och gemensamt har analyserats. Utredningen har definierat begrepp som används i samband med krishantering. Utredningsförslaget innehåller dels en kortfattad beskrivning av det centrala betalningssystemet, dels en relativt omfattande del som beskriver hur grundläggande säkerhetsnivåer eller mål kan utformas och anges. Ett kortare avsnitt beskriver värdet av det privat-offentliga samarbete som finns inom det centrala betalningssystemet. Därefter behandlas behovet av samordning av krisberedskapsåtgärder för att förebygga och förbereda krisberedskapen inom området. utpekas av utredningen som den myndighet som tilldelas ett sammanhållande ansvar för samordning av krisberedskapen i det centrala betalningssystemet. Ansvarsfördelningen mellan och klargörs. Därefter redovisas behovet av lagreglering inom området. Förslag till en ny lag om krisberedskap i det centrala betalningssystemet med författningskommentarer redovisas, jämte förslag om smärre ändringar i lagen (1988:1385) om riksbank och i offentlighets- och sekretesslagen (2009:400). Ett särskilt avsnitt om informationssäkerhet kompletterar utredningens betänkande, där behovet av tillämpning av standarder för informationssäkerhet och tillgång till incidenthantering utvecklas. En konsekvensanalys har genomförts enligt direktiven och redovisas i betänkandet. I rapporten i betalningssystemet konstaterade att det fanns ett antal avgörande brister i statens åtgärder för att förebygga och hantera allvarliga störningar i det centrala betalningssystemet.1 bedömde att såväl förmågan att förebygga som att hantera sådana störningar var bristfällig. fann brister i både regeringens givna förutsättningar och i myndigheternas genomförande av krishanteringen. Brister i regeringens givna förutsättningar noterade att regeringen inte hade fastställt krav på grundläggande säkerhet och uthållighet i betalningssystemet. Till följd av detta var målen otydliga, vilket försvårade möjligheterna för myndigheterna att kunna förbereda och inrikta beredskapsåtgärder på ett effektivt sätt. konstaterade att ett stort antal myndigheter hade ansvar för den finansiella sektorns krisberedskap och att den privatoffentliga samverkan hade breddats och intensifierats. Ingen myndighet ansåg sig emellertid ha ett övergripande och samlat ansvar för ledning, planering, samverkan och uppföljning av krisberedskapen inom betalningssystemet. Dessutom påpekade bl.a. att sekretessproblem försvårade samverkan mellan myndigheter och näringsliv. Oklarheten i ansvarsförhållanden och uppgifter bidrog till att det saknades en samlad bild av hot, risker, sårbarheter och konsekvenser samt att myndigheterna inte hade samordnat sina förberedande åtgärder tillräckligt. 1 RiR 2007:28. Uppföljningen inom området var omfattande men alltför uppsplittrad. En genomarbetad strategi för hur uppföljningen skulle ske saknades, och vad och hur myndigheterna följde upp varierade därför. Vidare var resultatet av tillsynen inte integrerad i myndigheternas övergripande rapportering om risker och sårbarheter. I fanns ingen tydlig samordning av informationshanteringen, vilket försvårade för regering och riksdag att få en heltäckande bild av beredskapen i det centrala betalningssystemet. Myndigheternas genomförande av krishanteringen En samlad bild av hot, risker och sårbarheter inom det centrala betalningssystemet i enlighet med krisberedskapsförordningens2 krav saknades enligt . Viss analys av karaktären samlad riskbedömning hade ställts samman av . Denna analys saknade dock fördjupade analysresultat från el-, tele-, och IT-området och resultat från de fördjupade analyser som hade gjort. Flera typer av hot hade inte analyserats och analyser av åtgärder var ofullständiga. Bristerna i analyserna kunde förklaras av bl.a. myndigheternas uppfattning att sekretesslagstiftningen var otillräcklig för att förhindra att grundläggande information om sårbarheter inom myndighetens egna ansvarsområde lämnades ut samt att betalningssystemet upplevdes som ett svårt område att analysera. De bristande risk- och sårbarhetsanalyserna ledde enligt till att det inte var säkerställt att de förebyggande åtgärder som vidtagits av ansvariga myndigheter och institut var tillräckliga för att kunna förhindra omfattande skadeverkningar för medborgare, företag och samhälle. bedömde att det inte var säkerställt att berörda aktörers krisledningar fungerade väl tillsammans om en kris skulle inträffa, eftersom övningar inte hade genomförts i tillräcklig omfattning. Tillsynen och övervakningen av tekniska risker inom betalningssystemet var enligt svag. Varken , eller verifierade bankernas och teleoperatörernas riskbedömningar under de år som närmast föregick rapporten. Föreskrifter om skyddsåtgärder mot tekniska hot och risker saknades, på grund av att myndigheterna inte ansåg sig ha tillräckligt lagstöd för att avkräva instituten en viss föreskriven säkerhet. 2 Förordningen (2006:942) om krisberedskap och höjd beredskap. anförde i rapporten att regeringen borde fastställa vilka grundläggande säkerhetskrav som ska gälla för betalningssystemet och dess nödvändiga infrastruktur. Regeringen borde också fastställa hur uthålligt betalningssystemet måste vara. Regeringen borde enligt även fastställa vilken myndighet som har det övergripande krisberedskapsansvaret för betalningssystemet och incidentbevakningen samt föreslå i vilka avseenden ska ha ansvar för krisberedskapen. Regeringen borde även precisera samverkansområdenas arbete och sammansättning. anförde vidare att regeringen borde se över hur uppföljningen av krisberedskapen inom betalningssystemet följs upp. rekommenderade att regeringen säkerställde att analyser av risker och sårbarheter i det centrala betalningssystemet gjordes och att analyserna uppfyllde krisberedskapsförordningens krav. Regeringen borde också se över hanteringen av sekretessbelagda uppgifter och överväga att ge en myndighet föreskriftsrätt över hur risk- och sårbarhetsanalyserna ska utformas och följas upp. Vidare borde regeringen se över hur myndigheter och institut förbereder sig för en akut allvarlig störning i betalningssystemet. En långsiktig strategi för gemensamma övningar borde utarbetas och funktionen Tjänsteman i beredskap etableras inom den finansiella sektorn.3 Ledningsansvaret för krisförberedelserna och behovet av en förberedd gemensam ledningsorganisation och en central ledningsplats inom sektorn borde ses över. Myndigheternas krisplaner borde kompletteras med åtgärder som behövs för att samverkan ska kunna ske med andra aktörer som kan bidra till att höja beredskapen i betalningssystemet. anförde även att , och via inspektioner på plats borde faktiskt kontrollera att instituten hade infört de skyddsåtgärder man uppgav sig ha infört och att kontrollsystemet fungerade som det var tänkt. ansåg också att borde använda sin föreskriftsrätt och sina sanktionsmöjligheter. 3 En Tjänsteman i beredskap har enligt 12 § krisberedskapsförordningen i uppgift att initiera och samordna det inledande arbetet för att upptäcka, verifiera, larma och informera vid allvarliga kriser. 3.2Myndigheternas redovisningar med anledning av rapport och fick av regeringen i uppdrag att redovisa vilka initiativ som hade tagits eller var planerade med anledning av rapport.4 Även sammanställde en liknande redovisning.5 konstaterade att myndigheten inte hade ett tillsynsansvar över betalningssystemet utan endast över vissa av de företag som ingår i det. Det fanns inte heller något krav från lagstiftaren på att dessa företag skulle hålla en viss lägsta driftsäkerhet för betaltjänster. Mot denna bakgrund arbetade därför huvudsakligen tillsammans med företagen och andra myndigheter i frivillig samverkan för att identifiera riskerna, öka motståndskraften och stärka krishanteringsförmågan. konstaterade att regering och riksdag, i syfte att ytterligare höja ambitionsnivån i arbetet med att säkerställa en hög säkerhet i betalningssystemet, hade möjlighet att fastställa i lag en miniminivå för betalningssystemets drift samt utse en myndighet som ansvarig för analysen och eventuellt tillsynen eller övervakningen av riskerna i hela betalningssystemet. redovisade i sin rapport en kartläggning över risker och sårbarheter i den statliga betalningsmodellen. Det svenska betalningssystemet bedömdes av som säkert och stabilt, men risker och sårbarheter konstaterades inom fyra områden: de statliga betalningarnas mängd och storlek, den statliga betalningsmodellens komplexitet, myndigheternas interna kontroll och finansiella risker i de statliga betalningarna. föreslog i rapporten ett antal åtgärder, varav de mest centrala var att myndigheterna borde fortsätta att se över, 4Finansinspektionen: Ansvaret för betalningssystemet, 2008:10, : Risker och sårbarheter i den statliga betalningsmodellen, 2008/198. 5PM Krisberedskap i betalningssystemet, 2007-829-STA. identifiera och dokumentera sina reservrutiner för interna system för att försäkra sig om att reservrutiner fanns att tillgå i ett nödläge, att borde tydliggöra vilka regler som gäller för myndigheterna för att utse behöriga personer att förfoga över myndighetens medel på bankkonton samt att regeringen borde skapa tydligare ansvarsgränser mellan och så att kunde fortsätta att effektivisera den statliga likviditetsstyrningen. avsåg att komplettera föreskrifterna till betalningsförordningen6 med krav på att myndigheter som hanterar omfattande eller kritiska samhällsbetalningar ska identifiera, avropa och dokumentera vilka tillgängliga reservrutiner som används för varje typ av affärssystem eller internt system som producerar betalningsuppdrag, för varje typ av kommunikation med banken och för varje betalningstjänst som myndigheten använder i banken. ansåg att pekade på ett antal faktiska brister i krisberedskap och krisförberedelser avseende betalningssystemet och de företag som ingår. ansåg även att flera av förslag var lämpliga att genomföra men att lösningar i första hand borde sökas i samförstånd med marknadsparterna snarare än genom lagstiftning. Inriktningen och avgränsningen av arbete utgick ifrån den tolkning gjorde av dess mandat att främja ett säkert och effektivt betalningsväsende. arbete var till övervägande del inriktat på att säkra bankernas och infrastrukturens finansiella stabilitet. Vad gäller konventionella7 kriser inriktades förberedelser i första hand på att säkerställa att egna funktioner kunde upprätthållas. uppgav att myndigheten även utförde löpande översyn av den för betalningssystemets funktion kritiska infrastrukturen. I det arbetet genomfördes utvärderingar gentemot internationellt utarbetade standarder. ansåg det vara rimligt att grundläggande säkerhetskrav fastställdes och att lagstiftning kunde behöva tillämpas när det gällde den grundläggande infrastruktur som hela samhället är beroende 6Förordningen (2006:1097) om statliga myndigheters betalningar och medelsförvaltning. 7Riksbanken betecknade operativa kriser som konventionella kriser. ansåg det vara lämpligt att en myndighet utsågs till att ha det övergripande krisberedskapsansvaret för betalningssystemet, men hade ingen synpunkt på vilken myndighet som skulle ges uppdraget. ansåg vidare det rimligt att utse en central samordnare som samlade in och analyserade information om myndigheternas krisberedskap. såg dock problem med en ansvarig myndighet i detta avseende i förhållande till det väl fungerande samarbetet inom SOES och FSPOS.8 konstaterade att omfattande störningar i el- eller teleförsörjningen som är längre än var ett samhällsproblem av större betydelse än enbart för betalningssystemet. En ekonomisk analys borde därför utföras avseende vad som borde göras inom de enskilda företagen respektive vad som borde göras av samhället generellt för att minska sårbarheten i el- och telesystemen. 3.3Krisberedskapsmyndighetens beroende– och konsekvensanalys Dåvarande fick av regeringen i uppdrag att genomföra en analys av beroenden mellan samhällsviktiga verksamheter. Inom ramen för uppdraget författades en rapport innehållande en kartläggning och analys av kritiska beroenden för sektorn finansiella tjänster.9 Rapporten var avgränsad till konsekvenser av konventionella kriser, men poängterade även det starka sambandet mellan finansiella och konventionella kriser. I rapporten konstaterades även att internationella beroenden ökar. Elberoendet var visserligen mycket stort inom den finansiella sektorn, men reservlösningar i de centrala delarna av det finansiella systemet fanns. De systemcentrala aktörerna var väl medvetna om elberoendet och hade i de flesta fall vidtagit åtgärder i form av dubbel matning och installerad reservkraft. Tillgången till reservkraft i det finansiella systemet avtog utanför systemets centrum, vilket kunde leda till att ett i och för sig fungerande betalningssystem inte kunde användas till följd av elbortfall i utkanten av systemet. 8Samverkansområdet för ekonomisk säkerhet (SOES) samt Finansiella sektorns privatoffentliga samverkansprojekt, sedermera samverkansgrupp (FSPOS). 9Beroende- och konsekvensanalys, finansiella tjänster. Offentligt arbetsmaterial från projekt , dnr 0021/2007. Även avseende elektronisk kommunikation hade de systemcentrala aktörerna vidtagit åtgärder för att skapa redundans, t.ex. i form av dubbla leverantörer och reservrutiner. Redundansen inom den elektroniska kommunikationen var dock svårare att fastställa än på elsidan eftersom alternativa elektroniska kommunikationsvägar ofta låg utom aktörernas egna kontroll, medan el kunde produceras i egna lokala reservaggregat. Den finansiella sektorn som helhet bedömdes vara mindre beroende av personal, med kontanthantering och kundtjänst som undantag. Detta eftersom de vitala processerna inom det finansiella systemet inte är personalintensiva. I rapporten slogs fast att förtroende och tillit inom den finansiella sektorn var av fundamental betydelse. konstaterade i rapporten att det enligt en allmänt spridd uppfattning var den finansiella marknaden som hade det primära ansvaret för att hantera stora operativa avbrott. I rapporten poängterades behovet av att närmare tydliggöra gränsen mellan de finansiella tjänsteleverantörernas ansvar å ena sidan och el- och telefonileverantörernas ansvar å andra sidan. genomfördes i dåvarande regi en samverkansövning med ett tjugotal myndigheter och organisationer som övade aktörer. Övningsscenariot omfattade en organiserad IT-attack mot de finansiella systemen i samhället, med risk för förtroendekris som följd. Det övergripande målet för övningen var att övade aktörer skulle utveckla sin förmåga att i samverkan upprätthålla förtroendet för samhällets institutioner vid en samhällskris. utvärdering av övningen visade att aktörerna inte i någon större omfattning samverkade utanför befintliga nätverk och att övningsdeltagarna inte upplevde att det skapades någon gemensam lägesuppfattning.10 Av ansvarsprincipen följer myndigheternas ansvar när det gäller det egna ansvarsområdet, men även varje aktörs ansvar att samverka med andra. Samverkan förutsätter att aktörerna ser en nytta i och har ett behov av att samverka. För att öka viljan och förmågan till samverkan borde berörda aktörer ha bättre kunskap om krisberedskapssystemets ramverk, en ökad förståelse för betydelsen av samverkan i en 10 Utvärdering av Samverkansövning 2008, KBM dnr 1470/2007. krissituation, en ökad kunskap om andra aktörers ansvar och mandat i en kris samt en ökad kunskap om andra aktörers behov av information. Vidare konstaterade i utvärderingen bl.a. att rutiner och former för att skapa samlade lägesuppfattningar borde klargöras. Samlade lägesuppfattningar ges av regeringen stor vikt i prop. 2007/08:92 Stärkt krisberedskap – för säkerhets skull.