sou · GZB378 · 2011-12-01 00:00:00 — För viktiga delar av det centrala betalningssystemet bör dessutom en eller två alternativa driftsplatser finnas. Också personalförsörjningen i krissituationer bör beaktas. En pandemi kan under olyckliga omständigheter slå hårt mot nyckelpersoner i det centrala betalningssystemet. Genomgången visar att det finns ett antal åtgärder som bör vidtas för att skydda de tekniska system – externa och interna – som det centrala betalningssystemet är beroende av. Den redovisning som har gjorts i rapporten 2010/1619 visar att en del har gjorts. Det är väsentligt att de åtgärder som ytterligare behöver vidtas samordnas mellan de olika aktörerna i det centrala betalningssystemet. Utan en gemensam syn på vilka skyddsåtgärder som behöver vidtas är risken stor att det uppstår svaga punkter i systemet som under olyckliga omständigheter kan ge upphov till störningar och haverier alternativt utnyttjas av sabotörer eller terrorister. 5.8Förslag till grundläggande säkerhetskrav på det centrala betalningssystemet i en krissituation Utredningen konstaterar att risk- och sårbarhetsanalyser och kontinuitetsplanering båda bör användas av aktörerna i det centrala betalningssystemet. Dessa metoder kompletterar varandra på ett värdefullt sätt. Av avsnitten 5.6 och 5.7 har framgått att de säkerhetskrav som bör ställas på det centrala betalningssystemet bör utformas som en kombination av funktionskrav på detta system och krav på de tekniska system – externa och interna – som det centrala betalningssystemet är beroende av. Av avsnitt 5.5 har dessutom framgått att det centrala betalningssystemet bör ha förmåga att hantera alla de kriser som identifieras i den risk- och sårbarhetsanalys som bör utarbetas för systemet. Risk- och sårbarhetsanalysen bör utföras i enlighet med de föreskrifter som finns för sådana analyser inom krisberedskapen. Mot denna bakgrund kan de grundläggande säkerhetskraven på det centrala betalningssystemet i en krissituation formuleras som följer: 1.Målet är att det centrala betalningssystemet även vid en allvarlig kris kan avveckla alla transaktioner i enlighet med ingångna avtal och gällande lagstiftning, i regel senast under pågående bankdag. 2.Vid en allvarlig störning eller avbrott i verksamheten hos en aktör i det centrala betalningssystemet ska återgång till ordinarie drift eller övergång till reservsystem ske senast . 3.Om detta inte är möjligt ska en alternativplanering finnas som gör det möjligt att i ett krisläge prioritera de viktigaste transaktionerna. 4.Principer och metoder för att identifiera och i ett krisläge prioritera de viktigaste transaktionerna ska utvecklas. Ovanstående funktionskrav bör kombineras med krav på de tekniska system och de skyddsanordningar som det centrala betalningssystemet är beroende av för att fungera. I avsnitt 5.7 redovisades ett antal exempel på hur sådana krav kan utformas. I lagstiftningen finns det anledning att uttrycka sig mer generellt vid utformningen av dessa krav. Man bör begränsa sig till att ange att det bör finnas reservförfaranden för viktiga system som gör det möjligt att uthålligt upprätthålla funktionen hos det centrala betalningssystemet. bör man i lagstiftningen peka ut en myndighet som ges befogenhet att utfärda föreskrifter om vilka krav som bör ställas på de reservförfaranden som bör tillämpas av det centrala betalningssystemets aktörer. Som framgår av kapitel 7 anser utredningen att bör tilldelas detta ansvar. I dessa föreskrifter finns det anledning att vara konkret och så långt som möjligt kvantifiera de krav som ställs på de reservförfaranden som ska användas. Vid genomförandet av de säkerhetskrav som ställs på det centrala betalningssystemet bör ansvarsprincipen tillämpas. Det innebär att varje aktör i systemet ska svara för att den egna verksamheten bedrivs i enlighet med de övergripande krav som ställs. Berörda aktörer behöver därför ha en kvalificerad och väl utbyggd kontinuitetsplanering. har utgett en vägledning för kontinuitetsplanering inom den finansiella sektorn, som fortlöpande bör revideras.8 vägledning ger en god bild av vilka åtgärder som bör genomföras i kontinuitetsplaneringen. är det väsentligt att den myndighet som utfärdar föreskrifterna bedriver sitt arbete i nära samverkan med de viktigaste aktörerna inom det centrala betalningssystemet och med berörda myndigheter. Detta kan bl.a. ske inom ramen för FSPOS och i de samverkansområden som finns inom krisberedskapen. De grundläggande säkerhetskrav som bör ställas på det centrala betalningssystemet i en krissituation kan sammanfattas som följer: 1.Det centrala betalningssystemet ska i alla de krissituationer som identifieras i en risk- och sårbarhetsanalys som genomförs enligt de 8 Vägledning vid kontinuitetsplanering – processen och planen. 2005 (dnr 05-1250-040). metoder som tillämpas inom krisberedskapen ha förmåga att avveckla alla transaktioner i enlighet med ingångna avtal och gällande lagstiftning, i regel senast under pågående bankdag. 2.Vid en allvarlig störning eller avbrott i verksamheten hos en aktör i det centrala betalningssystemet ska återgång till ordinarie drift eller övergång till reservsystem ske senast . 3.Om detta inte är möjligt ska en alternativplanering finnas förberedd som gör det möjligt att i ett krisläge prioritera de viktigaste transaktionerna. Principer och metoder för att identifiera och prioritera dessa transaktioner ska finnas tillgängliga. 4.En myndighet – – ska ges befogenhet att utfärda föreskrifter för de reservförfaranden och säkerhetsanordningar som ska tillämpas av det centrala betalningssystemets aktörer i syfte att tillse att de krav som anges i punkterna 1-3 kan tillgodoses också vid omfattande och långvariga störningar i den tekniska infrastruktur som det centrala betalningssystemet är beroende av. Den privat-offentliga samverkan som behöver ske vad gäller krisberedskapsåtgärder inom det centrala betalningssystemet bör även i fortsättningen hanteras inom ramen för samarbetet inom FSPOS. Utan de privata aktörerna i det centrala betalningssystemet skulle detta system inte fungera. En väl utvecklad privat-offentlig samverkan är därför angelägen och nödvändig för det centrala betalningssystemets funktion både under normala förhållanden och under kriser. Ansvarsprincipen bör vara utgångspunkten för den privatoffentliga samverkan som sker inom det centrala betalningssystemet. Detta innebär att varje aktör ska behålla ansvaret för den egna verksamheten i en krissituation och genomföra de krisberedskapsåtgärder som är nödvändiga för att upprätthålla verksamheten i en sådan situation. Privat-offentlig samverkan med inriktning på krisberedskapsåtgärder inom den finansiella sektorn sker inom ramen för den finansiella sektorns privat-offentliga samverkansorgan, FSPOS. Det gäller också den samverkan som avser det centrala betalningssystemet. Samarbetet inom FSPOS anses generellt fungera väl. FSPOS framhålls ofta som ett gott exempel på en väl fungerande privat-offentlig samverkan inom krisberedskapen. finns det också en etablerad ansvarsfördelning mellan FSPOS och samverkansområdet SOES. I SOES ingår myndigheter som har krisberedskapsuppgifter med inriktning på ekonomisk säkerhet. Dessa verksamheter kompletterar därför varandra på ett bra sätt. Av dessa skäl bör man undvika att skapa nya former för privatoffentlig samverkan vid sidan av FSPOS vad gäller krisberedskapsåtgärder inom det centrala betalningssystemet. Den privat-offentliga samverkan som behöver ske vad gäller krisberedskapsåtgärder beträffande detta system bör även i fortsättningen hanteras inom ramen Att koncentrera det privat-offentliga samarbetet till ett samverkansorgan gör det dessutom lättare att hantera de beroendeförhållanden som finns mellan det centrala betalningssystemet och övriga delar av den finansiella verksamheten. FSPOS leds av en styrelse. bestod styrelsen av representanter för , Bankgirocentralen, Euroclear , , , , , , , , , och Svensk Försäkring. Styrelsens ordförande har hämtats från . Det praktiska arbetet inom FSPOS bedrivs i ett antal arbetsgrupper. fanns arbetsgrupper för betalningsförmedling, information (i kriser), kritisk infrastruktur, grundläggande säkerhetsnivåer samt övning. MSB tillhandahåller en kanslifunktion för FSPOS. MSB bidrar också till verksamheten i arbetsgrupperna med medel från krisberedskapsanslaget. FSPOS bedrevs från början i projektform men permanentades . Parallellt med utredningens arbete har FSPOS utarbetat en strategi för forumets långsiktiga krisberedskapsarbete som sträcker sig till och med . Arbetet kommer att drivas inom de befintliga arbetsgrupperna. Dessutom avser FSPOS att ha ett mer uttalat fokus på omvärldsbevakning och internationella erfarenheter, risk- och sårbarhetsanalyser, informationssäkerhet samt utarbetande av en särskild övningsstrategi. Denna utökning kan komma att innebära att nya arbetsgrupper utses inom FSPOS. Sammanfattningsvis finns en väl utbyggd privat-offentlig samverkan i krisberedskapsfrågor inom den finansiella sektorn. Denna samverkan omfattar de viktigaste aktörerna inom sektorn och utövas framförallt via FSPOS. Det finns därför anledning att slå vakt om samarbetet inom FSPOS och att inte skapa konkurrerande samverkansstrukturer vid sidan av FSPOS. Den privat-offentliga samverkan som krävs vad gäller krisberedskapsåtgärder inom det centrala betalningssystemet bör därför även i fortsättningen bedrivas inom ramen för FSPOS. I rapporten 2010/1619 föreslås att statsmakterna beslutar att införa ett nationellt samordningsansvar för krisberedskapsåtgärder inom det centrala betalningssystemet och att detta ansvar läggs på . Det nationella samordningsansvaret föreslås omfatta följande uppgifter vad gäller det förebyggande arbetet: leda privat-offentlig samverkan, leda och genomföra övningar, ansvara för teknisk granskning av gränssnitt, ansvara för att IT-incidentrapporteringen samordnas, ansvara för att det löpande upprättas en aggregerad risk- och sårbarhetsanalys, ansvara för att det upprättas en årlig lägesrapport till regering/riksdag om krisberedskapen i de centrala delarna av betalningssystemet, planera för informations- och kommunikationssamordning vid kriser samt övervaka den föreslagna regleringen. Dessutom föreslås den samordningsansvariga myndigheten få vissa övergripande uppgifter vid en akut kris. Dessa uppgifter definieras dock inte närmare. I rapporten uttalas endast att utgångspunkten bör vara att ansvarsprincipen gäller. Detta anses innebära att den samordningsansvariga myndigheten vid en akut kris ska övervaka situationen, ge stöd och vara rådgivande, samla in uppgifter samt rapportera till MSB och regeringen. I detta kapitel behandlas behovet av samordning vad gäller krisberedskapsåtgärder inom det centrala betalningssystemet, nuvarande system för samordning av sådana åtgärder samt olika sätt att organisera en förstärkt samordning av de krisberedskapsåtgärder som avser det centrala betalningssystemet. 7.2Behov av samordning av krisberedskapsåtgärder Behovet av att samordna de krisberedskapsåtgärder som vidtas beträffande det centrala betalningssystemet har ytterst att göra med att olika aktörer inom detta system är beroende av varandra och att de krisberedskapsåtgärder som vidtas av dessa aktörer måste ligga på en sådan nivå att de mål som sätts för systemets samlade prestationsförmåga i ett krisläge kan uppnås. Brister i samordningen kan medföra att åtgärder som är nödvändiga för att det centrala betalningssystemet ska fungera i ett krisläge inte vidtas eller att nivån på genomförda åtgärder är ojämn. I det senare fallet skapas svagheter i beredskapssatsningarna som kan påverka betalningssystemets samlade prestationsförmåga i ett krisläge. Behov av samordning finns också beträffande de operativa åtgärder som vidtas under en pågående kris. I detta fall är dock tidsperspektiven betydligt kortare och möjligheterna att kompensera för eventuella brister i vidtagna beredskapsåtgärder begränsade eller obefintliga. Behovet av att samordna såväl beredskapsåtgärder som operativa åtgärder under en kris är större inom det centrala betalningssystemet än inom många andra verksamheter. Anledningen är att systemet omfattar ett antal aktörer vars verksamheter är nödvändiga för att systemet ska fungera och där ett bortfall av en aktör kan få långtgående konsekvenser för systemet som helhet. Betydelsen av detta förstärks av att hela det finansiella systemet är beroende av att det centrala betalningssystemet fungerar. Brister i beredskapen hos en aktör kan därför få omfattande spridningseffekter inom hela den finansiella sektorn. Av dessa skäl måste höga krav ställas på samordningen av de krisberedskapsåtgärder som vidtas beträffande det centrala betalningssystemet. 7.3Nuvarande system för samordning av krisberedskapsåtgärder saknas ett system som är direkt inriktat mot samordning av de krisberedskapsåtgärder som vidtas beträffande det centrala betalningssystemet. Myndigheter som har krisberedskapsuppgifter med inriktning mot den finansiella sektorn och som omfattas av krisberedskapsförordningen samordnar dock sitt arbete inom ramen för SOES.1 ingår dock inte i SOES. Flera av de privata aktörer som har uppgifter inom det centrala betalningssystemet är direkt eller indirekt företrädda i FSPOS.2 Arbetet inom FSPOS avser privat-offentlig samverkan vad gäller krisberedskapsfrågor som omfattar hela den finansiella sektorn. FSPOS har inga operativa ledningsuppgifter vare sig i ett normalläge eller i en krissituation. deltar i arbetet inom FSPOS. genomförde () en samverkansövning som avsåg en kris i det finansiella systemet (SAMÖ-08). Det scenario som låg till grund för SAMÖ-08 omfattade en organiserad IT-attack mot de finansiella systemen i samhället. I övningen deltog flertalet myndigheter inom SOES och ett antal privata aktörer från den finansiella sektorn. SAMÖ-08 visade att det fanns ett antal brister i samverkan mellan de deltagande aktörerna.3 Bl.a. prioriterade dessa inte samverkan utanför befintliga nätverk. De hade inte heller tillräckliga kunskaper om varandras mandat. Dessutom kunde man inte skapa en gemensam lägesuppfattning och oklarhet rådde om KBM:s roll och ansvar vid en finansiell kris. I rapporten 2010/1619 redovisas vissa störningar som har inträffat i det centrala betalningssystemet . Dessa har dock tack vare väl fungerande reservförfaranden kunnat begränsas till systemet som sådant och har därför inte fått några samhällseffekter. 1SamverkansOmrådet Ekonomisk Säkerhet. 2Den Finansiella Sektorns Privat-Offentliga Samverkansgrupp. 3Utvärdering av Samverkansövning 2008. KBM dnr 1470/2007. 7.4Innehållet i ett förstärkt samordningsansvar för krisberedskapsåtgärder Inledningsvis kan konstateras att det finns många typer av samordningsansvar inom statsförvaltningen och att dessa ansvar i många fall också får konsekvenser för en myndighets krisberedskapsansvar. Ett exempel är det s.k. sektorsansvaret. Det finns ingen enhetlig definition av vad som avses med ett sektorsansvar och de sektorsansvar som förekommer inom statsförvaltningen har också ett mycket varierande innehåll. Däremot utarbetar de myndigheter som uppfattas ha någon typ av sektorsansvar i regel en risk- och sårbarhetsanalys som både omfattar den egna myndighetens och den berörda sektorns verksamhet. Ett exempel på detta är vars risk- och sårbarhetsanalys är uppdelad i en del som avser myndighetens egen verksamhet och en del som avser verksamheten inom energisektorn. Så kallat nationellt samordningsansvar för krisberedskapsåtgärder har införts för som har ett sådant ansvar för livsmedels- och dricksvattensförsörjningen. I detta ansvar ingår bl.a. att identifiera centrala aktörer inom området, bilda nätverk för samråd, analys och planering, övervaka arbetet med risk- och sårbarhetsanalyser avseende livsmedel och dricksvatten samt att bedöma behovet av en formaliserad samverkan med privata aktörer. Fram hade ett antal myndigheter s.k. funktionsansvar för de funktioner som fanns inom det civila försvaret. Bl.a. hade funktionsansvar för funktionen Betalningsväsende. Detta ansvar övertogs därefter av . skulle ha kvar beredskapsansvaret för sin egen verksamhet. I funktionsansvaret ingick bl.a. att samordna planeringen av beredskapsförberedelserna inom funktionen, svara för utbildnings- och övningsverksamhet inom funktionen samt att redovisa beredskapsläget inom funktionen. De samverkansområden som ersatte det civila försvarets funktioner har inte någon fast ansvarig myndighet även om MSB stödjer verksamheten genom att tillhandahålla en kanslifunktion. Samverkansområdet är inte heller någon organisation i sig utan bygger på det samarbete som sker mellan fristående myndigheter med eget ansvar. Det nationella samordningsansvar som föreslogs i rapporten 2010/1619 beträffande det centrala betalningssystemet har till stor del utgått från det nationella samordningsansvar som gäller för livsmedel och dricksvatten. Innehållet i det samordningsansvar som föreslogs beträffande det centrala betalningssystemet beskrevs inledningsvis i detta kapitel. Beträffande det förebyggande arbetet kan konstateras att det i detta arbete också bör ingå att formulera och följa upp grundläggande säkerhetskrav på det centrala betalningssystemet. Utan en sådan uppföljning kan det vara svårt att upprätta den årliga lägesrapport till och regeringen som nämns bland de uppgifter som avses ingå i det nationella samordningsansvaret. Det kan också vara rimligt att utarbeta en särskild risk- och sårbarhetsanalys för det centrala betalningssystemet. Det är dock väsentligt att detta arbete samordnas med motsvarande arbete på . Den risk- och sårbarhetsanalys som har utarbetats av omfattar hela den finansiella sektorn. En uppdelning av ansvaret måste därför ske om det nationella samordningsansvaret för det centrala betalningssystemet läggs på . Beträffande IT-incidentrapporteringen är det väsentligt att man följer de principer som har lagts fast av MSB. Detta motsäger inte att det är väsentligt att samordna detta arbete inom det centrala betalningssystemet i syfte att skapa en god överblick över de IT- incidenter som förekommer. Detta gäller inte minst med hänsyn till att det centrala betalningssystemet kan uppfattas som ett kvalificerat mål också för mycket allvarliga och långtgående cyberattacker. Vid allvarliga kriser i det centrala betalningssystemet är det väsentligt att det finns en krisledningsfunktion med befogenhet att samordna de åtgärder som behöver vidtas för att minska skadeverkningarna och att återupprätta systemets funktion så snabbt som möjligt. I detta sammanhang kan konstateras att det även bör vara en uppgift i det nationella samordningsansvaret att utbilda och öva personal som ska ha uppgifter i krisledningsorganisationen. Sammanfattningsvis bör följande uppgifter ingå i det nationella samordningsansvaret för krisberedskapsåtgärder inom det centrala betalningssystemet: 1.Utforma och följa upp föreskrifter avseende grundläggande säkerhetskrav på det centrala betalningssystemet i en krissituation. 2.Ta fram en risk- och sårbarhetsanalys för det centrala betalningssystemet i enlighet med de anvisningar för risk- och sårbarhetsanalyser som gäller inom krisberedskapen. 3.Leda och samordna beredskapsplaneringen inom det centrala betalningssystemet med inriktning mot de krissituationer som identifieras i risk- och sårbarhetsanalysen. 4.Utbilda och öva personal inom det centrala betalningssystemet för de krisberedskapsuppgifter som behöver utföras. 5.Verka för att en effektiv privat-offentlig samverkan sker mellan det centrala betalningssystemets aktörer. 6.Lämna information om beredskapsläget vad gäller det centrala betalningssystemet efter förfrågan från eller MSB. Under en pågående kris bör det nationella samordningsansvaret för det centrala betalningssystemet omfatta följande uppgifter: 1.Leda och samordna de åtgärder som vidtas av det centrala betalningssystemets aktörer för att hantera krisen. 2.Löpande upprätta lägesrapporter som redovisas till riksdag och regering samt till MSB och andra myndigheter. 3.Samordna den information som riktas till allmänheten och media om krisens förlopp. 7.5Valet av samordningsansvarig myndighet för krisberedskapsåtgärder bör tilldelas det nationella samordningsansvaret för krisberedskapsåtgärder avseende det centrala betalningssystemet. Detta ansvar ska inte omfatta uppgifter som ingår i tillsynsansvar. Enligt utredningens direktiv ska det nationella samordningsansvaret avse det centrala betalningssystemet. bedömningen att det nationella samordningsansvaret borde ligga på en befintlig myndighet vars huvudsakliga ansvarsområde ligger nära det nu aktuella ansvarsområdet. I valet mellan och konstaterades i rapporten att båda myndigheterna har som delvis likalydande mål att främja det finansiella systemets stabilitet och effektivitet. har till uppgift att utöva tillsyn över aktörerna i det finansiella systemet, medan har tolkat sitt uppdrag i detta avseende som att övervaka de stora bankerna och infrastrukturföretagen. I rapporten anges att uppdrag är ett övergripande ansvar för en av det finansiella systemets funktioner, nämligen betalningsförmedlingen. ansvar anges vara att övervaka de finansiella företagen och hela deras verksamhet, där betalningsförmedling endast är en av flera verksamheter. Vid en samlad bedömning angavs som lämpligast att ges det nationella samordningsansvaret.4 har remissbehandlats och en tydlig majoritet av remissinstanserna ställde sig bakom förslaget i denna del. Utredningen instämmer i bedömningen och föreslår ingen ändring i detta avseende. Det kan konstateras att valet av som ansvarig för den nationella samordningen av krisberedskapsåtgärder för det centrala betalningssystemet innebär att ansvaret inte kommer att ligga på en myndighet under regeringen. Regeringen har följaktligen inte möjlighet att styra arbetet i myndigheten, vilket skulle kunna innebära en att samordningsproblem i förhållande till det övriga krisberedskapsarbetet i samhället, vilket också berörs i SKRIB- rapporten. I utredningens författningsförslag får dock en skyldighet att hålla regeringen informerad vid allvarliga störningar i det centrala betalningssystemet och att förse de närmast berörda myndigheterna under regeringen med information. Dessa skyldigheter för syftar till att skapa förutsättningar för att en tillfredställande samordning ska kunna ske. Det faktum att det nationella samordningsansvaret läggs på bör dock inte rubba det krisberedskapsansvar som har för övriga delar av den finansiella sektorn. Det bör inte heller förändra det tillsynsansvar som har för aktörerna i det finansiella systemet. 4 Fi 2010/1619, s. 67 ff. Om man lägger det nationella samordningsansvaret för det centrala betalningssystemet på delas krisberedskapsansvaret för den finansiella sektorn mellan två myndigheter. Detta kan ge upphov till oklarheter i ansvarsfördelningen mellan myndigheterna både vad gäller krisberedskapsuppgifterna och i förhållande till tillsynsuppgifter. Ett exempel på detta är risk- och sårbarhetsanalyserna. Inrättandet av ett nationellt samordningsansvar för det centrala betalningssystemet medför att två risk- och sårbarhetsanalyser måste upprättas för den finansiella sektorn. Detta medför risk för dubbelarbete. Det är därför angeläget att myndigheterna – och – har ett nära samarbete och noga samordnar sitt arbete. Allmänt kan konstateras att det stora antalet privata aktörer inom den finansiella sektorn medför att det är särskilt angeläget att precisera gränssnitten mellan myndigheterna om krisberedskapsansvaret delas mellan och på det sätt som har föreslagits ovan. Oklarheter i gränsdragningen mellan myndigheterna kan medföra att de privata aktörernas engagemang i krisberedskapsfrågorna minskar. Samma effekt kan uppstå om berörda myndigheter inte förmår att i tillräcklig utsträckning samordna sin uppgiftsinhämtning från den privata sektorn.