sou · H4B353 · 2016-08-31 00:00:00 — föreskrifter och allmänna råd om hantering av operativa risker (FFFS 2014:4) gäller för bl.a. bankaktiebolag, sparbanker och värdepappersbolag och innehåller bestämmelser om hur dessa företag ska hantera operativa risker i sin verksamhet. För dessa företag gäller också föreskrifter och all- männa råd om informationssäkerhet, IT-verksamhet och insättnings- system (FFFS 2015:5). Föreskrifterna är meddelade med stöd av 5 kap. 2 § 4 förordningen (2004:329) om bank- och finansieringsrör- else samt 6 kap. 1 § 9–13 och 29 (2007:572) förordningen (2007:572) om värdepappersmarknaden. Flera av de företag som berörs av dessa föreskrifter tillhanda- håller betaltjänster och är således betaltjänstleverantörer enligt betal- tjänstlagen. Samtliga betaltjänstleverantörer omfattas dock inte av föreskrifterna eftersom dessa inte gäller för betalningsinstitut eller registrerade betaltjänstleverantörer. Det framstår därför som lämpligt att också meddelar föreskrifter om hur betal- tjänstleverantörernas system för upptäckt av säkerhetsrisker och ope- rativa risker bör utformas och vilka säkerhetsåtgärder som systemet ska innefatta. bör också kunna meddela föreskrifter om ut- formningen av betaltjänstleverantörernas rapporteringsskyldighet i fråga om operativa risker och säkerhetsrisker i deras verksamheter samt med vilka tidsintervall och i vilken form rapportering ska göras. Regeringen eller den myndighet regeringen bestämmer bör alltså be- myndigas att meddela föreskrifter på detta område. I detta samman- hang bör det noteras att föreskrifterna inte kan gå utöver de rikt- linjer som ska utarbeta på området. Om kommissionen finner att ska utarbeta tekniska standarder enligt artikel 95.4 bör dessa ersätta de av meddelade föreskrifterna. Utredningen återkommer i det följande till frågan om vad som utgör en allvarlig incident. Operativa risker, säkerhetsrisker och autentisering 10.3.1Det andra betaltjänstdirektivets reglering Av artikel 96.1 följer att betaltjänstleverantörer vid allvarliga opera- tiva eller säkerhetsincidenter utan onödigt dröjsmål ska underrätta den behöriga myndigheten i hemmedlemsstaten. Om incidenten på- verkar eller kan påverka betaltjänstanvändarnas ekonomiska intressen ska leverantören dessutom utan onödigt dröjsmål informera använd- arna om incidenten och om alla tillgängliga åtgärder som de kan vidta för att begränsa dess negativa effekter. Enligt artikel 96.2 ska den behöriga myndigheten i hemmedlems- staten, efter att ha mottagit en underrättelse som avses i artikel 96.1, utan onödigt dröjsmål låta och ta del av relevanta upp- gifter om incidenten. Myndigheten ska också, efter att ha gjort en bedömning av incidentens relevans för andra berörda myndigheter i den medlemsstaten, informera dem om incidenten. Av bestämmelsens andra stycke följer att och i samråd med den behöriga myndigheten i hemmedlemsstaten ska göra mot- svarande bedömning för andra unionsmyndigheter och nationella myndigheter och även informera dem i enlighet med detta. Enligt artiklarna 96.3–96.5 ska bl.a. utfärda riktlinjer för betaltjänstleverantörer och för behöriga myndigheter om hur allvarliga incidenter ska klassificeras respek- tive kriterier för att bedöma incidenters relevans. Slutligen följer det av artikel 96.6 att betaltjänstleverantörerna åtminstone en gång ska förse de behöriga myndigheterna med statistiska uppgifter om bedrägerier i samband med olika betalnings- medel. De behöriga myndigheterna ska i sin tur tillhandahålla och sådana uppgifter i aggregerad form. Förslag: En betaltjänstleverantör ska vara skyldig att utan onödigt dröjsmål underrätta om en allvarlig operativ incident eller säkerhetsincident. ska vara skyl- dig att utan onödigt dröjsmål låta och ta del av rele- vanta uppgifter om incidenten. Om incidenten påverkar eller kan påverka betaltjänstanvändares ekonomiska intressen ska betal- Operativa risker, säkerhetsrisker och autentisering tjänstleverantörerna också underrätta sina användare om händel- sen och vidta de åtgärder som krävs för att begränsa den skada som kan uppkomma till följd av incidenten. Regeringen eller den myndighet regeringen bestämmer ska bemyndigas att meddela föreskrifter med riktlinjer om i vilka situationer som rapportering ska ske och om hur olika incidenter ska bedömas och klassificeras. Betaltjänstleverantörer ska vara skyldiga att tillhandahålla statistiska uppgifter om bedrägerier som har genomförts i samband med användningen av olika betaltjänster. Regeringen eller den myndighet som regeringen bestämmer bör bemyndigas att meddela föreskrifter om vilka uppgifter som ska lämnas till myndigheten i detta avseende. För att genomföra det andra betaltjänstdirektivets regler om inci- dentrapportering bör det av betaltjänstlagen framgå att betaltjänst- leverantörer utan onödigt dröjsmål ska underrätta Finansinspek- tionen om allvarliga operativ incidenter och säkerhetsincidenter. Det bör också framgå att, om incidenten påverkar eller kan påverka betaltjänstanvändares ekonomiska intressen, leverantören ska under- rätta även dessa om händelsen och vidta de åtgärder som krävs för att begränsa den skada som kan uppkomma till följd av incidenten. Frågan är vad som ska anses vara en sådan allvarlig operativ inci- dent eller säkerhetsincident som kräver att betaltjänstleverantören agerar. Artikel 96 ger ingen ledning i denna fråga. Det bör ankomma på att, för tiden fram till dess riktlinjer från föreligger, bestämma i vilka situationer rapportering ska göras samt hur olika incidenter ska bedömas och klassificeras. Finans- inspektionen bör också kunna bestämma vilka kriterier som ska vara avgörande vid bedömningen av om en incident påverkar eller riskerar att påverka betaltjänstanvändares ekonomiska intressen. Ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela sådana föreskrifter bör därför införas i lagen. Allmänt kan sägas att information till betaltjänstanvändarna om incidenter som kan påverka deras ekonomiska intressen ofta bör kunna ges via betaltjänstleverantörens hemsida eller via internet- banken för att snabbt nå så många användare som möjligt. Det kan emellertid övervägas om information i annan form, t.ex. genom ut- skick per post, bör göras i vissa fall för att säkerställa att samtliga Operativa risker, säkerhetsrisker och autentisering användare nås av informationen. bör i före- skrifter också kunna ange hur betaltjänstanvändarna ska informeras och bemyndigandet bör således avse om formen för användarinfor- mation. För att genomföra direktivets bestämmelse i artikel 96.2 bör det i betaltjänstlagen anges att , efter att ha mottagit en underrättelse om en allvarlig incident, utan onödigt dröjsmål ska lämna och relevant information om den inträffade händel- sen. Slutligen bör det i betaltjänstlagen införas en bestämmelse med innebörden att betaltjänstleverantörer är skyldiga att tillhandahålla statistiska uppgifter om bedrägerier som har skett i samband med användningen av olika betalningsmedel. Det är oklart vad som avses med termen betalningsmedel (eng. means of payment). Denna term innefattar även kontanter, som är undan- taget från direktivets bestämmelser. En lämpligare formulering torde vara att betaltjänstleverantörerna ska lämna uppgifter om bedräge- rier i samband med användning av olika betaltjänster. Det framgår inte heller av direktivet vad som här avses med ut- trycket bedrägerier. Det är sålunda oklart om rapporteringsskyldig- heten omfattar endast konstaterade fall av bedrägerier eller om den också ska omfatta anmälda bedrägerier. bör få ange i vilka situationer rapportering ska göras samt hur och med vilket intervall uppgifterna ska lämnas. Regeringen eller den myndig- het som regeringen bestämmer bör således bemyndigas att meddela föreskrifter med detta innehåll. samlar med stöd av lagen (1988:1385) om riksbank (riksbankslagen) in en mängd uppgifter och har i prak- tiken ansvar för ett flertal statistikområden. Det gäller dels den svenska betalningsbalansstatistiken, dels ett antal olika områden inom finansiell statistik, som t.ex. statistik över bankernas balansräkningar. Inom ramen för sitt uppdrag att främja ett säkert och effektivt betalningsväsende samlar också in information och stati- stik från aktörer på betalningsmarknaden, vilken redovisas i olika publikationer. rätt att inhämta information från aktörerna är en- ligt 6 kap. 9 § riksbankslagen begränsad till finansinstitut eller andra företag som står under tillsyn. Av första stycket i denna bestämmelse följer att ett finansinstitut eller annat företag Operativa risker, säkerhetsrisker och autentisering som står under tillsyn av efter anmodan av Riks- banken ska lämna de uppgifter som anser nödvändiga för att följa utvecklingen på valuta- och kreditmarknaderna samt övervaka betalningssystemets stabilitet. Även har alltså ett berättigat intresse av att ta del av information om bedrägerier som förekommer i samband med användning av betalningsinstrument. Därför bör också få del av information om bedrägerier i samband med användning av betalningsmedel. Det bör vara möjligt för att begära ut dessa uppgifter från den enskilde betaltjänstleverantören, eftersom denne står under Finansinspek- tionens tillsyn (till skillnad från sådana utländska betalningsinstitut, som behandlas i avsnitt 12.2.6, och för vilka föreslås bli utsedd till behörig myndighet för att kunna inhämta informations från dessa aktörer). Om två olika myndigheter kan begära ut information från leve- rantörerna riskerar detta att öka den administrativa bördan för betal- tjänstleverantörerna. och är enligt sina instruktioner skyldiga att samråda med och lämna uppgifter till varandra i viktigare frågor som har samband med betalningssyste- mets stabilitet eller berör ansvar för valuta- och kredit- politiken och för betalningsväsendet, respektive tillsynsverksamhet (4 kap. 3 § lagen (om riksbank och 7 § förordning (2009:93) med instruktion för ). Inom ramen för denna skyldighet är det önskvärt att och så långt det är möjligt samordnar sin informa- tionsinsamling från betaltjänstleverantörerna för att minimera bördan för de uppgiftslämnande företagen. Myndigheterna bör således sträva efter att deras informationsinhämtning inte medför mer dubbelarbete för den enskilde betaltjänstleverantören än att denne i praktiken ska förse båda myndigheterna med samma information . 10.4.1Det andra betaltjänstdirektivets reglering Autentisering definieras i artikel 4.29 som ”ett förfarande genom vil- ket en betaltjänstleverantör kan kontrollera en betaltjänstanvändares identitet eller giltighet när det gäller användningen av ett specifikt Operativa risker, säkerhetsrisker och autentisering betalningsinstrument, inklusive användarens personaliserade behörig- hetsfunktioner”. Termen stark kundautentisering definieras i arti- kel 4.30 som ”en autentisering som grundas på användning av två eller flera element, kategoriserade som kunskap (något som bara användaren vet), innehav (något som bara användaren har) och unik egenskap (något som användaren är), som är fristående från var- andra så att det faktum att någon har kommit över ett av elementen inte äventyrar de andra elementens tillförlitlighet, och som är utfor- mad för att skydda autentiseringsuppgifternas sekretess” (om dessa definitioner, se avsnitt 4.3). Artikel 97 handlar om grundläggande krav på betaltjänstleveran- törens kundautentisering. Enligt 97.1 ska leverantören tillämpa stark kundautentisering2 när betalaren a) loggar in på sitt konto online, b) initierar en elektronisk betalningstransaktion c) genomför någon åtgärd på distans som kan innebära en risk för betalningsbedrägeri eller annat missbruk. Medlemsstaterna ska enligt 97.2 säkerställa att stark kundautenti- sering, som omfattar inslag som på ett dynamiskt sätt kopplar trans- aktionen till ett specifikt belopp och en specifik betalningsmottagare, tillämpas vid initiering av elektroniska betalningstransaktioner som avses i punkt 1 b) och utförs på distans. För att stärka skyddet för betaltjänster som tillhandahålls via internet eller på andra sätt på distans bör autentiseringen av transaktioner ske genom dynamiska koder, så att användarna alltid känner till beloppet och betalnings- mottagaren för den transaktion som de auktoriserar (skäl 95). Ut- trycket ”betalningstransaktioner på distans” avser transaktioner som initieras via internet eller genom en anordning som kan användas för distanskommunikation (se även artikel 4.6). Enligt 97.3 ska medlemsstaterna sörja för att betaltjänstleveran- törerna har tillräckliga säkerhetskrav för aktiviteter som avses i punkt 1 för att skydda konfidentialitet och integritet i fråga om betal- tjänstanvändarnas personaliserade behörighetsfunktioner. I skäl 96 till direktivet anges att det krävs säker användning av personali- serade behörighetsfunktioner för att begränsa riskerna för nätfiske och andra bedrägerier. Användarna bör kunna förlita sig på att det 2 I den svenska översättningen av direktivtexten används begreppet sträng kundautentisering. I den engelska originaltexten används dock begreppet strong customer authentication, vilket utredningen finner vara mer rättvisande. Här används följaktligen uttrycket stark kund- autentisering. Operativa risker, säkerhetsrisker och autentisering vidtas åtgärder som skyddar konfidentialiteten och integriteten för deras personaliserade behörighetsfunktioner. Dessa åtgärder om- fattar ofta krypteringssystem som bygger på betalarens personliga anordningar, inklusive kortläsare eller mobiltelefoner, eller som den kontoförvaltande betaltjänstleverantören tillhandahåller betalaren via en annan kanal, t.ex. sms eller e-post. Av 97.4 följer att bestämmelserna i 97.2 och 97.3 ska tillämpas också när betalningar initieras via en leverantör av betalningsiniti- eringstjänster samt att 97.1 och 97.3 ska gälla också för fall där information begärs via en leverantör av kontoinformationstjänster. Av 97.5 framgår slutligen att den kontoförvaltande betaltjänst- leverantören ska göra det möjligt för leverantörer av betalnings- initieringstjänster och kontoinformationstjänster att förlita sig på de autentiseringsförfaranden som den kontoförvaltande leverantö- ren tillhandahåller betaltjänstanvändaren enligt 97.1 och 97.3 samt, när en leverantör av betalningsinitieringstjänster deltar, även i fråga om punkt 2. Artikelns bestämmelser motiveras i skäl 30 enligt följande. De personaliserade behörighetsfunktioner som används för säker kund- autentisering av betaltjänstanvändaren eller leverantören av betalnings- initieringstjänster utfärdas i normalfallet av den kontoförvaltande betaltjänstleverantören. Leverantören av betalningsinitieringstjänster har inte nödvändigtvis något avtal med den kontoförvaltande betal- tjänstleverantören. Oberoende av vilken affärsmodell leverantören av betalningsinitieringstjänster använder bör den kontoförvaltande be- taltjänstleverantören göra det möjligt för denne att förlita sig på de autentiseringsförfaranden som den kontoförvaltande leverantören tillhandahåller för att initiera en specifik betalning för betalarens räk- ning. Enligt artikel 98 ska utarbeta förslag till tekniska standarder som riktar sig till betaltjänstleverantörer och som bl.a. innehåller kraven för den starka kundautentiseringen som avses i artikel 97.1 och 97.2 samt de krav som säkerhetsåtgärderna enligt artikel 97.3 måste uppfylla för skydda konfidentialitet och integritet för betal- tjänstanvändarnas personaliserade behörighetsfunktioner. Enligt artikeln ska förslaget också avse frågan när undantag kan göras från kravet på stark kundautentisering. ska överlämna sitt förslag till kommissionen . Operativa risker, säkerhetsrisker och autentisering Av artikel 115 följer att de säkerhetsåtgärder som avses i bl.a. artikel 97 ska tillämpas från och efter ikraftträd- andet av de tekniska standarder som avses i artikel 98. Förslag: Det ska föreskrivas i betaltjänstlagen att den kontoför- valtande betaltjänstleverantören ska tillämpa stark kundautenti- sering när betalaren –loggar in på sitt konto online, –initierar en elektronisk betalningstransaktion, eller –vidtar andra åtgärder på distans under förutsättning att åt- gärderna kan innebära en risk för bedrägerier eller andra former av missbruk. I fråga om elektroniska betalningstransaktioner som genomförs på distans ska den kontoförvaltande betaltjänstleverantören tillämpa en stark kundautentisering som innefattar inslag som på ett dyna- miskt sätt kopplar transaktionen till ett specifikt belopp och en specifik betalningsmottagare. I tillämpliga fall ska stark kund- autentisering också användas för betalningstransaktioner som initieras via en leverantör av betalningsinitieringstjänster liksom för information som begärs via en leverantör av kontoinforma- tionstjänster samt för betalningstransaktioner som initieras via betalningsmottagaren. Det bör också föreskrivas att betaltjänstleverantörer ska vidta tillträckliga åtgärder för att skydda betaltjänstanvändarens per- sonaliserade behörighetsfunktioners konfidentialitet och integritet. Slutligen bör leverantörer av betalningsinitierings- eller konto- informationstjänster, när de tillhandahåller sina tjänster, kunna använda de autentiseringsförfaranden som den kontoförvaltande betaltjänstleverantören förser betaltjänstanvändaren med. Det behövs dock ingen uttrycklig bestämmelse med detta innehåll. För att genomföra direktivets reglering i artikel 97 om tillämpning av stark kundautentisering bör motsvarande reglering införas i betal- tjänstlagen. I lagen bör således föreskrivas att den kontoförvaltande Operativa risker, säkerhetsrisker och autentisering betaltjänstleverantören ska tillämpa stark kundautentisering när betalaren loggar in på sitt konto online, dvs. när betalaren får tillgång till sitt betalkonto via internet eller annat datasystem. Den starka kundautentiseringen ska också tillämpas när betalaren initierar en elektronisk betalningstransaktion. Det bör i lagen anges att vid elektroniska betalningstransaktioner som genomförs på distans ska betaltjänstleverantören tillämpa stark kundautentisering som inne- fattar inslag som på ett dynamiskt sätt kopplar transaktionen till ett specifikt belopp och en specifik betalningsmottagare. Det ska alltså klart framgå för betalaren vilket belopp som transaktionen avser och vem som är mottagare när betalaren initierar en betalningstrans- aktion via t.ex. sin internetbank. Det bör också framgå av betaltjänstlagen att stark kundautenti- sering ska tillämpas även när betalaren vidtar andra åtgärder på distans under förutsättning att åtgärderna kan innebära en risk för bedrägerier eller andra former av missbruk. Sådana andra åtgärder kan vara att en betalare loggar in på sin internetbank för att exem- pelvis ändra uppgifter för autogireringar, t.ex. i fråga om fullmakts- havare eller utbetalningskonto. Stark kundautentisering bör alltså i de nämnda fallen tillämpas av den kontoförvaltande betaltjänstleverantören. I fråga om betal- ningstransaktioner som initieras via betalningsmottagaren ska dock motsvarande regler i tillämpliga delar gälla för dennes betaltjänst- leverantör. Det bör alltså anges i lagen att betaltjänstleverantören ska tillämpa stark kundautentisering i de fall som anges i artikel 97.1 a)–c) samt att sådan autentisering i fråga om elektroniska transaktioner även ska omfatta sådana inslag som på ett dynamiskt sätt kopplar transak- tionen till ett specifikt belopp och en specifik mottagare. Av artikel 97.4 framgår att reglerna om stark kundautentisering i artikel 97.1 och 97.2 i vissa avseenden är tillämpliga även för betal- ningstransaktioner som initieras via leverantörer av betalningsiniti- eringstjänster samt för information som begärs via leverantörer av kontoinformationstjänster. Enligt bestämmelsen är artikel 97.2, som i sin tur hänvisar till artikel 97.1 b), tillämplig för betalningstransaktioner som initieras via leverantörer av betalningsinitieringstjänster, medan artikel 97.1 ska gälla för information som begärs via en leverantör av konto- informationstjänster. För betalningstransaktioner som initieras via Operativa risker, säkerhetsrisker och autentisering en leverantör av betalningsinitieringstjänster ska stark kundautenti- sering alltså tillämpas när sådana betalningstransaktioner genom- förs elektroniskt och denna autentisering ska omfatta inslag som på ett dynamiskt sätt kopplar transaktionen till ett specifikt belopp och en specifik mottagare. För information som begärs via en leveran- tör av kontoinformationstjänster ska stark kundautentisering gälla för de situationer som anges i punkterna a) och c) i artikel 97.1. Av naturliga skäl faller punkten b) bort, eftersom dessa leverantörer inte hanterar betaltjänstanvändarens pengar, utan tillhandahåller endast en renodlad informationstjänst. Av artikeln följer att när en informa- tion begärs via denna typ av leverantör ska stark kundautentisering tillämpas när inloggning sker på betaltjänstanvändarens konto via leverantören (punkten a) samt när förfrågan om information görs av leverantören (punkten c). Det framstår som något motsägelsefullt att artikel 97.1 a) och 97.1 c) inte är tillämpliga för transaktioner via en leverantör av betalningsinitieringstjänster, men däremot för åtgärder som vidtas av en leverantör av kontoinformationstjänster. De förstnämnda leve- rantörerna loggar ju också för betaltjänstanvändarens räkning in på dennes konto för att genomföra den transaktion som användaren har initierat. Möjligen kan leverantören även vidta sådana åtgärder som avses i punkten c). Ledning i frågan kan hämtas från artikel 97.5. Av denna artikel följer att leverantörer av betalningsinitieringstjänster ska kunna förlita sig på de autentiseringsförfaranden som tillämpas av den kontoförvaltande betaltjänstleverantören i enlighet med punk- terna 1, 2 och 3, medan motsvarande reglering för leverantörer av kontoinformationstjänster endast gäller punkterna 1 och 3. Att denna bestämmelse hänvisar till artikel 97.1–97.3 för leverantörer av betal- ningsinitieringstjänster torde innebära att avsikten är att stark kund- autentisering ska gälla för de situationer i 97.1 som inte avser betal- ning, dvs. inloggning och andra åtgärder som kan innebära en risk för missbruk. Således bör direktivets bestämmelser tolkas så att stark kundautentisering ska tillämpas för samtliga i artikel 97.1 angivna fall även när en betalningstransaktion initieras via en leverantör av betalningsinitieringstjänster. För information som begärs via en leve- rantör av kontoinformationstjänster ska stark kundautentisering i stället tillämpas i de fall som anges i punkterna a) och c) i artikeln. Det bör uttryckligen anges i betaltjänstlagen i vilka situationer stark kundautentisering ska tillämpas i fråga om tjänster som till- Operativa risker, säkerhetsrisker och autentisering handahålls av leverantörer av betalningsinitieringstjänster respektive kontoinformationstjänster. Det bör, för att genomföra artikel 97.3, också anges i lagen att betaltjänstleverantören ska vidta tillträckliga åtgärder för att skydda den konfidentialitet och integritet som ska råda för betaltjänst- användarens personaliserade behörighetsfunktioner. För att genom- föra direktivets reglering i artikel 97.4 bör det av betaltjänstlagen fram- gå att denna skyldighet omfattar även fall där betalningstransak- tioner initieras via leverantörer av betalningsinitieringstjänster och när information begärs via leverantörer av kontoinformationstjänster. Leverantörer av dessa tjänster är alltså också skyldiga att använda stark kundautentisering samt vidta de åtgärder som krävs för att skydda betaltjänstanvändarnas personaliserade behörighetsfunktioner. De ska dock enligt artikel 97.5 kunna förlita sig på de autentise- ringsförfaranden som den kontoförvaltande betaltjänstleverantören tillhandahåller betaltjänstanvändaren i de situationer som beskrivits ovan för respektive typ av leverantör.