En ny funktion för krishantering vid allvarliga driftstörningar i den finansiella sektorns digitala infrastruktur

En ny funktion för krishantering vid allvarliga driftstörningar i den finansiella sektorns digitala infrastruktur

Förord

Regeringskansliet beslutade den 1 juni 2023 (Fi2023/01842) att uppdra åt en utredare att utreda och lämna förslag på en funktion för operativ krisledning vid allvarliga driftstörningar i den finansiella sektorns digitala infrastruktur. Samma dag anställdes avdelningschefen Olof Sandstedt som utredare. Rådgivaren Aron Verständig har varit anställd som ämnessakkunnig, med uppgift att vara sekreterare och biträda i utredningen. Ett särskilt tack riktas till alla de myndigheter, organisationer, företag och personer som bidragit med kunskap, erfarenheter och synpunkter. Härmed överlämnas promemorian En ny funktion för krishantering vid allvarliga driftstörningar i den finansiella sektorns digitala infrastruktur . Uppdraget är därmed slutfört.

Stockholm i januari 2024

Olof Sandstedt

/Aron Verständig

1 Sammanfattning

I denna promemoria föreslås en ny funktion för krishantering inom den finansiella sektorn. Inom den finansiella sektorn bedrivs samhällsviktig verksamhet i mycket stor utsträckning av privata företag. Detta samtidigt som den finansiella sektorn under de senaste decennierna genomgått en betydande digitalisering. Genom såväl gällande som kommande lagstiftning ställs krav på de finansiella företagens motståndskraft mot störningar som kan drabba deras digitala infrastruktur. Detta är motiverat eftersom svårigheter hos ett finansiellt företag snabbt kan drabba hela det finansiella systemet, särskilt om företaget i fråga har en systemviktig roll. Även strukturen för att hantera en uppkommen kris inom det finansiella systemet har på senare tid varit föremål för ny reglering. Trots de insatser som redan gjorts finns det idag inte en utpekad funktion för hantering av operativa kriser i den svenska finansiella sektorns digitala infrastruktur. Det finns därmed ett tydligt behov av ett en myndighet ges ansvar för att inrätta en sådan funktion för att agera i händelse av en allvarlig driftstörning. I promemorian lämnas därför förslag på att en ny krishanterande funktion ska inrättas inom Riksbanken. Riksbanken utgör navet i det svenska betalningssystemet samt bedriver i dagsläget krissamverkan inom betalningssystemet på frivillig grund. Med stöd i förarbetena till 2023 års riksbankslag bygger Riksbanken dessutom upp en ledningsfunktion för samordning och information som ska kunna omgående aktiveras vid störningar i genomförandet av betalningar. Den nya krishanterande funktionen föreslås komplettera den funktion som Riksbanken nu bygger upp. Den nya krishanterande funktionen ska, utöver Riksbanken, bestå av Finansinspektionen, Riksgäldskontoret samt vissa företag. Företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar ska ingå i funktionen. Riksbanken ska kunna fatta beslut om vilka övriga företag som ska ingå i funktionen. Samråd bör ske med Finansinspektionen och Riksgälden innan ett sådant beslut fattas. Företag som ingår i funktionen ska vara skyldiga att lämna de uppgifter som är nödvändiga för verksamheten i funktionen till Riksbanken. Funktionen ska främst ha till uppdrag att ansvara för krishantering vilket innebär att under en kris löpande upprätta och dela lägesbilder, möjliggöra och underlätta informationsdelning, koordinera de åtgärder som vidtas av funktionens deltagare, utgöra en central kontaktlänk mellan funktionens deltagare och övriga myndigheter, ha förmågan att kunna bedöma och lämna förslag avseende ett enskilt företags behov av stödinsatser samt kunna identifiera, bedöma och föreslå företags behov av stödinsatser från det allmänna. Därutöver bör funktionen ha förmåga att samordna den information som lämnas till allmänhet och media om krisens förlopp och vid behov själv kommunicera till allmänhet och media. Funktionen bör därutöver ha ett visst krisförberedande uppdrag. Detta uppdrag bör innefatta att ta fram planer specifika för de enskilda företag som ingår i funktionen i krisförberedande syfte, ta initiativ till och driva

på samtal mellan funktionens deltagare kring åtgärder för att stärka motståndskraften i den finansiella sektorns digitala infrastruktur inbegripet att vara ett forum där sådana åtgärder kan tas fram och utvecklas samt att vara ett forum där gemensamma planeringsförutsättningar för den finansiella sektorn kan diskuteras. Funktionen bör även genomföra och delta i övningar. Funktionens bör därutöver ägna sig åt kunskapsspridning på det sätt den ansvariga myndigheten och de övriga deltagarna finner lämpligt. Funktionen ska aktiveras i händelse av att en allvarlig driftstörning har drabbat eller riskerar att drabba ett eller flera företag i den svenska finansiella sektorns digitala infrastruktur. Vägledande för om en allvarlig driftstörning kan anses vara för handen bör vara om det finansiella systemets möjlighet att upprätthålla sina samhällsviktiga funktioner allvarligt har påverkats eller riskerar att påverkas. I syfte att kunna fullgöra sitt uppdrag behöver den krishanterande funktionen ha ett nära samarbete med flera olika myndigheter. I dess egenskap av ansvarig myndighet för den krishanterande funktionen bör Riksbanken ansvara för att formalisera samverkan med dessa myndigheter. I dess egenskap av ansvarig myndighet för den krishanterande myndigheten ska Riksbanken hålla regeringen underrättad om viktigare frågor gällande verksamheten i den krishanterande funktionen. Det bör även vara möjligt för medarbetare från Regeringskansliet att delta i funktionens verksamhet som observatörer. De förslag som lämnas i denna promemoria innebär även att Riksbanken ges möjlighet att ålägga ett företag att delta i den krishanterande funktionen om så är nödvändigt. För det fall ett företag trots ett åläggande inte deltar i funktionen ska Riksbanken ges möjlighet att förelägga företaget att följa åläggandet. Ett föreläggande om att följa ett åläggande ska få förenas med vite. I dess egenskap av ansvarig myndighet för den krishanterande funktionen ska Riksbanken även ansvara för funktionens administrativa stöd och utse dess ordförande. Funktionens arbete ska närmare regleras i en instruktion. Riksbanken bör samråda med funktionens övriga deltagare innan den antar eller ändrar instruktionen. I promemorian föreslås även att tystnadsplikt ska gälla för de personer som deltar i funktionen. Därutöver lämnas lagförslag med syftet att underlätta delning av uppgifter mellan de myndigheter och företag som ingår i funktionen samt för att uppgifter som delas med de myndigheter som ingår i funktionen ska omfattas av adekvat sekretess. Slutligen lämnas förslag på att utvidga Riksbankens skyldighet att hålla regeringen och Riksgälden informerad om viktigare frågor under fredstida krissituationer och vid höjd beredskap, till att även omfatta Finansinspektionen. Lagändringarna föreslås träda i kraft den 1 januari 2025.

2 Författningsförslag

2.1 Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)

Härigenom föreskrivs i fråga om offentlighets- och sekretesslagen (2009:400) dels att det ska införas en ny paragraf, 10 kap. 5 d §, samt en ny rubrik närmast före den paragrafen av följande lydelse, dels att det ska införas en ny paragraf, 31 kap. 1 a §, av följande lydelse, dels att 15 kap. 1 a §, 27 kap. 5 §, 30 kap. 7, 17 och 24 §§, 31 kap. 26 §, 37 kap. 2 § samt 43 kap. 3 § ska ha följande lydelse.

Krishanteringsfunktion för den finansiella sektorn

5 d §

Sekretess hindrar inte att en uppgift lämnas till en enskild eller en myndighet om uppgiften är nödvändig för verksamheten i krishanteringsfunktionen för den finansiella sektorn enligt 5 kap. 5 a § lagen (2022:1568) om Sveriges riksbank.

Första stycket är enbart tillämpligt om den som lämnar uppgiften och den som tar emot uppgiften ingår i krishanteringsfunktionen för den finansiella sektorn.

En uppgift ska inte lämnas enligt första stycket om övervägande skäl talar för att det intresse som sekretessen eller tystnadsplikten ska skydda har företräde framför intresset av att uppgiften lämnas ut.

15 kap.

1 a §

Sekretess gäller för uppgift som en myndighet har fått från ett utländskt organ på grund av en bindande EU-rättsakt eller ett av EU ingånget eller av riksdagen godkänt avtal med en annan stat eller med en mellanfolklig organisation, om det kan antas att Sveriges möjlighet att delta i det internationella samarbete som avses i rättsakten eller avtalet försämras om uppgiften röjs.

Motsvarande sekretess gäller för uppgift som en myndighet har inhämtat i syfte att överlämna den till ett utländskt organ i enlighet med en sådan rättsakt eller ett sådant avtal som avses i första stycket.

Om sekretess gäller enligt första Om sekretess gäller enligt första eller andra stycket, får de eller andra stycket, får de sekretessbrytande sekretessbrytande bestämmelserna i 10 kap. 5 c §, bestämmelserna i 10 kap. 5 c §, 15 – 27 §§ och 28 § första stycket 5 d §, 15 – 27 §§ och 28 § första inte tillämpas. stycket inte tillämpas.

För uppgift i en allmän handling gäller sekretessen i högst fyrtio år.

Om det finns särskilda skäl, får dock regeringen meddela föreskrifter om att sekretessen ska gälla under längre tid

27 kap.

2 5 §

Sekretessen enligt 1 – 4 §§ gäller, i den utsträckning riksdagen har godkänt ett avtal om detta med en annan stat eller med en mellanfolklig organisation, i ärende om handräckning eller bistånd som en svensk myndighet lämnar åt en myndighet eller något annat organ i den staten eller inom den mellanfolkliga organisationen i verksamhet som motsvarar den som avses i nämnda paragrafer.

Sekretess gäller, i den utsträckning riksdagen har godkänt ett avtal om detta med en annan stat eller med en mellanfolklig organisation, hos en myndighet i verksamhet som avses i 1 – 4 §§ för sådan uppgift om en enskilds personliga eller ekonomiska förhållanden som myndigheten förfogar över på grund av avtalet.

Senaste lydelse 2022:1538. 2 Senaste lydelse 2022:1538.

Om sekretess gäller enligt andra Om sekretess gäller enligt andra stycket, får de sekretessbrytande stycket, får de sekretessbrytande bestämmelserna i 10 kap. 5 c §, bestämmelserna i 10 kap. 5 c §, 15 – 27 §§ och 28 § första stycket 5 d §, 15 – 27 §§ och 28 § första inte tillämpas i strid med avtalet. stycket inte tillämpas i strid med avtalet.

För uppgift i en allmän handling gäller sekretessen enligt andra stycket i högst tjugo år.

30 kap.

3 7 §

Sekretess gäller hos en statlig myndighet i verksamhet som avses i 4 – 6 §§, i den utsträckning riksdagen har godkänt avtal om detta med en annan stat eller med en mellanfolklig organisation, för sådan uppgift om affärs- eller driftförhållanden och ekonomiska eller personliga förhållanden som myndigheten har fått enligt avtalet. Samma sekretess gäller hos Finansinspektionen för uppgifter som inspektionen har fått från en utländsk myndighet eller ett utländskt organ enligt något annat avtal, om regeringen meddelar föreskrifter om detta.

Om sekretess gäller enligt första Om sekretess gäller enligt första stycket, får de sekretessbrytande stycket, får de sekretessbrytande bestämmelserna i 10 kap. 5 c §, bestämmelserna i 10 kap. 5 c §, 15 – 27 §§ och 28 § första stycket 5 d §, 15 – 27 §§ och 28 § första inte tillämpas i strid med det stycket inte tillämpas i strid med aktuella avtalet. det aktuella avtalet.

För uppgift i en allmän handling gäller sekretessen i högst tjugo år.

17 §

Sekretess gäller i ärende om godkännande eller auktorisation av en revisor eller registrering av ett revisionsbolag, om disciplinärt ingripande mot en godkänd eller auktoriserad revisor eller ett registrerat revisionsbolag eller om upphävande av godkännande, auktorisation eller registrering för uppgift om revisorns eller revisionsbolagets ekonomiska ställning eller om annans personliga eller ekonomiska förhållanden, om det kan antas att den som uppgiften rör lider skada eller men om uppgiften röjs.

Sekretessen gäller inte beslut i ärendet.

3 Senaste lydelse 2022:1538. Senaste lydelse 2022:1538. 9

Om sekretess gäller enligt första Om sekretess gäller enligt första stycket, får de sekretessbrytande stycket, får de sekretessbrytande bestämmelserna i 10 kap. 5 c §, bestämmelserna i 10 kap. 5 c §, 15 – 27 §§ och 28 § första stycket 5 d §, 15 – 27 §§ och 28 § första inte tillämpas i strid med avtal stycket inte tillämpas i strid med som träffats med en utländsk avtal som träffats med en myndighet eller ett utländskt utländsk myndighet eller ett organ. utländskt organ.

För uppgift i en allmän handling gäller sekretessen i högst femtio år.

24 §

Sekretess gäller, i den utsträckning riksdagen godkänt ett avtal om detta med en annan stat eller med en mellanfolklig organisation, hos en statlig myndighet i verksamhet som avses i 23 §, för sådan uppgift om en enskilds ekonomiska eller personliga förhållanden som myndigheten förfogar över på grund av avtalet.

Om sekretess gäller enligt första Om sekretess gäller enligt första stycket, får de sekretessbrytande stycket, får de sekretessbrytande bestämmelserna i 10 kap. 5 c §, bestämmelserna i 10 kap. 5 c §, 15 – 27 §§ och 28 § första stycket 5 d §, 15 – 27 §§ och 28 § första inte tillämpas i strid med det stycket inte tillämpas i strid med aktuella avtalet. det aktuella avtalet.

För uppgift i en allmän handling gäller sekretessen i högst tjugo år.

31 kap.

1 a §

Sekretess gäller hos Riksbanken och de övriga myndigheter som ingår i krishanteringsfunktionen för den finansiella sektorn enligt 5 kap. 5 a § lagen (2022:1568) om Sveriges riksbank 1. för uppgift om en enskilds affärs- och driftförhållanden som ingår i krishanteringsfunktionen, om det kan antas att denne lider skada om uppgiften röjs, och 2. för uppgift om ekonomiska eller

Senaste lydelse 2022:1538.

personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med en enskild som ingår i krishanteringsfunktionen.

För uppgift i en allmän handling som avses i första stycket gäller sekretessen i högst tjugo år.

6 26 §

Den tystnadsplikt som följer av Den tystnadsplikt som följer av 1 § första stycket, 2, 12 och 20 – 1 § första stycket, 1 a, 2, 12 och 22 §§ och den tystnadsplikt som 20 – 22 §§ och den tystnadsplikt följer av ett förbehåll som har som följer av ett förbehåll som gjorts med stöd av 14 § andra har gjorts med stöd av 14 § andra meningen, 19 § andra meningen meningen, 19 § andra meningen eller 25 § andra meningen eller 25 § andra meningen inskränker rätten enligt 1 kap. 1 inskränker rätten enligt 1 kap. 1 och 7 §§ och 7 §§ tryckfrihetsförordningen och 1 tryckfrihetsförordningen och 1 kap. 1 och 10 §§ kap. 1 och 10 §§ yttrandefrihetsgrundlagen att yttrandefrihetsgrundlagen att meddela och offentliggöra meddela och offentliggöra uppgifter. uppgifter.

Den tystnadsplikt som följer av 3 och 4 §§ begränsar rätten att meddela och offentliggöra uppgifter, när det är fråga om uppgift som hänför sig till affärsmässig utlånings-verksamhet.

Den tystnadsplikt som följer av 15 § begränsar rätten att meddela och offentliggöra uppgifter, när det är fråga om uppgift om en enskilds personliga förhållanden vars röjande kan vålla allvarligt men.

37 kap.

2 §

Sekretess gäller, i den utsträckning riksdagen har godkänt ett avtal om detta med en annan stat eller med en mellanfolklig organisation, för uppgifter som avses i 1 § och 21 kap. 5 § och som en myndighet fått enligt avtalet.

6 Senaste lydelse 2018:1919. Senaste lydelse 2022:1538. 11

De sekretessbrytande De sekretessbrytande bestämmelserna i 10 kap. 5 c §, bestämmelserna i 10 kap. 5 c och 15 – 27 §§ och 28 § första stycket 5 d §§, 15 – 27 §§ och 28 § första får inte tillämpas i strid med stycket får inte tillämpas i strid avtalet. med avtalet.

För uppgift i en allmän handling gäller sekretessen i högst femtio år.

43 kap.

3 §

Bestämmelserna om sekretess i Bestämmelserna om sekretess i 19 kap., 28 kap. 12 §, 29 kap. 1 – 19 kap., 28 kap. 12 §, 29 kap. 1 – 4 och 9 §§, 30 kap. 1, 2, 4 – 7, 23, 4 och 9 §§, 30 kap. 1, 2, 4 – 7, 23, 24, 27 och 28 §§, 31 kap. 1 § 24, 27 och 28 §§, 31 kap. 1 § första stycket, 2 – 5, 12, 16 – 18 första stycket, 1 a § , 2 – 5, 12, 16 – och 24 §§, 32 kap. 4 §, 35 kap. 3 18 och 24 §§, 32 kap. 4 §, 35 och 4 §§, 36 kap. 6 och 7 §§, 38 kap. 3 och 4 §§, 36 kap. 6 och 7 kap. 5, 6 och 8 §§ samt 40 kap. 2 §§, 38 kap. 5, 6 och 8 §§ samt 40 § tillämpas inte hos en domstol i kap. 2 § tillämpas inte hos en dess rättskipande eller domstol i dess rättskipande eller rättsvårdande verksamhet. rättsvårdande verksamhet.

Sekretessen enligt 35 kap. 1 § första stycket 1 gäller hos en domstol i dess rättskipande eller rättsvårdande verksamhet endast om det kan antas att den enskilde eller någon närstående till denne lider skada eller men om uppgiften röjs.

Första och andra styckena gäller inte om domstolen har fått uppgiften för att pröva om den kan lämnas ut.

_________________________________

Denna lag träder i kraft den 1 januari 2025.

2.2 Förslag till lag om ändring i lagen (2022:1568) om Sveriges riksbank

Härigenom föreskrivs i fråga om lagen (2022:1568) om Sveriges riksbank dels att det ska införas nya paragrafer, 5 kap. 5 a och 5 b §§ samt närmast före 5 kap. 5 a § en ny rubrik av följande lydelse, dels att 5 kap. 4, 6 och 7 §§ samt 12 kap. 1, 2 och 3 §§ ska ha följande lydelse.

5 kap.

Ett företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar ska

1. planera och förbereda 1. planera och förbereda för att kunna fortsätta för att kunna fortsätta verksamhet som avser verksamhet som avser betalningar under betalningar under fredstida fredstida krissituationer och vid krissituationer och vid höjd beredskap, höjd beredskap, 2. delta i verksamhet 2. delta i verksamhet enligt 2 och 3 §§, och enligt 2 , 3 och 5 a §§ , 3. se till att arbets- och och uppdragstagare får den 3. se till att arbets- och utbildning och övning uppdragstagare får den som behövs. utbildning och övning som behövs.

Riksbanken ska övervaka att ett företag uppfyller sina skyldigheter enligt första stycket.

Krishanteringsfunktion för den finansiella sektorn

5 a §

Inom Riksbanken ska det finnas en funktion för krishantering vid en allvarlig driftstörning i den finansiella sektorns digitala infrastruktur som lett till eller riskerar att leda till en allvarlig störning av viktiga samhällsfunktioner inom sektorn.

Funktionen ska bestå av representanter för Riksbanken, Riksgäldskontoret och Finansinspektionen. Funktionen ska även bestå av företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar samt de övriga företag som Riksbanken beslutar ska ingå i den.

Riksbanken får ålägga ett företag att delta i funktionen om det är nödvändigt.

5 b §

Riksbanken ska anta en instruktion för krishanteringsfunktionen.

6 §

Den som på grund av Den som på grund av bestämmelser i detta kapitel har bestämmelser i detta kapitel har fått kännedom om en enskilds fått kännedom om en enskilds affärs- eller driftförhållanden affärs- eller driftförhållanden , eller förhållanden av betydelse förhållanden av betydelse för att för totalförsvaret eller annars för förebygga eller hantera Sveriges säkerhet får inte fredstida krissituationer, eller obehörigen röja eller utnyttja förhållanden av betydelse för vad han eller hon har fått veta. totalförsvaret eller annars för Sveriges säkerhet får inte obehörigen röja eller utnyttja vad han eller hon har fått veta.

Vad som sägs i första stycket ska även gälla för uppgift om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med en enskild som ingår i krishanteringsfunktionen enligt 5 a §.

I Riksbankens verksamhet tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen (2009:400).

7 §

Under fredstida krissituationer och Under fredstida krissituationer vid höjd beredskap ska och vid höjd beredskap ska Riksbanken hålla regeringen och Riksbanken hålla regeringen , Riksgäldskontoret underrättade Finansinspektionen och om viktigare frågor. Riksgäldskontoret underrättade om viktigare frågor.

Riksbanken ska även hålla regeringen underrättad om viktigare frågor gällande verksamheten i krishanteringsfunktionen enligt 5 a §.

12 kap.

1 §

På begäran av Riksbanken ska

1. finansiella företag lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt denna lag,

2. företag med kvalificerat innehav i deltagare i Riksbankens betalningsavvecklingssystem och underentreprenörer till sådana deltagare lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt 3 kap.,

3. företag som bedriver verksamhet som avses i 3 kap. 8 § och underentreprenörer till sådana företag lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt 3 kap.,

4. utgivare av värdepapper lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt 2 och 3 kap.,

5. företag som bedriver 5. företag som bedriver verksamhet som är av verksamhet som är av särskild betydelse för särskild betydelse för genomförandet av genomförandet av betalningar lämna de betalningar lämna de uppgifter som är uppgifter som är nödvändiga för nödvändiga för Riksbankens Riksbankens verksamhet enligt 4 verksamhet enligt 4 och 5 kap., och och 5 kap.,

6. den som för egen eller 6. den som för egen eller någon annans räkning någon annans räkning utför transaktioner utför transaktioner med utländsk motpart med utländsk motpart eller innehar tillgångar eller innehar tillgångar och skulder med och skulder med utlandsanknytning utlandsanknytning lämna uppgifter som är lämna uppgifter som är nödvändiga för nödvändiga för Riksbankens Riksbankens verksamhet enligt 1 verksamhet enligt 1 kap. 11 § när det gäller kap. 11 § när det gäller framställning av framställning av statistik över statistik över betalningsbalanser och betalningsbalanser och utlandsställningen. utlandsställningen , och

7. företag som ingår i krishanteringsfunktionen enligt 5 kap. 5 a § lämna de uppgifter som är nödvändiga för verksamheten i funktionen.

2 §

Riksbanken får besluta om de förelägganden som behövs för att en fysisk eller juridisk person ska följa uppgiftsskyldigheten enligt 1 § och föreskrifter som har meddelats med stöd av 13 kap. 1 §.

Riksbanken får också besluta om förelägganden för den fysiska eller juridiska person som bryter mot 4 kap. 11 § och som väsentligen har bidragit till spridningen och varit medveten om att kontanterna var förändrade eller bearbetade.

Riksbanken får även besluta om de förelägganden som behövs för att ett företag ska följa ett åläggande som meddelats med stöd av 5 kap. 5 a § tredje stycket.

Ett beslut om föreläggande får förenas med vite.

______________________________ _______________________________

Denna lag träder i kraft den 1 januari 2025.

3 Ärendet och dess beredning

Regeringskansliet beslutade den 1 juni 2023 att uppdra åt en utredare att utreda och lämna förslag på en funktion för operativ krisledning vid allvarliga driftstörningar i den finansiella sektorns digitala infrastruktur. Utredaren har biträtts av en sekreterare. Utredningen har under uppdraget knutit till sig en referensgrupp bestående av företrädare för Affärsverket Svenska kraftnät, Bankgirot AB, Euroclear Sweden AB, Finansinspektionen, Finansiella Sektorns Privat- Offentliga Samverkan (FSPOS), Försvarsmakten, Försvarets radioanstalt, Försäkringskassan, Myndigheten för samhällsskydd och beredskap, Nasdaq Clearing AB, Polismyndigheten, Post- och telestyrelsen, Riksgäldskontoret, Svenska Bankföreningen, Svenskt Näringsliv, Sveriges riksbank och Säkerhetspolisen samt docent Ulrik Franke. Utredningen har haft en särskilt nära dialog med Finansinspektionen, Riksgäldskontoret, Svenska bankföreningen och Sveriges riksbank. Utöver de som ingått i referensgruppen har utredningen inhämtat kunskap och erfarenheter från Bankomat AB, Finansiell ID-Teknik BID AB, Finansiella stabilitetsrådets kansli, Försvarsberedningen (Fö 1992:B), Getswish AB, Loomis Sverige AB, Mastercard, Nationella cybersäkerhetscentret, Statens energimyndighet, Svensk försäkring, Svensk värdepappersmarknad, Trafikverket, Utredningen om genomförande av EU:s direktiv om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen och EU:s direktiv om kritiska entiteters motståndskraft (Fö 2023:1), Utredningen om en ändamålsenlig och effektiv ledning, organisering och styrning av Nationellt cybersäkerhetscenter (Fö 2023:A) samt Visa. Utredningen har även deltagit i möten med Svenska bankföreningens kontinuitetsgrupp som består av representanter från flera olika finansiella företag. Utredningen har därutöver inhämtat kunskap och erfarenheter från andra delar av Regeringskansliet, från representanter för de större svenska kreditinstituten och från personer med stor erfarenhet av de frågor som utredningen behandlar. I förhållande till utländska aktörer har utredningen inhämtat kunskap och erfarenheter från Danmarks Nationalbank, Finansministeriet i Finland samt His Majesty’s Treasury i Storbritannien. Utredningen har även deltagit i Finansiella stabilitetsrådets krisövning som hölls den 4 oktober 2023 i Stockholm samt vid erfarenhetsseminariet den 16 november 2023 efter FSPOS Sektorsövning 2023.

4 Bakgrund

4.1 Inledning och disposition

Under de senaste decennierna har den finansiella sektorn genomgått en omfattande digitalisering. Det är en utveckling som innebär många möjligheter men som också för med sig risker vilka behöver hanteras. Riskerna avser såväl uppsåtliga som icke-uppsåtligt framkallade itincidenter men även andra former av händelser såsom avbrott i energiförsörjningen eller i elektroniska kommunikationer vilka kan leda till mer eller mindre allvarliga driftstörningar hos finansiella företag. På senare tid har ny lagstiftning tagits fram såväl inom EU som nationellt i syfte att stärka samhällets motståndskraft mot driftsstörningar. Det pågår även ett intensivt arbete med att återuppbygga det svenska totalförsvaret. I takt med att säkerhetsläget i Europa försämrats, och inte minst förekomsten av cyberangrepp ökat, har detta arbete intensifierats. En förutsättning för att kunna hantera en situation där ett eller flera finansiella företag drabbats av en allvarlig driftstörning i dess digitala infrastruktur är att det finns en tydligt utpekad aktör med ansvar för krishantering avseende den finansiella sektorn. En otydlighet på detta område kan riskera att förvärra det allvarliga läget medan en tydlig krishanterande funktion påtagligt kan mildra effekterna av en negativ händelse. Detta är särskilt tydligt inom den finansiella sektorn där svårigheter hos ett finansiellt företag snabbt kan drabba hela det finansiella systemet, särskilt om företaget i fråga har en systemviktig roll och problem hos företaget får en direkt påverkan på dess kunder. I händelse av ett fientligt angrepp mot Sverige eller en liknande händelse kan problem hos ett eller flera enskilda finansiella företag, om de är tillräckligt allvarliga, få en negativ inverkan på försvarsviljan. Genom att störa eller få det finansiella systemet att bryta samman kan en motståndare utöva utpressning, hota, vilseleda, skapa social oro och hamstring. Allt för att försämra landets 8 motståndskraft. Det finns därmed ett tydligt behov av att en myndighet ges ansvar för att inrätta en krishanterande funktion för att agera i händelse av en allvarlig driftstörning som riskerar att påverka den finansiella sektorns digitala infrastruktur. Promemorians innehåll är disponerat på följande vis. I detta kapitel behandlar vi hur företag i den finansiella sektorn arbetar med att hantera de – främst operativa – risker som är förknippade med deras respektive verksamheter. Vi redogör även för gällande och kommande regelverk och tillsynsformer när det gäller den finansiella sektorns motståndskraft mot såväl cyberangrepp som andra operativa risker. I kapitlet berör vi även ansvarsfördelningen för att såväl förbereda sig inför en krissituation liksom att hantera en redan uppkommen kris.

8 Se Försvarsberedningens rapport Kraftsamling - Inriktningen av totalförsvaret och utformningen av det civila försvaret (Ds 2023:34), s. 203. Rapporten överlämnades till regeringen den 19 december 2023.

Kapitel 5 innehåller en kartläggning av de olika stödinsatser som kan bli aktuella i händelse av att ett eller flera finansiella företag drabbas av en allvarlig driftstörning i deras digitala infrastruktur. I kapitlet berörs även behovet av en ny krishanterande funktion för den finansiella sektorn. Kapitlet innehåller slutligen en internationell utblick. Promemorians sjätte kapitel innehåller utredningens förslag och bedömningar gällande de förslag som utredningen lämnar. I det därpå följande kapitlet finns utredningens förslag och överväganden gällande ikraftträdande- och övergångsbestämmelser. De två avslutande kapitlen innehåller en analys av konsekvenserna av utredningens förslag respektive en författningskommentar.

4.2 Definitioner

Det är nödvändigt att försöka definiera ett antal begrepp som är av central betydelse för denna utredning. I utredningens uppdragsbeskrivning används begreppet allvarlig driftstörning . Begreppet är inte närmare definierat i lag eller annan författning. I linje med vad som anges i uppdragsbeskrivningen anser utredningen att begreppet får förstås som en situation där centrala delar av det finansiella systemet har nedsatt funktionalitet eller inte är tillgängliga. Exempelvis att ett stort antal personer inte har möjlighet att genomföra betalningar eller saknar tillgång till andra finansiella tjänster. Orsaken till en allvarlig driftstörning kan vara en cyberattack, en olyckshändelse eller ett avbrott i elförsörjningen eller i den elektroniska kommunikationen. En allvarlig driftstörning kan, beroende på dess omfattning, i förlängningen hota den finansiella 9 stabiliteteten. I utredningens uppdragsbeskrivning nämns också begreppet digital infrastruktur. Begreppet kan förstås som ett samlingsnamn för olika typer av tjänster som möjliggör att data kan lagras eller delas digitalt mellan olika enheter. Det kan exempelvis röra sig om elektroniska 10 kommunikationer eller tjänster som möjliggör uppkoppling till internet. Med finansiell stabilitet menas det finansiella systemets förmåga att upprätthålla sina grundläggande funktioner även under ogynnsamma omständigheter. Ett stabilt finansiellt system har tillräckligt god motståndskraft mot störningar som hotar dess grundläggande funktioner. Med fredstida krissituationer menas sådana situationer som • avviker från det normala, • drabbar många människor, stora delar av samhället eller hotar grundläggande värden,

9 Se nedan under avsnitt 6.4 för en mer utförlig diskussion kring begreppet allvarlig driftstörning i relation till när den nya krishanterande funktionen ska aktiveras. 10 Se exempelvis pt 8 i bilaga I till Europaparlamentets och Rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 (NIS 2-direktivet). Se bland annat SOU 2019:46 En ny riksbankslag. s. 351. 19

• innebär en allvarlig störning eller en överhängande risk för en allvarlig störning av viktiga samhällsfunktioner, och • kräver samordnade och skyndsamma åtgärder från flera aktörer. Med samhällsviktig verksamhet menas en verksamhet, tjänst eller infrastruktur som upprätthåller eller säkerställer samhällsfunktioner som är nödvändiga för samhällets grundläggande behov, värden eller säkerhet. 13 Myndigheten för samhällsskydd och beredskap (MSB) har definierat samhällsviktig verksamhet inom den finansiella sektorn som sådan verksamhet som upprätthåller de viktiga samhällsfunktionerna: • betalningsförmedling, • sparande, finansiering och finansiell riskhantering, • finansiell stabilitet, och • 14 försäkring. Mot denna bakgrund kan man konstatera att en allvarlig driftstörning kan ge upphov till fredstida krissituation. Det är även möjligt att tänka sig det omvända, nämligen att en fredstida krissituation, exempelvis ett omfattande avbrott i elförsörjningen på grund av en naturkatastrof, ger upphov till en allvarlig driftstörning i den finansiella sektorn. Samhällsviktig verksamhet inom den finansiella sektorn kan även utgöra säkerhetskänslig verksamhet . Med säkerhetskänslig verksamhet menas 15 sådan verksamhet som är av betydelse för Sveriges säkerhet. Ett finansiellt företag löper risker som är såväl finansiella som operativa . Med operativ risk menas risken för förluster som inte är direkt hänförlig till finansiella risker. Operativa risker innefattar bland annat risken för förluster till följd av bland annat felaktig handläggning, brottslighet, olyckshändelser, avbrott i energiförsörjningen eller 16 cyberangrepp. Begreppen it-incident används här som en beteckning för en inträffad oönskad it-relaterad händelse. Med cyberattack eller cyberangrepp avser vi en attack, via cyberrymden, som är specifikt riktad mot en nation, organisation eller annan aktörs användning av cyberrymden med avsikten 17 att förstöra, inaktivera eller ta över kontrollen över ett datasystem. Det rör sig därmed om en medveten handling av en aktör i syfte att på något

6 § förordningen (2022:524) om statliga myndigheters beredskap. I det följande benämns denna förordning beredskapsförordningen. 13 6 § beredskapsförordningen. 14 MSB, Identifiering av samhällsviktig verksamhet: Lista med viktiga samhällsfunktioner, 2023. Riksdagen har nyligen beslutat att målen för finansmarknadsområdet ska utvidgas till att även innefatta att det finansiella systemet ska ha förmåga att säkerställa viktiga samhällsfunktioner (se prop. 2023/24:1, utgiftsområde 2, s. 10). 15 Se 1 kap. 1 § 1 st. säkerhetsskyddslagen (2018:585). Verksamheter där en antagonistisk handling kan medföra direkt eller uppenbar påverkan på Sveriges ekonomi och betalningsförmåga på sådant sätt att Sverige inte fortsatt kan upprätthålla en nationell suveränitet kan anses gälla Sveriges säkerhet (se prop. 2017/18:89 Ett modernt och stärkt skydd för Sveriges säkerhet – ny säkerhetsskyddslag, s. 45.). 16 Se bland annat SOU 1998:160 Reglering och tillsyn av banker och kreditmarknadsföretag, s. 198. 17 Myndigheten för samhällsskydd och beredskap (MSB) har i sin Termbank för informationssäkerhet definierat ett flertal termer gällande informationssäkerhet. Även Financial Stability Board (FSB) har i sitt Cyber Lexicon från 2018, som uppdaterats 2023, definierat ett flertal olika termer när det gäller cybersäkerhet inom den finansiella sektorn.

vis skada det system som angrips eller någon annan. Den som genomför en cyberattack eller ett cyberangrepp kan därmed ha gjort sig skyldig till brottet dataintrång . Av utredningens uppdragsbeskrivning framgår att utredningen ska föreslå en funktion för operativ kris ledning. Samtidigt används i många sammanhang begreppet kris hantering. Dessa begrepp är inte helt tydligt definierade i lagstiftning. Ett exempel finns dock i 2 kap. 2 § lagen (2006:544) om kommuners och regioners åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap där det framgår att det inom en kommun ska finnas en krisledningsnämnd. Denna nämnd har möjlighet att fatta beslut om att ta över hela eller delar av verksamhetsområden från övriga nämnder i kommunen (2 kap. 4 §). Krisledning kan här förstås som att en aktör ges rätt att fatta beslut avseende hur andra aktörer ska agera under en kris. 19 Krishantering kan förstås som systematiska åtgärder som vidtas i syfte att avhjälpa den 20 inträffade krisen samt att mildra konsekvenserna av densamma. När det gäller samhällets beredskap mot krig finns ett flertal centrala begrepp. För att stärka landets försvarsförmåga kan beredskapen höjas. Höjd beredskap är antingen skärpt beredskap eller högsta beredskap . Under högsta beredskap är totalförsvar all samhällsverksamhet som då ska bedrivas. Totalförsvar består av militär verksamhet (militärt försvar) och civil verksamhet (civilt försvar). Är Sverige i krig råder högsta beredskap. Är Sverige i krigsfara eller råder det sådana utomordentliga förhållanden som är föranledda av att det är krig utanför Sveriges gränser eller av att Sverige har varit i krig eller krigsfara, får regeringen besluta om skärpt eller högsta beredskap. 21 Det är givetvis möjligt att en krigshandling kan ge upphov till en allvarlig driftstörning som drabbar den finansiella sektorn. Exempelvis om en angripare saboterar centrala delar av den svenska infrastrukturen för elektroniska kommunikationer vilket i sin tur leder till att finansiella företag inte kan utföra sina tjänster.

4.3 Riskhantering i den finansiella sektorn

Ett finansiellt företag har flera olika typer av risker som det behöver 22 hantera. Hur riskerna ser ut beror givetvis på vilken typ av finansiell verksamhet som företaget bedriver samt i vilka marknader det bedriver sin verksamhet. Oavsett typ av risk är en central uppgift för varje finansiellt företag att identifiera, mäta, styra och kontrollera de risker som dess

Brottet dataintrång förutsätter att någon olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling eller olovligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift. Se 4 kap. 9 c § brottsbalken. 19 Jfr även bestämmelserna i lagen (2003:778) om skydd mot olyckor om räddningsledning som inbegriper att fatta för enskilda bindande beslut i händelse av en brand eller olycka. 20 Jfr 9 § beredskapsförordningen. 21 1 samt 3 §§ lagen (1992:1403) om totalförsvar och höjd beredskap. 22 En översikt över de olika risker som banker har att hantera finns bland annat i Banklagskommitténs betänkande SOU 1998:160 Reglering och tillsyn av banker och kreditmarknadsföretag (s. 191 ff.). 21

verksamhet är förknippad med. Det är alltså det enskilda finansiella företaget som har det primära ansvaret att hantera de risker som kan uppstå i dess rörelse. Under åren efter den globala finanskrisen 2008 – 09 låg fokus på företagens finansiella risker. De finansiella riskerna inbegriper flera olika typer av risker såsom likviditetsrisk, kreditrisk och marknadsrisk. Efter den globala finanskrisen skapades ett flertal olika regelverk i syfte att främst hantera olika finansiella risker. Stor uppmärksamhet har även ägnats åt att stärka den finansiella stabiliteten på såväl nationell som regional och global nivå. Med att det finansiella systemet är stabilt menas att det ska kunna fullgöra sina uppgifter – förmedla betalningar, omvandla sparande till finansiering och 24 hantera risker – även om det utsätts för påfrestningar. Ett stabilt finansiellt system har alltså tillräcklig motståndskraft för att kunna upprätthålla sina grundläggande funktioner under såväl normala som stressade lägen. Som beskrivits ovan har den finansiella sektorn, såväl i Sverige som i de allra flesta övriga länder, genomgått en omfattande digitalisering under de senaste decennierna. Den digitala utvecklingen har medfört många fördelar. Inte minst har finansiella tjänster blivit mer tillgängliga och effektiva för de allra flesta. Samtidigt har den digitala utvecklingen inom den finansiella sektorn gett upphov till nya typer av risker. Kriminalitet som tidigare kunde ta sig uttryck i form av exempelvis bankrån eller värdetransportrån kan idag ta sig formen av cyberangrepp mot en bank, ett annat finansiellt eller icke-finansiellt företag eller en konsument. Antalet bedrägerier online har också ökat, även om siffrorna är osäkra eftersom mörkertalet är stort. 25 Utöver rent kriminella element finns också risken att fientligt inställda stater eller statsstödda aktörer kan ha såväl förmåga som avsikt att angripa ett svenskt finansiellt företag i syfte att skada Sverige eller svenska intressen. Motivet för en angripare är uppenbart: betalningar är centrala för ett fungerande samhälle och därmed för samhällets motståndskraft. Hushållens konsumtion, företagens utbetalningar av löner och betalningar mellan privatpersoner och företag respektive mellan företag är avgörande för att samhällsekonomin, och därmed samhället i stort, ska kunna fungera. En längre störning eller ett sammanbrott i det finansiella systemet kommer därmed att utgöra en svår påfrestning för hela samhället. 26 Ett cyberangrepp mot den finansiella sektorn kan därför vara ett viktigt instrument för den som vill skada Sverige eller svenska intressen. Detta särskilt om angriparen lyckas med att slå ut eller allvarligt inskränka möjligheten att göra betalningar mellan enskilda, företag och myndigheter. Flera länder samt EU och Nato har angett att cyberangrepp under vissa förutsättningar kan likställas med ett väpnat angrepp. 27

Se exempelvis 6 kap. 2 § lagen (2004:297) om bank och finansieringsrörelse samt 8 kap. 4 § lagen (2007:528) om värdepappersmarknaden. 24 Se exempelvis Riksbanken, Finansiell stabilitet 2023:1. s. 3. 25 Se exempelvis Brottsförebyggande rådet, Polisanmälda dataintrång, rapport 2022:8. s. 64 ff. 26 Ds 2023:34, Kraftsamling - Inriktningen av totalförsvaret och utformningen av det civila försvaret, s. 211. 27 Försvarsberedningens säkerhetspolitiska rapport 2023 (Allvarstid Ds 2023:19), s. 36.

Den finansiella sektorns motståndskraft mot cyberangrepp bör mot denna bakgrund vara hög. Samtidigt är det även viktigt för den finansiella sektorn att motståndskraften hos andra samhällsviktiga sektorer är tillfredsställande. Detta inte minst eftersom flera sektorer är beroende av varandra. Det är exempelvis svårt att bedriva finansiell verksamhet utan fungerande energiförsörjning och tillgång till fungerande elektroniska kommunikationer, samtidigt som betalningar är nödvändiga för att exempelvis införskaffa försvarsmateriel eller för att handeln med energi ska fungera. 28 Det säkerhetspolitiska läget i Sveriges närområde och i Europa har över tid försämrats, inte minst efter den ryska invasionen av Ukraina. Det går 29 därför inte att utesluta ett angrepp mot Sverige. Det kan inte heller uteslutas att militära maktmedel eller ytterligare hot om sådana kan komma att användas mot Sverige. 30 Som Försvarsberedningen konstaterat har digitaliseringen gjort cyberområdet till en framträdande arena för hot och angrepp, till exempel riktat mot företag och finansiella system som har samhällskritiska funktioner. 31 Angrepp riktade mot it-system kan se olika ut. Genom en denial-ofservice (DoS) attack kan angriparen, med relativt enkla medel, överbelasta ett it-system och därmed hindra normal användning av det. En annan form av cyberangrepp är så kallad ransomware (utpressningsprogram). Genom att sprida en skadlig kod kan angriparen via kryptering ta filer som gisslan och kräva en lösensumma, eller att den angripne vidtar en annan åtgärd, för att släppa filerna. Ytterligare ett sätt att genomföra en cyberattack är att använda sig av ett sabotageprogram ( malware ). Genom att föra in skadlig kod i ett it-system kan en angripare störa systemet. Angriparen kan på detta vis olovligen samla in information, stänga ner systemet och störa de funktioner, till exempel finansiella tjänster, som styrs av systemet, eller på annat vis utnyttja det angripna systemet på ett sätt som gynnar angriparen själv. Ett tydligt exempel på hur en statsaktör kan använda sig av cyberangrepp är de sofistikerade cyberattacker som ukrainska företag, såväl inom som utom den finansiella sektorn, utsattes för strax före samt i början av den ryska invasionen av landet i februari 2022. Efter kortare avbrott lyckades 32 företagen dock få i gång sina tjänster igen. Perioden därefter har i stället präglats av mer primitiva angreppsformer som överbelastningsattacker och nätfiske. Enligt uppgifter från Ukrainas cybersäkerhetscentrum ska landet ha utsatts för över 1 500 svårare cyberangrepp under den fullskaliga invasionens första sex månader, varav drygt hälften ska ha genomförts i februari och mars 2022. Angreppens syfte har varit att förhindra ukrainska civila och militära aktörer att verka på ett effektivt sätt, att orsaka direkt

28 Se Finansinspektionen, Förstärkt digital motståndskraft hos företag i den finansiella sektorn, 2022. s. 5 f. 29 Prop. 2020/21:30 Totalförsvaret 2021 – 2025 (s. 58 f.). 30 Se Kraftsamling - Inriktningen av totalförsvaret och utformningen av det civila försvaret (Ds 2023:34), s. 15. 31 Försvarsberedningens säkerhetspolitiska rapport 2023 (Allvarstid Ds 2023:19), s. 36. 32 National Bank of Ukraine, Financial Stability Report, juni 2022. s. 26 f. Se även MSB, När kriget kom nära – Årsrapport it-incidentrapportering 2022.

skada i det ukrainska samhället samt att skapa fördelar för den ryska militären. Den absolut vanligaste typen av it-incidenter är dock fortfarande de som orsakats utan uppsåt. Det kan exempelvis röra sig om rena handhavandefel. Ett exempel i närtid på en sådan händelse är det omfattande avbrott som drabbade banken Swedbank i april 2022. Avbrottet var orsakat av ett manuellt fel i samband med en uppdatering av ett centralt it-system och ledde till att ett stort antal transaktioner stoppades och att felaktiga saldon visades. 34 Utöver it-incidenter kan givetvis andra typer av händelser få allvarlig påverkan på det finansiella systemet. Det kan exempelvis röra sig om omfattande avbrott i samhällets energiförsörjning eller i it- och elektronisk kommunikation. Ett sådant avbrott kan i sin tur vara orsakat av såväl en olyckshändelse, ett handhavandefel, en naturkatastrof eller ett avsiktligt angrepp i syfte att orsaka skada. Oavsett den bakomliggande orsaken är det rimligt att anta att ett omfattande avbrott kan få allvarliga konsekvenser för den finansiella stabiliteten och i förlängningen för hela samhället. Flera aktörer har idag olika ansvar när det gäller beredskapen mot operativa kriser i den svenska finansiella sektorn. Även om många av dessa aktörer sedan länge haft ett ansvar för beredskapen på detta område har flera initiativ på senare tid tagits för att stärka samhällets beredskap och motståndskraft mot operativa kriser i den finansiella sektorn. Regeringens mål för krisberedskapen i Sverige är att såväl minska risken för olyckor och kriser som att samhällsviktig verksamhet ska kunna upprätthållas i händelse av kris eller krig. 35 Det rör sig dels om åtgärder som syftar till att undvika att en kris uppstår eller att förhindra att en driftstörning, eller annan händelse, får allvarliga konsekvenser, dels om sådana åtgärder som syftar till att hantera effekterna av en uppkommen kris. Den första kategorin av åtgärder handlar i stort om att se till så att finansiella företag har en stabil finansiell situation, att tillsynen och regleringen av dess verksamhet är effektiv, att säkerheten i dess digitala infrastruktur är tillfredsställande och i linje med gällande krav samt att myndigheter och privata aktörer har ett fungerande samarbete sinsemellan. Den andra kategorin av åtgärder innefattar främst åtgärder som syftar till en tydlig ansvarsfördelning i händelse av kris. Denna kategori omfattar en stor bredd av olika åtgärder, alltifrån att vissa myndigheter under höjd beredskap eller vid en fredstida kris har skyldighet att dela viss 36 information med varandra till mer långtgående åtgärder som exempelvis

Se Ds 2023:34, Kraftsamling - Inriktningen av totalförsvaret och utformningen av det civila försvaret, s. 75. 34 Finansinspektionen utredde händelsen och beslutade att ge banken en anmärkning samt en sanktionsavgift på 850 miljoner kronor eftersom myndigheten ansåg att uppdateringen hade gjorts utan att bankens interna rutiner och processer följdes och att Swedbank saknade ändamålsenliga kontrollmekanismer som kunde fånga upp avvikelsen och säkerställa att de interna rutinerna och processerna följdes. Se FI:s beslut den 14 mars 2023, FI dnr 22 – 18430. 35 Se prop. 2022/23:1 utgiftsområde 6. 36 Exempelvis är beredskapsmyndigheter skyldiga att hålla regeringen informerad om händelseutvecklingen, tillståndet, den förväntade utvecklingen och tillgängliga resurser

innebär att en viss myndighet ges ett betydande beslutsmandat i förhållande till en annan myndighet eller enskilda. I det följande benämns dessa kategorier av åtgärder förebyggande respektive 38 krishanterande . En grundläggande princip för hur det svenska samhället ska agera under kris och krig är den så kallade ansvarsprincipen . Kortfattat innebär denna princip att den som ansvarar för en viss verksamhet i fred ska, så långt det är möjligt, upprätthålla samma ansvar i händelse av fredstida kris eller höjd beredskap. 39 Som framgår av utredningens uppdragsbeskrivning innebär denna princip att de finansiella företagen själva har ett betydande eget ansvar för att vidta åtgärder så att de kan bedriva sin egen verksamhet även i händelse av en fredstida kris eller höjd beredskap. Givetvis gäller samma princip för myndigheternas arbete. En myndighet som har ett visst ansvar i fredstid ska, så långt det är möjligt, ha samma ansvar i händelse av fredstida kris eller höjd beredskap. Slutligen, när det gäller samhällets informations- och cybersäkerhet har principerna formulerats av regeringen i en nationell strategi för samhällets informations- och cybersäkerhet från 2017. Huvudsyftena med strategin är att bidra till att skapa långsiktiga förutsättningar för samhällets aktörer att arbeta effektivt med informations- och cybersäkerhet samt att höja medvetenheten och kunskapen i hela samhället. 40 Regeringen inledde under 2023 arbetet med att ta fram en ny informations- och cybersäkerhetsstrategi som även beaktar det nya NIS 2-direktivets bestämmelser. 41

4.4 Reglering och tillsyn

4.4.1 Tillsyn och tillståndsgivning

Ett avbrott som drabbar den samhällsviktiga verksamheten inom den finansiella sektorn kan få allvarliga konsekvenser för såväl enskilda som för samhällsekonomin. Risken är även stor att ett problem hos en aktör i den finansiella sektorn snabbt kan spridas till andra aktörer. 42 Samtidigt

inom sitt ansvarsområde samt om vidtagna och planerade åtgärder vid fredstida krissituationer och höjd beredskap (22 § beredskapsförordningen). Exempel på ett sådant mer omfattande beslutsmandat finns i förordningen (1982:314) om utnyttjande av Kustbevakningen inom Försvarsmakten som innebär att Kustbevakningen inordnas i Försvarsmakten i händelse av krig eller förfogandelagen (1978:262) som ger det allmänna möjlighet att, vid krig eller krigsfara, tvångsvis förfoga över egendom som tillhör en enskild i syfte att tillgodose totalförsvarets och folkförsörjningens behov. 38 En mer ingående beskrivning av civil beredskap och cybersäkerhet när det gäller betalningar finns i Betalningsutredningens SOU 2023:16 Staten och betalningarna, kap. 11 och 12. 39 Se bl.a. SOU 2021:25 Struktur för ökad motståndskraft, s. 150 f för en mer ingående beskrivning av ansvarsprincipen. 40 Regeringens skrivelse 2016/17:213, Nationell strategi för samhällets informations- och cybersäkerhet. 41 Se nedan under avsnitt 4.4.5. 42 Se bl.a. Finansinspektionen, Stabiliteten i det finansiella systemet, 2023 (FI dnr 23 – 14442). s. 8. 25

finns risken att ett enskilt företag inte fullt ut beaktar den risk för hela det finansiella systemet som ett avbrott i dess verksamhet kan ge upphov till. Mot denna bakgrund finns det starka skäl för samhället att reglera och utöva tillsyn över företagen i den finansiella sektorn. Ett grundläggande syfte med tillsynen kan sägas vara att åstadkomma en hög motståndskraft mot såväl operativa som finansiella risker hos företagen i den finansiella sektorn. Med tillsyn menas att en myndighet får ett mandat att se till så att en aktör uppfyller vissa särskilt angivna krav på sin verksamhet. Inom den finansiella sektorn är tillsynen ofta nära kopplad till det verksamhetstillstånd som företaget behöver för att driva sin verksamhet. Finansinspektionen har det primära ansvaret för tillsyn och tillståndsgivning över svenska finansiella företag. Myndigheten har även ansvar för viss regelgivning. Genom att pröva om ett visst finansiellt företag ska beviljas tillstånd att driva finansiell verksamhet tar Finansinspektionen ställning till om företaget och dess ledning inte är olämpliga att driva den aktuella verksamheten. På så vis kan staten förhindra olämpliga företag och individer från att driva finansiell verksamhet. Finansinspektionen kan dessutom ingripa mot företag som bryter mot de regler som gäller för verksamheten, ytterst genom att återkalla tillståndet. Inom ramen för den löpande tillsynen har Finansinspektionen tämligen vidsträckta befogenheter. Finansinspektionen kan exempelvis begära att ett företag eller någon annan tillhandahåller uppgifter, eller handlingar eller att den som förväntas kunna lämna upplysningar i saken kommer till förhör. Finansinspektionen kan även göra platsundersökningar. 43

4.4.2 Gällande sektorslagstiftning

När det gäller tillsynen över operativa risker inom den svenska finansiella sektorn utgår Finansinspektionen från flera olika regelverk. Gemensamt för dessa regler är att de ger Finansinspektionen en möjlighet att ingripa med sanktioner mot företag som inte följer reglerna, ytterst genom att återkalla verksamhetstillståndet. Här nedan ges en översikt över dessa regler. Avseende Finansinspektionens tillsyn över kreditinstitut (banker och kreditmarknadsföretag) finns den grundläggande bestämmelsen gällande dessa företags riskhantering i 6 kap. 2 § lagen om bank- och finansieringsrörelse. Bestämmelsen innehåller en generell skyldighet för kreditinstitut att identifiera, mäta, styra, internt rapportera och ha kontroll över de risker som dess rörelse är förknippad med. Relevanta regler finns även i Finansinspektionens föreskrifter och allmänna råd. Därutöver har den Europeiska bankmyndigheten (EBA) utfärdat riktlinjer för hantering av risker kopplade till företags informations- och kommunikationsrisker (IKT-risker) och säkerhetsrisker samt för utkontraktering.

43 Regler om Finansinspektionens tillsyn finns bland annat i 13 kap. lagen (2004:297) om bank- och finansieringsrörelse, 23 kap. lagen (2007:528) om värdepappersmarknaden samt 17 kap. försäkringsrörelselagen (2010:2043). Här bör särskilt nämnas Finansinspektionens föreskrifter och allmänna råd (FFFS 2014:1) om styrning, riskhantering och kontroll i kreditinstitut.

För försäkringsföretag finns grundläggande bestämmelser om hur operativa risker ska hanteras i försäkringsrörelselagen (2010:2043). Lagens tionde kapitel innehåller bestämmelser om företagsstyrning, varav flera är relevanta när det gäller företagens hantering av it-risker. Här finns bland annat bestämmelser om riskhantering, kontinuitetshantering och uppdragsavtal. Dessa bestämmelser kompletteras av bestämmelser i Europeiska kommissionens delegerade förordning om komplettering av Solvens II samt riktlinjer utfärdade av den Europeiska försäkrings- och tjänstepensionsmyndigheten (Eiopa). För aktörerna på värdepappersmarknaden finns det flera olika regelverk som berör operativa risker. Utgångspunkten för mycket av regleringen för aktörer inom den finansiella infrastrukturen är principerna för finansmarknadsinfrastrukturer, Principles for Financial Market Infrastructures (PFMI), som har tagits fram gemensamt av den Internationella organisationen för värdepapperstillsyn (Iosco) och Banken för internationell betalningsutjämning (BIS). PFMI utgör dock inte i sig regler med bindande verkan. När det gäller centrala motparter och värdepapperscentraler finns relevanta regler för företagsstyrning i EU:s förordning om OTC-derivat, centrala motparter och transaktionsregister (Emir-förordningen) respektive EU:s förordning om förbättrad värdepappersavveckling och om värdepapperscentraler (CSDR-förordningen) samt i tillhörande delegerade förordningar. I kraven på adekvat företagsstyrning ingår att företagen ska ha förmågan att kunna hantera risker, däribland operativa risker, i sin verksamhet. Därutöver innehåller lagen om värdepappersmarknaden liknande bestämmelser för värdepappersbolag (8 kap. 4 §), börser (13 kap. 2 §) och clearingorganisationer (20 kap. 1 §). Även här fylls lagreglerna ut av Finansinspektionens föreskrifter. De finansiella företagen har också i flera fall skyldighet att rapportera incidenter till ansvariga myndigheter, främst till Finansinspektionen och 46 till viss del även till MSB och Säkerhetspolisen. Den finansiella sektorn står inför genomgripande förändringar avseende krav på motståndskraft, inbegripet incidentrapportering, genom Dora-förordningen (se nedan). Utöver krav på hantering av operativa risker är det även viktigt att de finansiella företagen följer gällande krav avseende kapital och likviditetstäckning. Även om finansiella buffertar inte i sig är avgörande för hur väl ett företag kan hantera en allvarlig driftstörning innebär de

Finansinspektionens föreskrifter och allmänna råd (FFFS 2014:4) om hantering av operativa risker, Finansinspektionens föreskrifter och allmänna råd (FFFS 2014:5) om informationssäkerhet, it-verksamhet och insättningssystem samt Finansinspektionens allmänna råd (FFFS 2005:1) allmänna råd om styrning och kontroll av finansiella företag. 46 De finansiella företagens skyldigheter att rapportera incidenter framgår främst av Finansinspektionens allmänna råd om rapportering av händelser av väsentlig betydelse (FFFS 2021:2), Finansinspektionens föreskrifter om verksamhet för betaltjänstleverantörer (FFFS 2018:4), samt av Myndigheten för samhällsskydd och beredskaps (MSB) föreskrifter och allmänna råd om rapportering av incidenter för leverantörer av samhällsviktiga tjänster (MSBFS 2018:9). Om den inträffade händelsen är att betrakta som säkerhetshotande ska en även en anmälan göras till Säkerhetspolisen enligt 2 kap. 4 § säkerhetsskyddsförordningen (2021:955). 27

faktiska resurser som kan användas för att köpa tid och i bästa fall överbrygga tillfälliga problem. Slutligen har vissa finansiella företag såsom kreditinstitut, värdepappersbolag och finansiella holdingföretag att följa regler i resolutionslagstiftningen. Reglerna är komplicerade men kan i korthet sägas innebära en särskild metod för att hantera ett finansiellt företag som hamnar i en svår situation. Företagen är bland annat skyldiga att upprätta återhämtningsplaner i syfte att identifiera åtgärder som företaget avser att vidta för att bevara eller återställa sin finansiella ställning och livskraft efter en betydande försämring av den finansiella situationen. 48 Inom EU pågår för närvarande ett arbete med att ta fram ett direktiv, benämnt IRRD, innehållande ett ramverk för hantering av försäkrings- och återförsäkringsföretag i kris vilket kommer att medföra att liknande regler även kommer att gälla för dessa typer av företag. 49 Sammanfattningsvis kan man konstatera att regelverken kring operativa risker skiljer sig åt mellan olika sektorer av den svenska finansiella sektorn. Syftet med regleringarna kan dock sägas vara detsamma; att se till så att det individuella finansiella företaget har tillräcklig förmåga att hantera de operativa risker som dess verksamhet medför. Genom att stärka det individuella företagets motståndskraft mot operativa risker kan motståndskraften stärkas i det finansiella systemet som helhet. En annan likhet mellan regelverken för de olika sektorerna är att de tydligt placerar ansvaret för att hantera de risker som är förknippade med företagets rörelse på företagets styrelse. I linje härmed är det varje finansiellt företags primära ansvar att dess motståndskraft mot cyberangrepp och andra operativa risker är tillfredsställande.

4.4.3 Ny lag om clearing och avveckling av betalningar

När det gäller clearingverksamhet har regeringen i september 2023 beslutat en proposition innehållande en ny lag om clearing och avveckling av betalningar. 50 Den nya lagen innehåller krav på företagen att ha strategier för informations-, it- och cybersäkerhet för att kunna hantera risker, hot och sårbarheter. Företagen ska också ha beredskaps- och kontinuitetsplaner för att kunna hantera händelser som utgör en betydande risk för avbrott i verksamheten. Nuvarande reglering saknar uttryckligt krav på ett clearingbolag att ha en beredskapsplanering. Genom den nya

Se Finansinspektionen, Cyberhot och finansiell stabilitet – FI:s roll och uppgifter, 2021 (dnr 20 – 3685), s. 12. Europeiska systemrisknämnden har också i en rapport nyligen diskuterat i vilken mån makrotillsynsåtgärder kan användas för att hantera konsekvenserna av ett allvarligt cyberangrepp. Se ESRB, Advancing macroprudential tools for cyber resilience, 2023. 48 Se 6 a kap. lagen (2004:297) om bank- och finansieringsrörelse samt lagen (2015:1016) om resolution. Centrala motparter har att följa det resolutionsregelverk som framgår av Europaparlamentets och rådets förordning (EU) 2021/23 av den 16 december 2020 om en ram för återhämtning och resolution av centrala motparter. 49 Se Europeiska Kommissionens förslag till Europaparlamentets och Rådets Direktiv om inrättande av en ram för återhämtning och resolution av försäkrings- och återförsäkringsföretag (COM (2021) 582 final). Förslaget till direktiv har ännu inte antagits. 50 Prop. 2023/24:8 Ökad motståndskraft i betalningssystemet. Propositionen väntas beslutas av riksdagen i februari 2024.

lagen kommer även företag som bedriver verksamhet med omedelbara betalningar att omfattas av tillståndsplikt. Den nya lagen föreslås träda i kraft den 1 juli 2024.

4.4.4 Dora-förordningen

I december 2022 antogs Dora-förordningen som syftar till att stärka finansmarknadens operationella motståndskraft för cyberrisker. 52 Huvudmotivet är dels ett ökat behov av reglering och tillsyn i ljuset av den växande sårbarheten för cyberrisker, dels ett behov av större enhetlighet i regelverken, både mellan delsektorer av finansmarknaden och mellan länder. Regleringen riktar sig till i princip alla de typer av företag som i dag står under Finansinspektionens tillsyn. 53 Förordningen innehåller ett generellt krav på dessa företag att ha kontroll över alla sina IKT-relaterade risker. Den ställer även långtgående krav på de finansiella företagen att ha tillräckliga processer, system och styrdokument på plats för att hantera dessa risker. Dessutom innehåller den nya förordningen regler som tydliggör företagens ansvar även för den del av it-verksamheten som har lagts ut till en tredje part. Förordningen ställer krav på att tredjepartsrisker ska ingå som en integrerad del av de finansiella företagens riskramverk. Det ställs bland annat krav på dokumentation och att de finansiella företagen ska värdera de risker som kan uppkomma till följd av att en viss verksamhet läggs ut. De europeiska tillsynsmyndigheterna får i uppdrag att övervaka de tredjepartsleverantörer som bedöms som kritiska. I förordningen finns, slutligen, bestämmelser som reglerar i vilken omfattning företag ska testa sina IKT-system samt bestämmelser om övervakning av kritiska tredjepartsleverantörer av IKT-tjänster. Dora-förordningen ska tillämpas från och med den 17 januari 2025. Detta innebär sannolikt att Finansinspektionen kommer behöva se över myndighetens föreskrifter som reglerar hanteringen av finansiella företags IKT-risker.

4.4.5 NIS och CER-direktiven

Syftet med EU:s direktiv om nätverks- och informationssystem – det s.k. NIS-direktivet 54 – är att förbättra funktionen av unionens inre marknad genom att bland annat vidta åtgärder för att uppnå en hög gemensam nivå på säkerhet i nätverk och informationssystem. Flera av åtgärderna syftar till att säkerställa kontinuiteten i de samhällsviktiga och digitala tjänster som omfattas av direktivet. Direktivet reglerar bl.a. skyldigheter för vissa

Ett exempel på ett sådant företag är Getswish AB som tillhandahåller tjänsten Swish. 52 Europaparlamentets och Rådets förordning (EU) 2022/2554 av den 14 december 2022 om digital operativ motståndskraft för finanssektorn. 53 Förordningen kommer dock inte att omfatta betalnings-, clearing- och avvecklingssystem. Företag som bedriver dessa typer av verksamheter kommer dock att omfattas av den nya lag om clearing och avveckling av betalningar som nämnts ovan. 54 Europaparlamentets och rådets direktiv (EU) 2016/1148 av den 6 juli 2016 om åtgärder för en hög gemensam nivå på säkerhet i nätverks- och informationssystem i hela unionen. 29

leverantörer av samhällsviktiga tjänster och vissa leverantörer av digitala tjänster att vidta säkerhetsåtgärder för att hantera risker samt förebygga och hantera incidenter i nätverk och informationssystem som de är beroende av för att tillhandahålla tjänsterna. Leverantörerna ska också rapportera incidenter som har en betydande respektive avsevärd inverkan på kontinuiteten i tjänsten. I Sverige har direktivets bestämmelser genomförts främst genom lagen (2018:1174) om informationssäkerhet för samhällsviktiga och digitala tjänster som trädde i kraft 2018. 55 Lagen omfattar leverantörer som tillhandahåller en samhällsviktig tjänst i Sverige. Vilka dessa leverantörer är har det uppdragits åt Myndigheten för samhällsskydd och beredskap (MSB) att avgöra. Av MSB:s föreskrifter (MSBFS 2018:7) om anmälan och identifiering av leverantörer av samhällsviktiga tjänster framgår vilka leverantörer som är samhällsviktiga. Det är särskilt två kategorier som är av intresse i detta sammanhang: bankverksamhet och finansmarknadsinfrastruktur. När det gäller bankverksamhet omfattas de kreditinstitut som enligt FI:s årliga tillsynskategorisering tillhör kategori 1 eller 2, eller utländska kreditinstitut som driver finansieringsrörelse i Sverige genom en filial med 56 en balansomslutning på minst 500 miljarder kronor. Vad gäller finansmarknadsinfrastruktur omfattas den som tillhandahåller en handelsplats med en sammanlagd handelsomsättning på minst 1 miljard kronor per dag, eller tjänster som utförs av centrala motparter. De företag som omfattas av denna lagstiftning är skyldiga att bland annat utföra ett systematiskt och riskbaserat informationssäkerhetsarbete samt att rapportera incidenter. Vid en överträdelse av dessa skyldigheter har den ansvariga tillsynsmyndigheten möjlighet att utfärda åtgärdsföreläggande eller sanktionsavgift. I slutet av 2022 antogs en ny version av NIS-direktivet, NIS 2 . 57 Bland annat innebär det nya NIS-direktivet förstärkta regler om incidentrapportering samt att fler företag inom den finansiella sektorn kan komma att omfattas av dess regler. Entiteter delas inte längre in i leverantörer av samhällsviktiga tjänster och digitala tjänster utan istället i väsentliga respektive viktiga entiteter. Det bör här noteras att reglerna i Dora-förordningen är så kallad lex specialis i förhållande till reglerna NISdirektiven. Detta innebär att Dora-förordningens regler ska ges företräde före NIS-direktivens bestämmelser för det fall det föreligger en regelkonflikt. Mot bakgrund av detta samt faktumet att Dora-förordningen

55 Direktivet har också genomförts i svensk rätt genom förordningen (2018:1175) om informationssäkerhet för samhällsviktiga och digitala tjänster och genom föreskrifter beslutade av MSB och tillsynsmyndigheterna. 56 Se FI:s årliga tillsynskategorisering av svenska kreditinstitut och utländska kreditinstituts svenska filialer. Vad gäller de banker som driver filialverksamhet i Sverige använder sig FI av kategoriseringen filial, betydande filial samt särskilt betydande filial. Se Tillsynskategorisering av svenska kreditinstitut och utländska kreditinstituts svenska filialer för 2024 (FI dnr 23 – 19478). 57 Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 (NIS 2-direktivet). Se pt. 16 respektive 19 i preambeln till Dora-förordningen samt artikel 4 i NIS 2direktivet.

kommer tillämpas på i stort sett samtliga typer av finansiella företag är det sannolikt att det nya NIS-direktivet kommer att få en begränsad påverkan på företagen inom den finansiella sektorn. I NIS2-direktivet regleras även ett nytt forum för samarbete mellan medlemsstaterna, det europeiska kontaktnätverket för cyberkriser ( EU- CyCLONe ). Europeiska unionens cybersäkerhetsbyrå, Enisa, kommer ansvara för EU-CyCLONes sekretariat och stödja ett säkert informationsutbyte samt tillhandahålla nödvändiga verktyg för att stödja samarbete mellan medlemsstaterna så att ett säkert informationsutbyte säkerställs. Nätverket ska verka stödjande vid samordning och hantering av storskaliga incidenter och cyberkriser och bestå av företrädare för medlemsstaternas cyberkrishanteringsmyndigheter. En motsvarighet till nätverket finns redan i dag på frivillig basis, med MSB som svensk representant, men får i NIS2 en tydlig rättslig grund. 59 60 I sammanhanget bör även det nya CER-direktivet nämnas. Direktivet, som också antogs i slutet av 2022 ställer krav på åtgärder för att stärka motståndskraften hos kritiska entiteter. Med detta begrepp menas en entitet som tillhandahåller en eller flera samhällsviktiga tjänster vilket i sin tur definieras som en tjänst som är avgörande för att upprätthålla centrala samhällsfunktioner eller central ekonomisk verksamhet. Varje medlemsstat ska bland annat enligt direktivet ta fram en nationell strategi för att öka motståndskraften hos de kritiska entiteter som medlemsstaten har identifierat. Medlemsstaterna ska också göra en nationell riskbedömning och redovisa vilka typer av risker som har identifierats och resultatet av riskbedömningarna per sektor och undersektor i direktivet. I likhet med NIS 2-direktivet innehåller CER-direktivet bestämmelser av innebörden att sektorsspecifika regler, såsom DORA-förordningen, ska tillämpas före generella regler. 61 Såväl NIS 2-direktivet som CER-direktivet ska vara genomförda i 62 svensk rätt senast den 17 oktober 2024.

4.4.6 Säkerhetsskyddslagstiftningen

Säkerhetsskydd handlar om att skydda information och verksamheter som är av betydelse för Sveriges säkerhet mot spioneri, sabotage, terroristbrott och vissa andra hot. Säkerhetsskydd handlar också om att skydda verksamhet som omfattas av ett för Sverige förpliktande internationellt åtagande om säkerhetsskydd. Sedan 2019 gäller en säkerhetsskyddslagstiftning i Sverige som innebär skyldigheter för den

59 Se art. 16 i NIS 2-direktivet. 60 Europaparlamentets och rådets direktiv (EU) 2022/2557 av den 14 december 2022 om kritiska entiteters motståndskraft och om upphävande av rådets direktiv 2008/114/EG. 61 Bestämmelserna i CER-direktivet kan därmed till stor del vara lex generalis i förhållande till DORA-förordningens bestämmelser. Se art. 1.3. i CER-direktivet. 62 En statlig utredning pågår för närvarande gällande genomförandet av NIS 2 och CER i svensk rätt. Utredningen ska överlämna sitt slutbetänkande senast den 23 februari 2024 (Utredningen om genomförande av EU:s direktiv om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, NIS2, och EU:s direktiv om kritiska entiteters motståndskraft, CER (Fö 2023:01)). Se https://sakerhetspolisen.se/verksamheten/sakerhetsskydd.html (2023-12-15). 31

som bedriver säkerhetskänslig verksamhet. Den som bedriver sådan verksamhet har en skyldighet att utreda behovet av säkerhetsskydd, att planera för och vidta säkerhetsskyddsåtgärder samt kontrollera det egna säkerhetsskyddet. Lagstiftningen föreskriver att säkerhetsskyddet ska bestå av tre olika typer av åtgärder: informationssäkerhet, fysisk säkerhet och 65 personalsäkerhet. Syftet med säkerhetsskyddsåtgärden informationssäkerhet är att förebygga dels att säkerhetsskyddsklassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs, dels skadlig inverkan på andra informationstillgångar som avser säkerhetskänslig verksamhet. I linje härmed är en verksamhetsutövare skyldig att anmäla säkerhetshotande händelser till Säkerhetspolisen. 66 Syftet med att upprätthålla en god fysisk säkerhet är att förebygga dels att obehöriga får tillträde till områden, byggnader och andra anläggningar eller objekt där de kan få tillgång till säkerhetsskyddsklassificerade uppgifter eller där verksamhet som av annan anledning är säkerhetskänslig bedrivs, dels skadlig inverkan på sådana områden, byggnader, anläggningar eller objekt. Personalsäkerhet syftar till att dels förebygga att personer som inte är pålitliga från säkerhetssynpunkt deltar i en verksamhet där de får tillgång till säkerhetsskyddsklassificerade uppgifter eller i en verksamhet som av annan anledning är säkerhetskänslig (säkerhetsprövning), dels att säkerställa att de som deltar i säkerhetskänslig verksamhet har en tillräcklig kunskap om säkerhetsskydd (utbildning i säkerhetsskydd). Dessa tre säkerhetsskyddsåtgärder samverkar och utgör ett sammanhållet system för skydd av säkerhetskänslig verksamhet. Sedan december 2021 är Finansinspektionen tillsynsmyndighet för enskilda verksamhetsutövare inom området finansiella företag samt för 67 motsvarande utländska företag som är etablerade i Sverige. Enligt uppgifter från Finansinspektioner utövar myndigheten i dagsläget tillsyn enligt säkerhetsskyddslagen över ett tiotal verksamhetsutövare. Myndighetens uppdrag består i att utöva tillsyn över att verksamhetsutövarna följer säkerhetsskyddslagen och de föreskrifter som har meddelats i anslutning till den och har möjlighet att fatta beslut om förelägganden och sanktionsavgifter mot verksamhetsutövare som inte lever upp till regelverkets krav. Finansinspektionen, och de övriga tillsynsmyndigheterna har vissa möjligheter att hindra överlåtelse av 68 säkerhetskänslig verksamhet. Finansinspektionen, och flera andra myndigheter, står själva under tillsyn av Säkerhetspolisen när det gäller hur myndigheterna själva

Säkerhetsskyddslag (2018:585) samt säkerhetsskyddsförordning (2018:658). Sedan december 2021 är FI tillsynsmyndighet för finansiella företag samt för motsvarande utländska företag som är etablerade i Sverige. 65 Se 2 kap. 2 – 4 §§ säkerhetsskyddslagen. 66 Se 2 kap. 4 § säkerhetsskyddsförordningen. 67 Se 8 kap 1 § säkerhetsskyddsförordningen. 68 Regler gällande överlåtelse av säkerhetskänslig verksamhet finns i 4 kap. säkerhetsskyddslagen.

tillämpar säkerhetsskyddslagstiftningen i deras egna respektive verksamheter.

4.4.7 Beredskapsförordningen

69 Den 1 oktober 2022 trädde en ny beredskapsförordning i kraft. Förordningen gäller för i princip samtliga statliga myndigheter. Av beredskapsförordningen följer att myndigheterna ska planera för och vidta åtgärder för att ha en god förmåga att hantera sina uppgifter under fredstida krissituationer och vid höjd beredskap. Myndigheterna ska analysera om det finns sårbarheter eller hot och risker inom myndighetens ansvarsområde som allvarligt kan försämra förmågan till verksamhet inom området. Myndigheterna ska även se till att de anställda får den utbildning och övning som behövs för att de ska kunna lösa sina uppgifter i samband med krissituationer. Vid en krissituation ska myndigheter samverka och stödja varandra och vidta de åtgärder som behövs för att hantera konsekvenserna av denna. 70 Av beredskapsförordningen följer vidare att varje myndighet i sin verksamhet ska beakta totalförsvarets krav. Statliga myndigheter ska även planera för att under höjd beredskap kunna fortsätta sin verksamhet så långt det är möjligt. Förordningen pekar ut ett 60-tal myndigheter som så kallade 71 beredskapsmyndigheter. Dessa myndigheter har ett särskilt ansvar för krisberedskapen och ska vidta ytterligare förberedelser inför och vid höjd beredskap än andra myndigheter. MSB och Försvarsmakten ska gemensamt stödja aktörerna i det nya beredskapssystemet och säkerställa den gemensamma totalförsvarsplaneringen. Beredskapsmyndigheterna ska bland annat verka för att andra myndigheter, kommuner och näringsidkare utvecklar sin förmåga att till exempel hantera fredstida krissituationer och genomföra sina uppgifter vid höjd beredskap. Nästan samtliga beredskapsmyndigheter ingår i någon av de tio 72 beredskapssektorerna. För varje beredskapssektor har en sektorsansvarig myndighet utsetts för att leda arbetet med att samordna åtgärder både inför och vid fredstida krissituationer samt vid höjd beredskap. Den sektorsansvariga myndigheten ska driva på arbetet inom sin beredskapssektor, stödja de i sektorn ingående beredskapsmyndigheterna och verka för att samordning sker med andra aktörer (23 – 24 §§ beredskapsförordningen). När det gäller den finansiella sektorn är främst arbetet i beredskapssektorn Finansiella tjänster av intresse. Beredskapssektorn omfattar de viktiga samhällsfunktionerna betalningsförmedling, sparande, finansiering och finansiell riskhantering, finansiell stabilitet och försäkring.

69 Förordningen (2022:524) om statliga myndigheters beredskap. 70 7 – 9 §§ beredskapsförordningen. 71 Det kommer från och med den 1 januari 2024 att röra sig om 41 myndigheter samt samtliga 21 länsstyrelser. 72 Försvarsberedningen har nyligen föreslagit att ytterligare fyra beredskapssektorer ska inrättas: utrikeshandel, försörjning med industrivaror, arbetskraftsförsörjning samt planering, ledningsförmåga och samordning. Se Kraftsamling - Inriktningen av totalförsvaret och utformningen av det civila försvaret (Ds 2023:34), s. 115 ff. 33

Finansinspektionen är sektorsansvarig myndighet och i sektorn ingår även Riksgälden. Nära samverkan ska ske med Riksbanken. Även om Riksbanken ansvarar för flera viktiga finansiella tjänster omfattas dock inte Riksbanken, som myndighet under riksdagen, av de strukturer som gäller för myndigheter under regeringen. Eftersom Riksbanken är en myndighet under riksdagen får dess verksamhet endast 73 regleras genom lag. Riksbankens verksamhet kan därför inte regleras genom beredskapsförordningen. Detta innebär att Riksbanken inte omfattas av vare sig förslaget till strukturen i stort eller beredskapssektorn finansiella tjänster. En annan beredskapssektor med nära koppling till sektorn Finansiella tjänster är beredskapssektorn Ekonomisk säkerhet. Beredskapssektorn omfattar de viktiga samhällsfunktionerna ekonomisk trygghet för familjer och barn, ekonomisk trygghet vid sjukdom och funktionsnedsättning (socialförsäkringarna) samt ekonomisk trygghet vid arbetslöshet (arbetslöshetsförsäkringen) och ålderdom (pensioner). Ett omfattande avbrott i tillhandahållandet i finansiella tjänster får därmed en direkt påverkan på de viktiga samhällsfunktionerna i denna beredskapssektor. Som utredningen om civilt försvar konstaterade finns det starka kopplingar 74 och beroendeförhållanden mellan de två beredskapssektorerna. I sektorn Ekonomisk säkerhet är Försäkringskassan sektorsansvarig myndighet. Arbetsförmedlingen, Pensionsmyndigheten, Riksgälden, Skatteverket och Statens servicecenter ingår också. Den 1 januari 2024 bildas en ny myndighet, Utbetalningsmyndigheten, som då kommer att ingå i beredskapssektorn. Även verksamheten inom beredskapssektorn Försörjning av grunddata är av betydelse för företagen inom den finansiella sektorn. Med grunddata menas uppgifter inom den offentliga förvaltningen som flera aktörer har behov av och som är viktiga i samhället är tillgängliga även under höjd beredskap och vid fredstida kriser. 75 Tillgång till information om företag, privatpersoner och fastigheter är ofta avgörande för att vissa finansiella tjänster, såsom finansiering, ska kunna 76 upprätthållas. Som konstaterats ovan är det svårt att bedriva finansiell verksamhet utan fungerande energiförsörjning och elektroniska kommunikationer. Mot den bakgrunden är verksamheten inom beredskapssektorerna Elektroniska kommunikationer och post som leds av Post- och telestyrelsen samt Energiförsörjning som leds av Statens energimyndighet av stor betydelse för de finansiella företagen.

4.4.8 Riksbankslagen

Den 1 januari 2023 trädde en ny riksbankslag – lagen (2022:1568) om 77 Sveriges riksbank – i kraft. Genom lagen ges Riksbanken ett utökat ansvar för att dels ha en god förmåga för att kunna upprätthålla sin

73 Se 9 kap.13 § RF. 74 SOU 2021:25 s. 222. 75 SOU 2021:25 s. 234. 76 Beredskapssektorn Försörjning av grunddata leds av Skatteverket. Bolagsverket, Lantmäteriet och Myndigheten för digital förvaltning ingår också i sektorn. 77 I det följande benämns lagen som riksbankslagen.

verksamhet, dels att allmänheten ska kunna göra betalningar vid en fredstida kris eller höjd beredskap (5 kap. 1 §). Riksbanken får vidare, genom föreskrifter, bestämma vilka företag som ska anses vara av särskild 78 betydelse för genomförandet av betalningar. Föreskrifterna får även ange vilka skyldigheter företagen har avseende planering och förberedelser inför fredstida krissituationer och höjd beredskap samt avseende utbildnings- och övningsverksamhet. Riksbanken ska leda gemensamt arbete med planering och förberedelser (5 kap. 2 §) samt genomföra gemensamma övningar där dessa företag deltar (5 kap. 3 §). Riksbanken ges även i uppdrag att övervaka att dessa företag uppfyller sina skyldigheter enligt riksbankslagen samt Riksbankens föreskrifter (5 kap. 4 §). Slutligen ges Riksbanken rätt att besluta om allmän tjänsteplikt hos arbets- och uppdragstagare hos företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar (5 kap. 5 §). Dessa företag ges uppgiftsskyldighet gentemot Riksbanken (12 kap. 1 § 5). Ett företag som inte fullgör sin uppgiftsskyldighet eller de skyldigheter som kommer av Riksbankens föreskrifter kan föreläggas att inkomma med de begärda uppgifterna vid äventyr av vite (12 kap. 2 §). Riksbanken ges dock inga övriga sanktionsmöjligheter i förhållande till de berörda företagen. Av förarbetena till den nu gällande riksbankslagen framgår det även att Riksbanken ska upprätta en ledningsfunktion för samordning och information som ska kunna omgående aktiveras vid störningar i genomförandet av betalningar. 79 När det gäller gränsytan mellan Finansinspektionens ansvar som sektorsansvarig myndighet enligt beredskapsförordningen och Riksbankens ovan beskrivna ansvar går det att konstatera att dessa ansvar är delvis överlappande. Nyligen har såväl den statliga Betalningsutredningen som Försvarsberedningen därför föreslagit att ansvarsfördelningen mellan dessa myndigheter bör tydliggöras eftersom ett delvis överlappande ansvar kan leda till otydligheter i ansvar eller 80 ineffektiv användning av resurser. I syfte att underlätta för Finansinspektionen och Riksbanken att fullgöra sina skyldigheter enligt beredskapsförordningen respektive riksbankslagen samt att tydliggöra ansvarsfördelningen mellan myndigheterna ingick de en överenskommelse avseende samarbete kring planering och förberedelser inför fredstida krissituationer och höjd 81 beredskap i juni 2023. Överenskommelsen innefattar dock inte hantering

78 Se 3 § Riksbankens föreskrifter och allmänna råd (RBFS 2023:3) om företag av särskild betydelse för genomförandet av betalningar under fredstida krissituationer och vid höjd beredskap. 79 Prop. 2021/22:41 En ny riksbankslag. s. 227. Uppgiften anses enligt propositionen följa av Riksbankens ansvar att kunna fortsätta sin verksamhet under fredstida krissituationer och vid höjd beredskap enligt 5 kap. 2 § riksbankslagen. 80 Se SOU 2023:16 s. 568 samt Kraftsamling - Inriktningen av totalförsvaret och utformningen av det civila försvaret (Ds 2023:34), s. 207. Se även Utredningen om nationell samordning av försörjningsberedskapens betänkande SOU 2023:50 En modell för svensk försörjningsberedskap (s. 234 ff.) där denna problematik också belyses. 81 Överenskommelse mellan Finansinspektionen och Riksbanken avseende samarbete kring civil beredskap (FI dnr 23 – 15819). Överenskommelsen ingicks den 15 juni 2023 och började gälla samma dag. 35

under en fredstida krissituation eller höjd beredskap. Den innefattar inte heller myndigheternas interna arbete med civil beredskap.

4.4.9 Summering

Som detta avsnitt visat finns det idag reglering på flera olika nivåer med det gemensamma syftet att stärka de finansiella företagens motståndskraft mot operativa risker och därmed bidra till att begränsa allvarliga konsekvenser av en inträffad driftstörning på den finansiella stabiliteten. Som också nämnts ovan har det enskilda företaget ett ansvar för att bemöta och hantera driftstörningar så att de inte får allvarliga konsekvenser. Det kan dock finnas fall där driftstörningen redan fått så pass allvarliga konsekvenser, eller riskerar att få sådana allvarliga konsekvenser, att det är motiverat för det allmänna att ha beredskap för att vidta lämpliga åtgärder.

4.5 Ansvarsfördelning mellan myndigheter

Grundläggande för att kunna hantera en driftstörning som kan hota den finansiella stabiliteten är det finns en tydlig ansvarsfördelning mellan 82 berörda myndigheter. I det följande ger vi en lägesbild gällande hur ansvarsförhållandena ser ut i dagsläget avseende såväl förebyggande som krishanterande åtgärder.

4.5.1 Finansinspektionen

Finansinspektionens grundläggande uppdrag är att utöva tillsyn över företagen i den finansiella sektorn. Genom sin tillsyn, tillstånds- samt regelgivning verkar myndigheten för att de finansiella företagen har en hög motståndskraft mot eventuella störningar. 83 Finansinspektionen är sedan den 1 oktober 2022 beredskapsmyndighet och sektorsansvarig myndighet inom beredskapssektorn Finansiella tjänster. 84 Som sektorsansvarig myndighet ansvarar Finansinspektionen för att leda arbetet med att samordna åtgärder i händelse av en fredstida krissituation eller höjd beredskap. Det är även Finansinspektionen som ansvarar för att de åtgärder som beredskapsmyndigheterna inom beredskapssektorn vidtar är samordnade med de åtgärder som andra beredskapsmyndigheter, inklusive länsstyrelser och civilområdesansvariga länsstyrelser, samt Försvarsmakten vidtar. Som sektorsansvarig myndighet ansvarar även Finansinspektionen för att lämna

82 Regeringens roll när det gäller att styra riket i händelse av en fredstida krissituation eller höjd beredskap berörs nedan under avsnitt 6.3. 83 Sedan den 1 januari 2024 framgår det av Finansinspektionens instruktion att myndigheten, bland annat, ska arbeta för att det finansiella systemet har förmåga att säkerställa viktiga samhällsfunktioner. Se 2 § 1 st. pt. 1 förordningen (2023:910) med instruktion för Finansinspektionen. 84 Ansvaret för beredskapsplaneringen för ”bank - och betalningsväsendet” flyttades dock från Riksbanken till Finansinspektionen redan från och med den 1 januari 1995 (se prop. 1994/95:47 Riksbankens och Finansinspektionens beredskapsansvar).

information till regeringen och till MSB gällande läget inom beredskapssektorns ansvarsområde, inbegripet de företag som är verksamma inom ansvarsområdet. Finansinspektionen ska även ha möjlighet att lämna underlag till regeringen avseende prioritering och fördelning av resurser inom beredskapssektorn. 85 Finansinspektionen ska vidare verka för att samverkan med näringslivet sker i den utsträckning det behövs. Inom ramen för sitt ansvar som sektorsansvarig myndighet bedriver Finansinspektionen ett arbete med att identifiera samhällsviktig verksamhet och föreslå förmågehöjande åtgärder inom den finansiella sektorn. En statlig utredning har nyligen föreslagit att Finansinspektionen ska göra försörjningsanalyser beträffande betaltjänster samt de varor och tjänster som är kritiska för att säkerställa en fungerande betalningsförmedling även i kris och krig. Syftet med en försörjningsanalys är att identifiera behov av åtgärder och ligga till 86 grund för den nationella försörjningsanalysen. Finansinspektionen är därutöver, som ovan nämnt, tillsynsmyndighet enligt säkerhetsskyddslagen. Finansinspektionen har också en viktig roll i beslutet av att avbryta handeln på en reglerad marknad i händelse av krig, 87 krigsfara eller ”andra onormala förhållanden”. Sammanfattningsvis har Finansinspektionen en central roll i händelse av en krissituation i den svenska finansiella sektorn. På senare tid har FI fått flera uppdrag av regeringen kopplade till den finansiella sektorns hantering av cyberincidenter och andra operativa kriser. I mars 2022 fick myndigheten i uppdrag att redovisa de åtgärder som den bedömde kan öka den digitala motståndskraften hos företagen i den svenska finansiella sektorn. Resultatet av uppdraget blev rapporten Förstärkt digital motståndskraft i den finansiella sektorn . Senare samma år fick myndigheten i uppdrag av regeringen att ta fram en handlingsplan för att stärka kontrollen över de finansiella företagens utlagda 88 verksamhet. När det gäller de finansiella företagens digitala motståndskraft kommer Finansinspektionen att bedriva tillsyn enligt den nya Dora-förordningen från att den träder i kraft i januari 2025. I Finansinspektionens regleringsbrev för 2023 gavs myndigheten även i uppdrag att ta initiativ till att en cybersäkerhetsövning ska genomföras under 2023 med deltagande av såväl systemviktiga finansiella institut som relevanta berörda myndigheter. Finansinspektionen fullgjorde detta uppdrag genom den övning som arrangerades i Finansiella stabilitetsrådets regi i oktober 2023. Finansinspektionen ska redovisa resultat och lärdomar från övningen till regeringen senast den 30 juni 2024. Enligt regeringen bör målsättningen vara att övningar av detta slag hålls kontinuerligt. 89 Slutligen fick Finansinspektionen i september 2023 ett uppdrag av regeringen kopplat till det nya europeiska ramverk för samordning av systemiska cyberincidenter ( EU-SCICF ) som Europeiska

85 25 § beredskapsförordningen. 86 SOU 2023:50 En modell för svensk försörjningsberedskap. Se särskilt s. 221 f. 87 22 kap. 7 § lagen (2008:528) om värdepappersmarknaden. 88 Finansinspektionen, Handlingsplan om att stärka kontrollen över de finansiella företagens utlagda verksamhet, 2023 (FI dnr 22 – 18123). 89 Se Regleringsbrev för budgetåret 2023 avseende Finansinspektionen, uppdrag 5. 37

systemrisknämnden (ESRB) avser att inrätta. Enligt en rekommendation som ESRB:s styrelse antog i december 2021 ska arbete påbörjas med att inrätta ett ramverk för samordning mellan finansiella tillsynsmyndigheter i syfte att underlätta kommunikation och koordinering sinsemellan för det fall en allvarlig gränsöverskridande cyberincident skulle inträffa i en 91 medlemsstat. Regeringen uppdrog åt Finansinspektionen att vara kontaktpunkt i det fortsatta arbetet med att utveckla EU-SCICF. Regeringen har dock inte tagit ställning till vilken myndighet som ska vara en del av detta ramverk.

4.5.2 Riksbanken

Riksbanken är Sveriges centralbank och en myndighet under riksdagen. 92 Ett av Riksbankens mål är att bidra till att det finansiella systemet är stabilt 93 och effektivt, inbegripet att allmänheten ska kunna göra betalningar. En central uppgift för Riksbanken är därför att övervaka det finansiella systemet. Det innefattar att bedöma om det finansiella systemet är stabilt och effektivt, identifiera risker för allvarliga störningar eller betydande 94 effektivitetsförluster och redovisa bedömningarna. Riksbanken har också en särskild uppgift att övervaka den finansiella infrastrukturen och annan verksamhet som är av särskild betydelse för denna. 95 Riksbanken förväntar sig att de företag som står under dess övervakning lever upp till CPMI-Ioscos internationella principer (Principles for Financial Market Infrastructures, PFMI). Inom ramen för sin övervakning samarbetar Riksbanken nära med Finansinspektionen som utövar tillsyn över en betydande del av de företag som omfattas av Riksbankens övervakning. Riksbanken har, till skillnad från Finansinspektionen, inte möjlighet att besluta om sanktioner mot de företag som står under dess övervakning. Företag som står under Riksbankens övervakning av den finansiella infrastrukturen och underentreprenörer till sådana företag har dock en uppgiftsskyldighet gentemot Riksbanken. 96 Riksbanken har ett ansvar för att tillse så att allmänheten ska kunna göra 97 betalningar under fredstida krissituationer och vid höjd beredskap. I likhet med Finansinspektionen har Riksbanken en central roll i händelse av krissituation i den svenska finansiella sektorn. Till skillnad från Finansinspektionen har Riksbanken själv en central roll i det finansiella systemet inte minst eftersom banken tillhandahåller det centrala

Ändring av regleringsbrev för budgetåret 2023 avseende Finansinspektionen. Regeringsbeslut den 21 september 2023 i ärende Fi2023/02527. 91 Europeiska systemrisknämndens rekommendation av den 2 december 2021 om ett europeiskt ramverk för relevanta myndigheters samordning av åtgärder mot systemiska cyberincidenter (ESRB/2021/17). Syftet med EU-SCICF finns beskrivet i ESRB:s rapport Mitigating Systemic Cyber Risk från januari 2022. 92 9 kap. 13 § regeringsformen. 93 Detta mål ska eftersträvas utan att åsidosätta prisstabilitetsmålet, vilket är överordnat (se 3 kap. 1 § riksbankslagen). 94 3 kap. 9 § riksbankslagen. 95 3 kap. 8 § riksbankslagen. 96 12 kap. 1 § 3 lagen (2022:1568) om Sveriges riksbank. 97 Se 5 kap. 1 § lagen (2022:1568) om Sveriges riksbank.

betalningssystemet RIX. Riksbanken kan därmed sägas utgöra ett nav för det svenska betalningssystemet. I sammanhanget bör det nämnas att Riksbanken har bildat ett forum vid namn Krissamverkan för det centrala betalningssystemet. Forumet bildades 2016 genom en avsiktsförklaring mellan Riksbanken, Riksgälden och ett antal finansiella företag som ansågs ha centrala roller i 98 betalningssystemet. Vid en allvarlig störning i det centrala betalningssystemet aktiveras forumet och aktörerna genomför samverkanskonferenser för att skapa en gemensam lägesbild, utbyta information och för att samordna åtgärder och budskap. Riksbanken ansvarar för förvaltning av kontaktlista och lösningar för sammankallning och samverkanskonferens samt att leda och dokumentera samverkanskonferenserna. Samtliga deltagande aktörer kan sammankalla forumet. Under pandemin aktiverades detta forum för första gången som ett sätt att samla information om läget inom betalningsområdet. Forumet arrangerade regelbundna samverkanskonferenser för att dela information och erfarenheter, upprätta samlade lägesbilder samt identifiera behov av gemensamma budskap och åtgärder. På motsvarande sätt har det detta forum använts med anledning av Rysslands invasion av Ukraina 2022. På initiativ av Riksbanken har aktörer och myndigheter som är involverade på betalningsmarknaden bildat ett betalningsråd som ett 99 forum för samråd och dialog. Betalningsrådet ska medverka till en samhällsekonomiskt effektiv produktion och konsumtion av säkra, effektiva, tillgängliga och ändamålsenliga betaltjänster på en marknad präglad av konkurrens på lika villkor och med väl avvägd reglering. Betalningsrådet ska bistå med en allsidig belysning av centrala betalfrågor utifrån producenternas, konsumenternas och myndigheternas perspektiv. Till exempel kan betalningsrådet tillsätta arbetsgrupper för att utreda specifika frågor. En av dessa grupper arbetar med kris och sårbarheter i betalningssystemet. I rådet ingår förutom Riksbanken, MSB, branschföreningar och vissa finansiella företag. Regeringskansliet (Finansdepartementet), Finansinspektionen och Riksgälden deltar som observatörer. Sedan 2006 har Riksbanken även ett kontanthanteringsråd bestående av representanter från banker, kontantdepåbolag, värdetransportbolag, detaljhandel och berörda myndigheter. Syftet med rådet är att fungera som ett forum för att diskutera frågor kring kontanthanteringen i samhället.

4.5.3 Riksgälden

Riksgälden har flera uppgifter som syftar till att motverka och hantera kriser, såväl i fredstid som vid höjd beredskap och ytterst krig. Riksgälden är resolutionsmyndighet för kreditinstitut och värdepappersbolag enligt

98 Dessa är Bankgirot, Danske Bank, Euroclear Sweden, Handelsbanken, Nasdaq, Nordea, SEB och Swedbank. 99 Riksbanken ska enligt 3 kap. 8 § andra stycket lagen (2022:1568) om Sveriges riksbank följa betalningsmarknadens utveckling vilket bland annat sker genom dess deltagande i Betalningsrådet. 39

lagen (2015:1016) om resolution samt för centrala motparter. Riksgälden är även stödmyndighet enligt lagen (2015:1017) om förebyggande statligt stöd till kreditinstitut och om stabilitetsfonden. Som resolutionsmyndighet ansvarar Riksgälden för statens hantering av banker, andra finansiella företag och centrala motparter i kris. Riksgälden ska även planera för hur sådana företags kritiska funktioner kan upprätthållas under resolution. En annan viktig uppgift är att ställa krav på att banker har tillräckligt med kapital och skulder som går att skriva ner eller omvandla till kapital om ett institut hamnar i kris. På så vis kan staten agera snabbt och hålla igång dess kritiska verksamheter utan att använda skattepengar. Riksgälden har därutöver, i egenskap av garantimyndighet, ansvar för insättningsgarantin och investerarskyddet. Riksgälden ställer ut kreditgarantier för icke-finansiella företags lån i banker och ger lån. Inte minst kreditgarantier har kommit att användas i krishanteringssyfte med motivet att förhindra att problem i företagssektorn spiller över till den finansiella sektorn, med risk för till exempel en finansiell kris. Riksgälden ansvarar därtill för den statliga betalningsmodellen inklusive statens centralkonto i Riksbanken. Betalningsmodellen är en samlad benämning på de regelverk, avtal, kontostrukturer och tekniska system som hanterar statens betalningar. Riksgälden är, slutligen, beredskapsmyndighet inom såväl beredskapssektorn Ekonomisk säkerhet som Finansiella tjänster och ingår i Finansiella stabilitetsrådet.

4.5.4 Finansiella stabilitetsrådet

Efter finanskrisen 2008 – 09 togs initiativ för att bilda ett permanent forum för de myndigheter som arbetar med frågor om finansiell stabilitet i Sverige. I stabilitetsrådet deltar företrädare för Finansinspektionen, Regeringskansliet, Riksbanken och Riksgälden. Rådet träffas regelbundet och diskuterar frågor som rör finansiell stabilitet och hur finansiella obalanser kan motverkas. Rådets möten leds av statsrådet som är ansvarig för finansmarknadsfrågor. Hos rådet finns en beredningsgrupp som träffas månatligen och diskuterar frågor som rör finansiell stabilitet samt ett kansli som idag består av en kanslichef och två ytterligare medarbetare. Arbetet i Finansiella stabilitetsrådet drivs i form av en kommitté och styrs av ett kommittédirektiv. 101 Eftersom frågor om cyberattacker mot finansiella företag kan påverka den finansiella stabiliteten i Sverige, har rådet behandlat frågor om cybersäkerheten i den finansiella sektorn. Under hösten 2022 avslutades ett myndighetsgemensamt arbete kring ansvarsfördelning och samverkansformer rörande cybersäkerhet i den svenska finansiella sektorn. Finansiella stabilitetsrådet arrangerar regelbundet krisövningar för de myndigheter som ingår i rådet. Stabilitetsrådets krisövningar har bland annat haft ett allvarligt cyberangrepp som krisscenario.

Resolution av centrala motparter regleras i EU:s förordning (EU) 2021/23 om en ram för återhämtning och resolution av centrala motparter. 101 Kommittén för finansiell stabilitet (Fi 2013:09).

Vid ett svårt cyberangrepp eller en annan allvarlig driftstörning som kan innebära en fara för den finansiella stabiliteten är det naturligt att myndigheterna inom Finansiella stabilitetsrådet samverkar för att ta fram en gemensam lägesbild och diskutera åtgärder. En viktig aktivitet i händelse av en kris är att samordna den information som bör lämnas till andra myndigheter och allmänheten. Samordningen sker ofta inom ramen för stabilitetsrådets beredningsgrupp som kan sammanträda med kort varsel. Slutligen bör det nämnas att det inom Regeringskansliet pågår en utvärdering av stabilitetsrådets verksamhet som beräknas vara avslutad tidigt under 2024. Översynen kan leda till att stabilitetsrådets verksamhet 102 på sikt får en annan form eller inriktning.

4.5.5 Myndigheten för samhällsskydd och beredskap

Myndigheten för samhällsskydd och beredskap (MSB) har ett centralt uppdrag när det gäller att såväl förebygga som att hantera en kris. MSB har bland annat i uppdrag att stödja beredskapsmyndigheterna samt att verka för samordningen mellan dem. Myndigheten ansvarar också för frågor som inte faller inom någon särskild beredskapssektor. I händelse av kris eller höjd beredskap har MSB i uppgift att, bland annat, samordna åtgärder och information till allmänhet och medier och samordna stödet till centrala, regionala och lokala organ i fråga om information och lägesbilder. MSB ska också utifrån en nationell riskbild upprätthålla beredskap med stödresurser för att kunna bistå i samband med allvarliga olyckor och kriser och vid höjd beredskap samt kunna prioritera och 103 fördela tillgängliga förstärkningsresurser. När det gäller informationssäkerhet har MSB särskilda uppgifter. 104 Myndigheten ska stödja och samordna arbetet med samhällets informationssäkerhet samt analysera och bedöma omvärldsutvecklingen inom området. I detta ingår att lämna råd och stöd i fråga om förebyggande arbete till andra statliga myndigheter, kommuner och regioner samt företag och organisationer. MSB ansvarar också för att driva funktionen CERT- SE som är Sveriges nationella CSIRT (Computer Security Incident Response Team). Funktionen har till uppgift att stödja samhället i arbetet med att hantera och förebygga it-incidenter. Till uppgifterna hör bland annat att agera skyndsamt vid inträffade it-incidenter genom att sprida information samt vid behov arbeta med samordning av åtgärder och medverka i arbete som krävs för att avhjälpa eller lindra effekter av det inträffade. CERT-SE ska också samverka med myndigheter med särskilda uppgifter inom informationssäkerhetsområdet och vara Sveriges kontaktpunkt gentemot motsvarande funktioner i andra länder.

102 I direktiven för stabilitetsrådet angavs att en utvärdering skulle ske år 2019. Det är denna utvärdering som nu genomförs. 103 Se 7 samt 7 a §§ förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap. 104 Dessa uppgifter framgår av 11 a samt 11 b §§ förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap. 41

Som nämnts ovan kommer MSB även, i och med ikraftträdandet av det nya NIS2-direktivet sannolikt att bli svensk kontaktpunkt för EU- CyCLONe och Sveriges cyberkrishanteringsmyndighet. MSB är dock redan i dagsläget kontaktpunkt för EU-CSIRTs Network som är ett nätverk för CSIRT-funktioner i EU:s medlemsstater. Slutligen bör det nämnas att Försvarsberedningen nyligen föreslagit att MSB:s uppdrag ska 105 omformas. Beredningen anser bland annat att det bör övervägas om ansvaret för cyber- och informationssäkerhet som idag finns på MSB ska organiseras som ny myndighet. 106

4.5.6 Försvarsmakten

Försvarsmaktens huvuduppgift är att försvara Sverige mot ett väpnat 107 angrepp. Inom Försvarsmakten finns ett cyberförsvar som har förmågan att genomföra cyberoperationer samt att upptäcka, identifiera och avvärja hot mot skyddet av svenska intressen. Försvarsmaktens cyberförsvarsresurser kan användas för att stödja samhället under kriser eller andra allvarliga händelser. Försvarsmaktens möjligheter att lämna stöd är reglerade i förordningen (2002:375) om Försvarsmaktens stöd till civil verksamhet. Av förordningen framgår att Försvarsmakten kan lämna stöd till en enskild om myndigheten har resurser som är lämpliga för uppgiften och det inte allvarligt hindrar dess ordinarie verksamhet. Vidare ska full kostnadstäckning uppnås.

4.5.7 Försvarets radioanstalt

Försvarets radioanstalts (FRA) grundläggande uppdrag är att bedriva signalspaning. Myndigheten har även till uppdrag att arbeta med att stärka det svenska cyberförsvaret och att bidra till att skydda samhällsviktiga informationssystem. Fram till den 1 juli 2022 hade FRA enbart möjlighet att bistå statliga myndigheter och statligt ägda företag. Efter en hemställan från FRA beslutade regeringen att göra det möjligt för FRA att bistå även enskilda verksamhetsutövare som hanterar information som bedöms vara känslig från sårbarhetssynpunkt eller i ett säkerhets- eller försvarspolitiskt avseende. Inom FRA finns hög teknisk kompetens inom informationssäkerhetsområdet som gör det möjligt för myndigheten att genomföra it-säkerhetsanalyser och ge annat tekniskt stöd. Mer konkret innebär detta att FRA efter begäran kan stödja både statliga myndigheter och enskilda verksamheter med tekniskt stöd för att stärka säkerheten i deras it-system. Det innebär att FRA utför bland annat avancerade säkerhetsgranskningar för att upptäcka brister i en myndighets eller ett företags it-system. FRA tillhandahåller också ett varningssystem som med

105 Se Ds 2023:34, Kraftsamling - Inriktningen av totalförsvaret och utformningen av det civila försvaret, s. 130 ff. 106 Se Ds 2023:34, Kraftsamling - Inriktningen av totalförsvaret och utformningen av det civila försvaret, s. 235. 107 1 § förordningen (2007:1266) med instruktion för Försvarsmakten. Se 4 § förordningen (2007:937) med instruktion för Försvarets radioanstalt.

hjälp av myndighetens höga tekniska kompetens och tillgång till underrättelseinformation kan upptäcka avancerade it-angrepp som normalt inte fångas av kommersiella skyddssystem. FRA har även till uppdrag att stödja insatser vid nationella kriser med it-inslag.

4.5.8 Polismyndigheten och Säkerhetspolisen

En central uppgift för Polismyndigheten är att motverka brott. I den mån en krissituation är föranledd av ett brottsligt beteende har Polismyndigheten i uppdrag att avbryta detta samt att genomföra en utredning så att de ansvariga kan lagföras. Vid exempelvis ett cyberangrepp kan Polismyndigheten beslagta datorer och annan teknisk utrustning i syfte att avbryta den brottsliga gärningen samt för att säkra bevis inför en eventuell framtida lagföring. Säkerhetspolisen bedriver i egenskap av säkerhetstjänst underrättelseoch säkerhetsarbete. Myndigheten har också ansvar för att förebygga, förhindra och upptäcka brottslig verksamhet samt utreda och beivra vissa typer av brott, såsom en stor del av brottsligheten som är riktad mot Sveriges säkerhet och terroristbrott. Säkerhetspolisen kan exempelvis utreda ett misstänkt dataintrång riktat mot svenska intressen av en statsaktör. I dessa fall har Säkerhetspolisen samma lagstöd som Polismyndigheten har. Vid misstanke om brott mot Sveriges säkerhet, exempelvis spioneri, kan även Säkerhetspolisen inleda en förundersökning. Som ovan nämnt har Säkerhetspolisen också en central roll när det gäller tillsyn och tillsynssamordning enligt säkerhetsskyddslagstiftningen.

4.5.9 Nationella cybersäkerhetscentret

Det nationella cybersäkerhetscentret (NCSC) inledde sin verksamhet i slutet av 2020. Centrets bedriver idag sin verksamhet i form av en fördjupad myndighetssamverkan mellan FRA, MSB, Försvarsmakten och Säkerhetspolisen. Dessutom medverkar Försvarets materielverk, Polismyndigheten och Post- och telestyrelsen i centrets verksamhet. Centret är alltså inte en egen myndighet utan styrs av de förstnämnda fyra myndigheterna gemensamt. Inom ramen för cybersäkerhetscentret ska myndigheterna koordinera arbetet för att förebygga, upptäcka och hantera cyberangrepp och andra it-incidenter, förmedla råd och stöd avseende hot, sårbarheter och risker och utgöra en nationell plattform för samverkan och informationsutbyte med privata och offentliga aktörer inom cybersäkerhetsområdet. Med start i november 2022 har en ny verksamhet för privat-offentlig samverkan och informationsdelning inom finanssektorn i NCSC:s regi etablerats, det så kallade finansforumet. 110 Finansforumet består idag av

Regler om beslag finns i 27 kap. rättegångsbalken (1942:740). 110 Tanken är att likadana strukturer ska kunna användas även för andra samhällsviktiga sektorer. Den finansiella sektorn blir alltså det första av flera sådana områden inom vilka

två olika arbetsgrupper som fokuserar på informationsdelning respektive övning. Inom ramen för forumet finns det möjlighet för dess medlemmar att dela med sig av såväl information om aktuella hot som allmän kunskap om cybersäkerhet. Forumet är baserat på ett ömsesidigt utbyte där såväl myndigheter som branschorganisationer och företag delar med sig av erfarenheter, metoder och råd. Finansforumet har dock idag inte i uppdrag att agera operativt i händelse av ett cyberangrepp riktat mot den finansiella sektorn. Detta utesluter dock inte att forumet skulle kunna sammankallas i händelse av en allvarlig driftstörning hos ett eller flera finansiella företag till följd av ett cyberangrepp. För närvarande pågår diskussioner inom forumet gällande vilken roll det kan tänkas ha i händelse av en kris. Finansforumet drivs av NCSC och består av cirka 20 medlemmar fördelade mellan banker, företag som tillhandahåller finansmarknadsinfrastruktur, branschföreningar inom finansiell sektor och myndigheter med uppdrag som direkt eller indirekt berör den finansiella sektorn, såväl myndigheter med ansvar för finansiell stabilitet som säkerhetsmyndigheter. Gruppen ska träffas 4 – 6 gånger per år men har även förutsättningar att träffas oftare om så skulle vara nödvändigt. Inom Regeringskansliet pågår för närvarande en utredning med uppdrag att lämna förslag på hur en ändamålsenlig, effektiv organisering och styrning av NCSC ska utformas. Utredningen avser bland annat syfta till att ge NCSC bättre förutsättningar att stärka Sveriges samlade förmåga att förebygga, upptäcka och hantera antagonistiska cyberhot och andra större it-incidenter, genom samverkan med såväl privata som offentliga aktörer. En del av utredarens uppdrag är att utreda hur FRA ska tilldelas ett huvudansvar för att leda samordningen, utvecklingen och genomförandet av centrets verksamhet. Utredaren ska också analysera hur informationsutbytet med både privata och offentliga aktörer inom cybersäkerhetsområdet bör hanteras. Den del av uppdraget som avser hur FRA:s huvudansvar ska utformas, hur formerna för samverkan mellan FRA och de övriga myndigheternas ska organiseras och regleras, hur ändamålsenliga ansvars- och ledningsförhållanden i verksamheten och mellan de samverkande myndigheterna ska åstadkommas, huruvida myndigheterna i centret är i behov av förtydligade uppgifter och befogenheter ska redovisas till regeringen senast den 29 februari 2024. 111

4.5.10 Post- och telestyrelsen

Post- och telestyrelsen (PTS) är den myndighet i Sverige som har det samlade ansvaret för frågor som har med postväsendet och elektronisk kommunikation att göra. PTS är också, som nämnts ovan,

NCSC kommer att bedriva privat-offentlig samverkan. Forumet startades som en pilotverksamhet och benämndes ursprungligen finanspiloten. 111 Regeringsbeslut den 4 oktober 2023, Fö2023/01606, Uppdrag att lämna förslag på hur en ändamålsenlig och effektiv ledning, organisering och styrning av Nationellt cybersäkerhetscenter ska utformas. Övriga delar av uppdraget ska redovisas senast den 30 april 2024. 1 § förordningen (2007:951) med instruktion för Post- och telestyrelsen.

sektorsansvarig myndighet för beredskapssektorn Elektroniska kommunikationer och post. Myndigheten reglerar och utövar tillsyn över aktörer som ansvarar för elektronisk kommunikation . PTS stöttar även aktörer inom ansvarsområdet med medel för robusthöjande åtgärder för att öka motståndskraften i elektroniska kommunikationer mot allvarliga hot och påfrestningar i fredstid samt vid höjd beredskap. Tillsammans med länsstyrelserna har PTS även ett uppdrag att främja tillgång till grundläggande betaltjänster som svarar mot samhällets behov.

4.5.11 Statens energimyndighet och Affärsverket Svenska kraftnät

När det gäller ansvaret för beredskapen i det svenska elnätet har såväl Statens energimyndighet som Affärsverket Svenska kraftnät nyckelroller. Statens energimyndighet är sektorsansvarig för beredskapssektorn Energiförsörjning samt är en förvaltningsmyndighet för frågor om tillförsel och användning av energi i samhället. Detta innebär att Energimyndigheten ansvarar för frågor gällande energisystemet som helhet, vilket inbegriper samhällets tillgång till drivmedel, el, gas, värme och kyla. En del av myndighetens uppdrag handlar om att upprätthålla en trygg energiförsörjning. Energimyndigheten har bland annat ett 114 övergripande ansvar för att planering för prioritering av samhällsviktiga elanvändare genomförs i syfte att styra el till dessa användare i en situation där överföring av el måste begränsas eller avbrytas. 115 Svenska kraftnäts verksamhet är av mer operativ karaktär. Myndigheten har ett systemansvar för kraftsystemet i Sverige och är också ansvarig för 116 stamnätet, dvs. transmissionsnätet, för el. Myndigheten är även ansvarig för elberedskapen i Sverige med den främsta uppgiften att bidra till att hela 117 den svenska elsektorn har en god beredskap. Svenska kraftnät är också ansvarig för beredskapsplaneringen inom sitt verksamhetsområde under fredstida kriser samt vid höjd beredskap.

4.5.12 Summering

Som visats ovan finns det idag flera olika myndigheter som i olika utsträckning har ett ansvar för att förebygga och hantera en allvarlig driftstörning. Inte minst mot bakgrund av det delvis överlappande ansvaret mellan Finansinspektionen och Riksbanken är det i dagsläget inte helt

Se förordningen (2017:869) om bevakning av grundläggande betaltjänster. Länsstyrelsen i Dalarnas län har ett samordnande ansvar för länsstyrelsernas arbete. 114 Förordningen (2014:520) med instruktion för Statens energimyndighet. 115 Denna process, benämnd Styrel (styrning av el till prioriterade användare vid eleffektbristsituationer) finns reglerad i förordningen (2011:931) om planering för prioritering av samhällsviktiga elanvändare. Även MSB, Svenska kraftnät och berörda myndigheter ingår i denna process. Se även Ds 2023:34, Kraftsamling - Inriktningen av totalförsvaret och utformningen av det civila försvaret, s. 180 ff. 116 Förordningen (2007:1119) med instruktion för Affärsverket svenska kraftnät. 117 Se 1 § förordningen (1997:294) om elberedskap. De uppgifter som följer av att vara elberedskapsmyndighet framgår även av elberedskapslagen (1997:288). 45

tydligt vilken myndighet som bär det yttersta ansvaret för att operativt hantera en allvarlig driftstörning – inklusive dess konsekvenser – som riskerar att drabba den svenska finansiella sektorn.

4.6 Privat-offentlig samverkan

Vid sidan av myndigheternas arbete som beskrivits ovan, bedrivs viktigt förebyggande arbete av konstellationer som består av såväl privata som offentliga. Detta inte minst inom den finansiella sektorn där den samhällsviktiga verksamheten bedrivs av såväl privata som offentliga aktörer.

4.6.1 Finansiella sektorns privat-offentliga samverkan (FSPOS)

Finansiella Sektorns Privat-Offentliga Samverkan (FSPOS) har sedan starten 2005, genom samverkan mellan privata och offentliga organisationer i den finansiella sektorn, arbetat för att stärka förmågan att förebygga och hantera operativa kriser. Samverkan inom ramen för FSPOS är frivillig vilket innebär att det inte finns krav att alla deltagare deltar i dess övningar eller dess resterande arbete. Bland FSPOS medlemmar finns idag såväl myndigheter som Finansinspektionen, Försäkringskassan, Riksgälden och Riksbanken samt flera olika finansiella företag såsom banker, försäkringsbolag, värdepappersbolag och finansiella infrastrukturbolag. Dess verksamhetsidé är att genom analys, kunskapsspridning och övning stärka den finansiella sektorns förmåga att möta hot och hantera kriser, och på så sätt värna samhället. FSPOS har dock inte någon operativt krishanterande roll, utan bedriver förebyggande, kunskapsuppbyggande och förmågehöjande arbete. Det praktiska arbetet bedrivs i ett antal arbetsgrupper, för närvarande tre till antalet vilka fokuserar på analys, kunskapsspridning respektive övning. FSPOS har även ett nätverk för kommunikationschefer. FSPOS har sedan starten haft en omfattande övningsverksamhet där sektorns aktörer övar gemensamt utifrån olika scenarier, senast i oktober 2023. FSPOS arrangerar även återkommande seminarier och utbildningar för sektorn, har genomfört analyser som kartläggning av betalningsflöden samt tagit fram metodstöd inom områden som kontinuitetshantering och cybersäkerhet. Från 2024 kommer FSPOS verksamhet att inordnas i en samlad samverkansstruktur för beredskapssektorn Finansiella tjänster, vilket innebär nya former för inriktning och samordning av verksamheten. De senaste åren har Riksbanken haft ordförandeskapet för FSPOS. Beslut fattades dock under hösten 2023 att Finansinspektionen ska överta ordförandeskapet i FSPOS från den 1 januari 2024.

Inom FSPOS pågår nu ett arbete med att ta fram en ny strategi för dess övningsverksamhet som är tänkt att löpa flera år fram i tiden.

4.6.2 NFCERT

Nordic Financial CERT (NFCERT) startades 2017 i Norge och i Danmark som en ideell förening. NFCERT har idag drygt 240 medlemmar i de nordiska länderna, inklusive Riksbanken och de övriga nordiska centralbankerna. Medlemskap i NFCERT är öppet för samtliga finansiella företag med verksamhetstillstånd. Det är även möjligt för vissa myndigheter att bli medlemmar. NFCERT tillhandahåller en plattform för operativ informationsdelning, utför analys av cyberhot, tar fram strategiska och operativa hotbildsanalyser, övervakar och analyserar aktörer och grupperingar som riktar sig mot de nordiska bankerna samt koordinerar responsen vid en eventuell cyberattack. NFCERT arbetar även aktivt med delning av information mellan dess medlemmar och myndigheter som inte är medlemmar av organisationen. Genom NFCERT kan ett finansiellt företag få tillgång till aktuell information om hot och pågående attacker samt få stöd med att hantera ett cyberangrepp. NFCERT har idag flertal svenska finansiella företag som medlemmar och arbetar aktivt för att skapa flera samarbeten och medlemmar i Sverige.

4.6.3 Branschföreningar

Företag i den svenska finansiella sektorn har sedan lång tid tillbaka organiserat sig i olika branschföreningar såsom Svenska Bankföreningen, Svensk Värdepappersmarknad, Fondbolagens förening och Svensk Försäkring. Branschföreningarnas uppdrag är ofta att samordna dess medlemsföretag i olika viktiga frågor och föra deras talan i kontakter med riksdag, regering och myndigheter. Föreningarna har i olika grad arbetat med frågor om kontinuitet och informationssäkerhet. Vissa av föreningarna har även infört beredskapsrutiner som syftar till att stötta de individuella medlemsföretagen och branschen som helhet för det fall en allvarlig driftstörning skulle inträffa.

4.6.4 Privat-offentlig samverkan i andra sektorer

Inom flera andra sektorer av det svenska samhället bedrivs samhällsviktig verksamhet av såväl privata aktörer som myndigheter. Liksom inom den finansiella sektorn har behov av samarbete och koordinering inför respektive under en kris eller i händelse av kris uppstått i dessa sektorer. Nedan nämner vi två olika exempel på andra sektorer som i nuläget har ett formaliserat samarbetsorgan.

Nationella telesamverkansgruppen (NTSG)

Efter stormen Gudrun 2005 bildades det frivilliga samarbetsforumet Nationella telesamverkansgruppen (NTSG) mellan myndigheter och företag med syfte att stödja återställandet av den nationella infrastrukturen för elektroniska kommunikationer vid allvarliga störningar i samhället. Telesamverkansgruppen består av myndigheter och de största och/eller 47

nationellt viktiga operatörerna inom området för elektronisk kommunikation. De myndigheter som deltar i gruppen är PTS, Svenska kraftnät, Försvarsmakten, Myndigheten för samhällsskydd och beredskap och Trafikverket. Respektive myndighets medlemmar representerar den verksamhet som berör elektroniska kommunikationer. De nuvarande kriterierna för deltagande i gruppen är att operatören eller organisationen har egen teknisk utrustning, kunskaper eller resurser som påverkar Sveriges kritiska nationella infrastruktur för elektronisk kommunikation. De personer som deltar i verksamheten är individuellt knutna till gruppen och representerar sina organisationer. Arbetet i gruppen leds av PTS som även finansierar gruppens upprätthållande och förvaltning med medel från den beredskapsavgift PTS föreskriver om. Deltagandet från medlemmarna är inte förenat med någon kompensation. PTS representant har under flera år blivit vald till rollen som ordförande och myndigheten bistår telesamverkansgruppen med administrativt stöd. PTS ansvarar också för att tillhandahålla tekniska plattformar för informationsdelning och samordning. Fokus för arbetet inom NTSG har varit fredstida krissituationer. PTS har dock ansett att gruppen även bör arbeta med planering inför och arbete under höjd beredskap, och att detta bör regleras för att skapa stabilitet. I syfte att tydliggöra gruppens uppgifter och syfte även under höjd beredskap har myndigheten hemställt om en lagändring. Lagändringen skulle ge PTS möjlighet att förtydliga och säkerställa medverkan från privata aktörer genom att bland annat föreskriva om former för gruppens arbete samt kunna besluta om vilka företag som omfattas av obligatoriskt deltagande. Mot bakgrund av denna hemställan har regeringen nyligen föreslagit att NTSG ska regleras i lag och att den, i enlighet med PTS hemställan, även ska stödja arbetet för att återställa infrastrukturen för elektroniska kommunikationer i anslutning till höjd beredskap samt 119 vidfredstida krissituationer. Vidare föreslår regeringen att den ansvariga myndigheten – PTS – ska ges möjlighet att ålägga privata aktörer att medverka i den nationella telesamverkansgruppen. Enligt regeringens förslag ska de nya reglerna träda i kraft den 1 maj 2024.

Beredskapssektor Transporter Privat-Offentlig Samverkan (BT POS)

Sedan oktober 2023 finns det en ny struktur för privat-offentlig samverkan inom beredskapssektorn transporter, BT POS. Syftet med denna nya organisation är att utgöra en samverkansstruktur för de myndigheter och näringsliv inom transportsektorn. Trafikverket leder arbetet inom BT POS men även Transportsstyrelsen, Sjöfartsverket och Luftfartsverket ingår. Utöver myndigheterna ingår branschföreningar och enskilda företag som är verksamma inom luft- sjö och marktransport. Deltagandet bygger på frivillighet och de privata aktörerna förväntas i stort stå sina egna kostnader för sitt respektive deltagande.

119 Prop. 2023/24:60 En telesamverkansgrupp för fredstida kriser och höjd beredskap. BT POS ersatte då den tidigare strukturen Transportsektorns samverkan inför samhällsstörningar (TP SAMS).

BT POS består av ett antal fokusgrupper som leds av näringslivsföreträdare med stöd av Trafikverket samt en beredningsgrupp som håller i det löpande arbetet. Denna grupp rapporterar till generaldirektörerna för de fyra myndigheter som ingår i BT POS. Till stöd för sin verksamhet finns det ett kansli som i dagsläget består av fem medarbetare. I händelse av kris eller krig kan kansliet dock växa med medarbetare från såväl myndigheter som näringsliv. Organisationen kan följa och rapportera kring enskilda händelser och ska ha förmågan att ställa samman lägesbilder i händelse av krig eller fredstida kris till myndigheternas krisledningar. BT POS har dock ingen operativ roll i ett sådant läge men kan då, liksom i fredstida, utgöra en struktur för samverkan.

5 Problembild

5.1 Inledning

I det föregående kapitlet har vi redogjort för såväl de lagregler som de ansvarsförhållanden som idag finns på plats i syfte att bygga motståndskraft samt att förebygga och hantera kriser i den svenska finansiella sektorn. Det är tydligt utifrån den genomgången att det idag finns flera olika aktörer – inte minst de finansiella företagen själva – som har ett ansvar för att motståndskraften mot störningar i den finansiella sektorns digitala infrastruktur ska vara hög samt för att hantera en redan uppkommen allvarlig driftstörning. Den ökade digitaliseringen tillsammans med en försämrad säkerhetssituation har samtidigt gett upphov till flera olika nya initiativ till såväl nya konstellationer för samarbete samt ny lagstiftning. Trots dessa initiativ och det arbete som bedrivs av de finansiella företagen själva är det inte osannolikt att en allvarlig driftstörning som påverkar viktiga samhällsfunktioner inom den finansiella sektorn kan inträffa. Som visats i avsnitt 4.5 ovan finns det idag flera olika myndigheter som i olika utsträckning har ett ansvar för hantering av operativa kriser i den svenska finansiella sektorn. Det finns dock inte en enskild aktör med ett tydligt utpekat ansvar för operativ krishantering för den finansiella sektorns digitala infrastruktur. Mot denna bakgrund finns det ett behov av en krishanterande funktion för den svenska finansiella sektorn. En sådan funktion måste även inbegripa privata företag eftersom den samhällsviktiga verksamheten inom den finansiella sektorn bedrivs i princip uteslutande av privata företag. 121 Detta kapitel inleds med en kartläggning av de olika typer av stödinsatser som kan bli aktuella i syfte att avhjälpa en allvarlig driftstörning samt konsekvenserna av en allvarlig driftstörning. Därefter diskuteras behovet av en ny operativ krishanterande funktion för allvarliga driftstörningar i den svenska finansiella sektorn. Avslutningsvis ges en kortare internationell utblick till tre olika jurisdiktioner som redan idag har olika varianter av en operativ krishanterande funktion för finanssektorn på plats.

5.2 Kartläggning

5.2.1 Olika typer av stödinsatser

I utredningens uppdrag ingår att kartlägga vilka behov av stödinsatser till finansiella företag som kan bli aktuella vid en allvarlig driftstörning och

121 Den finansiella sektorn består till cirka 95 procent av privata aktörer. Se Ds 2023:34, Kraftsamling - Inriktningen av totalförsvaret och utformningen av det civila försvaret, s. 204.

göra en analys avseende vem som ska tillhandahålla dessa. Det kan här handla om såväl insatser både för att komma till rätta med själva störningen och för att hantera konsekvenserna av denna. I det följande kommer vi att ta upp vilka stödinsatser som kan bli aktuella vid en allvarlig driftstörning. En driftstörning som är så pass allvarlig att den i förlängningen kan hota den finansiella stabiliteten kan givetvis ha olika ursprung. Det kan röra sig om exempelvis ett cyberangrepp direkt riktat mot ett eller flera systemviktiga finansiella företag. Men det kan också röra sig om ett angrepp eller en olyckshändelse som drabbat samhällets elförsörjning eller telekommunikation som i sin tur får allvarliga konsekvenser för ett eller flera företag i den finansiella sektorn. På samma vis går det att tänka sig att ett cyberangrepp riktat mot ett icke-finansiellt företag, exempelvis ett it-företag, eller en myndighet kan få allvarliga konsekvenser för flera finansiella företag.

5.2.2 Avhjälpande av driftstörningen

Olika typer av driftstörningar På vilket vis en allvarlig driftstörning kan avhjälpas är naturligtvis beroende av vad som orsakat den. Som berörts i det föregående kapitlet kan en allvarlig driftstörning förstås som en situation där centrala delar av det finansiella systemet har nedsatt funktionalitet eller inte är tillgängliga. En sådan allvarlig driftstörning kan orsakas av flera olika faktorer. En allvarlig driftstörning kan orsakas av flera olika händelser såsom naturkatastrofer, terroristdåd, pandemier eller olyckshändelser. Under regeringen finns det i dagsläget drygt 300 olika myndigheter. Till dessa kommer myndigheterna under riksdagen samt kommunala och regionala myndigheter. Flera av dessa myndigheter har i olika utsträckning ett ansvar för att hantera olika typer av allvarliga händelser som kan drabba samhället. Ett särskilt ansvar åligger det sextiotal myndigheter som utsetts till att vara beredskapsmyndigheter enligt beredskapsförordningen. När det gäller olyckor framgår enskildas, kommuners och statens respektive skyldigheter när det gäller att förebygga och hantera dessa av lagen (2003:778) om skydd mot olyckor. Mot bakgrund av vad som behandlats ovan kommer utredningen att fokusera den fortsatta kartläggningen på de stödinsatser som är riktade mer specifikt mot företag i den finansiella sektorn.

Avbrott i energiförsörjning eller i elektroniska kommunikationer Grundläggande för att företag inom den finansiella sektorn ska kunna erbjuda sina tjänster är tillgång till elförsörjning och elektroniska kommunikationer. När det gäller energiförsörjning har den statliga myndigheten Svenska kraftnät i uppdrag att ansvara för stamnätet, det vill säga transmissionsnätet, för el. De företag som äger region- och lokalnät har systemansvar för distributionssystemet. . Vid ett eventuellt avbrott i

Se https://www.svk.se/om-kraftsystemet/om-systemansvaret/ (2023-12-15). 51

stamnätet är det därmed Svenska kraftnät som har ansvaret för att återställa energiförsörjningen medan avbrott i region- och lokala elnät ska åtgärdas av de företag som äger elnätet i fråga. Som nämndes i det föregående kapitlet har Energimyndigheten ett övergripande ansvar för att planering för prioritering av samhällsviktiga elanvändare i en situation där elöverföringen måste begränsas eller avbrytas. För att ett finansiellt företag ska kunna driva sin verksamhet under ett avbrott i elförsörjningen krävs tillgång till reservkraft. De större svenska finansiella företagen har idag tillgång till egen reservkraft vilket innebär att de kan hantera ett avbrott i energiförsörjningen under en viss tidsperiod. De finansiella företagens reservkraft består idag till största del av batteriaggregat och dieselgeneratorer för kontorslokaler och datacenter. För att kunna använda sin reservkraft under ett längre avbrott kan det krävas att företagens lager fylls på. Detta skulle kunna ske från de beredskapslager av olja som ska hållas enligt lagen (2012:806) om beredskapslagring av olja. Detta förutsätter emellertid att en överenskommelse ingås med de som är skyldiga att hålla lager enligt den nu nämnda lagen. När det gäller totalförsvarets behov av energiförsörjning fick Energimyndigheten i augusti 2023 i uppdrag av regeringen att analysera behoven av nödvändig försörjning av energi i samverkan med övriga 124 beredskapssektorer. Som nämnts ovan har en statlig utredning nyligen 125 lämnat förslag gällande ansvar för att ta fram försörjningsanalyser. Såväl uppdraget till Energimyndigheten som Utredningen om nationell samordning av försörjningsberedskapens förslag kan komma att påverka de företag som tillhandahåller samhällsviktiga finansiella tjänsters tillgång till energiförsörjning i händelse av höjd beredskap. Vid ett avbrott i de elektroniska kommunikationerna är det främst den ansvarige operatören som ansvarar för att återställa funktionaliteten. Vid ett mer omfattande eller längre avbrott kan Post- och telestyrelsen eller en operatör sammankalla Nationella telesamverkansgruppen (NTSG) för krissamverkan. PTS har dock inte mandat att prioritera operatörernas återställningsarbete. 126 PTS bedriver även arbete när det gäller att förbättra robustheten och autonomin hos tjänster för elektronisk kommunikation. Genom att göra dessa tjänster mer robusta och autonoma ökar möjligheten att de kan fortsätta att fungera även vid allvarliga påfrestningar. 127

It-incidenter Vid en allvarlig it-incident – oavsett om den orsakats avsiktligt eller oavsiktligt – kan det allmänna ha vissa förutsättningar att bistå ett eller flera drabbade företag. Ett sådant stöd skulle kunna bestå i hjälp med att

Se ovan under avsnitt 4.5.11. 124 Regeringsbeslut den 24 augusti 2023, Uppdrag om energiförsörjning för totalförsvaret (KN2023/03802). Energimyndigheten ska redovisa uppdraget senast den 29 december 2023 till regeringen. 125 Se ovan under avsnitt 4.5.1. 126 Se https://pts.se/sv/om-pts/krisinformation/pts-arbete-fore-under-och-efter-en-kris/#ptsarbete-under-en-kris (2023-12-15). 127 PTS driver för närvarande projektet Regional robusthet – Grundläggande IPkommunikation i fasta nät med det övergripande syftet att stärka robustheten i Sveriges elektroniska kommunikationer.

begränsa konsekvenserna av ett angrepp, bistå i att utreda händelseförlopp samt eventuellt även stöd i att återställa viktig information. Även om det enskilda företaget själv ansvarar för att ha tillräcklig motståndskraft kan det ligga i det allmännas intresse att bidra till att exempelvis avhjälpa en antagonistisk it-incident, särskilt om det är ett eller flera systemviktiga företag som har drabbats. Detta eftersom en it-incident hos ett sådant företag kan riskera att spridas och därmed få konsekvenser för samhällets funktionalitet. Som diskuterats i avsnitt 4.5 ovan har MSB och dess funktion CERT-SE i uppgift att bistå vid hantering av it-incidenter. Dessutom finns det, som nämns ovan, idag legala förutsättningar för exempelvis FRA och Försvarsmakten att lämna stöd till enskilda under vissa förutsättningar. Avgörande för om stöd kan lämnas är såväl förmåga som möjlighet att ta emot stödet i fråga. Vad gäller förmåga kan det konstateras att en generell hög it-kompetens finns hos myndigheter som FRA, Försvarsmakten, MSB och 128 Säkerhetspolisen. I händelse av en cyberattack mot ett eller flera finansiella företag kan dessa myndigheter tillhandahålla såväl relevant information som teknisk kompetens. Genom att tillhandahålla relevant information kan ett drabbat finansiellt företag få en bättre förståelse av angreppets karaktär, dess mål, omfattning och ursprung. Den tekniska kompetensen hos de nämnda myndigheterna kan bland annat användas för att genomföra tekniska analyser av exempelvis loggar och skadlig kod i syfte att kunna ge kvalificerad rådgivning om vilka åtgärder som kan vara lämpliga att vidta. När det gäller de ovan nämnda myndigheternas förmåga att bistå ett eller flera finansiella företag vid en allvarlig driftstörning behöver följande tilläggas. Det är inte osannolikt att ett cyberangrepp kan drabba flera delar av samhället på samma gång. Samtidigt är myndigheternas resurser begränsade. Detta innebär att myndigheterna kan behöva göra strikta prioriteringar i händelse av en kris. Det är därmed svårt för enskilda 129 företag att på förhand kunna räkna med tekniskt stöd från det allmänna. En annan fråga gäller möjligheten för enskilda företag att ta emot teknisk assistans i händelse av en allvarlig it-incident. Företagen i den finansiella sektorn har idag en planering för att kunna hantera en allvarlig it-incident i deras respektive verksamhet. Givet vad som ovan sagts om det allmännas begränsade möjlighet att bistå tekniskt bör finansiella företag i sin planering inte kunna utgå från att de ska få sådant tekniskt bistånd i händelse av en allvarlig it-incident. För att tekniskt stöd från en myndighet ska kunna tas emot krävs även föregående planering. Detta inte minst eftersom ett effektivt tekniskt stöd ställer krav på kännedom om det enskilda företagets olika it-system. Även om så är möjligt är det därmed inte givet att de aktuella myndigheterna har komparativa fördelar att bistå under alla cyberangrepp.

128 Regeringen har nyligen föreslagit att MSB ska tilldelas utökade medel i syfte att erbjuda kvalificerat stöd till drabbade aktörer (se prop. 2023/24:1 utgiftsområde 6, s. 87). 129 Exempelvis får Försvarsmakten enbart lämna stöd till enskilda om Försvarsmakten har resurser som är lämpliga för uppgiften och det inte allvarligt hindrar dess ordinarie verksamhet (6 § förordningen [2002:375] om Försvarsmaktens stöd till civil verksamhet). 53

De samtal som utredningen har fört med företrädare för företag verksamma inom den finansiella sektorn och branschföreningar har gett en samlad bild av att företagen i allt väsentligt inte förväntar sig att få tekniskt stöd från det allmänna i händelse av en allvarlig it-incident. De företag och branschföreningar som utredningen har varit i kontakt med har i princip inte heller framfört önskemål om att det allmänna ska tillhandahålla sådant stöd i händelse av en allvarlig it-incident som drabbar företagens respektive verksamheter. Detta innebär dock inte att tekniskt bistånd från det allmänna inte skulle vara relevant i händelse av en allvarlig driftstörning som påverkar ett finansiellt företags digitala infrastruktur. Det är även möjligt att på sikt förbättra möjligheterna för det allmänna att ge – och för företag att ta emot – tekniskt stöd enligt vad som nu sagt förutsatt att beslut om prioriteringar av myndigheternas uppgifter fattas samt att övningar och kompetensuppbyggnad sker. I tillägg till vad som sagts ovan bör MSB och funktionen CERT-SE, som MSB ansvarar för, nämnas här. Om ett företag eller en myndighet drabbas av en it-incident skulle MSB och CERT-SE kunna stötta den drabbade verksamheten med att hantera det som inträffat genom att lindra påverkan och återställa funktionaliteten, samordna mellan berörda aktörer och varna vid kännedom om kritiska sårbarheter eller risk för cyberangrepp. Externa aktörer kan inte själv återställa ett företags eller en myndighets system vid en incident utan det sker i samverkan med den drabbade verksamheten. Utöver funktionen CERT-SE kommer även MSB i samband med genomförandet av NIS2-direktivet ha rollen som cyberkrishanteringsmyndighet och därigenom ha ett utpekat ansvar för hanteringen av storskaliga cybersäkerhetsincidenter och kriser. Vilka närmare uppgifter som åligger cyberkrishanteringsmyndigheten kommer att framgå av den nationella plan för hanteringen av storskaliga cybersäkerhetsincidenter och kriser som kommer att tas fram. 130 När det gäller cyberangrepp bör även de rättsvårdande myndigheternas arbete med att lagföra den som misstänks för dataintrång nämnas. Polismyndigheten, och även Säkerhetspolisen, kan exempelvis avbryta ett brottsligt agerande och har möjlighet att ta föremål i beslag. Om misstänkta gärningsmän finns utomlands kan även det allmänna bidra med begäran om rättshjälp och andra sorters internationellt polisiärt samarbete. 131 Slutligen, när det gäller cyberangrepp utförda av en statsaktör bör Försvarsmaktens cyberförsvar nämnas. Cyberförsvar kan definieras som en nations samlade förmågor och åtgärder, såväl defensiva som offensiva, till skydd för dess kritiska samhällsfunktioner samt förmågan att kunna försvara sig mot cyberangrepp från kvalificerade motståndare. Defensiva

130 Se art. 9.4 i NIS 2-direktivet. 131 Vid Europeiska unionens byrå för straffrättsligt samarbete (Eurojust) finns European Juridical Cybercrime Network (EJCN), där representanter från olika länders åklagarmyndigheter möts för att diskutera gemensamma problem inom området och ta fram information. Eurojust kan även hjälpa till vid koordineringsmöten mellan rättsväsenden inom olika länder som till exempel vill diskutera ett ärende med en gemensam gärningsperson. Det finns även möjligheter för åklagare att starta gemensamma bi- eller multilaterala utredningsgrupper genom att inleda ett Joint Investigation Team (JIT). Se BRÅ, Polisanmälda dataintrång – Karaktär, utmaningar, utvecklingsområden (Rapport 2022:8). s. 28.

operationer syftar till att försvara informationssystem inklusive elektroniska kommunikationsnät för att på så sätt förhindra motståndare att påverka information, informationssystem, datorer eller nätverk. Offensiva operationer syftar till att förhindra motståndaren att använda sina system eller att tvinga motståndaren att avbryta angrepp mot svenska 132 system. Det kan inte uteslutas att Försvarsmakten därmed har möjlighet att bistå ett finansiellt företag om det skulle utsättas för ett cyberangrepp av en statsaktör.

5.2.3 Avhjälpande av driftstörningens konsekvenser

När en allvarlig driftstörning redan har inträffat är det av stor vikt att samhället kan bidra till att minska dess negativa konsekvenser i största möjliga mån. Beroende på driftstörningens art kan samhällets stödinsatser variera. Dessa insatser kan grovt indelas i följande kategorier : krishanterande åtgärder, parallella system samt finansiella stödåtgärder.

Krishanterande åtgärder Eftersom en allvarlig driftstörning ofta kan drabba flera företags och myndigheters verksamhet finns det inte sällan ett behov av krishanterande åtgärder från statligt håll. I syfte att minska de negativa konsekvenserna av en allvarlig driftstörning är det av stor vikt att rätt krishanterande åtgärder vidtas. Det är även av stor vikt att korrekt information kan lämnas till såväl regering som ansvariga myndigheter och till allmänheten. Som nämnts i det föregående är det varje företags och varje myndighets ansvar att, i enlighet med ansvarsprincipen, ansvara för hanteringen av en kris som drabbar den egna verksamheten. Trots detta har det allmänna ett ansvar för att hantera en kris så att dess konsekvenser för samhället inte blir alltför allvarliga. Grundläggande för att kunna vidta korrekta åtgärder är att snabbt skaffa sig en aktuell lägesbild över den allvarliga driftstörningen, vilka funktioner som drabbats samt vilka funktioner som riskerar att drabbas. 133 Lägesbilden kan också tjäna som ett centralt beslutsunderlag för andra finansiella företag i den mån företagen har möjlighet att ta del av den. Utöver en samlad lägesbild kan finansiella företag vara i behov av en samverkansstruktur där företagen har möjlighet att diskutera med varandra samt med berörda myndigheter om vilka åtgärder som behöver vidtas. Berörda myndigheter och företag kan också behöva koordinera vilken information som lämnas till allmänhet och media. Genom att snabbt kunna samla relevanta aktörer, koordinera beslut och kommunikation kan man bidra till att underlätta hanteringen av en redan uppkommen händelse och därmed mildra konsekvenserna av den allvarliga driftstörning som föranlett den.

132 Se prop. 2020/21:30 Totalförsvaret 2021 – 2025. s. 152. 133 Varje myndighet har i uppdrag att lämna lägesbilder till Regeringskansliet samt till MSB (12 § beredskapsförordningen). Eftersom Riksbanken inte är en myndighet under regeringen omfattas den inte av beredskapsförordningens bestämmelser. Riksbanken har dock en skyldighet att hålla regeringen och Riksgäldskontoret underrättade om viktigare frågor under fredstida krissituationer och vid höjd beredskap (5 kap. 7 § riksbankslagen). 55

I dagsläget har Finansinspektionen ett ansvar för att leda arbetet med att samordna åtgärder inför och vid fredstida krissituationer och höjd beredskap i dess egenskap av sektorsansvarig myndighet för 134 beredskapssektorn Finansiella tjänster. Även Försäkringskassan har ett sådant ansvar i dess egenskap av sektorsansvarig myndighet för beredskapssektorn Ekonomisk säkerhet. Riksbankens ansvar för att betalningar ska kunna genomföras under fredstida krissituationer och vid höjd beredskap kan även anses innefatta ett ansvar för krishanterande åtgärder. 135 Som nämnts ovan leder Riksbanken idag en struktur för frivillig krissamverkan med såväl privata som offentliga aktörer i det 136 centrala betalningssystemet. Även MSB har ett centralt ansvar när det gäller att förebygga och hantera kriser. I händelse av en kris kan MSB sammankalla relevanta aktörer till en så kallad samverkanskonferens för att snabbt skaffa sig en överblick över läget. MSB har också i uppdrag att bidra till regeringens 137 och Regeringskansliets krishantering. Även vad gäller lösningar för säkra kommunikationer har MSB ett ansvar för att förvalta ett antal sådana lösningar. En sådan lösning är den webbaserade informationstjänsten WIS som även privata organisationer inom den civila beredskapen kan använda sig av. När det gäller ledningsplatser tillhandahåller MSB vägledning kring hur dessa bör utformas. 138 Som framgått av föregående kapitel finns det även ytterligare myndigheter som har ett ansvar för krishanterande åtgärder på detta område. En förutsättning för att en organisation ska ha möjlighet att genomföra åtgärderna ovan är att lösningar för säkra kommunikationer finns på plats samt att berörda aktörer har tillgång till dessa lösningar och vet hur dessa bör användas i händelse av kris. För att ett företag ska kunna leda sin verksamhet och samverka med andra i händelse av en kris krävs även att företaget har tillgång till en väl anpassad ledningsplats med fysiskt anpassade lokaler i lämplig skyddsnivå, uthålliga tekniska försörjningssystem med hög tillförlitlighet, robusta system för informationsdelning och en utbildad och övad organisation för drift och förvaltning. Det kan även finnas behov av alternativa ledningsplatser för den händelse den ordinarie ledningsplatsen inte skulle vara tillgänglig. I kapitel 6 nedan beskrivs vilka krishanterande åtgärder utredningen föreslår att den nya funktionen ska ansvara för.

Parallella system I Finland har nyligen en ordning med parallella system införts. I korthet innebär denna ordning att en myndighet förvaltar ett kontosystem inom 139 försörjningsberedskapen. Kontosystemet består av en kontotjänst och en

134 Se 24 § beredskapsförordningen samt ovan under avsnitt 4.4.7 samt 4.5.1. 135 Se 5 kap. 1 § lagen (2022:1568) om Sveriges riksbank. 136 Se ovan under avsnitt 4.5.2. 137 Se 7 § förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap. 138 Se MSB, Vägledning för ledningsplatser, september 2021. MSB kan lämna finansiellt stöd till offentliga organisationer för kontinuitetsåtgärder, såsom ledningsplatser. 139 Den ansvariga myndigheten är Verket för finansiell stabilitet som är landets nationella resolutions- och insättningsgarantimyndighet. När det gäller uppdrag motsvaras myndigheten i Sverige närmast av Riksgälden.

kortbetalningstjänst som kan användas för genomförandet av de betaltjänster som är centrala med tanke på tryggandet av försörjningsberedskapen vid allvarliga störningssituationer under normala 140 förhållanden eller under undantagsförhållanden. På så vis har det i Finland skapats ett parallellt system som kan användas för betalningar i händelse av en allvarlig kris eller krig. I Sverige saknas motsvarande lagstiftning gällande statens möjligheter att driva parallella system för exempelvis betalningar. Även om ett parallellt system skulle kunna vara ett bra verktyg för att upprätthålla samhällsviktig verksamhet inom den finansiella sektorn bedömer utredningen att det inte ligger inom vårt uppdrag att föreslå denna typ av lösning. För att kunna tas i bruk under en kris behöver ett sådant system finnas på plats i förväg.

Finansiella stödåtgärder Det allmänna har olika möjligheter att, under vissa förutsättningar, direkt bistå vissa finansiella företag med finansiella stödåtgärder i händelse av en allvarlig driftstörning. Dessa åtgärder kan ges i syfte att avhjälpa en allvarlig kris som hotar den finansiella stabiliteten eller för att företagen ska kunna fortsätta tillhandahålla verksamheter som kan betecknas som kritiska för det finansiella systemet. Hur pass verkningsfulla denna typ av åtgärder blir vid en allvarlig driftstörning är givetvis beroende av driftstörningens karaktär och de regelverk som styr de relevanta stödåtgärderna. Det är dock osannolikt att själva driftstörningen kan avhjälpas genom någon form av finansiell stödåtgärd. Det är emellertid inte osannolikt att staten genom olika stödinsatser kan behöva bistå finansiella företag, och andra aktörer, som indirekt drabbats av en allvarlig driftstörning. I händelse av en allvarlig driftstörning kan det tänkas att ett eller flera finansiella företag under en inte obetydlig tidsperiod inte får betalningar och värdepapper som det finansiella företag som drabbats av driftstörningen är skyldigt att tillhandahålla. 141 Detta kan i sin tur leda till att företag inte kan fullgöra sina förpliktelser i enlighet med redan ingångna avtal gentemot tredje part. Att ett finansiellt företag misslyckas med att fullgöra sina förpliktelser kan – särskilt i ett allmänt utsatt läge – få betydande negativa konsekvenser för såväl det enskilda företaget som för det finansiella systemet och i förlängningen för hela samhällsekonomin. Genom vissa av de åtgärder som nämns nedan kan staten bidra till att minska trycket på ett enskilt företag som indirekt drabbats av en allvarlig driftstörning. Det är inte orimligt att anta att en allvarlig driftstörning i en bank, särskilt om det är en större sådan, kan påverka den finansiella stabiliteten negativt. Detta eftersom insättare i banker som inte utsatts för störning kan vilja ta ut sina medel av rädsla för att medlen inte ska vara tillgängliga om störningen skulle drabba fler banker. De banker som

140 Se lagen (666/2022) om vissa arrangemang för tryggande av försörjningsberedskapen inom finansbranschen. 141 En orsak kan vara att en angripare genom att sprida skadlig kod förhindrar åtkomst till ett eller flera konton. Motsvarande situation kan också uppkomma om en driftstörning slagit ut samhällets elförsörjning eller telekommunikation. 57

drabbas av en uttagsanstormning ( bank run ) kan då få likviditetsproblem på samma sätt som en anstormning som påverkas av fundamentala eller förväntade solvensproblem. Genom ryktesspridning i sociala medier i kombination med digitaliserade och lättillgängliga betaltjänster kan en uttagsanstormning ske mycket snabbt. Värt att notera är att risken för en sådan anstormning mot den bank som drabbats av den allvarliga driftstörningen på kort sikt kan vara liten eftersom kontomedlen helt eller delvis är otillgängliga på grund av den inträffade driftstörningen. Detta beror givetvis på typ och omfattning av den inträffade driftstörningen. För att minska påfrestningen på de indirekt drabbade finansiella företagen kan staten i ett sådant utsatt läge som nämnts ovan behöva tillföra likviditet. Riksbanken har till exempel möjlighet att tillfälligt tillgodose ett enskilt finansiellt företags behov av likviditet genom likviditetsstöd i form av kredit, om det behövs för att motverka en allvarlig 142 störning i det finansiella systemet i Sverige. Riksbanken har också möjlighet att samtidigt erbjuda flera finansiella företag likviditetsstöd, till exempel i form av kredit eller återköpsavtal. 143 När det gäller livskraftiga kreditinstitut framgår statens möjligheter att ge garantier , och även kapitaltillskott, av lagen (2015:1017) om förebyggande statligt stöd till kreditinstitut och om stabilitetsfonden (stödlagen). Är det finansiella företaget en central motpart regleras möjligheten att ge garantier eller kapitaltillskott av lagen (2022:739) med kompletterande bestämmelser till EU:s förordning om återhämtning och resolution av centrala motparter. 144 Stöd enligt de nämnda lagarna kan lämnas om det behövs för att motverka en allvarlig störning av det finansiella systemet i Sverige. Beslut om stödet fattas av regeringen eller av Riksgälden som är stödmyndighet. Stöd kan även lämnas i form av en garanti till Riksbanken för återbetalning av ett lån som Riksbanken lämnat till ett kreditinstitut enligt stödlagen. 145 Det bör dock påpekas att garantier som får lämnas enligt stödlagen och riktar sig direkt till kreditinstitut syftar till att garantera institutets egna emissioner av skuldinstrument. Vad som nu sagts gäller enbart i förhållande till kreditinstitut och centrala motparter. En åtgärd som hypotetiskt skulle kunna bli aktuell i förhållande till andra finansiella företag i händelse av en allvarlig driftstörning är statliga garantier riktade till sådana företag inom ramen för den statliga garantimodellen. Genom att garantera ett finansiellt företags betalningar skulle staten kunna eliminera delar av motpartsrisken i en betalning eller värdepapperstransaktion och därmed förhindra att problem som drabbat de olika parterna i en värdepapperstransaktion på grund av att en allvarlig driftstörning sprids till andra företag i det finansiella systemet via clearing- och avvecklingssystem.

142 3 kap. 7 § riksbankslagen. 143 2 kap. 4 § samt 3 kap. 6 § riksbankslagen. 144 Se 4 kap. 1 § lagen (2022:739) med kompletterande bestämmelser till EU:s förordning om återhämtning och resolution av centrala motparter. Stöd till såväl kreditinstitut som till centrala motparter finansieras av medel från stabilitetsfonden. 145 Motsvarande möjlighet finns i förhållande till ett lån som en central motpart tagit upp enligt lagen (2022:739) med kompletterande bestämmelser till EU:s förordning om återhämtning och resolution av centrala motparter.

För att detta ska kunna genomföras krävs ett särskilt beslut av riksdagen angående garantiram och ett uppdrag från regeringen till Riksgälden att ställa ut garantin i fråga. Regler för dessa typer av garantier finns i förordningen (2011:211) om utlåning och garantier. Oavsett stödmottagare krävs godkännande enligt EU:s statsstödsregelverk innan stödet kan verkställas. Mervärdet av en sådan statlig garanti behöver dock bedömas i ljuset av de möjligheter Riksbanken har att tillhandahålla likviditet så att clearing och avveckling kan ske. Ett särskilt verktyg som regeringen har möjlighet att använda i ett mycket utsatt läge är införandet av ett moratorium . 146 Ett moratorium, särskilt ett långvarigt sådant, kan dock riskera att urholka förtroendet för såväl det enskilda finansiella företaget som för det finansiella systemet i dess helhet. 147 När det gäller betalningsväsendet finns även ett antal andra lagar, bland dem lagen (1957:684) om betalningsväsendet under krigsförhållanden, som ger regeringen extraordinära befogenheter i 148 händelse av krig eller krigsfara. En aktivering av insättningsgarantin kan vara en stödåtgärd för de företag och enskilda som inte kan få tillgång till sina insatta medel på grund av en allvarlig driftsstörning. Det är Finansinspektionen som fattar beslut om att aktivera insättningsgarantin och Riksgälden som ansvarar för utbetalningen. Det är dock enbart möjligt att aktivera insättningsgarantin till följd av det finansiella företagets finansiella situation. Insättningsgarantin kan därmed inte aktiveras till följd av att ett företag drabbats av en allvarlig driftstörning. 149 Det är även möjligt att tänka sig att Finansinspektionen fattar beslut om att sänka det kontracykliska buffertvärdet som myndigheten fastställer. 150 Genom att sänka buffertvärdet frigörs kapital som bankerna kan använda för exempelvis sin utlåning. Vissa finansiella företag, såsom kreditinstitut och värdepappersbolag, som fallerar eller riskerar att fallera kan staten ta över kontrollen av och hantera det genom ett särskilt förfarande kallat resolution . Resolution är ett sätt hantera vissa finansiella företag utan att verksamheten omedelbart stängs ner. I stället sker en ordnad rekonstruktion eller avveckling av banken i syfte att begränsa skadeverkningarna för företagets kunder, den finansiella stabiliteten och samhällsekonomin i stort. Finansinspektionen ansvarar för att bedöma om ett finansiellt företag riskerar att fallera eller

146 Med moratorium menas att skulder inte behöver betalas under en viss angiven tidsperiod eller att åtgärder för att utmäta en viss skuld inte ska vidtas under denna angivna tidsperiod. Se lagen (1940:300) angående förordnande om anstånd med betalning av gäld m.m. (moratorielag). Lagen är en så kallad fullmaktslag vilket innebär att den ger regeringen extraordinära befogenheter i händelse av krig eller andra särskilda omständigheter. 147 ESRB, Advancing macroprudential tools for cyber resilience, februari 2023. s. 32. 148 En beskrivning av dessa fullmaktslagar finns i SOU 2023:16 Staten och betalningarna. s. 519 ff. samt i SOU 2023:75 Stärkt konstitutionell beredskap s. 98 ff. 149 Se 8 § lagen (1995:1571) om insättningsgaranti. 150 Se 7 kap. 1 § lagen (2014:966) om kapitalbuffertar. 59

har fallerat. 151 Riksgälden är resolutionsmyndighet och ansvarar för de allra flesta åtgärder som vidtas enligt lagen (2015:1016) om resolution. 152 Avslutningsvis bör det dock erinras om vad som sades i början av detta stycke, nämligen att finansiella stödåtgärder inte är utformade för operativa driftstörningar vilket innebär att de sällan är de mest effektiva för att kunna hantera problem orsakade av en driftstörning. Vi har ändå för fullständighetens skull valt att redogöra för denna typ av stödåtgärder.

5.3 Behovet av en ny operativ krishanterande funktion

I kapitel 4 ovan har det redogjorts för såväl statens som privata företags och organisationers ansvar för att förebygga och hantera kriser inom den svenska finansiella sektorn. Även om många aktörer har ansvar för dessa typer av åtgärder är det tydligt att det idag inte finns en myndighet, eller någon annan aktör, som har ett särskilt utpekat ansvar att bedriva krishantering i händelse av en allvarlig driftstörning i den finansiella sektorns digitala infrastruktur. Vissa myndigheter har dock idag i varierande utsträckning ett ansvar för operativ krisledning eller krishantering. Utredningen har under sitt arbete fört dialog med ett betydande antal representanter för berörda myndigheter, finansiella företag samt branschföreningar. Därutöver har utredningen deltagit i en krisövning ordnad av Finansiella stabilitetsrådets kansli samt tagit del av erfarenheterna från FSPOS övningar som hölls hösten 2022 respektive hösten 2023. Det är tydligt utifrån dessa samtal och erfarenheter att det finns såväl en efterfrågan på, som ett behov av, en tydligt utpekad funktion som har förmågan att samla relevanta aktörer i händelse av att en allvarlig driftstörning drabbar eller riskerar att drabba den finansiella sektorn. Många av de utredningen talat med har uttryckligen betonat behovet av en 153 aktör som har ”ledartröjan” i händelse av en krissituation. Det upplevs av den stora majoriteten av privata aktörer som utredningen varit i kontakt med som att den nuvarande ansvarsfördelningen mellan myndigheter är otydlig. 154 Inom ramen för en sådan funktion bör det, enligt de representanter som utredningen varit i kontakt med, vara möjligt att utbyta information, skapa en gemensam lägesbild, diskutera och koordinera såväl gemensamma som

151 Finansinspektionen ska på eget initiativ eller på begäran av Riksgälden pröva om vissa finansiella företag fallerar eller sannolikt kommer att fallera. Prövningen ska föregås av samråd med Riksgälden och Riksbanken. Se 8 kap. 1 § lagen (2015:1016) om resolution. 152 Resolution av centrala motparter regleras i EU:s förordning (EU) 2021/23 om en ram för återhämtning och resolution av centrala motparter. Även enligt detta regelverk är Riksgälden resolutionsmyndighet. 153 Exempelvis har FSPOS i sin övning hösten 2022 utgått från att en funktion likt det utredningen har i uppdrag att föreslå redan finns på plats. 154 Se FSPOS promemoria, Nya förutsättningar för krisberedskap (december 2023) som innehåller en intervjustudie med aktörer i finansiell sektor. Studien visar bland annat att det finns ett behov av tydlighet kring vilken aktör som är ansvarig för att säkerställa samverkan och ledning i finansiella sektorn, när det gäller hantering av såväl kriser som under höjd beredskap (s. 34 ff.).

enskilda åtgärder samt utformningen av kommunikation till media och allmänhet. Särskilt de finansiella företag och branschorganisationer för finanssektorn som utredningen varit i kontakt med har också betonat behovet av att i ett krisläge kunna ha kontakt med en myndighet som i sin tur har kontakt med och en överblick över läget i andra sektorer i händelse av en kris. En stor del av de aktörer utredningen varit i kontakt med har även betonat nödvändigheten av att undvika att den nya funktionen ges uppgifter som redan utförs av en eller flera aktörer.

5.3.1 Tidigare utredningar och förslag

Behovet av en funktion för operativ krishantering för såväl betalningssystemet som för den finansiella sektorn som helhet är emellertid inte nytt. Sedan en tid tillbaka har frågan berörts i flera olika förslag från riksdag, regering och myndigheter. Riksrevisionen ansåg redan 2007 i en granskningsrapport att ansvarsfördelningen mellan de olika aktörerna för den operativa krishanteringen i betalningssystemet var oklar. Ingen myndighet hade – enligt Riksrevisionen – fått ett entydigt övergripande och samlat ansvar för ledning, planering, samverkan och uppföljning av krisberedskapsåtgärder inom betalningssystemet. 155 Riksrevisionens granskning ledde till att det så kallade SKRIB-projektet 156 initierades inom Regeringskansliet. Projektet utmynnade 2010 i en rapport som föreslog att Riksbanken skulle ges ett nationellt samordningsansvar för krisberedskapen inom betalningssystemet. 157 I det nationella samordningsansvaret skulle det, enligt rapporten, bland annat ingå att ” ta fram rutiner av olika slag för information och kommunikation i en krissituation, i syfte att skapa de bästa förutsättningarna för en fungerande, effektiv och enhetlig kommunikation. ” 158 Rapporten remitterades till ett flertal myndigheter och organisationer. Med utgångspunkt i rapporten och avlämnade remissvar fick en särskild utredare 2011 i uppdrag att vidareutveckla och ytterligare konkretisera förslagen i rapporten avseende grundläggande säkerhetsnivåer och nationellt samordningsansvar för såväl förebyggande krisberedskapsåtgärder som åtgärder vid en akut kris inom det centrala 159 betalningssystemet. Utredningen föreslog bland annat en ny lag om krisberedskap i det centrala betalningssystemet av vilken det framgick att Riksbanken i händelse av en allvarlig störning i det centrala betalningssystemet omgående skulle upprätta en krisledningsfunktion 160 avseende samordning och information. Utredarens förslag ledde emellertid inte till lagstiftning. 2016 sammankallade dock regeringen Riksbankskommittén med uppdrag att

155 Riksrevisionen, Krisberedskap i betalningssystemet – tekniska hot och risker (RiR 2007:28). s. 84. 156 En akronym för S tärkt KR isberedskap I B etalningssystemet. 157 En samlad reglering för stärkt krisberedskap mot allvarliga tekniska fel och störningar i det centrala betalningssystemet (Fi2010/1619). Rapporten var ett resultat av det så kallade SKRIB-projektet inom Finansdepartementet. 158 Se s. 66 i rapporten. 159 SOU 2011:78 Stärkt krisberedskap i det centrala betalningssystemet. 160 Se 13 § i utredningens lagförslag samt s. 71 i betänkandet. 61

föreslå en ny riksbankslag. Av uppdraget framgick bland annat att kommittén skulle lämna förslag avseende beredskapen i betalningssystemet samt att kommittén därvid skulle ta sin utgångspunkt i 161 2011 års utredning. Riksbankskommittén föreslog i sitt slutbetänkande som avlämnades 2019 att Riksbanken i linje med 2011 års utredning ”omgående ska kunna u pprätta en ledningsfunktion för samordning och information vid störningar i genomförande av betalningar under fredstida 162 krissituationer. Samtidigt som arbetet i Riksbankskommittén pågick beslutade regeringen 2018 att tillsätta en särskild utredare med uppdrag att analysera och föreslå en struktur för ansvar, ledning och samordning inom civilt försvar på central, regional och lokal nivå samt för att stärka samhällets förmåga att hantera fredstida kriser. 163 Utredningen, som tog sig namnet Utredningen om civilt försvar, presenterade sitt slutbetänkande 2021. 164 Utredningens förslag om beredskapssektorer med varsin sektorsansvarig myndighet med uppdrag att bland annat ansvara för samordningen inom sektorn blev verklighet i och med att beredskapsförordningen trädde i kraft den 1 oktober 2022. Som beskrivits i föregående kapitel framgår det av förordningen att Finansinspektionen är sektorsansvarig myndighet för beredskapssektorn Finansiella tjänster som även inbegriper den viktiga samhällsfunktionen betalningsförmedling. Vad gäller Riksbankens ansvar för ledningsfunktionen för betalningar beslöt regeringen att detta ansvar inte skulle framgå direkt av riksbankslagen. Av propositionen till den riksbankslag som trädde i kraft den 1 januari 2023 framgår det, som berörts ovan, emellertid att Riksbanken vid störningar i genomförandet av betalningar omgående ska 165 upprätta en ledningsfunktion för samordning och information. En sådan ledningsfunktion har dock inte etablerats ännu. Ledningsfunktionen ska vara etablerad i samband med att Riksbankens föreskrifter och allmänna råd om företag av särskild betydelse för genomförandet av betalningar under fredstida krissituationer och vid höjd beredskap träder i kraft den 1 166 februari 2024. Denna nya funktion kommer då att ersätta den befintliga Krissamverkan för det centrala betalningssystemet som Riksbanken ansvarat för sedan 2016. Viktigt att påpeka är att denna ledningsfunktion enbart kommer att avse betalningsområdet. Samtidigt som dessa nu nämnda processer har pågått har det säkerhetspolitiska läget försämrats avsevärt inte minst mot bakgrund av den ryska invasionen av Ukraina som inleddes i februari 2022. Flera aktörer har därför relativt nyligen kommit att belysa behovet av en tydligt utpekad aktör med ansvar för den operativa krisledningen inom den finansiella sektorn. Kort efter den ryska invasionen fick

161 Kommittédirektiv 2016:114 (s. 9). 162 Kommitténs förslag framgick uttryckligen av dess förslag till ny riksbankslag (5 kap. 9 § i förslaget). 163 Kommittédirektiv 2018:79. 164 SOU 2021:25 Struktur för ökad motståndskraft. 165 Prop. 2021/22:41 En ny riksbankslag. s. 227. Uppgiften anses enligt propositionen följa av Riksbankens ansvar att kunna fortsätta sin verksamhet under fredstida krissituationer och vid höjd beredskap enligt 5 kap. 2 § riksbankslagen. 166 8 § i föreskrifterna ställer krav på att företagen som omfattas ska planera och förbereda för att ingå i denna ledningsfunktion.

Finansinspektionen i uppdrag av regeringen att föreslå de åtgärder som myndigheten bedömde kunde höja den digitala motståndskraften hos 167 företag i den finansiella sektorn. Ett förslag från Finansinspektionen gällde behovet av en centralt placerad aktör som har goda kontakter hos de olika relevanta myndigheterna samt hos de större finansiella företagen, med uppdrag att samordna agerandet vid allvarliga cyberattacker som drabbar ett eller flera finansiella företag och riskerar att utvecklas till en allvarlig kris för den finansiella sektorn. Myndigheten föreslog därför att regeringen skulle utreda hur en sådan krishanteringsfunktion bör utformas på lämpligaste sätt samt vilken myndighet som bör ges huvudansvaret för det. I sin utvärdering av den svenska cyberrisktillsynen ansåg dessutom nyligen Internationella valutafonden (IMF) att ansvariga svenska myndigheter bör formalisera ett ramverk för att hantera såväl 168 cyberincidenter som operativa kriser. Slutligen har behovet av en operativ krisledningsfunktion har också framhållits i ett gemensamt underlag från Finansinspektionen, Riksbanken och Riksgälden till 169 Finansiella stabilitetsrådet inför dess möte i december 2022. Avslutningsvis kan det konstateras att behovet av en tydlig utpekad aktör med ansvar för krishantering inom den finansiella sektorn har funnits under en längre tid. Även om mycket skett på detta område sedan Riksrevisionens rapport 2007 är det, i utredningens mening, tydligt att behovet av en tydlig utpekad aktör med ansvar för krishantering inom den finansiella sektorn alltjämt kvarstår.

5.4 Internationell utblick

I ett antal andra länder finns det redan idag någon form av funktion för samverkan inom den finansiella sektorn i händelse av en allvarlig driftstörning. Liknande samarbeten finns givetvis även i andra jurisdiktioner men vi har valt att fokusera detta avsnitt på tre länder i vårt relativa närområde som vi bedömer har kommit långt i detta hänseende: Danmark, Finland och Storbritannien.

5.4.1 Danmark

I Danmark finns sedan några år tillbaka såväl en nationell cybersäkerhetsstrategi som sektorsspecifika cybersäkerhetsstrategier. Sedan 2019 finns det därmed en särskild cybersäkerhetsstrategi för den danska finansiella sektorn. Strategin innehåller en beskrivning av rådande ansvarsförhållanden samt frågor som de ansvariga myndigheterna och

167 Uppdraget redovisades till regeringen i maj 2022 i form av rapporten Förstärkt motståndskraft hos företag i den finansiella sektorn (FI dnr 22 – 10015, se särskilt s. 22 – 25). 168 IMF, Sweden Financial Sector Assessment Program, Technical Note on Cybersecurity Risk Supervision and Oversight, 2023. Se särskilt s. 21. IMF:s utvärdering utfördes under 2022 och fondens rapporter från utvärderingen publicerades under våren 2023. 169 Promemorian Ansvarsfördelning och samverkansformer rörande cybersäkerhet i den svenska finansiella sektorn (FI dnr 22 – 30843). 63

organisationerna behöver arbeta mer med under den treårsperiod som strategin gäller. 170 Den danska cybersäkerhetsmyndigheten – Center for Cybersikkerhed (CFCS) – har ett övergripande ansvar för den nationella strategin och en myndighet har ett ansvar för varje särskild sektor. För den danska finansiella sektorn är den danska tillsynsmyndigheten för finansmarknaden – Finanstilsynet – som är ansvarig myndighet. Hos Finanstilsynet finns en enhet – Decentral enhed for Cyber- og Informationssikkerhed i den finansielle sektor (DCIS Finans) – som har till uppgift att följa upp strategin och rapportera till ansvarigt departement. En viktig beståndsdel i den danska sektorsspecifika cybersäkerhetsstrategin är det så kallade Finansielt Sektorforum for Operationel Robusthed (FSOR). FSOR är ett privat-offentligt samarbetsforum, där den danska centralbanken – Danmarks Nationalbank – sköter sekretariatet och ordförandeskapet. Medlemmar av FSOR inkluderar systemviktiga finansinstitut (SIFI), försäkrings- och pensionsbolag, finansiella infrastrukturföretag, myndigheter och centralbanken. I dagsläget är knappt 30 olika offentliga och privata organisationer medlemmar av FSOR. FSOR:s arbete leds av ett sekretariat som består av anställda på den danska centralbanken. Ett tiotal medarbetare arbetar med FSOR-relaterade uppgifter men enbart under en begränsad del av deras arbetstid. I relation till strategin tar Danmarks Nationalbank och FSOR hand om uppgifter på sektorsnivå i samband med till exempel kartläggning, riskbedömning, krisberedskap och kunskapsspridning. Vid sidan av att analysera hotbilder, agerar FSOR som en samordnande aktör under en cyberattack eller en annan operativ krissituation. Under en kris kan FSOR alltså samordna berörda aktörers kommunikation och sammanställa och dela aktuella lägesbilder. FSOR har ett nära samarbete med bland andra den danska cybersäkerhetsmyndigheten, polisen och tillsynsmyndigheten. FSOR har även ett nära samarbete med NFCERT (se ovan under avsnitt 4.6.2). FSOR:s krisförberedande arbete består, bland annat, i att ta fram och öva sin krismanual. Varje finansiellt företag som är medlem av dess arbete ska även ta fram en krisplan som beskriver hos företagets krisarbete förhåller sig till FSOR:s krismanual. Skulle en krissituation uppstå har FSOR möjlighet att besluta om att aktivera hela eller delar av sin organisation. FSOR har möjlighet att med kort varsel samla såväl berörda företag som ansvariga myndigheter runt ett och samma bord för att koordinera deras insatser och kommunikation. Organisationen har inget eget mandat att fatta beslut om åtgärder. FSOR:s funktion framgår inte av lagstiftning eller liknande. Skulle behov uppstå om att lyfta en fråga till politisk nivå är det Finanstilsynet som gör det i enlighet med deras mandat som framgår av den sektorsspecifika cybersäkerhetsstrategin.

170 Se Finanstilsynet, Strategi for den finansielle sektors cyber- og informationssikkerhed 2022 – 2025.

5.4.2 Finland

Finland antog 2017 en säkerhetsstrategi för samhället som bland annat berör de olika samhällssektorernas beredskap mot krig och allvarliga 171 störningar på övergripande nivå. I strategin slås ett antal strategiska uppgifter fast för vissa förvaltningsområden. Dessa strategiska uppgifter ligger också till grund för landskapens, kommunernas och andra organisationers beredskap och beredskapsplanering. Bland dessa strategiska uppgift finns bland annat tryggande av det finansiella systemets funktion samt tryggande av försäkringsverksamheten. Sedan juli 2022 gäller lagen (2022/666) om vissa arrangemang för tryggande av försörjningsberedskapen inom finansbranschen. Av lagen (8 §) framgår att det finska finansdepartementet har möjlighet att tillsätta en samarbetsgrupp – Samarbetsgruppen för hantering av störningssituationer på finansmarknaden – för hantering av störningssituationer på finansmarknaden som har till uppgift att planera och samordna åtgärder som behövs för hantering av undantagsförhållanden och av allvarliga störningssituationer, skaffa fram och tillhandahålla information för hantering av undantagsförhållanden och av allvarliga störningssituationer, och förmedla sådan information om undantagsförhållanden och om allvarliga störningssituationer till relevanta aktörer. I händelse av väpnat angrepp eller en kris kan gruppen sammankallas efter beslut av finansministern som är gruppens ordförande. När gruppen inte är aktiverad arbetar den med planering och informationsdelning. Gruppen har inget eget mandat att fatta beslut utan varje deltagare utgår från sin egen beslutskompetens. Finansministeriet har möjlighet att kalla representanter för de myndigheter, sammanslutningar och företag som departementet bedömer behöver delta i gruppens arbete. I lagens förarbeten nämns att bland andra Finansinspektionen, Finlands Bank, Verket för finansiell stabilitet, Transport- och kommunikationsverket och Försvarsmakten kan tänkas ingå i gruppen. Det är dock upp till Finansministeriet att besluta vilka som 172 ska ingå samt vilka som ska kallas till ett enskilt sammanträde. Enligt uppgifter till utredningen pågår nu arbete med att etablera gruppen. Den planeras att ha sitt första möte under det första kvartalet 2024. 173

5.4.3 Storbritannien

I Storbritannien har ansvariga myndigheter bildat the Authorities’ Response Framework (ARF). ARF är ett mötesforum där de ingående myndigheterna har möjlighet att koordinera sig och dela lägesbilder i händelse av en cyberattack eller någon annan operativ kris. ARF består av

171 Säkerhetsstrategi för samhället, Statsrådets principbeslut 2.11.2017. 172 Regeringens proposition (RP 104/2022 rd) till riksdagen med förslag till lag om vissa arrangemang för tryggande av försörjningsberedskapen inom finansbranschen och till lagar som har samband med den. s. 27 f. 173 Mailkontakt med Markus Kari, Ministerial Advisor, Finansministeriet i Finland, december 2023. 65

det brittiska finansdepartementet ( HM Treasury ) centralbanken ( Bank of England ), makrotillsynsmyndigheten ( Prudential Regulation Authority ) samt tillsynsmyndigheten för finansmarknaden ( Financial Conduct 174 Authority ). Finansdepartementet har det yttersta ansvaret för ARF, medan den större delen av det operativa arbetet med att driva forumet har delegerats till centralbanken. I likhet med dess danska motsvarighet har ARF till syfte att snabbt kunna samla relevanta aktörer i händelse av en händelse som misstänks få allvarliga konsekvenser. Även i Storbritannien finns möjligheten av att aktivera krisarbetet i olika grad beroende på hur pass allvarlig händelsen förväntas bli. Vid en allvarlig händelse representeras de ingående myndigheterna av dess respektive högsta eller näst högsta chef. Vid väldigt allvarliga händelser finns det även möjlighet att lyfta hanteringen till regeringsnivå. Utöver de ingående myndigheterna har flera andra myndigheter, såsom de myndigheter som ansvarar för elförsörjning och telekommunikation, övat på att med kort varsel delta i ARF:s möten. Även den brittiska cybersäkerhetsmyndigheten The National Cyber Security Centre kan vid behov delta i ARF:s arbete. I likhet med Danmark finns det i Storbritannien inte särskild lagreglering av ARF och dess verksamhet. De ingående myndigheterna svarar själva för eventuella beslut och ARF har inget eget mandat att fatta för medlemmarna bindande beslut. En viktig skillnad mellan den danska och den brittiska ordningen är att den sistnämnda enbart inbegriper myndigheter. I Storbritannien finns dock grupperingen Cross Market Business Continuity Group (CMBCG) som består av såväl representanter för berörda myndigheter som för företag inom den brittiska finansiella sektorn. Förutom de myndigheter som ingår i ARF består CMBCG idag av ett trettiotal av de mest systemviktiga finansiella företagen. CMBCG fungerar därmed som ett forum för samråd mellan myndigheter och företag inför och under en kris. Branschorganisationen UK Finance har, på initiativ av den brittiska centralbanken startat the Financial Sector Cyber Collaboration Centre (FSCCC) . Syftet med att etablera detta center är att möjliggöra och förenkla samarbetet mellan myndigheter och den privata sektorn. På så vis blir det enklare att dela information mellan företag verksamma inom den finansiella sektorn och ansvariga tillsynsmyndigheter. Genom FSCCC är det även möjligt att utbyta information med underrättelsetjänsten och brottsbekämpande myndigheter. Det är möjligt för varje deltagare inom FSCCC att bestämma i vilken utsträckning de önskar delta i samarbetet. FSCCC:s uppdrag är därmed inte att vara operativ i händelse av en kris utan främst att vara ett forum för delning av information mellan det allmänna och den privata sektorn.

174 Prudential Regulation Authority, PRA, är formellt en del av Bank of England men deltar på eget mandat i ARF.

6 Utredningens förslag och bedömningar

6.1 Utredningens utgångspunkter

Detta kapitel innehåller utredningens förslag och bedömningar gällande vårt uppdrag. Kärnan i utredningens uppdrag är att lämna förslag på utformningen av en ny krishanterande funktion för den finansiella sektorns digitala infrastruktur samt att föreslå vilken myndighet som ska ansvara för den. Det torde vara tydligt av den tidigare genomgången av såväl befintliga som föreslagna strukturer för krishantering samt av gällande och kommande lagstiftning att detta är ett område där mycket sker och har skett under de senaste åren. Den operativa hanteringen av en inträffad händelse är en viktig del av den krissamverkan som behövs inom den svenska finansiella sektorn. En annan central del är det förberedande arbetet där bland annat identifiering av samhällsviktig verksamhet, genomförande av förmågehöjande aktiviteter men också utbildnings- och övningsverksamhet ingår. När det gäller det förberedande arbetet har inte minst Finansinspektionen och Riksbanken utpekade ansvar. Medan Riksbankens beredskapsansvar är fokuserat på betalningssystemet har Finansinspektionen ett mer övergripande beredskapsansvar för hela det finansiella systemet. Avseende hanteringen av en uppkommen krissituation är, som ovan 175 visat, ansvaret inte lika tydligt. En otydlighet som förstärks av det faktum att Riksbanken, som myndighet under riksdagen, inte formellt 176 ingår i beredskapssektorn Finansiella tjänster. Den nya funktion utredningen föreslår kommer därför att fokusera på den operativa hanteringen av en kris som drabbat den finansiella sektorns digitala infrastruktur och därmed bidra till att tydliggöra ansvarsförhållandena på detta område. För att kunna bedriva en effektiv hantering av en kris är det dock nödvändigt att den krishanterande funktionen bedriver visst förberedande arbete. I detta kapitel, särskilt under avsnitt 6.2 nedan, kommer utredningen att utveckla vilka uppgifter den nya funktionen, och den myndighet som ansvarar för den, föreslås få. Det har varit viktigt för utredningen att noggrant beakta befintliga strukturer i syfte att undvika dubbleringar och ineffektivt resursutnyttjande. Som Försvarsberedningen nyligen konstaterat är det 177 nödvändigt att undvika parallella strukturer för liknande uppgifter. Med det sagt är det i det närmaste omöjligt att helt undvika överlappande gränsytor mot andra befintliga strukturer. Utredningens förslag och bedömningar syftar till att samarbetet mellan olika myndigheter, organisationer och företag ska ges så goda förutsättningar som möjligt. En

175 Ett exempel är överenskommelsen mellan Finansinspektionen och Riksbanken avseende samarbete kring civil beredskap (FI dnr 23 – 15819) som uttryckligen undantar hantering under fredstida krissituationer och höjd beredskap. 176 Se avsnitt 4.4.7 ovan. 177 Se Kraftsamling - Inriktningen av totalförsvaret och utformningen av det civila försvaret (Ds 2023:34), s. 207. 67

effektiv krishantering förutsätter nämligen att relevanta aktörer ges rätt förutsättningar att tillsammans kunna lösa den uppkomna situationen. I det följande används begreppet kris för att beteckna en situation där en allvarlig driftstörning lett till eller riskerar att leda till en allvarlig störning av viktiga samhällsfunktioner inom den finansiella sektorns digitala infrastruktur. En sådan situation kan, som utvecklas nedan under avsnitt 6.4, inträffa i samband såväl med en fredstida krissituation som under höjd 178 beredskap .

6.2 En ny operativ krishanteringsfunktion

Förslag : En ny funktion för operativ krishantering för den svenska finansiella sektorn ska inrättas. Funktionen ska ansvara för krishantering vid en allvarlig driftstörning i den finansiella sektorns digitala infrastruktur som lett till eller riskerar att leda till en allvarlig störning av viktiga samhällsfunktioner inom sektorn.

I det föregående kapitlet har behovet av en ny funktion för operativ krishantering inom den svenska finansiella sektorn beskrivits. Utredningen föreslår att en krishanterande funktion ska inrättas med den huvudsakliga uppgiften att ansvara för krishantering vid en allvarlig driftstörning som lett till eller riskerar att leda till en allvarlig driftsstörning i den finansiella sektorns digitala infrastruktur som riskerar att leda till störningar av viktiga samhällsfunktioner inom sektorn. Med krishantering avses här ansvaret för att vidta systematiska åtgärder i händelse av en kris. Vilka dessa åtgärder är utvecklas mer nedan. Funktionen bör i viss utsträckning även ha krisförberedande uppgifter samt bedriva kunskapsspridning . Fokus för funktionens arbete kommer emellertid att ligga på att hantera en kris snarare än det krisförberedande arbetet. Det övergripande syftet med funktionens arbete bör vara att skapa förutsättningar för att viktiga samhällsfunktioner inom den finansiella sektorn ska kunna upprätthållas och därmed värna den finansiella stabiliteten. Det kommer dock inte att vara den krishanterande funktionens fokus att återställa den digitala infrastruktur som drabbats av en allvarlig driftstörning. 179

Krishantering Funktionens första – och mest centrala uppgift – är att ansvara för krishantering i händelse av en allvarlig driftstörning. I det följande ska det närmare beskrivas vad som innefattas i denna uppgift. Grundläggande för en fungerande krishantering är att det finns ett etablerat forum för samverkan och koordinering mellan berörda aktörer. Utredningen anser att den nya krishanteringsfunktionen ska utgöra ett sådant forum. Den krishanterande funktionen ska vara aktiv i händelse av en allvarlig driftstörning som drabbar eller riskerar att drabba den

178 Se även ovan under avsnitt 4.2 avseende definitionen av dessa begrepp. 179 I avsnitt 5.2. ovan redogörs för de stödinsatser som kan bli aktuella om ett finansiellt företag drabbas av en allvarlig driftstörning.

finansiella sektorn. 180 Funktionen ska ha förmåga och rutiner på plats för att med mycket kort varsel kunna sammankalla alla eller vissa av dess deltagare. För att detta ska vara möjligt behöver det finnas tydligt utpekade befattningshavare hos varje deltagare som med kort varsel kan delta i funktionens arbete. 181 En förutsättning för effektiv krishantering är att en klar och tydlig lägesbild kan etableras och delas mellan berörda aktörer. När funktionens deltagare har sammankallats bör en viktig uppgift därför vara att etablera en lägesbild över den allvarliga driftstörningen och vilka potentiella konsekvenser den kan få för viktiga samhällsfunktioner inom finansiella sektorn, samhällsekonomin och för övriga delar av samhället. De lägesbilder som tas fram inom ramen för funktionen kan användas för såväl de deltagande myndigheternas som företagens beslutsfattande vid en inträffad allvarlig driftstörning. Lägesbilden kan därmed även bli en viktig del i det underlag som myndigheter som ingår i funktionen kan dela i 182 enlighet med gällande rätt. På så vis kan de lägesbilder som tas fram inom ramen för funktionen utgöra beslutsunderlag för andra myndigheter än de som deltar i funktionens arbete. Arbetet med att skapa en lägesbild omfattar att kontinuerligt följa utvecklingen av den aktuella störningen och de åtgärder som vidtas av de direkt och indirekt berörda aktörerna för att hantera störningen och mildra dess följdverkningar. Funktionens uppdrag när det gäller krishantering bör också innefatta att verka för koordinering kring de beslut som dess deltagare fattar. I ett krisläge finns det inte sällan behov av att olika aktörer med olika ansvarsområden informerar varandra om vilka beslut man avser att fatta. Behov kan också finnas för gemensam överläggning kring vilka beslut som är lämpliga under vissa omständigheter. Funktionen bör vara ett forum där dess deltagare kan koordinera beslut och överlägga med varandra. Funktionen bör även kunna sammanträda i olika konstellationer. I vissa fall kan det vara lämpligast att enbart myndigheter samlas, i andra fall att enbart ett eller flera företag deltar eller att samtliga deltagare deltar i ett sammanträde. Funktionens ordförande bör verka för att funktionens verksamhet under en kris bedrivs på ett så effektivt vis som möjligt. 183 De som ingår i funktionen bör även ha möjlighet att, utöver vad som sagts om lägesbild, löpande dela såväl muntlig som skriftlig information med varandra. Vilken information som delas bör avgöras av den som delar informationen och givetvis vara beroende av vad som är möjligt att dela i 184 enlighet med gällande rätt. Utöver att säkerställa samordning och koordinering bland de myndigheter och företag som ingår i funktionen, bör funktionen även kunna utgöra en central kontaktlänk mellan dess deltagare och andra myndigheter och vice versa. En allvarlig driftstörning i den finansiella

180 I avsnitt 6.4 nedan finns utredningens överväganden kring när funktionen bör aktiveras. 181 Se även nedan under avsnitt 6.5 gällande hur funktionen ska styras och ledas. 182 Se exempelvis 22 § beredskapsförordningen och 8 § förordningen (2015:1053) om totalförsvar och höjd beredskap. 183 Nedan under avsnitt 6.5 finns utredningens överväganden kring funktionens styrning och ledning. 184 Utredningens förslag och överväganden gällande tystnadsplikt och sekretess finns i avsnitt 6.9 nedan. 69

sektorn kan få följdverkningar på områden där andra myndigheter än de som ingår i funktionen har ansvar. Trycket på ett enskilt företag som drabbats av en allvarlig driftstörning kan bli mycket stort om flera olika myndigheter parallellt och utan inbördes koordinering söker information om läget i företaget. Mot den bakgrunden anser utredningen att en del av funktionens arbete när det gäller krishantering bör vara inriktad på att utgöra en central kontaktlänk gentemot övriga myndigheter för att kunna förmedla en aktuell lägesbild. Funktionen bör även kunna utgöra en central kontaktlänk mellan myndigheter i andra sektorer av samhället i förhållande till den finansiella sektorn. Under en pågående krissituation kan det dessutom vara svårt för ett enskilt företag som drabbats av en allvarlig driftstörning att själv bedöma och vidta alla de åtgärder som behöver vidtas. I vissa fall kan åtgärderna ligga utanför det område där företaget självt kan agera. Det kan vara så att andra myndigheter än de som ingår i funktionen kan bidra till att avhjälpa driftstörningarna. Funktionen bör mot den bakgrunden ha förmåga att snabbt kunna identifiera, bedöma och lämna förslag avseende företagets behov av stödinsatser från det allmänna, i synnerhet utifrån målet att minska risken för finansiell instabilitet. Den bör i linje med vad som sagts ovan kunna förmedla det identifierade behovet av stödinsatser till berörd myndighet. Funktionen bör även ha möjlighet att ta fram underlag avseende hur prioriteringar ska göras avseende krishanterande åtgärder 185 inbegripet stödinsatser som kan lämnas av det allmänna. Funktionen bör därutöver, i linje med vad som sagts ovan, ha möjlighet att lämna ett enskilt företag förslag på vilka åtgärder som företaget bör vidta om det drabbats av, eller riskerar att drabbas av, en allvarlig driftstörning. Det finns inget som hindrar att förslag på åtgärder tas fram i samråd med berörda företag. I händelse av att en allvarlig driftstörning drabbat ett eller flera finansiella företag är det även av stor vikt att den kommunikation som lämnas till allmänheten och till media är tydlig, korrekt och samstämmig. Medan otydlig och inkorrekt information kan förvärra en kris kan dess motsats leda till att allmänhetens förtroende bevaras och krisen därmed inte fördjupas. Funktionen bör därmed ha förmågan att kunna samordna de budskap som lämnas till allmänhet och media under ett krisförlopp. Den myndighet som ansvarar för funktionen bör ha möjlighet att kommunicera budskap till allmänhet och media. 186 För detta ändamål bör funktionen ha en egen webbplats alternativt tillgång till en del av den webbplats som tillhör den myndighet som ges ansvar för funktionen. För att funktionen ska kunna arbeta på ett genomtänkt och effektivt sätt i händelse av en allvarlig driftstörning i den finansiella sektorn behöver den ha en instruktion på plats. Instruktionen bör beskriva mer i detalj hur funktionen ska agera i händelse av en allvarlig driftstörning som drabbat

185 Nedan under avsnitt 6.6 beskrivs i mer detalj den samverkan som bör finnas mellan funktionen och övriga myndigheter. I avsnitt 5.2 ovan finns en kartläggning av de stödinsatser som kan bli aktuella i händelse av att en allvarlig driftstörning påverkar den finansiella sektorn. 186 Det finns tydliga fördelar med att budskap samordnas inom ramen för funktionen även om funktionens övriga deltagare givetvis har rätt att kommunicera budskap till media och allmänhet.

eller riskerar att drabba den svenska finansiella sektorns digitala infrastruktur. 187 Sammanfattningsvis bör funktionens arbete när det gäller krishantering vara fokuserat på att: • löpande upprätta och dela lägesbilder, • koordinera de åtgärder som vidtas av funktionens deltagare, • möjliggöra och underlätta informationsdelning, • utgöra en central kontaktlänk mellan funktionens deltagare och övriga myndigheter, • ha förmågan att kunna identifiera, bedöma och föreslå ett företags behov av stödinsatser och ta fram underlag avseende prioriteringar gällande krishanterande åtgärder inbegripet stödinsatser från det allmänna, • ha förmågan att lämna ett enskilt företag förslag på vilka åtgärder som det bör vidta om det drabbats av, eller riskerar att drabbas av, en allvarlig driftstörning, samt • samordna den information som lämnas till allmänhet och media om krisens förlopp och vid behov själv kommunicera till allmänhet och media.

Krisförberedande arbete I utredningens uppdrag ingår att föreslå vad den krishanterande funktionen ska arbeta med under perioder när den inte är att betrakta som aktiverad. Även om funktionens huvudsakliga uppdrag kommer att vara att ansvara för krishantering, bedömer utredningen att den kommer att behöva utföra vissa uppgifter som är att betrakta som krisförberedande. Utredningen anser att en förutsättning för effektiv hantering av en allvarlig driftstörning är att ett visst förberedande arbete genomförs. Samtidigt är det viktigt att dubblering av de uppgifter som idag åligger Finansinspektionen och Riksbanken undviks. De krisförberedande uppgifter som funktionen ska ansvara för bör därför vara inriktade på att skapa tillräckliga förutsättningar för funktionen att kunna agera effektivt i händelse av att en allvarlig driftstörning drabbar den finansiella sektorn. Som framgått ovan ställs idag krav på finansiella företags digitala motståndskraft. Genom den nya Dora-förordningen samt den föreslagna lagen om clearing och avveckling av betalningar kommer ytterligare krav 188 inom kort att ställas på de finansiella företagens motståndskraft. Därutöver bedriver såväl Finansinspektionen som Riksbanken ett arbete med att identifiera och genomföra förmågehöjande åtgärder inom den finansiella sektorn. Funktionens uppgift bör inte heller vara att ställa ytterligare krav på de finansiella företagens motståndskraft mot driftstörningar eller att ha ett ansvar för förmågehöjande åtgärder inom sektorn. Utredningen föreslår därmed inte en förändring i dessa myndigheters uppdrag när det gäller det krisförberedande arbetet. Genom sitt deltagande i den krishanterande funktionen har dock de myndigheter och företag som ingår i den möjlighet att utbyta erfarenheter och kunskap

187 Se vidare nedan under avsnitt 6.5. 188 Se ovan under avsnitt 4.4.3 samt 4.4.4. 71

gällande det förmågehöjande arbete som bedrivs av respektive organisation. Det kan dock utöver de krav som framgår av lagstiftning respektive det förmågehöjande arbete som idag bedrivs finnas behov av ytterligare åtgärder i syfte att öka företagen i den finansiella sektorns förmåga att stå emot en allvarlig driftstörning. Om så skulle bedömas vara lämpligt skulle finansiella företag exempelvis kunna komma överens om att använda varandras, eller en myndighets, tekniska system för det fall deras egna system inte skulle vara tillgängligt. Om det bedöms motiverat bör den myndighet som ansvarar för funktionen kunna ta initiativ till samt driva på sådana samtal mellan företag och myndigheter. Den ansvariga myndigheten har givetvis även möjlighet att till riksdag, regering eller till andra berörda myndigheter påtala behov av förändringar i gällande rätt om den anser att det finns behov av det för att ytterligare kunna stärka den digitala motståndskraften hos de finansiella företagen. Utredningen bedömer att en viktig uppgift för funktionen därmed bör vara att utgöra ett forum för att diskutera förslag i syfte att öka de finansiella företagens motståndskraft mot störningar , inbegripet åtgärder som kan öka redundansen i tekniska system genom att säkerställa alternativa lösningar som tillfälliga substitut för att upprätthålla centrala funktioner. Utredningen bedömer att den myndighet som ansvarar för funktionen, i samarbete med övriga myndigheter som kommer att ingå i den, bör ta fram planer som är specifika för de enskilda företag som kommer att ingå i den. Arbetet med att ta fram dessa specifika planer bör även ske i samarbete med de enskilda företagen. Dessa planer bör syfta till att i förväg planera inför vilka typer av stödinsatser som kan bli aktuella för respektive företag i händelse av att dess digitala infrastruktur drabbas av en allvarlig driftstörning i syfte att bidra till en effektiv krishantering. Behovet av fortsatt totalförsvarsplanering för den finansiella sektorn, innefattande tydligare kravställning och beredskapsföreskrifter för 189 sektorns aktörer har nyligen lyfts fram av Försvarsberedningen. Utredningen bedömer därför att den krishanterande funktionen även skulle kunna utgöra ett forum där gemensamma planeringsförutsättningar för den finansiella sektorn diskuteras. Gemensamma planeringsförutsättningar är viktiga för att säkerställa att myndigheter och företag i den finansiella sektorn utgår ifrån samma antaganden om scenario och förväntad händelseutveckling i händelse av en fredstida kris eller höjd 190 beredskap.

189 Ds 2023:34, Kraftsamling - Inriktningen av totalförsvaret och utformningen av det civila försvaret, s. 210 f. 190 I propositionen Totalförsvaret 2021 – 2025 (prop. 2020/21:30) anges att utgångspunkten för planeringen av totalförsvaret ska vara att under minst tre månader kunna hantera en sådan säkerhetspolitisk kris i Europa och Sveriges närområde som innebär allvarliga störningar i samhällets funktionalitet samt krig under en del av denna tid. När det gäller planeringsantaganden inför höjd beredskap har Försvarsmakten och MSB tagit fram ett antal övergripande sådana för vissa sektorer i dokumentet Handlingskraft från 2021. Dessa bör kunna användas som utgångspunkt för funktionens arbete i detta avseende. Se även Ds 2023:34, Kraftsamling - Inriktningen av totalförsvaret och utformningen av det civila försvaret, s. 46 ff.

Utredningen bedömer därutöver att den myndighet som ansvarar för den krishanterande funktionen bör hålla sig uppdaterad om skeenden i Sverige och utomlands som är av betydelse för att kunna hantera en allvarlig driftstörning som kan drabba den svenska finansiella sektorn. En del av detta arbete bör vara att ta vara på erfarenheter från hur allvarliga driftstörningar i finansiell sektors digitala infrastruktur hanterats i olika jurisdiktioner. En central uppgift för funktionen under de perioder den inte är aktiverad bör även vara att genomföra och delta i övningar . De övningar som funktionen ordnar bör vara fokuserade på att öva rutinerna för funktionens sammankallande och arbetet inom dess verksamhet. Det kan exempelvis handla om att se hur snabbt funktionens deltagare kan sammankallas. Det kan även handla om att arrangera mer avancerade krisövningar utifrån ett scenario där det finansiella systemet påverkas av en allvarlig driftstörning. Övningarna bör äga rum med viss regelbundenhet. Under en period där funktionen varit aktiverad med anledning av en allvarlig driftstörning kan dock behovet av övningar vara mindre. Genom återkommande övningar kan ett ömsesidigt förtroende byggas mellan de individer som deltar i funktionen. Ett förtroende som är grundläggande för att verksamheten vid den krishanterande funktionen ska kunna fungera i skarpt läge. Som beskrivits ovan har såväl Finansiella stabilitetsrådet som FSPOS de senaste åren ordnat flera övningar som utgått från ett scenario där den finansiella sektorn drabbats av en allvarlig driftstörning. Utredningen anser mot den bakgrunden att funktionen bör samverka med dessa organisationer samt med övriga myndigheter och organisationer som anordnar övningar. Det finns inte anledning för funktionen eller den ansvariga myndigheten att själv ordna större krisövningar om andra aktörer också gör det. Däremot bör det vara naturligt för funktionen och den ansvariga myndigheten att aktivt delta i såväl utformningen som utförandet av de övningar som ordnas av andra aktörer. Som nämnt ovan är det också av vikt att funktionen regelbundet anordnar övningar där dess egna rutiner övas. Hur funktionen ska arbeta med sitt krisförberedande arbete kan preciseras av den myndighet som kommer att ansvara för funktionen, exempelvis i den instruktion som ska gälla för funktionen. Som utvecklas nedan under avsnitt 6.5 bör funktionens deltagare träffas med viss regelbundenhet. Sammanfattningsvis bör funktionens, och dess ansvariga myndighets, arbete när det gäller krisförberedande arbete vara fokuserat på att: • ta fram planer specifika för de enskilda företag som ingår i funktionen – i samarbete med dessa – i krisförberedande syfte, • ta initiativ till och driva på samtal mellan funktionens deltagare kring åtgärder för att stärka motståndskraften i den finansiella sektorn, • vara ett forum där sådana åtgärder kan diskuteras, • vara ett forum där gemensamma planeringsförutsättningar kan diskuteras, • hålla sig uppdaterad om skeenden i Sverige och utomlands som är av betydelse för att kunna hantera en allvarlig driftstörning som kan drabba den svenska finansiella sektorn, • genomföra och delta i övningar, samt 73

• samla dess medlemmar till möten någon gång årligen.

Kunskapsspridning För att kunna utföra ett framgångsrikt arbete i ett skarpt läge är det nödvändigt att såväl företag inom den finansiella sektorn som myndigheter och andra relevanta aktörer har kännedom om funktionens roll och verksamhet. Utredningen anser mot den bakgrunden att funktionen bör ha till uppgift att informera om sin egen verksamhet. Det bör vara tydligt för företagen i den finansiella sektorn, berörda myndigheter samt för det omgivande samhället vilken roll funktionen har, hur dess verksamhet ser ut och vilka som deltar i den. Utredningen bedömer att den ansvariga myndigheten samt funktionens övriga medlemmar själva bör kunna avgöra på vilket vis denna del av funktionens uppdrag bör fullgöras. Det kan exempelvis handla om att publicera rapporter som beskriver funktionen och dess verksamhet. En sådan rapport bör kunna inbegripa en analys av risker och sårbarheter som funktionen har uppmärksammat i sin verksamhet. I den mån så är lämpligt bör funktionen även ha möjlighet att ta fram och publicera andra relevanta dokument gällande dess verksamhet. I den utsträckning så är motiverat bör funktionen även tillsammans med andra, såsom FSPOS eller det nationella cybersäkerhetscentret, verka för att kunskapen på detta område ökar bland såväl de finansiella företag som inte deltar i funktionen samt hos myndigheter och andra som är verksamma inom andra sektorer av samhället.

Ansvarsprincipen Som berörts tidigare är den så kallade ansvarsprincipen en grundläggande princip i den svenska strukturen för civil beredskap. Varje aktör – såväl offentlig som privat – har det huvudsakliga ansvaret för att se till så att dess egen verksamhet har tillräcklig motståndskraft mot störningar. Varje aktör svarar också själv för att leda sin verksamhet i händelse av en fredstida krissituation eller vid höjd beredskap. Att så är fallet innebär inte att olika aktörer inte kan samverka med varandra i händelse av en kris. Ovan har det getts flera olika exempel på hur en aktör ges ett ansvar för att se till så att andra aktörer är tillräckligt förberedda inför en kris samt att samordna dessa aktörers ageranden under en sådan händelse. Inte minst den ordning som gällt sedan oktober 2022 med beredskapssektorer och sektorsansvariga myndigheter är ett tydligt exempel på hur en aktör ges i uppdrag att samordna och driva på arbetet inom en viss sektor. Inrättandet av den nya krishanterande funktionen som utredningen föreslår innebär inte att något ansvar eller några befogenheter tas från de myndigheter eller företag som ingår i funktionen. Även om den nya funktionen bör ha möjlighet att lämna förslag gällande hur ett företag bör hantera en viss situation, kommer de ingående företagen alltjämt att ha samma ansvar för såväl sin motståndskraft mot kriser som för att kunna upprätthålla sin verksamhet i händelse av en fredstida krissituation eller vid höjd beredskap.

6.3 Ansvarig myndighet

Förslag: Riksbanken ska vara ansvarig myndighet för den nya krishanterande funktionen. Riksbanken ska vara skyldig att hålla regeringen informerad om viktiga frågor gällande verksamheten i den krishanterande funktionen. Bestämmelser om funktionen och dess verksamhet ska föras in i 5 kap. riksbankslagen.

I utredningens uppdrag ingår att föreslå vilken myndighet som ska ansvara för den nya krishanterande funktionen. I detta hänseende innebär alltså utredningens uppdrag att föreslå att en befintlig myndighet ska tilldelas detta ansvar. Utredningen har därför inte beaktat möjligheten att uppdra åt en privat organisation att ansvara för funktionen. Inte heller har möjligheten att för ändamålet bilda en ny myndighet beaktats. I avsnitt 5.4 ovan redogjorde utredningen för hur ansvaret för en motsvarande krishanterande funktion fördelats i ett antal olika jurisdiktioner. Ansvaret har i dessa fall lagts på centralbanker eller finansdepartement alternativt delats mellan dessa typer av institutioner. I kapitel 4 ovan redogjorde utredningen för olika myndigheters ansvar när det gäller att hantera en allvarlig driftstörning som drabbar den finansiella sektorn. Även om det finns flera olika myndigheter som idag har ett ansvar på detta område finns det vissa myndigheter som har ett större ansvar och därmed en större kompetens på detta område. Dessa myndigheter är, enligt utredningens uppfattning, Finansiella stabilitetsrådet, Finansinspektionen, MSB, Regeringskansliet samt Riksbanken. I det följande redogör utredningen för sina överväganden när det gäller vilken myndighet som ska få ansvaret för den nya krishanteringsfunktionen.

Myndigheten för samhällsskydd och beredskap (MSB) MSB har ett brett mandat när det gäller att hantera i princip alla olika typer av kriser som kan drabba det svenska samhället. Myndigheten och dess medarbetare har därmed en mycket god erfarenhet när det gäller operativ krishantering. För att MSB ska ges ansvar för den nya krishanteringsfunktionen talar även att myndigheten har ansvar för funktionen CERT-SE och kommer, som tidigare nämnt, att vara svensk kontaktpunkt för EU-CyCLONe och därmed vara Sveriges cyberkrishanteringsmyndighet. MSB är också en av de myndigheter som idag ingår i det nationella cybersäkerhetscentret. MSB har ett brett mandat när det gäller samhällets krishantering. MSB ska bland annat stödja andra myndigheter och beredskapssektorer i samband med en kris. Mot denna bakgrund anser utredningen det inte vara ändamålsenligt att uppdra åt myndigheten att samtidigt ansvara för den operativa krishanteringen i en viss sektor. Även om MSB har bred kompetens gällande krishantering i allmänhet så har den idag inte specifik kompetens när det gäller finansmarknaden och finansiella företag. Mot den bakgrunden bedömer utredningen att MSB inte bör utses till ansvarig myndighet för den nya krishanterande funktionen. 75

Finansiella stabilitetsrådet Finansiella stabilitetsrådet är inrättat som en kommitté vilket innebär att det utgör en egen myndighet. Fokus för Stabilitetsrådets arbete är frågor som rör finansiell stabilitet vilket innebär att det arbetar med flera olika typer av frågor, däribland olika operativa risker som kan påverka den finansiella stabiliteten. Rådet bedriver ett löpande arbete bestående i att dess kansli och medarbetare från de ingående myndigheterna analyserar olika frågor som har betydelse för den finansiella stabiliteten i Sverige. När det gäller krishantering har stabilitetsrådet i uppdrag att diskutera 191 behovet av att vidta åtgärder i en krissituation. I linje med detta uppdrag har stabilitetsrådet sammankallats till extrainsatta möten i samband med 192 olika kriser. Stabilitetsrådet och dess medlemmar har de senaste åren ordnat övningar där medarbetare hos rådets medlemsmyndigheter fått öva olika scenarier. Utredningen bedömer att det finns tydliga beröringspunkter mellan Finansiella stabilitetsrådet och den föreslagna krishanteringsfunktionen. Vad som dock talar emot att ge stabilitetsrådet ansvar för den krishanterande funktionen är att stabilitetsrådets uppdrag är vidare än allvarliga driftsstörningar i den finansiella sektorns digitala infrastruktur och är ett forum som enbart består av myndigheter. Det är inte heller de personer som i dag deltar i stabilitetsrådets arbete som nödvändigtvis har den främsta kompetensen när det gäller den operativa hanteringen av allvarliga driftstörningar i det finansiella systemet. En ytterligare nackdel är att rådets kansli idag har en begränsad bemanning. För att rådet skulle kunna anta en mer operativ roll i händelse av en kris skulle dess bemanning permanent behöva utökas i betydande utsträckning. Utredningen bedömer mot denna bakgrund att Finansiella stabilitetsrådet inte bör ges uppdraget att ansvara för den krishanterande funktionen.

Finansinspektionen Finansinspektionens ansvar för tillsyn, reglering samt tillståndsgivning i förhållande till den svenska finansiella sektorn innebär att myndigheten har en betydande kompetens när det gäller finansiell verksamhet och hantering av finansiella kriser. Hos myndigheten finns även särskild kompetens när det tillsynen av de finansiella företagens it-risker. Utöver detta är Finansinspektionen beredskapsmyndighet och sektorsansvarig myndighet för beredskapssektorn Finansiella tjänster. I detta uppdrag ingår, som ovan berörts, ett ansvar för att verka för samordning och samverkan med myndigheter inom och utom sektorn samt med näringslivet. Finansinspektionen bedriver även beredskapsplanering. Hos Finansinspektionen finns därmed betydande erfarenhet och kompetens, inte minst när det gäller det svenska finansiella systemet. Finansinspektionens roll som sektorsansvarig myndighet talar även för att myndigheten skulle kunna ges ansvaret för den krishanterande funktionen.

191 Kommittén för finansiell stabilitet (dir. 2013:120). 192 Två exempel i närtid från rådets extrainsatta möten: den 21 mars 2023 sammanträdde rådet mot bakgrund av problem i några amerikanska och schweiziska banker och den 4 september 2022 sammanträdde rådet mot bakgrund av likviditetsproblem i marknaden för elderivat. Vid bägge dessa möten informerade medlemmarna varandra om deras syn på läget samt beslöt att följa utvecklingen på området.

Vad som dock talar däremot är faktumet att Finansinspektionens primära roll är att vara tillsynsmyndighet på finansmarknaden. Finansinspektionen har inte heller själv en operativ roll på den svenska finansmarknaden. Ett uppdrag till Finansinspektionen att leda en samverkan samtidigt som myndigheten ska utöva tillsyn över de finansiella företagen skulle kunna medföra en otydlighet vad gäller myndighetens primära uppdrag. Även i händelse av en kris har Finansinspektionen i uppdrag att utöva tillsyn över de drabbade företagen. Sammantaget bedömer utredningen att Finansinspektionen inte bör ges uppdraget att ansvara för den krishanterande funktionen.

Regeringskansliet Regeringskansliets centrala uppdrag är att bereda regeringsärenden och att 193 biträda regeringen och statsråden i deras verksamhet i övrigt. Givet regeringens centrala roll när det gäller att hantera samtliga kriser i samhället har även Regeringskansliet en naturlig roll när det gäller krishantering oavsett vilken typ av kris som inträffat. Mot den bakgrunden finns det betydande erfarenhet inom Regeringskansliet när det gäller krishantering, särskilt inom Statsrådsberedningen. Inom Regeringskansliet (Finansdepartementet) finns också sakkunskap när det gäller de finansiella marknadernas funktionssätt. Utredningen bedömer dock att de typer av uppgifter som den krishanterande funktionen föreslås få inte lämpas att utföras av Regeringskansliet som i regel har till uppgift att stötta regeringen i dess roll att på övergripande nivå säkerställa att hanteringen av en viss kris fungerar. Utredningen bedömer att Regeringskansliets möjligheter att stötta regeringen i dess övergripande ansvar för samhällets krishantering inte är helt förenlig med ett ansvar för den krishanterande funktion som utredningen föreslår. Längre ner utvecklas dock ytterligare kring vilken roll som regeringen och Regeringskansliet bör ha i förhållande till funktionen.

Riksbanken Riksbanken är Sveriges centralbank och har därmed en central operativ roll i det svenska finansiella systemet, i synnerhet när det gäller betalningar. Riksbanken ansvarar för driften av det svenska centrala betalningssystemet RIX. Riksbanken har även ett särskilt ansvar för att allmänheten ska kunna göra betalningar under fredstida krissituationer och vid höjd beredskap. Som beskrivits ovan har Riksbanken uppgifter i förhållande till de företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar. Riksbanken bedriver också övervakning av det finansiella systemet. 194 Enligt förarbetena till den nu gällande riksbankslagen ska Riksbanken vid störningar i genomförandet av betalningar under fredstida krissituationer bland annat omgående upprätta en ledningsfunktion för samordning och information, vidta förberedelser för att vid höjd beredskap

193 7 kap. 1 § regeringsformen. 194 Se även ovan under 4.5.2. 77

kunna övergå till krigsorganisation och vidta de åtgärder som behövs för att hantera konsekvenserna av fredstida krissituationer och höjd 195 beredskap. Riksbanken har alltså redan enligt gällande rätt i uppdrag att upprätta en ledningsfunktion för samordning och information. Denna ledningsfunktion är emellertid begränsad till betalningsområdet. Avsikten är att denna ledningsfunktion ska vara på plats när Riksbankens nya föreskrifter och allmänna råd om företag av särskild betydelse för genomförandet av betalningar under fredstida krissituationer och vid höjd beredskap börjar gälla, det vill säga den 1 februari 2024. Den nya ledningsfunktionen kommer då ersätta den krissamverkan för det centrala betalningssystemet som Riksbanken lett sedan 2016. Hos Riksbanken finns även betydande erfarenhet och kompetens gällande såväl den svenska finansiella sektorn som operativ krishantering i denna sektor. Inte minst driver Riksbanken som nämnt idag en krissamverkan för det centrala betalningssystemet i vilken såväl finansiella företag som myndigheter deltar. Mot denna bakgrund bedömer utredningen att Riksbanken bör bli ansvarig myndighet för den nya krishanterande funktion som utredningen föreslår.

Sammanfattande bedömning I utredningens uppdragsbeskrivning understryks att syftet med vårt uppdrag är att skapa förutsättningar för att den finansiella sektorn vid en allvarlig driftstörning i möjligaste mån kunna upprätthålla nödvändiga finansiella tjänster, i synnerhet betalningssystemet, och därmed värna den finansiella stabiliteten. Givet betalningssystemets centrala betydelse ur såväl ett kortsiktigt som ett långsiktigt perspektiv för den finansiella stabiliteten och för hela samhällsekonomin anser utredningen att Riksbankens kompetens och nuvarande ansvar för system och frågor gällande betalningar väger tungt. Därutöver bedömer utredningen att flera andra skäl talar för att Riksbanken bör ges ansvaret för den krishanterande funktionen. Riksbanken har som tidigare nämnt relevanta erfarenheter utifrån dess arbete med finansiell stabilitet och dess övervakning av centrala aktörer inom det finansiella systemet. Även Riksbankens övervakningsansvar i förhållande till företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar talar för att Riksbanken ska ges detta ansvar. Ett tungt vägande skäl är även faktumet att Riksbanken nu bygger upp en formell krissamverkan med de företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar. Ett inrättande av en motsvarande funktion hos en annan myndighet som skulle avse hela den finansiella sektorn, där betalningar utgör en helt central del, bedömer utredningen skulle vara såväl ineffektivt som olämpligt. Hos Riksbanken

195 Prop. 2021/22 :41 En ny riksbankslag. s. 227. Av 8 § Riksbankens föreskrifter och allmänna råd (RBFS 2023:3) om företag av särskild betydelse för genomförandet av betalningar under fredstida krissituationer och vid höjd beredskap framgår att de företag som omfattas ska planera och förbereda för att kunna ingå i den ledningsfunktion för samordning och information som Riksbanken leder under fredstida krissituationer och vid höjd beredskap.

finns även såväl relevant kompetens som erfarenhet av att sedan 2016 ha bedrivit krissamverkan för det centrala betalningssystemet.

Riksbankens ställning som myndighet under riksdagen Vad som dock kan tala emot att ge Riksbanken ansvar för den nya krishanterande funktionen är att Riksbanken är en myndighet under riksdagen (9 kap. 13 § regeringsformen). Detta innebär bland annat att Riksbanken inte kan styras med instruktioner i form av förordningar och regleringsbrev som regeringen styr de myndigheter som lyder under den. Det är också bakgrunden till att Riksbanken inte är en formell del av den nyligen inrättade beredskapssektorn Finansiella tjänster. Eftersom bereddskapssektorernas arbete i huvudsak är reglerade genom av regeringen beslutade förordningar kan de inte gälla för en myndighet under 196 riksdagen. Möjligheten för regeringen att i detalj styra den krishanterande funktionen får antas vara bättre om uppdraget att ansvara för den läggs på en myndighet under regeringen. Frågan som uppstår härvid är om behovet för regeringen att i detalj styra den operativa krishanteringen väger tyngre än de skäl som talar för att ge Riksbanken ansvaret för den nya funktionen. 197 När det gäller styrningen av funktionen och dess verksamhet anser utredningen att frågan kan lösas genom att Riksbankens ansvar för funktionen framgår av lag. Utredningen bedömer att det inte finns behov av mer preciserade regler för funktionen som meddelas med stöd av exempelvis en förordning. En relaterad fråga är om faktumet att Riksbanken inte omfattas av beredskapsförordningens regler talar emot att ge Riksbanken ansvaret för den krishanterande funktionen. Härvid gör utredningen följande bedömning. Utredningen om civilt försvar konstaterade i sitt slutbetänkande att det är nödvändigt att Riksbanken deltar i 198 beredskapssektorn Finansiella tjänster så långt det är möjligt. Utan att vara en formell del av beredskapssektorn deltar Riksbanken idag i stor utsträckning i sektorns gemensamma arbete. Sedan juni 2023 finns det även en överenskommelse på plats om samarbete mellan Riksbanken och den sektorsansvariga myndigheten Finansinspektionen gällande förberedelser och planering inför fredstida krissituationer och höjd beredskap. Riksbanken deltar även idag i sektorsövergripande möten, exempelvis i det så kallade Totalförsvarsmötet där myndighetschefer för beredskapsmyndigheter regelbundet möts. Som beskrivs mer utförligt nedan under avsnitt 6.6 bör det framgå av lag att såväl Finansinspektionen som Riksgälden ska ingå i funktionen. I sina roller som sektorsansvarig för beredskapssektorn Finansiella tjänster respektive beredskapsmyndighet inom denna sektor samt inom beredskapssektorn Ekonomisk säkerhet utgör dessa myndigheter viktiga länkar till dessa sektorer. Som deltagare i funktionens arbete kan Finansinspektionen respektive Riksgälden rapportera om arbetet inom

196 Se SOU 2021:25 s. 232 f. 197 Jfr rapporten En samlad reglering för stärkt krisberedskap mot allvarliga tekniska fel och störningar i det centrala betalningssystemet (Fi Fi2010/1619). s. 67 f. 198 SOU 2021:25 s. 232. 79

funktionen inom ramen för den struktur som finns för beredskapsmyndigheterna. 199 Som kommer att utvecklas nedan anser utredningen att Riksbanken ska vara skyldig att hålla regeringen underrättad om viktigare frågor avseende funktionens verksamhet. Det bör i sammanhanget nämnas att ingen får bestämma hur en myndighet i ett särskilt fall ska besluta i ett ärende som rör myndighetsutövning mot en enskild. Denna regel, som framgår av 12 kap. 2 § regeringsformen, gäller i förhållande till samtliga myndigheter. När det gäller funktionens verksamhet så är det, som ovan beskrivits, inte fråga om att gemensamma beslut ska fattas eller att beslut ska fattas av själva funktionen. Varje myndighet eller företag utgår från sin egen beslutskompetens och svarar själv för sina egna beslut. Fokus för funktionens verksamhet ska ligga på krishantering. Vissa beslut ska Riksbanken dock fatta självständigt. Det handlar främst om att anta en instruktion för funktionen samt att fatta beslut om vilka företag, utöver de som är av särskild betydelse för genomförandet av betalningar, som ska ingå i funktionen. Detta inbegriper att fatta beslut om åläggande respektive föreläggande att följa ett åläggande att delta i funktionen. Riksbanken föreslås även få möjlighet att besluta att ett företag som ingår i funktionen ska lämna de uppgifter som är nödvändiga för dess verksamhet. 200 Även om Riksbanken ska fatta dessa beslut själv anser utredningen att Riksbanken bör samråda med funktionens övriga deltagare innan den antar eller ändrar den instruktion som ska gälla för funktionen. Vidare anser utredningen att Riksbanken bör samråda med Finansinspektionen och Riksgälden inför beslut om att ett visst företag ska ingå i funktionen. 201 Slutligen bedömer utredningen att uppdraget att ansvara för den krishanterande funktionen inte innefattas i de grundläggande uppgifter för Riksbanken som framgår av 9 kap. 13 § regeringsformen vilket i sin tur innebär att det så kallade instruktionsförbudet i 9 kap. 15 § regeringsformen inte är tillämpligt här. Sammantaget bedömer utredningen att det finns goda förutsättningar för Riksbanken att ansvara för den nya krishanteringsfunktionen trots dess ställning som myndighet under riksdagen.

Skyldighet att hålla regeringen underrättad Regeringen styr riket. 202 I regeringens styrfunktion ingår uppgiften att hantera konsekvenserna av en stor katastrof som drabbar riket och dess 203 befolkning. Regeringens uppgifter vid krishantering är att på övergripande nivå säkerställa en effektiv krishantering, att effektivt och trovärdigt kommunicera med allmänhet och medier samt att ansvara för kontakten med andra länder och internationella aktörer. Regeringens uppgifter gäller i första hand strategiska frågor medan ansvaret för ledning 204 och samordning av det operativa arbetet ligger på berörda myndigheter.

199 Se 22 § beredskapsförordningen. 200 Se nedan under avsnitt 6.7. 201 Frågor gällande samråd utvecklas mer nedan under avsnitt 6.5, 6.6 samt 6.7. 202 1 kap. 6 § regeringsformen. 203 Bet. 2005/06:KU8 s. 38 f. Se även SOU 2022:10 Sverige under pandemin (s. 282 ff.). 204 SOU 2022:10 Sverige under pandemin (s. 329).

Det kan mot den bakgrunden tänkas att en allvarlig driftstörning som drabbar den finansiella sektorn får en så pass stor inverkan på samhället att det blir nödvändigt för regeringen att ta en mer aktiv roll i hanteringen av krisens följder. I ett extremt ansträngt läge kan det handla om att fatta de regeringsbeslut som är nödvändiga för att exempelvis kunna ställa ut garantier eller rikta om samhällets resurser mot att hantera konsekvenserna av den uppkomna situationen. Det huvudsakliga målet för de åtgärder som den nya krishanterande funktion som utredningen föreslår kommer vidta i händelse av en allvarlig driftstörning är att mildra dess konsekvenser. Arbetet är således inriktat mot det finansiella systemet och de däri ingående företagen och myndigheterna. Utredningen bedömer mot den bakgrunden att den nya funktionen och dess verksamhet kommer att underlätta regeringens krishantering genom att snabbt kunna samla relevanta aktörer och därmed underlätta för bland annat samordning och framtagandet av lägesbilder. Som berörts ovan kan det uppstå situationer där regeringen behöver vidta åtgärder för att hantera effekterna av en allvarlig driftstörning som drabbat den finansiella sektorn. För att regeringen ska kunna vara förberedd på att vidta sådana åtgärder, är det av stor vikt att regeringen i god tid får information om vilka åtgärder som funktionen vidtar inbegripet den lägesbild som tas fram inom funktionen. Utredningen bedömer därför att Riksbanken, i dess egenskap av ansvarig myndighet för funktionen, ska hålla regeringen underrättad om viktigare frågor gällande verksamheten i funktionen. Utöver att hålla regeringen underrättad när funktionen är aktiverad, bör Riksbanken löpande hålla regeringen underrättad om viktigare frågor gällande funktionens krisförberedande arbete. Detta kan exempelvis ske inom ramen för Finansiella stabilitetsrådet där såväl Riksbanken, Finansinspektionen, Riksgälden som regeringen ingår. Medarbetare från Regeringskansliet bör kunna delta i funktionens sammanträden som observatörer i syfte att underlätta informationsgivningen från den krishanterande funktionen till regeringen. Riksbanken har i dagsläget en skyldighet att hålla regeringen underrättad om viktigare frågor under fredstida krissituationer och vid höjd 205 beredskap. Den bestämmelsen innebär emellertid att Riksbanken ska hålla regeringen underrättad under de situationer som nämns i bestämmelsen. Det är vidare möjligt att tänka sig att funktionen kommer att bli aktiverad trots att en fredstida krissituation eller höjd beredskap inte är för handen. Även i ett sådant fall bör regeringen hållas underrättad. Det finns mot den bakgrunden ett behov av en ny bestämmelse där denna skyldighet för Riksbanken uttryckligen framgår. Utredningen bedömer att det i första hand är upp till Riksbanken att ta ställning till om, när och hur regeringen bör informeras. 206 Riksbanken bör i sin bedömning ta hänsyn till regeringens behov av att i god tid informeras om en inträffad allvarlig driftstörning samt en driftstörning som riskerar att bli allvarlig.

205 5 kap. 7 § riksbankslagen. 206 Jfr prop. 2021/22:41 En ny riksbankslag s. 133. 81

Riksbankslagen Mot bakgrund av att Riksbanken inte är en myndighet under regeringen är det som tidigare nämnt inte möjligt för regeringen att genom ett regeringsuppdrag eller en förordning uppdra åt Riksbanken att ansvara för den krishanterande funktionen. Utredningen anser därutöver att det är viktigt att funktionens existens och dess verksamhet framgår av författning. Detta inte minst i syfte att ge funktionen en tydlig roll i det svenska systemet för civil beredskap och krishantering. Av riksbankslagen (1 kap. 5 §) framgår det även att Riksbanken bara får bedriva eller delta i sådan verksamhet som har stöd i lag eller unionsrätten. Givet att utredningen föreslår att ansvaret för funktionen ska ges till Riksbanken anser utredningen det vara lämpligt att bestämmelser om funktionen tas in i den lag som reglerar Riksbanken och dess verksamhet. Som redogjorts för ovan framgår det av förarbetena till den nu gällande riksbankslagen att Riksbanken ska inrätta en ledningsfunktion för samordning och information. Den krishanterande funktion som utredningen föreslår kommer dock ha ett vidare ansvarsområde. Mot denna bakgrund samt mot bakgrund av behovet att tydliggöra funktionens roll och verksamhet anser utredningen att bestämmelserna om funktionen och dess verksamhet ska tas in i riksbankslagen. Dessa bestämmelser tas lämpligen in i lagens femte kapitel som behandlar frågor om Riksbankens ansvar inför och vid fredstida krissituationer och höjd beredskap.

6.4 Aktivering av funktionen

Allvarlig driftstörning Utredningen har till uppdrag att föreslå när och hur den krishanterande funktionen ska aktiveras. Det poängteras i utredningens uppdragsbeskrivning att en krisledning av det aktuella slaget inte ska aktiveras vid varje tillfälle då det förekommer en allvarlig driftstörning i den finansiella sektorns digitala infrastruktur. Information om en allvarlig driftstörning kan nå funktionen på olika sätt, exempelvis genom information från Finansinspektionen som tar emot incidentrapportering från finansiella företag, från MSB som ansvarar för funktionen CERT-SE och även tar emot incidentrapportering, direkt från 207 ett drabbat finansiellt företag eller från annat håll. Riksbanken, i dess egenskap av ansvarig för funktionen, bör ha förmågan att snabbt kunna fatta beslut om funktionens deltagare ska sammankallas. I syfte att korta beslutsvägarna i ett sådant kritiskt skede bör beslutet att aktivera funktionen fattas av dess ordförande. Ordföranden bör ha möjlighet att överlägga med samtliga eller vissa deltagare om ett sammankallande är nödvändigt. Ordföranden bör ta ställning till om funktionen ska sammankallas om så begärs av en av dess deltagare. En allvarlig driftstörning kan ha sitt ursprung i flera olika typer av händelser. Det kan röra sig om olyckshändelser, naturkatastrofer,

207 En viktig funktion för att ta emot och vidarebefordra initiala uppgifter om driftstörningar är den tjänsteman i beredskap som finns hos flera myndigheter enligt 15 § beredskapsförordningen.

pandemier, it-incidenter eller någon helt annan typ av händelse. Det går vidare att tänka sig en situation där en störning i en central funktion – exempelvis hos en tredjepartsleverantör som tillhandahåller it-tjänster åt ett eller flera finansiella företag – drabbas av en störning vilket i sin tur får en allvarlig påverkan på dessa företags möjlighet att tillhandahålla sina respektive tjänster. Vilken typ av händelse som orsakat eller riskerar att orsaka den allvarliga driftstörningen i den finansiella sektorns digitala infrastruktur bör vara av underordnad betydelse vid bedömningen om funktionen ska aktiveras. För att funktionen ska aktiveras bör det vara frågan om att en allvarlig driftstörning som drabbar den finansiella sektorns digitala infrastruktur, antingen redan har inträffat eller sannolikt väntas inträffa inom en kort tidsperiod. Med en allvarlig driftstörning avses en sådan situation där samhällsviktiga funktioner i den finansiella sektorn har nedsatt funktionalitet eller inte är tillgängliga eller att det finns en överhängande risk för att så kommer att ske inom kort. Det bör vidare röra sig om en driftstörning som är så pass allvarlig att det enskilda företaget inte förväntas kunna åtgärda störningen eller hantera dess konsekvenser inom ramen för sin egen krisorganisation samt att insatser från en eller flera myndigheter bedöms vara nödvändiga. Som nämnts inledningsvis i avsnitt 4.2 har MSB definierat de samhällsviktiga funktionerna inom den finansiella sektorn som: • betalningsförmedling, • sparande, finansiering och finansiell riskhantering, • finansiell stabilitet, och • 208 försäkring. Mer konkret kan det därmed röra sig om en situation där det inte är möjligt att genomföra stora betalningar eller att det uppstår väsentliga störningar i viktiga betaltjänster eller finansiella tjänster. Det kan även röra sig om en situation där centrala funktioner för finansiell kommunikation – exempelvis Swift – är otillgängliga. Huruvida en driftstörning ska betecknas som allvarlig eller ej måste även vara beroende av vilken del av det finansiella systemet som drabbats. Även en driftstörning som bara leder till ett kortare avbrott i centrala delar av betalningssystemet kan få betydande negativa konsekvenser medan en driftstörning i andra delar av det finansiella systemet kan få mindre betydande konsekvenser. 209 Även när driftstörningen inträffar tidsmässigt kan ha viss betydelse. En driftstörning i betalningssystemet i samband med löning kan få mycket allvarliga konsekvenser medan ett avbrott vid andra tillfällen, exempelvis nattetid, kan få mindre allvarliga dito. En driftstörning som sker i samband med andra allvarliga händelser, exempelvis ett väpnat angrepp, kan få betydande negativa konsekvenser för befolkningens förtroende för det

208 MSB, Identifiering av samhällsviktig verksamhet: Lista med viktiga samhällsfunktioner, 2023. Regeringen har nyligen föreslagit att målen för politiken på finansmarknadsområdet ska utvidgas till att även innefatta att det finansiella systemet ska ha förmåga att säkerställa viktiga samhällsfunktioner (se prop. 2023/24:1, utgiftsområde 2, s. 10). 209 Som nämnts ovan under avsnitt 4.5.1 pågår för närvarande ett arbete inom Finansinspektionen med att identifiera samhällsviktig verksamhet inom den finansiella sektorn. Resultatet av detta arbete kan komma att bli ett viktigt underlag vid bedömningen om den krishanterande funktionen ska aktiveras. 83

finansiella systemet och i förlängningen för staten. Det är därmed svårt att mer exakt definiera hur pass långt eller omfattande en driftstörning ska vara för att den ska vara att beteckna som allvarlig. Vad gäller just betalningssystemet har det i förarbeten tidigare uttalats att målet för tiden till återstart vid en driftstörning bör vara högst två timmar. 210 En driftstörning som lett till eller riskerar att leda till ett längre avbrott än så bör därför vara att betrakta som allvarlig. Om en allvarlig händelse inträffar såväl inom som utom den finansiella sektorn och som sannolikt kan leda till en allvarlig driftstörning i den finansiella sektorn, bör funktionen kunna aktiveras för att bevaka den uppkomna situationen och bedöma vilken effekt den kan få för den finansiella sektorn. När funktionen beslutat om aktivering bör dess ordförande ta ställning till vilka av dess deltagare som ska sammankallas. Som berörts ovan bör funktionen kunna sammanträda i olika konstellationer. I vissa fall kan det vara lämpligast att enbart myndigheter samlas, i andra fall att enbart ett eller flera företag deltar eller att samtliga deltagare deltar i ett sammanträde. Beroende på vilken typ av händelse som inträffat kan det även vara motiverat att andra aktörer än funktionens deltagare deltar i sammanträdet. Vilka aktörer som ska kallas är helt beroende av den uppkomna situationen varför funktionens ordförande behöver avgöra vilka som ska delta i det enskilda fallet. Det är alltså inte givet att alla deltagare alltid ska sammankallas för att hantera en uppkommen allvarlig driftstörning. Som nämnts under det föregående avsnittet (6.3) ska Riksbanken hålla regeringen underrättad om verksamheten i funktionen. Riksbanken bör, i linje härmed, utan dröjsmål informera regeringen i samband med att funktionen aktiveras. Som nämnts ovan bör medarbetare från Regeringskansliet kunna delta i funktionens sammanträden som observatörer.

Avaktivering När den allvarliga driftstörningen och konsekvenserna av den har hanterats bör funktionen utan dröjsmål ta ställning till om pågående insatser ska avaktiveras. Utredningen vill här betona att den krishanterande funktionen enbart ska vara aktiverad under ett krisförlopp. Ett sådant förlopp kan visserligen vara olika långt. När funktionens ordförande bedömer att en kris inte längre är för handen bör hen ta ställning till om funktionen ska avaktiveras. Om det inte bedöms vara onödigt bör ordföranden samråda med funktionens övriga deltagare innan ett beslut om avaktivering fattas. Ett beslut om aktivering och avaktivering ska utan dröjsmål tydligt kommuniceras till samtliga deltagare. Regeringen bör informeras om ett beslut om avaktivering. När och hur funktionen ska aktiveras bör framgå av funktionens instruktion. 211

210 Se SOU 2011:78 Stärkt krisberedskap i det centrala betalningssystemet (s. 57) samt prop. 2023/24:8 Stärkt motståndskraft i betalningssystemet (s. 74 f. samt s. 104). 211 Se vidare nedan under avsnitt 6.5 angående funktionens instruktion.

Fredstida krissituation, höjd beredskap och allvarlig driftstörning Avslutningsvis bör något här även sägas om relationen mellan begreppet allvarlig driftstörning och begreppen fredstida krissituation respektive höjd beredskap. 212 Som nämnts ovan kan en allvarlig driftstörning ge upphov till en fredstida krissituation. Det är även möjligt att tänka sig att en krigshandling som företas mot Sverige när det råder höjd beredskap orsakar en allvarlig driftstörning. Funktionen bör därmed ha förmåga att agera såväl i händelse av en fredstida krissituation som under höjd beredskap. Omvänt går det att tänka sig att höjd beredskap råder eller en fredstida krissituation är för handen utan att en allvarlig driftstörning drabbat den finansiella sektorn. I ett sådant fall bör funktionen noga följa händelseutvecklingen så att den med kort varsel kan aktivera sin verksamhet.

6.5 Funktionens styrning och ledning

Förslag : Riksbanken ska anta en instruktion för funktionen.

För att undvika osäkerhet i en pressad situation och åstadkomma en effektiv aktivering av funktionens hantering av en kris behöver det på ett transparent och förutsebart sätt framgå under vilka förutsättningar som funktionen ska aktiveras. Det behöver även finnas tydliga rutiner och tillvägagångssätt för hur funktionen ska aktiveras samt anges vem som har ansvar för att sammankalla dess deltagare.

Instruktion Utredningen anser att dessa centrala frågor bör framgå i mer detalj av en instruktion för funktionen. Instruktionen ska antas genom ett beslut av Riksbanken i dess egenskap av ansvarig myndighet för funktionen. Riksbanken ska dock bereda övriga deltagare av funktionen möjlighet att framföra sina synpunkter innan en ny instruktion antas eller ändras. Riksbanken bör dock inte vara tvungen att samråda med funktionens deltagare om det gäller ändringar av instruktionen som är av underordnad betydelse. Utredningens överväganden kring när funktionen ska aktiveras respektive avaktiveras har berörts i det föregående avsnittet. När det gäller funktionens ledning och styrning kan följande sägas. Riksbanken är ansvarig myndighet för funktionen vilket innebär att Riksbanken bör ansvara för att funktionen leds på ett ändamålsenligt sätt. I detta ligger att det bör finnas en utsedd senior befattningshavare inom Riksbanken med ansvar för att leda funktionens arbete. Även en ersättare bör utses för denna person. Dessa personer bör ha betydande kunskap och erfarenhet kring det finansiella systemet och hantering av kriser. De bör även ha ett tillräckligt mandat att kunna fatta nödvändiga beslut när funktionens

212 Se 6 § beredskapsförordningen respektive 1 § lagen (1992:1403) om totalförsvar och höjd beredskap. Se även ovan under avsnitt 4.2. 85

verksamhet är aktiverad. Den ansvarige befattningshavaren, eller den hen sätter i sitt ställe, bör agera ordförande vid funktionens sammanträden. 213 Vidare bör det av instruktionen framgå att varje deltagare ska utse en befattningshavare samt en ersättare för denna. Även dessa befattningshavare behöver ha tillräcklig kompetens och beslutsmandat för att kunna representera sin respektive organisation samt för att kunna bidra till arbetet inom funktionen under såväl tiden den är aktiverad som när den är avaktiverad. Det bör i sammanhanget framhållas att det under en pågående kris sannolikt kommer att förekomma ett flertal direkta kontakter mellan den högsta ledningen för de i funktionen ingående myndigheterna och drabbade företag. Av instruktionen bör det även framgå hur funktionens deltagare ska kallas till sammanträde samt inom vilken tidsrymd den utsedde befattningshavaren ska vara beredd att medverka i ett sådant möte. Som angetts ovan bör det även av instruktionen framgå hur och när funktionen ska aktiveras respektive avaktiveras. Av instruktionen bör det även framgå hur funktionen och dess deltagare ska kommunicera med varandra när funktionen har aktiverats. Därutöver bör det av en mer konkret framgå hur funktionen ska arbeta med dess krisförberedande respektive kunskapsspridande uppdrag. Utredningen bedömer att det finns ett behov för funktionens deltagare att sammanträda någon gång årligen för att diskutera funktionens verksamhet även när den inte är aktiverad. Hur ofta funktionens deltagare bör sammanträda bör framgå av funktionens instruktion. Det bör givetvis vara möjligt för Riksbanken att anta andra former av styrdokument som kompletterar den nu nämnda instruktionen. Utredningen bedömer dock att det inte finns behov av bemyndiganden till Riksbanken att meddela föreskrifter gällande den krishanterande funktionen. Utredningen anser även att Riksbanken bör ansvara för att årligen redogöra för verksamheten inom funktionen. Detta bör lämpligen ske inom ramen för den årsredovisning som Riksbankens direktion lämnar till riksdagen, Riksrevisionen och Riksbankens fullmäktige. 214

6.6 Deltagare och samverkan

Förslag: Utöver Riksbanken ska Finansinspektionen, Riksgälden, företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar samt de övriga företag som Riksbanken beslutar ingå i den krishanterande funktionen.

Deltagande myndigheter I utredningens uppdrag ingår att föreslå hur samverkan mellan den nya krishanterande funktionen och andra berörda myndigheter bör regleras. I uppdraget ingår även att lämna förslag på hur samarbetet mellan privat och

213 Utredningens övriga överväganden kring funktionens bemanning och administrativa stöd finns nedan under 6.8. 214 Bestämmelser om Riksbankens årliga redovisning finns i 8 kap. 2 – 7 §§ riksbankslagen.

offentlig sektor ska utformas. Utredningen anser att den nya krishanterande funktionen ska bestå av Riksbanken i dess egenskap av ansvarig myndighet men även av Finansinspektionen och Riksgälden som bägge har centrala uppgifter när det gäller den finansiella stabiliteten i Sverige. Dessa två myndigheter utgör också tillsammans beredskapssektorn Finansiella tjänster. Finansinspektionens och Riksgäldens medverkan i funktionen ska framgå av lag. Myndigheternas medverkan i den krishanterande funktionen är en viktig länk till det arbete som bedrivs inom den struktur för beredskapssektorer som framgår av beredskapsförordningen. Utredningen vill här betona att de förslag som här lämnas inte ändrar Finansinspektionens eller Riksgäldens rapporterings- och informationsskyldighet enligt beredskapsförordningen eller andra tillämpliga bestämmelser. Finansinspektionen har i sin egenskap av sektorsansvarig myndighet tillika deltagare i den krishanterande funktionen en central roll i att information som myndigheten får genom sitt deltagande i funktionen förs vidare i enlighet med bestämmelserna i beredskapsförordningen. På samma vis bör Finansinspektionen kunna föra information som myndigheten fått i dess egenskap av sektorsansvarig myndighet till funktionen. Även Riksgälden bör kunna föra information till och från funktionen i dess egenskap av beredskapsmyndighet. 215 Information får givetvis enbart delas i enlighet med gällande rätt. I sammanhanget bör det även erinras om att Riksbanken i stor utsträckning deltar i sektorsövergripande möten på frivillig basis samt att Riksbanken och Finansinspektionen har ingått en överenskommelse avseende samarbete kring civil beredskap. 216

Finansiella och icke-finansiella företag Utöver vad som sagt ovan anser utredningen att vissa finansiella företag bör ingå i funktionen. Som ovan beskrivits är syftet med funktionens verksamhet att se till så att viktiga samhällsfunktioner kan återställas i händelse av en allvarlig driftstörning. Givet att en mycket stor del av de viktiga samhällsfunktionerna inom den finansiella sektorn fullgörs av privata företag är det, i utredningens mening, nödvändigt att den privata sektorn deltar aktivt i funktionen. Utredningen bedömer det som mycket svårt för funktionen att uppfylla sitt syfte om inte den privata sektorn deltar 217 aktivt i funktionens arbete. Samtidigt är det inte möjligt för alla finansiella företag att delta i funktionens arbete. En definition av finansiella företag framgår av riksbankslagen (1 kap. 2 §): 1. juridiska personer som står under tillsyn av Finansinspektionen,

215 Se nedan under avsnitt 6.9 gällande utredningens förslag och överväganden kring tystnadsplikt och sekretess. 216 Se ovan under avsnitt 4.4.8. 217 Ett nära samarbete mellan statliga och privata aktörer har även pekats ut som en av anledningarna till att Ukraina lyckats så pass väl med att stå emot de sofistikerade cyberangrepp som drabbade landet före samt under den ryska fullskaliga invasionen. Se Ds 2023:34, Kraftsamling - Inriktningen av totalförsvaret och utformningen av det civila försvaret, s. 75 f. 87

2. utländska juridiska personer som a) i hemlandet står under motsvarande tillsyn som de företag som avses i 1, och b) bedriver verksamhet i Sverige, 3. AP-fonder, och 4. Svenska skeppshypotekskassan. En grov uppskattning ger vid handen att ungefär 2 000 juridiska personer idag uppfyller denna definition på finansiellt företag. Det finns därmed ett behov av att närmare avgränsa vilka finansiella företag som bör ingå i funktionens arbete. Vägledande bör här vara hur pass stor betydelse det enskilda finansiella företagets verksamhet har för den svenska finansiella sektorns funktionssätt. Inom den finansiella sektorn bedrivs, som beskrivits ovan samhällsviktig verksamhet med syfte att upprätthålla de viktiga samhällsfunktionerna: • betalningsförmedling, • sparande, finansiering och finansiell riskhantering, • finansiell stabilitet, och • försäkring. Utredningen anser mot den bakgrunden att de företag som bedriver en verksamhet som har en stor betydelse för att upprätthålla dessa samhällsfunktioner bör delta i funktionens arbete. När det gäller betalningsförmedling har vissa företag inom den finansiella infrastrukturen nyckelroller. I likhet med Riksbanken bedömer utredningen att clearing och avveckling är av särskild betydelse för 218 genomförandet av betalningar. Även andra företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar ska ingå i funktionen. Detta inte minst eftersom Riksbanken redan har en skyldighet att upprätta en funktion för samordning och information som inbegriper dessa företag. Enligt Riksbanken kommer tolv företag att omfattas av dess föreskrifter 219 och allmänna råd när de träder i kraft den 1 februari 2024. Dessa företag ska ingå i funktionen. I funktionen bör även andra finansiella företag som har en central betydelse för att upprätthålla de övriga ovan nämnda samhällsfunktionerna. Det kan exempelvis röra sig om kreditinstitut, värdepappersbolag, företag inom den finansiella infrastrukturen eller försäkringsföretag som inte omfattas av Riksbankens föreskrifter. Därutöver kan det bli aktuellt att inkludera företag som kortnätverken Visa och Mastercard trots att dessa inte står under tillsyn av Finansinspektionen eller omfattas av Riksbankens föreskrifter. Utredningen bedömer därutöver även att det kan finnas skäl att inkludera företag som inte är att betrakta som finansiella enligt definitionen i 1 kap. 2 § riksbankslagen i funktionen. Det är möjligt att tänka sig att ett företag som exempelvis tillhandahåller it-tjänster som är av central betydelse för ett eller flera större finansiella företag bör ingå i

218 Se Riksbanken, Beslutspromemoria, Betalningar under fredstida krissituationer och vid höjd beredskap (dnr 2023 – 01339). s. 8 f. 219 Riksbanken, Beslutspromemoria, Betalningar under fredstida krissituationer och vid höjd beredskap (dnr 2023 – 01339) s. 22. Vilka kategorier av företag som omfattas av föreskrifterna och de allmänna råden framgår av dess 3 §.

funktionen. Den relativt omfattande förekomsten av utkontraktering av kritisk verksamhet, ofta it-tjänster, från finansiella företag kan innebära ett 220 behov av att inkludera dessa företag i funktionen. En driftstörning hos ett sådant företag kan nämligen få betydande negativa konsekvenser för det finansiella systemet. Vägledande vid bedömningen huruvida ett företag ska ingå i funktionen bör vara hur pass betydelsefull dess verksamhet är för upprätthållandet av de viktiga samhällsfunktionerna inom den finansiella sektorn. Vid bedömningen bör det även beaktas hur pass allvarliga konsekvenser en störning av de tjänster företaget tillhandahåller kan få för det finansiella systemet och i förlängningen för hela samhällsekonomin. Funktionen kan vid sin bedömning utgå från tillgängliga data från andra myndigheter. Exempelvis gör Finansinspektionen årligen en tillsynskategorisering i enlighet med Europeiska bankmyndighetens (EBA) riktlinjer. Finansinspektionen genomför dessutom en klassificering av utländska 221 kreditinstituts svenska filialer. Utredningen anser även att det är viktigt att funktionen har flexibilitet när det gäller att avgöra vilka företag som ska ingå i den. Det är inte orimligt att ett visst företags verksamhet med tiden blir mer eller mindre viktigt för upprätthållandet av de viktiga samhällsfunktionerna. Funktionen bör därför löpande bedöma om det finns skäl att låta ett nytt företag ingå i funktionen eller om det finns skäl för att ett visst företag inte längre ska ingå i den. Utifrån sina respektive ansvarsområden har Finansinspektionen och Riksgälden god översikt över vilka företag som bedriver en verksamhet som motiverar att de ska ingå i funktionen. Mot den bakgrunden anser utredningen att Riksbanken bör samråda med Finansinspektionen och Riksgälden innan beslut fattas om att ett visst företag ska ingå i funktionen.

Förhållandet till företagens ansvar enligt 5 kap. riksbankslagen En särskild fråga gäller hur det ansvar de företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar har enligt 5 kap. riksbankslagen förhåller sig till företagens ansvar att delta i funktionen. Som nämnts ovan bedömer utredningen att samtliga företag som omfattas av bestämmelserna i 5 kap. riksbankslagen också ska ingå i funktionen. Företagens skyldighet enligt 5 kap. riksbankslagen syftar till att det centrala betalningssystemet ska kunna fungera även vid en fredstida 222 krissituation och höjd beredskap. Den krishanterande funktion som utredningen föreslår har dock ett bredare ansvarsområde eftersom det omfattar samtliga finansiella tjänster.

220 Utkontrakteringen av kritisk verksamhet har även med tiden alltmer kommit att omfattas av de finansiella tillsynsmyndigheternas tillsyn och reglering. Något som kommer att öka när Dora-förordningen träder i kraft i januari 2025. Se bl.a. Finansinspektionen, Förstärkt digital motståndskraft hos företag i den finansiella sektorn. s. 15 f. 221 Finansinspektionen, Tillsynskategorisering av svenska kreditinstitut och utländska kreditinstituts svenska filialer för 2023 (FI dnr 22 – 19478). 222 Riksbanken har preciserat de krav som ställs på dessa företag i dess föreskrifter och allmänna råd (RBFS 2023:3) om företag av särskild betydelse för genomförandet av betalningar under fredstida krissituationer och vid höjd beredskap som träder i kraft den 1 februari 2024. 89

Av Riksbankens föreskrifter och allmänna råd framgår att företagen ska vidta vissa åtgärder för att kunna upprätthålla sina tjänster även vid en fredstida krissituation och höjd beredskap (4 §). Vidare ska företagen ha en flerårig plan för sin övnings- och utbildningsverksamhet (5 §). Företagen ska också delta i Riksbankens arbete med planering och förberedelse avseende betalningar i händelse av en fredstida kris eller höjd beredskap. I föreskrifterna preciseras detta på så vis att företagen ska delta i Riksbankens arbete avseende analyser av betalningsflöden, samverkan om företagens planering och förberedelser, utbildningar och övningar (6 – 7 §§). Slutligen ska företagen planera och förbereda för att kunna ingå i Riksbankens ledningsfunktion för samordning och information under fredstida krissituationer och vid höjd beredskap (8 §). Arbete pågår för närvarande hos Riksbanken med att bygga upp ledningsfunktionen. I och med ikraftträdandet av utredningens förslag ersätts lämpligen denna ledningsfunktion med den krishanterande funktion som utredningen föreslår. Vad gäller de övriga skyldigheter som företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar kommer att ha enligt Riksbankens föreskrifter gäller en relativt stor del företagens egna förberedelser, planering och övning för att kunna upprätthålla sin verksamhet vid en fredstida kris eller under höjd beredskap. Riksbanken ska övervaka att företagen uppfyller sina nu nämnda skyldigheter. Givet att den krishanterande funktion som utredningen föreslår främst ska vara aktiv i händelse av en kris ser utredningen inte att företagens ansvar enligt 5 kap. riksbankslagen skulle överlappa deras ansvar att delta i den krishanterande funktionen. Även vad gäller övningsverksamheten bedömer utredningen att risken för en överlappning är tämligen låg. Detta mot bakgrund av att 5 kap. riksbankslagen och Riksbankens föreskrifter ställer krav på företagets egna övningsverksamhet samt deltagande i övningar för att testa om företagens framtagna planer tillsammans gör att allmänhetens betalningar kan upprätthållas under fredstida krissituationer och vid höjd beredskap. Den krishanterande funktionens övningsverksamhet bör, som ovan nämnt, främst vara inriktade på att öva funktionens egna rutiner samt att verka för scenarioövningar för hela den finansiella sektorn. Eftersom risken för överlappningar inte helt kan uteslutas bör Riksbanken sträva efter att undvika att de företag som omfattas av 5 kap. riksbankslagen omfattas av dubbla krav.

Samverkan med andra beredskapssektorer Utöver de myndigheter som ska ingå i den krishanterande funktionen (Finansinspektionen och Riksgälden) är det av stor vikt att Riksbanken, i egenskap av ansvarig myndighet för den krishanterande funktionen, kan ha en effektiv samverkan med andra myndigheter. Centralt för att kunna hantera en kris är möjligheten till en fungerande samverkan med andra myndigheter som har olika ansvar inom det svenska ekosystemet för civil beredskap. Som har berörts ovan är den finansiella sektorn beroende av såväl en fungerande energiförsörjning som elektroniska kommunikationer. Även fungerande transporter kan vara avgörande för att den finansiella sektorn ska kunna upprätthålla sin samhällsviktiga verksamhet.

Därutöver är verksamheten inom beredskapssektorn Försörjning av grunddata av betydelse för företagen inom den finansiella sektorn. Förutom vad som ovan sagts är verksamheten inom beredskapssektorn Ekonomisk säkerhet ofta beroende av fungerande finansiella tjänster. Slutligen är samverkan med MSB – givet dess allmänna uppdrag när det gäller operativ krishantering inklusive dess uppdrag att i händelse av en kris ta fram en nationell lägesbild, och dess ansvar för funktionen CERT- SE – betydelsefull. Mot den bakgrunden anser utredningen att Riksbanken i dess egenskap av ansvarig myndighet bör upprätthålla ett samarbete med inte minst de sektorsansvariga myndigheterna Energimyndigheten, Post- och telestyrelsen samt MSB. Vad gäller övriga sektorsansvariga myndigheter såsom Skatteverket och Trafikverket bör funktionen överväga behovet av ett samarbete. Riksbanken behöver även upprätthålla ett samarbete med Försvarsmakten eftersom den krishanterande funktionen även ska kunna verka under höjd beredskap.

Samverkan med det nationella cybersäkerhetscentret och de ingående myndigheterna En särskild fråga gäller vilket förhållande den krishanterande funktionen bör ha till de myndigheter som har ett särskilt ansvar för cybersäkerheten i samhället: FRA, Försvarsmakten, MSB samt Säkerhetspolisen. Dessa myndigheter har, som nämnts ovan under avsnitt 5.2.2, särskild kompetens att hantera ett cyberangrepp riktat mot svenska intressen. Flera av dessa myndigheter har också i uppdrag att främja svensk säkerhet och bedriva cyberförsvar. Det finns mot den bakgrunden skäl för den krishanterande funktionen att ha ett nära samarbete med dessa myndigheter. De fyra så kallade säkerhetsmyndigheterna har idag ett nära samarbete sinsemellan när det gäller koordinering av incidenthantering. Myndigheternas samarbete när det gäller cybersäkerhet sker i regel inom ramen för det nationella cybersäkerhetscentret som dessa myndigheter gemensamt ansvarar för. Mot den bakgrunden bör det nationella cybersäkerhetscentret utse en kontaktpunkt i förhållande till funktionen. Denna kontaktpunkt bör vid en antagonistisk cyberattack ansvara för att föra lägesbild och annan relevant information vidare från funktionen och dess deltagare till det nationella cybersäkerhetscentret. Beslutsfattare hos dessa myndigheter kan vid ett cyberangrepp riktat mot Sverige som nation ha ett behov av att skapa sig en bild av det bakomliggande motivet till angreppet samt vilka som kan tänkas ligga bakom det. För att skapa sig en sådan bild kan myndigheterna vara i behov av samverkan med det företag som drabbats av angreppet. Givetvis bör även information från centret och de fyra myndigheterna kunna kanaliseras via denna kontaktpunkt till funktionen och dess deltagare. Rör informationen säkerhetskänslig verksamhet kan det dock vara nödvändigt för den berörda säkerhetsmyndigheten att dela informationen direkt till det

drabbade företaget. 223 Så långt det är möjligt bör dock information förmedlas via cybersäkerhetscentret och den krishanterande funktionen.

Finansiella stabilitetsrådet Den nya funktionens förhållande till Finansiella stabilitetsrådet bör även beröras här. Som nämnts ovan bedömer utredningen att stabilitetsrådet är ett viktigt forum för kunskapsutbyte och diskussion mellan de myndigheter som ingår i rådet. Inte minst har Finansiella stabilitetsrådet ett bredare uppdrag än den funktion utredningen föreslår. Stabilitetsrådet fokuserar huvudsakligen på risker som bedöms kunna ha betydelse för den finansiella stabiliteten i Sverige utifrån de risker som identifieras. Funktionen, däremot, föreslås inriktas mot händelser som mer avgränsat kan kategoriseras som operativa störningar och, inte minst, på risker som redan materialiserats eller är nära att materialiseras. Utredningens förslag innebär att tre av fyra av Stabilitetsrådets medlemmar kommer att ingå i den nya funktionen. Som medlem i Stabilitetsrådet har Riksbanken, men även Finansinspektionen och Riksgälden, möjlighet att utgöra en länk mellan diskussioner som förs inom ramen för rådet och inom ramen för den nya krishanterande funktionen. Som nämns ovan under avsnitt 6.3 kan Riksbanken hålla regeringen och övriga myndigheter i stabilitetsrådet underrättade om verksamheten i den krishanterande funktionen genom att redogöra för verksamheten vid rådets ordinarie möten. På så vis är det även möjligt för respektive myndighet att regelbundet bli informerad om funktionens verksamhet på högsta beslutande nivå. Riksbanken, i dess egenskap av ansvarig myndighet för funktionen, och regeringen, i dess egenskap av ordförande för Stabilitetsrådet, bör komma överens om samarbetsformerna mellan Stabilitetsrådet och den krishanterande funktionen. Som nämns ovan bör medarbetare från Regeringskansliet kunna delta i funktionens arbete som observatörer.

Beredskapssektorn Ekonomisk säkerhet Verksamheten inom beredskapssektorn Ekonomisk säkerhet är, som ovan berörts, till stor del beroende av att de samhällsviktiga funktionerna, särskilt betalningsförmedling, inom beredskapssektorn Finansiella tjänster kan upprätthållas. Utredningen om civilt försvar betonade att det finns starka kopplingar och beroendeförhållanden mellan dessa beredskapssektorer som kräver ett nära samarbete dem emellan. 224 Det finns enligt utredningen olika alternativ när det gäller samverkan mellan myndigheterna i den beredskapssektorn. Den ena lösningen är att Försäkringskassan, i dess egenskap av sektorsansvarig myndighet bjuds in till att delta i funktionen. En annan lösning är att Riksgälden i dess roll som beredskapsmyndighet inom

223 Det är exempelvis möjligt att en förundersökning inletts mot den som utfört det aktuella cyberangreppet vilket innebär att förundersökningssekretess råder enligt 18 kap. 1 § offentlighets- och sekretesslagen (2009:400). Detta kan i sin tur innebära att information inte kan delas inom ramen för samarbetet inom det nationella cybersäkerhetscentret utan enbart direkt mellan Polismyndigheten eller Säkerhetspolisen och det företag som drabbats av den misstänkt brottsliga gärningen. 224 SOU 2021:25 s. 222.

Ekonomisk säkerhet ges ansvaret för att upprätthålla en kontakt mellan sektorns myndigheter och funktionen. Slutligen kan det tänkas att Finansinspektionen som sektorsansvarig myndighet för Finansiella tjänster ansvarar för samverkan mellan funktionen och beredskapssektorn Ekonomisk säkerhet. Utredningen anser dock att Riksbanken i dess egenskap av ansvarig myndighet bör avgöra hur samverkan med beredskapssektorn Ekonomisk säkerhet kan utformas.

Formerna för samverkan Utredningen bedömer att det kan vara motiverat att en eller flera andra myndigheter än de som ingår i funktionen deltar i delar av dess arbete givet att de har olika förmågor och därmed uppgifter i händelse av att en allvarlig driftstörning skulle inträffa i den finansiella sektorn. Vid exempelvis en allvarlig cyberattack riktad mot ett eller flera finansiella företag är det motiverat att det nationella cybersäkerhetscentret och MSB deltar i funktionens krishanterande arbete men kanske inte lika motiverat att exempelvis Energimyndigheten gör det. Omvänt finns det liten anledning för exempelvis det nationella cybersäkerhetscentret att delta i funktionens arbete om den allvarliga driftstörningen inte beror på en cyberattack. I händelse av en allvarlig driftstörning som drabbar den finansiella sektorn bör funktionen ha möjlighet att bidra till MSB:s uppdrag att 225 samordna åtgärder, stöd och information på nationell nivå. Mer konkret kan det innebära att Riksbanken i dess egenskap av ansvarig myndighet för funktionen deltar i sektorsövergripande samverkanskonferenser ordnade av MSB tillsammans med andra myndigheter i syfte att delge dessa den lägesbild som funktionen har tagit fram. På samma vis bör funktionen kunna, om så efterfrågas, bidra till arbetet inom Regeringskansliets krishanteringsråd. 226 Givetvis bör funktionens medverkan även här ske i nära samarbete med Finansinspektionen i dess egenskap av sektorsansvarig myndighet. Utöver vad som sagts ovan bör Riksbanken, vid behov och där så är möjligt, kunna adjungera personer från andra organisationer att delta i hela eller delar av funktionens arbete. Det kan exempelvis handla om personer från branschföreningar, utländska myndigheter eller andra företag och myndigheter än de som nämnts ovan. Som framgått ovan under avsnitt 6.3 ovan bör en medarbetare från Regeringskansliet kunna delta i funktionens sammanträden som observatör i syfte att underlätta informationsgivningen från den krishanterande funktionen till regeringen. Samarbetet mellan funktionen och de myndigheter som nämnts ovan bör formaliseras genom en skriftlig överenskommelse mellan Riksbanken, i dess egenskap av ansvarig myndighet för funktionen, och de övriga myndigheter som funktionen bedömer att det bör ha ett nära samarbete med. Hur myndigheterna eventuellt bör dela uppgifter med den krishanterande funktionen bör framgå av de nyss nämnda

225 7 § förordningen (2008:1002) med instruktion för Myndigheten för samhällsskydd och beredskap. 226 Inom Regeringskansliet finns ett krishanteringsråd som leds av statsministerns statssekreterare. Rådet kan sammankallas för informationsutbyte mellan Regeringskansliet och myndigheter under allvarliga händelser och kriser. 93

överenskommelserna. Utredningen bedömer inte att det finns skäl att reglera en sådan skyldighet i lag eller annan författning. I dess egenskap av ansvarig myndighet för funktionen bör Riksbanken ansvara för att de nämnda överenskommelserna kommer på plats samt för att det finns tillräckliga rutiner för att kunna samverka med åtminstone dessa myndigheter i händelse av en kris. I den utsträckningen så är lämpligt bör Riksbanken involvera dessa myndigheter i funktionens krisförberedande arbete. Utredningen vill här betona behovet av att den samverkan som ska utvecklas enligt vad som nu sagts naturligtvis bör bedrivas i samarbete med, inte minst, Finansinspektionen i dess egenskap av sektorsansvarig myndighet för beredskapssektorn Finansiella tjänster.

6.7 Deltagande

Förslag: Riksbanken ska kunna ålägga ett företag att delta i funktionens verksamhet. Riksbanken ska ges rätt att förelägga ett företag att följa ett sådant åläggande. Riksbanken får förena ett föreläggande med vite. Ett åläggande att delta i funktionens verksamhet samt ett föreläggande att följa åläggandet ska vara möjliga att överklaga till allmän förvaltningsdomstol. Ett företag som ingår i funktionen ska på begäran av Riksbanken vara skyldig att lämna de uppgifter som är nödvändiga för verksamheten i funktionen.

Åläggande om att delta Det ingår i utredningens uppdrag att lämna förslag på hur samarbetet mellan privat och offentlig sektor ska utformas. En fråga som utredningen därmed har att ta ställning till är om de företag som bör ingå i den krishanterande funktionens verksamhet ska göra så på frivillig grund eller om det ska finnas en möjlighet att ålägga företagen att delta i funktionens arbete. Ett frivilligt deltagande skulle kunna ha sin grund i en ickebindande överenskommelse eller avsiktsförklaring som sluts mellan samtliga deltagare i funktionens verksamhet. Flera offentlig-privata samarbeten bygger idag på denna, eller liknande, modeller. Inte minst bygger samarbetet inom FSPOS på att deltagandet sker frivilligt. Även samverkan inom danska FSOR bygger på frivillighet. FSOR kräver dock att de som deltar i dess verksamhet också ska delta i 227 alla moment, inklusive övningar. Även Riksbankens nuvarande krissamverkan för det centrala betalningssystemet bygger på en ickebindande avsiktsförklaring som är sluten mellan Riksbanken, Riksgälden och de finansiella företag som ingår i denna samverkan. Riksbanken har idag ett ansvar för att övervaka att företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar, bland annat ska planera och förbereda för att kunna fortsätta verksamhet

227 Se ovan under avsnitt 5.4.1.

som avser betalningar under fredstida krissituationer och vid höjd beredskap (5 kap. 4 § riksbankslagen). Företagen ska även delta i övningar som Riksbanken anordnar (5 kap 3 § riksbankslagen). Riksbanken har vidare bemyndigats att genom föreskrifter om vilka företag som ska anses bedriva verksamhet som är av särskild betydelse för genomförandet av 228 betalningar (13 kap. 1 § 10 riksbankslagen). Riksbanken har möjlighet att besluta om föreläggande med stöd i 12 kap. 2 § riksbankslagen mot det 229 företag som inte följer dess föreskrifter. Vidare pågår, som ovan nämnt, ett arbete inom Riksbanken med att bygga upp en ny ledningsfunktion som kommer att ersätta den befintliga krissamverkan för det centrala betalningssystemet som funnits sedan 2016. De företag som omfattas av Riksbankens föreskrifter kommer att vara skyldiga att planera och förbereda för att kunna ingå i denna ledningsfunktion. 230 Även inom området för elektroniska kommunikationer har regeringen nyligen föreslagit att Post- och telestyrelsen (PTS) ska ges möjlighet att ålägga vissa företag att delta i den nationella telesamverkansgruppens planering inför höjd beredskap och fredstida krissituationer. 231 Det är även möjligt för vissa myndigheter att besluta att näringsidkare ska delta i 232 totalförsvarsplaneringen. Mot denna bakgrund anser utredningen att det finns skäl som talar för att ge Riksbanken i dess egenskap av ansvarig myndighet en möjlighet att ålägga enskilda företag att medverka i den krishanterande funktionens verksamhet. Som konstaterats tidigare kan en allvarlig driftstörning få mycket allvarliga konsekvenser för den finansiella sektorn och i förlängningen för hela samhällsekonomin. Även om enskilda företag och det allmänna i regel har samma incitament när det gäller att bygga en stark motståndskraft mot allvarliga driftsstörningar i den finansiella sektorn finns risken att det enskilda företaget inte fullt ut beaktar konsekvenserna för hela samhället när det dimensionerar sin motståndskraft. Därutöver har risken för avsiktligt orsakade driftstörningar kommit öka i takt med det försämrade säkerhetsläget. Mot denna bakgrund anser utredningen att det finns skäl att föreslå att Riksbanken ska ges möjlighet att ålägga enskilda företag att delta i funktionens verksamhet. Om Riksbanken bedömer att företagen kan delta fullt ut i funktionens verksamhet på frivillig väg behöver den givetvis inte besluta om ett sådant åläggande. Slutligen bör följande tilläggas när det gäller formerna för ett beslut om åläggande. Enligt 8 kap. 2 § första stycket 2 regeringsformen ska föreskrifter som avser relationen mellan enskilda och det allmänna meddelas i form av lag. Det ska därför framgå av riksbankslagen att Riksbanken har möjligt att ålägga ett företag att delta i den krishanterande

228 Se 3 § Riksbankens föreskrifter och allmänna råd (RBFS 2023:3) om företag av särskild betydelse för genomförandet av betalningar under fredstida krissituationer och vid höjd beredskap. 229 Ett sådant föreläggande får förenas med vite enligt 12 kap. 2 § 3 st. riksbankslagen. 230 Se 8 § Riksbankens föreskrifter och allmänna råd (RBFS 2023:3) om företag av särskild betydelse för genomförandet av betalningar under fredstida krissituationer och vid höjd beredskap. 231 Se prop. 2023/24:60 En telesamverkansgrupp för fredstida kriser och höjd beredskap. 232 Se 1 § lagen (1982:1004) om skyldighet för näringsidkare, arbetsmarknadsorganisationer m.fl. att delta i totalförsvarsplaneringen. 95

funktionens verksamhet. För det fall Riksbanken bedömer att ett företag inte längre, av något skäl, behöver ingå i funktionens verksamhet ska den ändra sitt beslut.

Föreläggande om att följa ett åläggande För det fall ett företag, trots ett åläggande, inte deltar i funktionens verksamhet ska Riksbanken ges möjlighet att förelägga företaget att följa åläggandet. Ett föreläggande om att följa ett åläggande ska få förenas med vite enligt vad som sägs i 12 kap. 2 § tredje stycket riksbankslagen. 233

Överklagande I likhet med vad som gäller exempelvis om Riksbanken skulle fatta beslut om kassakrav enligt 2 kap. 6 § riksbankslagen anser utredningen att redan beslutet om att ålägga ett företag att delta i funktionens verksamhet ska vara överklagbart. Såväl ett beslut om åläggande att delta som ett föreläggande att följa åläggandet ska alltså kunna överklagas till allmän förvaltningsdomstol enligt vad som sägs i 12 kap. 3 § riksbankslagen.

Ersättning för merkostnader Utredningens förslag innebär att företag ska kunna åläggas att delta i funktionens verksamhet vilket kan innebära vissa merkostnader för dessa företag. Frågan uppkommer då om företagen ska ha rätt till ersättning för de merkostnader som följer av deras medverkan. Som ovan nämnt har företag en skyldighet enligt lagen (1982:1004) om skyldighet för näringsidkare, arbetsmarknadsorganisationer m.fl. att delta i totalförsvarsplaneringen om så begärs av en totalförsvarsmyndighet. 234 Den som har fått utföra arbete enligt denna lag som har medfört betydande 235 kostnader kan ha rätt till ersättning från det allmänna. Det framgår emellertid varken av lagtexten eller förarbetena till 1982 års lag vilka kostnader som ska vara att betrakta som betydande. 236 När det gäller företag som bedriver verksamhet av särskild betydelse för genomförandet av betalningar utgår emellertid inte ersättning för företagens merkostnader för deltagande i den planering eller den övningsverksamhet som avses i 5 kap. riksbankslagen. 237 Utredningen bedömer att företagens deltagande i den krishanterande funktionen med största sannolikhet inte kommer att medföra sådana betydande kostnader som skulle motivera att de bör erhålla ersättning för det allmänna.

233 Allmänna bestämmelser om viten finns i lagen (1985:206) om viten. 234 Vilka myndigheter som är totalförsvarsmyndigheter framgår av 1 § förordningen (1982:1005) om skyldighet för näringsidkare, arbetsmarknadsorganisationer m.fl. att delta i totalförsvarsplaneringen. 235 2 § 2 st. lagen (1982:1004) om skyldighet för näringsidkare, arbetsmarknadsorganisationer m.fl. att delta i totalförsvarsplaneringen. 236 Prop. 1981/82:179 om administrativ beredskap på arbetsrättens område, m. m. Ej heller förarbetena till den lag som föregick 1982 års lag innehåller vägledning gällande tolkningen av vilka kostnader som ska vara ersättningsgilla från det allmänna (Se Kungl. Maj:ts proposition nr 96 till riksdagen med förslag till lag om skyldighet för näringsidkare m.fl. att biträda vid planläggningen av rikets ekonomiska försvarsberedskap; given Stockholms slott den 6 februari 1948). Se även Förordning (1982:1005) om skyldighet för näringsidkare, arbetsmarknadsorganisationer m.fl. att delta i totalförsvarsplaneringen, s. 170. 237 Prop. 2021/22: 41 En ny riksbankslag. s. 130.

Mot denna bakgrund samt mot bakgrund av att ett deltagande i den krishanterande funktionens verksamhet bidrar till att stärka såväl samhällets som det enskilda företagets motståndskraft mot kriser anser utredningen inte att ersättning för de deltagande företagens merkostnader ska utgå från det allmänna. I dess egenskap av ansvarig myndighet bör dock Riksbanken verka för att merkostnaderna för de deltagande företagen inte blir alltför betydande.

Uppgiftsskyldighet Av riksbankslagen (12 kap. 1 §) följer idag en uppgiftsskyldighet för företag i förhållande till Riksbanken avseende uppgifter som på olika sätt är nödvändiga för den verksamhet som banken bedriver. Exempelvis är företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar skyldiga att lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt bland annat 5 kap. riksbankslagen. 238 Utredningen bedömer att Riksbanken, på motsvarande vis, kan vara i behov av uppgifter från de företag som ingår i funktionen. Även om en sådan uppgiftsskyldighet redan idag gäller i förhållande till de företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar, är det möjligt att även andra företag än dessa kommer att ingå i funktionen. Mot denna bakgrund anser utredningen att samtliga företag som ingår i funktionen, på begäran av Riksbanken, ska vara skyldiga att lämna sådana uppgifter som är nödvändiga för verksamheten i den krishanterande funktionen till Riksbanken. Riksbanken har möjlighet att besluta om de förelägganden som behövs 239 för att ett företag ska följa uppgiftsskyldigheten enligt 12 kap. 1 §.

6.8 Bemanning och administrativt stöd

Organisation I dess egenskap av ansvarig myndighet ska Riksbanken ansvara för att den krishanterande funktionen har tillgång till lämplig bemanning för att administrativt kunna stödja verksamheten i den krishanterande funktionen. Riksbanken bör när, funktionen inte är aktiverad, ansvara för att hålla kontaktuppgifter och annan relevant information uppdaterade, genomföra övningar och annat krisförberedande arbete samt ägna sig åt kunskapsspridning enligt vad som sagts ovan. Riksbanken bör se till så att funktionen har adekvat bemanning i händelse av en kris. Medan funktionens behov av bemanning när en kris inte föreligger kommer att vara begränsad kan bemanningen komma att behöva bli tämligen omfattande i händelse av att funktionen behöver aktiveras. En rimlig lösning på denna utmaning är att personal inom

238 12 kap. 1 § pt. 5. riksbankslagen. 239 Se 12 kap. 2 § 2 st. riksbankslagen. Utredningens överväganden gällande sekretess för du uppgifter som lämnats finns nedan under avsnitt 6.9. 97

Riksbanken ges i uppdrag att delta i funktionens verksamhet i händelse av att den skulle aktiveras. Riksbanken kan organisera verksamheten i detta avseende utifrån olika funktioner som behöver vara bemannade när den krishanterande funktionen är aktiverad. Varje medarbetare som ska stötta den krishanterande funktionen kan på så vis ges ansvar för att hantera en viss funktion. Dessa medarbetare behöver enbart ägna en begränsad del av sin ordinarie arbetstid åt funktionens verksamhet men ska vara förberedda på, och ha förmåga att, med kort varsel delta i funktionens verksamhet. I dess egenskap av ansvarig myndighet för funktionen, bör Riksbanken ansvara för att funktionen bemannas på ett sådant vis att det kan fullfölja sitt uppdrag. Det bör även vara Riksbankens ansvar att se till så att de aktuella medarbetarna har tillräcklig kompetens för uppdraget.

Tekniska system I dess egenskap av ansvarig myndighet för funktionen bör Riksbanken ansvara för att det finns tekniska system på plats för att möjliggöra ett säkert delande av information samt för att snabbt kunna informera funktionens deltagare om viktiga händelser och för att kunna hålla digitala möten mellan funktionens deltagare. Dessa tekniska system behöver givetvis utformas med iakttagande av rimliga krav på säkerhet och tillförlitlighet. Som utvecklas nedan anser utredningen att uppgifter som delas inom ramen för funktionen ska omfattas av tystnadsplikt. 240 Förekomsten av såväl tekniska som legala möjligheter att dela och skydda information kan tillsammans skapa de rätta förutsättningarna för att relevant information delas mellan berörda aktörer. Den ansvariga myndigheten bör även ansvara för att det finns lämpliga ledningsplatser för funktionens verksamhet.

Inlån av medarbetare Utöver Riksbankens egna medarbetare bör Riksbanken överväga om medarbetare från andra myndigheter ska kunna delta i den krishanterande funktionens verksamhet i händelse av en aktivering. Det bör här främst röra sig om medarbetare från Finansinspektionen och Riksgälden men även medarbetare från andra myndigheter bör kunna komma i fråga. Om Riksbanken bedömer att det kan vara nödvändigt med deltagande av medarbetare från andra myndigheter bör den se till så att överenskommelser med dessa myndigheter om så kallade personallån finns på plats så att medarbetare kan börja tjänstgöra vid Riksbanken utan dröjsmål. Av en sådan överenskommelse om personallån bör det bland annat framgå vilken myndighet som ska stå kostnaderna för den utlånade personalens lön och utlägg. Givetvis behöver den utlånande myndigheten

240 Se nedan under 6.9 gällande utredningens förslag och överväganden kring tystnadsplikt och sekretess i funktionens verksamhet.

själv bedöma vilka möjligheter den har att låna ut medarbetare. Även medarbetares eventuella krigsplaceringar kan behöva beaktas. 241 Om den inlånade arbetstagaren ska utföra arbetsuppgifter i säkerhetskänslig verksamhet behöver hen genomgå en säkerhetsprövning. Detta gäller även om den aktuella arbetstagaren redan är säkerhetsprövad av sin arbetsgivare och placerad i säkerhetsklass. Säkerhetsprövning och eventuell placering i säkerhetsklass genomförs av inlånande myndighet. Om personallån blir aktuellt för säkerhetskänslig verksamhet behöver inte något säkerhetsskyddsavtal ingås myndigheter emellan eftersom det inte anses vara anskaffning av en sådan tjänst som avses i 4 kap. 2 § säkerhetsskyddslagen. I syfte att underlätta vid säkerhetsprövningen är det viktigt att det förs en dialog mellan Riksbanken och den utlånande myndigheten i frågor som kan ha betydelse för säkerhetsprövningen. 242 Inlåning av medarbetare från företag kräver dock att ett säkerhetsskyddsavtal tecknas om medarbetarna ska utföra arbetsuppgifter i säkerhetskänslig verksamhet. Utredningen vill avslutningsvis betona vikten av att de överenskommelser och avtal som eventuellt ingås gällande inlån av medarbetare löpande ses över så att de kan användas i ett skarpt läge.

6.9 Tystnadsplikt och sekretess

Förslag: Tystnadsplikt ska gälla för de personer som genom sitt deltagande i den krishanterande funktionens verksamhet fått kännedom om en enskilds affärs- eller driftförhållanden, förhållanden av betydelse för att förebygga eller hantera fredstida krissituationer, eller förhållanden av betydelse för totalförsvaret eller annars för Sveriges säkerhet. Tystnadsplikt ska också gälla för uppgifter om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med en enskild som ingår i den krishanterande funktionen. En ny bestämmelse om sekretess ska införas för uppgifter om en enskilds affärs- och driftförhållanden som ingår i den krishanterande funktionen och för uppgifter om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med en enskild som ingår i den krishanterande funktionen. Sekretess enligt den nya bestämmelsen ska gälla hos Riksbanken samt hos de övriga myndigheter som ingår i den krishanterande funktionen. Sekretess enligt den nya bestämmelsen ska vidare inskränka den grundlagsfästa meddelarfriheten. Sekretess enligt den nya bestämmelsen för uppgifter om en enskilds affärs- och driftförhållanden ska vara försedd med ett rakt skaderekvisit

241 Krigsplacering är en placering inför höjd beredskap. Som framgått ovan kommer funktionen att kunna vara aktiverad såväl under höjd beredskap som vid en fredstida krissituation. Det är därmed möjligt för en medarbetare som är krigsplacerad på annan plats att delta i funktionens arbete under en fredstida krissituation. 242 Se Ds 2022:26 En hjälpande hand – ökade möjligheter till in- och utlån av personal mellan myndigheter. s. 83 ff. 99

medan sekretess för uppgifter som avser ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med en enskild som ingår i den krishanterande funktionen ska vara absolut. Sekretessen ska gälla för en uppgift i en allmän handling i högst tjugo år. Sekretess enligt denna bestämmelse ska dock inte gälla hos en domstol i dess rättskipande eller rättsvårdande verksamhet. Sekretess ska inte hindra att en uppgift lämnas till en enskild eller en myndighet om uppgiften är nödvändig för verksamheten i den krishanterande funktionen. En uppgift ska dock inte lämnas om övervägande skäl talar för att det intresse som sekretessen eller tystnadsplikten ska skydda har företräde framför intresset av att uppgiften lämnas ut. Den sekretessbrytande bestämmelsen ska inte få tillämpas i strid med internationella avtal.

Tystnadsplikt Den krishanterande funktion som utredningen föreslår kommer att bestå av såväl privata som offentliga aktörer. De personer som deltar i den krishanterande funktionen för ett enskilt företags räkning kan komma att få ta del av information som omfattas av sekretess. Mot denna bakgrund bör tystnadsplikt gälla för den som deltar i funktionen. Det bör vara upp till varje aktör att själv bedöma vilken information som ska delas inom ramen för funktionens verksamhet. Som nämns ovan under avsnitt 6.7 ska Riksbanken ha rätt att begära att ett företag lämnar en uppgift till Riksbanken om uppgiften är nödvändig för verksamheten i den krishanterande funktionen. Genom att införa en tystnadsplikt för den som deltar i funktionens verksamhet kan förutsättningar skapas för ett effektivt ömsesidigt informationsutbyte mellan de deltagande aktörerna. Tystnadsplikten bör omfatta uppgifter om en enskilds affärs- eller driftförhållanden, förhållanden av betydelse för att förebygga eller hantera fredstida krissituationer, eller förhållanden av betydelse för totalförsvaret eller annars för Sveriges säkerhet som en person som representerar ett företag som ingår i funktionen fått kännedom om inom ramen för funktionens verksamhet. Författningsreglerad tystnadsplikt utgör en inskränkning av yttrandefriheten. Yttrandefriheten får dock begränsas genom lag. En sådan begränsning får göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den. För yttrandefriheten gäller vidare att den får inskränkas med hänsyn till bland annat rikets säkerhet. Vid bedömandet av vilka begränsningar som får göras ska särskilt beaktas vikten av vidaste möjliga yttrandefrihet och informationsfrihet i politiska, religiösa, fackliga, vetenskapliga och 243 kulturella angelägenheter. Utredningen kan konstatera att tystnadsplikt idag gäller för den som deltar i Riksbankens verksamhet enligt 5 kap. riksbankslagen. Mot denna

243 Se 2 kap. 20 § första stycket, 21 § och 23 § första och andra styckena regeringsformen.

bakgrund samt mot bakgrund av vad som sagts ovan anser utredningen att en författningsreglerad tystnadsplikt på detta område är motiverad. Den nuvarande bestämmelsen i 5 kap. 6 § riksbankslagen om tystnadsplikt är utformad på så vis så att den omfattar alla som fått kännedom om en uppgift på grund av bestämmelser i 5 kap. Utredningen anser emellertid att den nuvarande bestämmelsen om tystnadsplikt behöver ändras på så vis att den även avser den som har fått kännedom om förhållanden av betydelse för att förebygga eller hantera fredstida krissituationer . Den krishanterande funktionen kommer, som ovan berörts, att arbeta med såväl förebyggande uppgifter som med att hantera en fredstida krissituation. Det finns mot den bakgrunden skäl för 244 att tystnadsplikten ska omfatta även sådana förhållanden. Utredningen anser alltså att tystnadsplikt ska gälla för den som har fått kännedom om en enskilds affärs- eller driftförhållanden, förhållanden av betydelse för att förebygga eller hantera fredstida krissituationer, eller förhållanden av betydelse för totalförsvaret eller annars för Sveriges säkerhet. Utredningen anser även att tystnadsplikten ska omfatta uppgifter om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med en enskild som ingår i den krishanterande funktionen. Denna typ av uppgifter är idag skyddade hos flera typer av finansiella företag enligt tillämpliga bestämmelser om banksekretess. Även i Finansinspektionens tillsynsverksamhet skyddas 245 denna typ av uppgifter. Utredningen anser att det är motiverat att en uppgift som skyddas hos Finansinspektionen eller hos ett finansiellt företag även omfattas av tystnadsplikt om den lämnas till en representant för ett annat företag som ingår i den krishanterande funktionen. Den som överträder en författningsreglerad tystnadsplikt kan dömas till ansvar för brott mot tystnadsplikt i enlighet med vad som sägs i 20 kap. 3 § brottsbalken.

Sekretess i de deltagande myndigheternas verksamhet När det gäller de deltagande myndigheterna tillämpas bestämmelserna i offentlighets- och sekretesslagen (OSL). Eftersom den krishanterande funktionen kan komma att vara aktiv under såväl en fredstida krissituation som under höjd beredskap är det nödvändigt att sekretess gäller för uppgifter som hänför sig till planering, förberedelser och hantering av båda dessa typer av situationer. Relevanta bestämmelser finns i 18 kap. 13 § OSL avseende sekretess gällande myndigheternas planering inför fredstida krissituationer och i 15 kap. 2 § OSL gällande verksamhet för att försvara landet eller planläggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör totalförsvaret (försvarssekretess). Bestämmelserna i 18 kap. 13 § samt 15 kap. 2 § OSL har ett så kallat rakt skaderekvisit vilket innebär att uppgifterna presumeras vara offentliga. Sekretess gäller alltså enbart om ett röjande av uppgifterna kan medföra skada.

244 Jfr prop. 2023/24:60 En telesamverkansgrupp för fredstida kriser och höjd beredskap s. 22 ff. En motsvarande bestämmelse om sekretess i myndigheters verksamhet finns i 18 kap. 13 § OSL. 245 Se 30 kap. 4 § 1 st. pt. 2. OSL. 101

Utöver skydd för uppgifter som rör planering, förberedelser och hantering av fredstida krissituationer och landets försvar, är det nödvändigt att sekretess gäller för uppgifter om enskildas affärs- och driftförhållanden. Det är viktigt att en öppen dialog kan förekomma i kontakterna mellan representanterna i gruppen och att deltagare som företräder ett företag inte undanhåller viktig information av rädsla för att uppgifterna ska spridas vidare eller utnyttjas i konkurrenssyfte. I 38 kap. 6 § OSL finns bestämmelser om sekretess gällande en enskilds affärs- eller driftförhållanden som har lämnats till följd av särskild lagstiftning om uppgiftsskyldighet i frågor som rör samhällsplanering eller försörjningsberedskap. Av avsnitt 6.7 ovan framgår att utredningen föreslår att de företag som ingår i den krishanterande funktionen ska vara skyldiga att lämna Riksbanken de uppgifter som är nödvändiga för verksamheten i funktionen. Bestämmelsen medför därmed ett skydd för uppgifter om en enskilds affärs- eller driftförhållanden om det kan antas att den enskilde lider skada om uppgiften röjs (rakt skaderekvisit) hos Riksbanken. 246 Bestämmelsen skyddar dock inte uppgifter som har lämnats av en myndighet till Riksbanken eftersom ett sådant uppgiftslämnande inte följer av lag. En uppgift som exempelvis skyddas av sekretess hos Finansinspektionen kan komma att inte omfattas av sekretess om den lämnas till Riksbanken i dess egenskap av ansvarig myndighet för den krishanterande funktionen. Bestämmelsen skyddar inte heller uppgifter om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med ett företag som ingår i den krishanterande funktionen. Som nämns ovan skyddas uppgifter om enskildas affärs- eller driftförhållanden, förhållanden av betydelse för att förebygga eller hantera fredstida krissituationer samt förhållanden av betydelse för Sveriges säkerhet hos de enskilda företagen som deltar i den krishanterande funktionen av den tystnadsplikt som framgår av riksbankslagen. Eftersom den krishanterande funktionen även kommer att bestå av Finansinspektionen och Riksgälden är det nödvändigt att sekretess för uppgifter om enskildas affärs- och driftförhållanden även gäller i dessa myndigheters verksamheter. Sekretessbestämmelsens tillämplighet är inte beroende av hos vilken myndighet uppgifterna förekommer. 247 Sekretess gäller vidare enligt 30 kap. 4 § OSL i en statlig myndighets verksamhet som består i tillståndsgivning eller tillsyn med avseende på bank- och kreditväsendet, värdepappersmarknaden eller försäkringsväsendet, bland annat för uppgift om affärs- eller driftförhållanden hos den som myndighetens verksamhet avser. 248 Sekretess förutsätter att det kan antas att denne lider skada om uppgiften röjs (rakt skaderekvisit). Sekretess gäller även i förhållande till uppgifter om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med den som myndighetens verksamhet avser. För denna typ av uppgifter är sekretessen absolut vilket

246 Jfr prop. 2021/22:41 En ny riksbankslag. s. 188. 247 Se Lorentzon, Offentlighets- och sekretesslag (2009:400) 38 kap. 6 §, Lexino 2023-09- 26. 248 30 kap. 4 § st. 1 pt. OSL.

innebär att inga uppgifter får lämnas ut till andra än anställda som behöver uppgifterna för att kunna utföra sitt arbete. Frågan är emellertid om bestämmelsen i 30 kap. 4 § OSL kan vara tillämplig på en uppgift hos de myndigheter som ingår i den krishanterande funktionen. Det har uttalats i förarbetena till OSL att begreppet tillsyn inte ska ges en alltför snäv tolkning utan får anses omfatta alla de fall där en 249 myndighet har en övervakande eller styrande funktion. Trots detta är det osäkert om denna bestämmelse kan tillämpas hos de myndigheter som ingår i funktionen eftersom den krishanterande funktionen inte kommer att bedriva tillsyn eller verksamhet som är liknande tillsyn. Den tystnadsplikt som följer av 15 kap. 2 §, 18 kap. 13 §, 30 kap. 4 § samt 38 kap. 6 § OSL medför inskränkningar av den grundlagsfästa meddelarfriheten. 250 Sammantaget bedömer utredningen dock att det finns behov av en ytterligare bestämmelse gällande sekretess avseende uppgifter som har lämnats till Riksbanken i syfte att användas i den krishanterande funktionens verksamhet. Den nya bestämmelsen ska avse uppgifter om en enskilds affärs- och driftförhållanden som ingår i den krishanterande funktionen. Bestämmelsen ska även avse ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med en enskild som ingår i den krishanterande funktionen. På så vis kan uppgifter som hos exempelvis ett kreditinstitut omfattas av banksekretess skyddas även hos myndigheterna som ingår i den krishanterande funktionen. Sekretess enligt denna bestämmelse ska dock inte gälla hos en domstol i dess rättskipande eller rättsvårdande verksamhet. 251 I likhet med vad som gäller för exempelvis sekretess med stöd av 38 kap. 6 § OSL ska sekretess enligt denna nya bestämmelse medföra inskränkningar av den grundlagsfästa meddelarfriheten. För uppgift i en allmän handling ska sekretessen, i likhet med vad som gäller enligt bland annat 30 kap. 4 § och 38 kap. 6 § OSL, gälla i högst tjugo år. Slutligen anser utredningen att sekretess enligt denna nya bestämmelse för uppgifter om en enskilds affärs- och driftförhållanden ska vara försedd med ett rakt skaderekvisit medan sekretess för uppgifter som avser ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med en enskild som ingår i den krishanterande funktionen, ska vara absolut. På så vis uppnås samma skydd för dessa uppgifter hos myndigheterna i den krishanterande funktionen som de skulle ha haft i Finansinspektionens och Riksbankens tillsynsverksamhet enligt 30 kap. 4 § OSL. Den nya bestämmelsen placeras lämpligen i en ny paragraf i anslutning till den befintliga bestämmelsen 31 kap. 1 § OSL som innehåller regler om sekretess i olika delar av Riksbankens verksamhet. Även om bestämmelsen ska avse andra myndigheter än Riksbanken bedömer

249 Se prop. 1979/80:2 med förslag till sekretesslag m.m. Del A s. 233 samt prop. 2008/09:150 Offentlighets- och sekretesslag s. 355 f. Se även prop. 2021/22: 41 En ny riksbankslag. s. 187 f. gällande bestämmelsens tillämning i Riksbankens verksamhet. 250 Se 15 kap. 6 §, 18 kap. 19 §, 30 kap. 30 § respektive 38 kap. 9 § OSL. 251 Se 43 kap. 3 § OSL. 103

utredningen att placeringen är lämplig med hänsyn till att Riksbanken är ansvarig myndighet för den krishanterande funktionen samt att det är Riksbanken som har rätt att besluta att ett företag som ingår i funktionen ska lämna uppgifter. Om flera sekretessbestämmelser är tillämpliga på en uppgift hos en myndighet och en prövning i ett enskilt fall resulterar i att uppgiften inte är sekretessbelagd enligt en eller flera bestämmelser samtidigt som den är sekretessbelagd enligt en eller flera andra bestämmelser, ska de senare bestämmelserna som huvudregel ha företräde. 252

Sekretess i de deltagande företagens verksamhet I flera av de lagar som reglerar finansiella företags verksamhet finns förbud för det finansiella företaget att obehörigen röja information om enskildas förhållande till det aktuella företaget (så kallad 253 banksekretess). Det är möjligt att uppgifter som ett finansiellt företag delar inom ramen för arbetet i den krishanterande funktionen omfattas av banksekretess. I sådant fall kan företaget överväga att sammanställa och presentera informationen på ett sådant vis att den inte röjer sådan information om enskildas förhållanden till det aktuella företaget som omfattas av sekretess. Det bör i sammanhanget också påpekas att de aktuella bestämmelserna om sekretess inte är absoluta eftersom de enbart tar sikte på ett obehörigt röjande av den aktuella informationen. Ett behörigt röjande av information som annars kan vara sekretessbelagd kan exempelvis ske om det finansiella företaget enligt lag är skyldig att röja viss information. De företag som ingår i funktionen ska vara skyldiga att på begäran av Riksbanken lämna de uppgifter som är nödvändiga för verksamheten i funktionen. Det finansiella företag som lämnar ut upplysningar om en kund på grund av att det enligt lag är skyldig därtill anses inte handla 254 obehörigt. Som framgår ovan ska dessa uppgifter skyddas av sekretess i myndigheternas verksamhet. De som deltar i funktionen för ett företags räkning har, som beskrivs ovan, tystnadsplikt.

Sekretessbrytande bestämmelser Även om sekretess gäller för en viss uppgift i en myndighets verksamhet kan det i många fall vara motiverat att denna uppgift delas med någon annan. De myndigheter som deltar i den krishanterande funktionens verksamhet – Riksbanken, Finansinspektionen och Riksgälden – kan under vissa omständigheter behöva dela en uppgift sinsemellan eller med ett företag som deltar i den krishanterande funktionen trots att uppgiften omfattas av sekretess. Av 10 kap. 2 § OSL framgår att sekretess inte hindrar att en uppgift lämnas till en enskild eller till en annan myndighet, om det är nödvändigt

252 7 kap. 3 § OSL. Se även SOU 2019:46 En ny riksbankslag. s. 1649. 253 Sådana bestämmelser finns exempelvis i 1 kap. 10 § lagen (2004:297) om bank- och finansieringsrörelse avseende kreditinstitut samt i 1 kap. 11 § lagen (2007:528) om värdepappersmarknaden avseende bland annat värdepappersbolag, börser och clearingorganisationer. 254 Se prop. 2002/03:139 Reformerade regler för bank- och finansieringsrörelse. s. 479.

för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet . Frågan är därmed om denna bestämmelse kan användas i detta sammanhang. Som nämns ovan kommer det framgå av lag att de tre aktuella myndigheterna ska delta i funktionens verksamhet vilket i sin tur innebär att deltagandet i funktionens arbete kommer att vara en del av respektive myndighets arbete. Det är emellertid inte givet att ett utlämnande av en uppgift alltid kan motiveras av att uppgiften behöver lämnas för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet. Det har även understrukits i förarbetena till OSL att bestämmelsen ska tillämpas med restriktivitet. 255 Vidare framgår det av den så kallade generalklausulen i 10 kap. 27 § OSL att sekretessbelagda uppgifter kan lämnas till en myndighet om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Generalklausulen är dock inte tillämplig på uppgifter som omfattas av viss typ av sekretess och kan inte 256 heller tillämpas om utlämnandet strider mot lag eller förordning. En annan viktig inskränkning är att generalklausulen enbart gäller i förhållande till en annan myndighet vilket innebär att den inte kan användas för att bryta sekretessen i förhållande till en enskild. I den mån en uppgiftsskyldighet följer av lag eller förordning hindrar sekretess inte att en uppgift lämnas till en annan myndighet (10 kap. 28 § OSL). I viss utsträckning bör det vara möjligt för en myndighet att, i likhet med vad som sagts ovan avseende de finansiella företagen, kunna sammanställa och presentera uppgifterna på ett sådant vis att den inte röjer sekretessbelagda uppgifter. Exempelvis bör en uppgift kunna sammanställas på ett sådant vis att den inte röjer information om en enskilds ekonomiska eller personliga förhållanden. Det kan dock, i flera fall, vara väldigt svårt eller omöjligt att helt sålla bort sekretesskyddat material. Mot denna bakgrund anser utredningen att en ny bestämmelse som gör det möjligt att bryta sekretessen i förhållande till en annan myndighet eller enskild som ingår i den krishanterande funktionen, om uppgiften är nödvändig för verksamheten i den krishanterande funktionen, ska införas. Det är den utlämnande myndigheten som prövar om den aktuella uppgiften är nödvändig för verksamheten i den krishanterande funktionen. Med verksamhet menas här såväl funktionens uppdrag när det gäller krishantering som dess uppdrag gällande krisförberedande arbete och kunskapsspridning. Sekretessen ska dock inte brytas om övervägande skäl talar för att det intresse som sekretessen eller tystnadsplikten ska skydda har företräde framför intresset av att uppgiften lämnas ut. Detta innebär att den utlämnande myndigheten ska göra en intresseavvägning innan en uppgift 257 lämnas ut. Vissa kategorier av uppgifter är särskilt känsliga till sin natur och bestämmelsen gör det möjligt för en deltagare att underlåta att lämna ut sådana uppgifter. Exempelvis kan uppgifter om en myndighets

255 Se prop. 1979/80:2 med förslag till sekretesslag m.m. Del A s. 465 och s. 494. 256 Med förordning omfattas här även EU-förordning, exempelvis EU:s allmänna dataskyddsförordning (GDPR). 257 Jfr prop. 2021/22:251 Samverkan mot penningtvätt och finansiering av terrorism. s. 124. 105

arbetsmetoder eller uppgifter som är av stor betydelse för Sveriges säkerhet eller hanteringen av en fredstida krissituation vara att betrakta som känsliga. En uppgift kan också innehålla personuppgifter som är att betrakta som känsliga enligt EU:s allmänna dataskyddsförordning (GDPR) vilket kan tala emot att uppgiften ska lämnas ut. Mot den eventuella skada som ett utlämnande kan medföra ska den utlämnande myndigheten väga den nytta som uppgiften kan ha för verksamheten i den krishanterande funktionen. Detta synsätt innebär att en känslig uppgift förutsätter att uppgiften i betydande utsträckning är nödvändig för funktionens verksamhet. Den utlämnande myndigheten ska även bedöma om uppgiften ska delas med samtliga eller enbart vissa deltagare. Även här behöver myndigheten väga nödvändigheten av att alla funktionens deltagare har tillgång uppgiften mot den skada som ett spridande av uppgiften kan medföra. Den sekretessbrytande bestämmelsen ska vidare enbart tillämpas om den som lämnar uppgiften och den som tar emot uppgiften ingår i krishanteringsfunktionen för den finansiella sektorn. Den nya bestämmelsen bör placeras i 10 kap. OSL som innehåller bestämmelser om brytande av sekretess till förmån för myndigheter och enskilda. Avslutningsvis bör det erinras om att sekretess med syfte att skydda verksamheten måste bedömas av den myndighet som förfogar över informationen. Allmänna principer gällande tillämpningen av regelverket kring offentlighet och sekretess bör vara föremål för diskussion mellan de myndigheter som ingår i den krishanterande funktionen.

6.10 Utvidgad informationsplikt

Förslag: Under fredstida krissituationer och vid höjd beredskap ska Riksbanken även hålla Finansinspektionen underrättad om viktigare frågor.

Enligt riksbankslagen (5 kap. 7 §) är Riksbanken skyldig att hålla regeringen och Riksgälden underrättade om viktigare frågor under fredstida kriser och vid höjd beredskap. 258 Utredningens ovan redovisade förslag innebär att Finansinspektionen tillsammans med Riksgälden ska ingå i den nya krishanterande funktionens verksamhet. Därtill har Finansinspektionen sedan den 1 oktober 2022 uppdraget att vara sektorsansvarig myndighet för beredskapssektorn Finansiella tjänster. Detta innebär bland annat att Finansinspektionen, tillsammans med Riksbanken, har ett ansvar för planering och förberedelser inför fredstids krissituationer och höjd beredskap. I samband med att Finansinspektionen blev sektorsansvarig myndighet infördes därför en skyldighet för Finansinspektionen att samverka med Riksbanken i frågor som rör 259 fredstida krissituationer och höjd beredskap i myndighetens instruktion.

258 Som nämnts ovan föreslår utredningen även att Riksbanken ska vara skyldig att hålla regeringen underrättad om verksamheten i den krishanterande funktionen (se ovan under avsnitt 6.3). 259 Se 13 § förordningen (2023:910) med instruktion för Finansinspektionen.

Utredningen anser mot bakgrund av vad som ovan anförts att Riksbankens skyldighet att hålla regeringen och Riksgäldskontoret underrättade under fredstida krissituationer och vid höjd beredskap ska, i linje med vad som nyligen föreslagits av Betalningsutredningen, utsträckas till att även omfatta Finansinspektionen. 260 I sitt remissvar på Betalningsutredningens betänkande ansåg Riksbanken att en sådan skyldighet inte är nödvändig med hänvisning till den överenskommelse 261 som tecknades mellan Riksbanken och Finansinspektionen i juni 2023. Finansinspektionen stödjer dock ett förtydligande av samordningsformerna mellan myndigheten och Riksbanken. 262 Som ovan nämnt innefattar överenskommelsen mellan Finansinspektionen och Riksbanken inte hantering under en fredstida krissituation eller höjd beredskap. Utredningen anser mot den bakgrunden att behovet av en utsträckt informationsskyldighet för Riksbanken i förhållande till Finansinspektionen kvarstår även efter det att överenskommelsen ingåtts. Utredningen anser att det i första hand bör vara upp till Riksbanken att bedöma när information behöver ges i enlighet med denna bestämmelse. 263 I sin egenskap av ansvarig myndighet för den nya krishanterande funktionen behöver Riksbanken, som diskuterats ovan, givetvis även samverka med flera olika myndigheter och därmed lämna information till dessa myndigheter. I likhet med vad regeringen anförde i förarbetena till riksbankslagen anser utredningen att sådan samverkan kan ske med stöd i den generella bestämmelsen om samverkan mellan myndigheter i 8 § förvaltningslagen (2017:900). 264

260 Betalningsutredningen föreslog nyligen att regeringen bör överväga att föreslå ändringar i riksbankslagen så att Riksbanken blir skyldig att samråda med eller informera Finansinspektionen under fredstida krissituationer och vid höjd beredskap. Utredningen förslog dock inga författningsändringar i detta avseende. Se SOU 2023:16 Staten och betalningarna s. 565 ff. 261 Remissvar om betänkandet Staten och betalningarna (SOU 2023:16) (RB dnr 2023 – 00784). 262 Remissvar, Staten och betalningarna (SOU 2023:16) (FI dnr 23 – 17476). Även MSB ställer sig bakom utredningens förslag i detta hänseende. Se MSB:s remissvar avseende betänkandet SOU 2023:16 Staten och betalningarna (dnr MSB 2023 – 08898). 263 Jfr prop. 2021/22: 41 En ny riksbankslag. s. 229. 264 Se prop. 2021/22: 41 En ny riksbankslag. s. 132 f. 107

7 Ikraftträdande- och övergångsbestämmelser

Förslag: Lagändringarna ska träda i kraft den 1 januari 2025.

När det gäller ikraftträdandet av de föreslagna lagändringarna gör utredningen följande överväganden. Som anförts ovan finns det idag ett tydligt behov av en utpekad aktör med ansvar för krishantering inom den finansiella sektorn i Sverige. Inte minst mot bakgrund av det försämrade säkerhetspolitiska läget anser utredningen att det finns goda skäl att inte fördröja etableringen av den nya krishanterande funktionen. Samtidigt är det nödvändigt att ge tillräcklig tid för Riksbanken att etablera denna nya funktion på ett ordnat vis. Utredningen anser därför att de föreslagna lagändringarna ska träda i kraft den 1 januari 2025. Med stöd av uttalanden i förarbetena till riksbankslagen arbetar Riksbanken för tillfället med att bygga upp en mer permanent ledningsfunktion för samordning och information avseende de företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar och därmed omfattas av Riksbankens föreskrifter och allmänna råd (RBFS 2023:3) om företag av särskild betydelse för genomförandet av betalningar under fredstida krissituationer och vid höjd 265 beredskap. Utredningens förslag innebär sannolikt en utvidgning av denna ledningsfunktion. Mot bakgrund av att den funktion som nu byggs upp inte framgår av lag bedömer utredningen att det inte är nödvändigt att föreslå några övergångsbestämmelser. Riksbanken kan emellertid komma att behöva genomföra ändringar i sina nyss nämnda föreskrifter och allmänna råd.

265 Se 8 § i Riksbankens föreskrifter samt under bland annat avsnitt 4.4.8 ovan.

8 Konsekvenser

8.1 Inledning

I uppdraget ingår att redovisa konsekvenserna av förslagen. Utredningen ska beräkna förslagens ekonomiska konsekvenser och analysera konsekvenser i övrigt för företag och det allmänna. Om förslag som lämnas innebär offentligfinansiella kostnader ska utredningen lämna förslag till finansiering. Utredningen ska även i övrigt tillämpa riktlinjerna i 6 och 7 §§ förordningen (2007:1244) om konsekvensutredning vid regelgivning. Konsekvenserna av utredningens förslag redovisas i detta kapitel.

8.2 Problemet och vad man vill åstadkomma

Som har beskrivits i kapitel 5 ovan har flera olika myndigheter ansvar för att hantera en allvarlig driftstörning som drabbat den finansiella sektorn eller minska konsekvenserna av en sådan driftstörning. Flera privata organisationer spelar också en viktig roll. Därutöver har de enskilda företagen ett betydande ansvar för att se till så att de kan hantera en driftstörning. Det finns dock i dagsläget inte en utpekad myndighet med ett tydligt ansvar för att bedriva krishantering i händelse av en allvarlig driftstörning i den finansiella sektorn. Det finns därmed en risk för att det vid en krissituation inte finns tillräcklig tydlighet kring vilken myndighet som ska ta ansvar för den operativa krisledningen. I händelse av en allvarlig driftstörning är det av stor vikt att just tydlighet finns kring vem som bär ansvaret för krisledningen. En otydlighet på detta område kan riskera att förvärra det allvarliga läget medan en tydlig krishanterande funktion påtagligt kan mildra effekterna av en negativ händelse. Detta är särskilt påtagligt inom den finansiella sektorn där svårigheter hos ett finansiellt företag snabbt kan drabba hela det finansiella systemet, särskilt om företaget i fråga har en systemviktig roll och problem hos företaget får en direkt påverkan på dess kunder. I händelse av ett fientligt angrepp mot Sverige eller en liknande händelse kan problem hos ett eller flera enskilda finansiella företag, om de är tillräckligt allvarliga, även få en negativ inverkan på försvarsviljan. Det finns därmed ett tydligt behov av ett en myndighet ges ansvar för att inrätta en krishanterande funktion för att agera i händelse av en allvarlig driftstörning som riskerar att påverka den finansiella sektorn. Som berörs ovan i avsnitt 5.3 har i princip samtliga aktörer som utredningen varit i kontakt med förordat inrättandet av någon form av krishanterande funktion för den finansiella sektorn. Förslag om inrättandet av en sådan funktion har också tidigare framförts av såväl Finansinspektionen, Riksbanken, Riksgälden och Internationella valutafonden (IMF). Som utredningen närmare motiverar i avsnitt 6.3 ovan bör Riksbanken ges ansvaret för den krishanterande funktionen.

8.3 Alternativa lösningar

Det är möjligt att tänka sig flera olika alternativa lösningar i förhållande till de förslag som utredningen lämnar. Ett teoretiskt alternativ är att inte föreslå en krishanterande funktion överhuvudtaget. Detta skulle innebära att nuvarande ordning skulle bestå. Som framgår av föregående avsnitt samt av avsnitt 5.3 ovan är nuvarande ordning inte tillfredsställande. Givet vad som sagts ovan gällande hur snabbt problem hos ett finansiellt företag kan spridas till andra företag och därmed påverka hela det finansiella systemet, samt mot bakgrund av att en mycket stor del av den samhällsviktiga verksamheten inom den finansiella sektorn bedrivs av privata företag, är det av stor betydelse för såväl den finansiella sektorn som för samhällsekonomin i stort att samhället snabbt kan avhjälpa eller mildra konsekvenserna av en allvarlig driftstörning i sektorn. Som ovan redogjorts för framgår det av förarbetena till den nu gällande riksbankslagen att Riksbanken vid störningar i genomförandet av betalningar under fredstida krissituationer omgående ska upprätta en ledningsfunktion för samordning och information. 266 Denna ledningsfunktion, som är under uppbyggnad, kommer dock vara begränsad till att hantera störningar i betalningssystemet till skillnad från att avse samtliga finansiella tjänster som den funktion utredningen föreslår ska ansvara för. Vidare anser utredningen att det är av vikt att funktionen bedriver ett visst krisförberedande och kunskapsspridande arbete. Mot denna bakgrund bedömer utredningen att det finns ett behov av den föreslagna regleringen avseende den nya krishanterande funktionen. När det gäller den krishanterande funktionens konstruktion och mandat går det givetvis att tänka sig olika alternativ. Ett sådant alternativ skulle kunna vara att föreslå att någon annan myndighet än Riksbanken ska ansvara för funktionen. Det finns flera olika skäl som talar för att Riksbanken ska ges detta ansvar. Bland dessa skäl märks: • Genom sin centrala operativ roll i det svenska finansiella systemet, i synnerhet när det gäller betalningar, kan Riksbanken sägas utgöra navet i det svenska betalningssystemet. • Riksbankens erfarenheter utifrån dess ansvar för finansiell stabilitet samt dess övervakning av centrala aktörer inom den finansiella infrastrukturen. • Riksbankens erfarenheter utifrån dess arbete i förhållande till företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar. • Riksbankens erfarenheter av att sedan 2016 bedrivit krissamverkan för det centrala betalningssystemet. • Faktumet att Riksbanken nu bygger upp en formell krissamverkan med de företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar. Ett inrättande av en motsvarande funktion hos en annan myndighet som skulle avse hela den finansiella sektorn, där betalningar utgör en helt central del, bedömer utredningen skulle vara såväl ineffektivt som olämpligt.

266 Prop. 2021/22:41 En ny riksbankslag. s. 227. Se även ovan under 4.3.8.

Som utredningen redogör för ovan under 6.3 finns det andra myndigheter, exempelvis Finansiella stabilitetsrådet, Finansinspektionen, MSB och Regeringskansliet som skulle kunna ges detta ansvar. Utredningen bedömer dock att ovan angivna skäl talar för att Riksbankens ska ges detta ansvar. Utredningen föreslår även att Riksbanken ska ha möjlighet att besluta om att enskilda företag ska kunna åläggas att delta i funktionens verksamhet. Det är möjligt att tänka sig att ett deltagande helt skulle kunna vara byggt på frivillighet. Mot bakgrund av att en allvarlig driftstörning i den finansiella sektorns digitala motståndskraft kan få mycket allvarliga konsekvenser för den finansiella sektorn och i förlängningen för hela samhällsekonomin bedömer utredningen att det finns skäl för att ge Riksbanken möjlighet att ålägga företag att delta i funktionens verksamhet. Även om enskilda företag och samhället i regel har samma incitament när det gäller att bygga en stark motståndskraft mot störningar i den digitala infrastrukturen finns risken att det enskilda företaget inte fullt ut beaktar konsekvenserna för hela samhället när det dimensionerar sin motståndskraft. Därutöver har risken för avsiktligt orsakade driftstörningar kommit att öka i takt med det försämrade säkerhetsläget. Utredningens uppfattning är att de finansiella företagen kommer att kunna delta i funktionens verksamhet på frivillig väg. Det är dock inte otänkbart att företagens motivation att delta frivilligt inte alltid kommer att vara densamma, särskilt om det säkerhetspolitiska läget skulle förbättras. Mot den bakgrunden anser utredningen det vara motiverat att ge Riksbanken en möjlighet att ålägga företag att delta i funktionens verksamhet. Utredningen föreslår vidare att tystnadsplikt ska gälla för de som deltar i funktionens verksamhet. Alternativet hade varit att tystnadsplikt inte ska gälla i funktionens verksamhet. Som utredningen motiverar ovan under avsnitt 6.9 är en lagstadgad tystnadsplikt i regel en förutsättning för en välfungerande krishantering och krisförberedande arbete. En avsaknad av tystnadsplikt kan medföra att information som behöver delas med berörda aktörer inte kan delas vilket i sin tur kan leda till att funktionens förutsättningar att utföra sina uppgifter kan försämras. Utredningen föreslår även att en ny sekretessbrytande bestämmelse samt en ny bestämmelse om sekretess ska införas. Alternativet skulle vara att inte införa dessa bestämmelser. I likhet med vad som nyss sagts gällande tystnadsplikt bedömer utredningen att dessa bestämmelser är nödvändiga för att funktionen ska kunna fullgöra sina uppgifter. Slutligen föreslår utredningen att Riksbankens skyldighet att under fredstida krissituationer och vid höjd beredskap hålla regeringen, och Riksgäldskontoret underrättade om viktigare frågor ska utsträckas till att även omfatta Finansinspektionen. Som redogörs för ovan under 6.10 har Finansinspektionen nyligen utsetts till sektorsansvarig myndighet för beredskapssektorn Finansiella tjänster. Mot denna bakgrund samt mot bakgrund av att Finansinspektionen föreslås ingå i den nya krishanterande funktionen tillsammans med Riksbanken och Riksgälden bedömer utredningen att den nämnda skyldigheten behöver utsträckas. Utredningens bedömning är att ett utsträckande av informationsplikten på detta område kan bidra till att förbättra samarbetet inom såväl beredskapssektorn Finansiella tjänster som inom den föreslagna 111

krishanterande funktionen. Om en utvidgning av informationsplikten inte skulle ske skulle de nämnda positiva effekterna utebli.

8.4 Konsekvenser för företag

8.4.1 Berörda företag

Den reglering som utredningen föreslår innebär att Riksbanken kommer att ges möjlighet att ålägga företag att delta i den krishanterande funktionens verksamhet. Det framgår av utredningens lagförslag att företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar samt de övriga företag som Riksbanken beslutar ska ingå i funktionen. Den förstnämnda kategorin av företag är 267 inledningsvis tolv till antalet. I avsnitt 6.6 ovan redogör utredningen för vilka överväganden som bör vara vägledande när Riksbanken ska avgöra vilka övriga företag som ska delta i den krishanterande funktionens verksamhet. Utöver dessa företag kan det tänkas att även andra större kreditinstitut eller särskilt betydande filialer bör ingå i funktionens verksamhet. Därutöver kan även andra finansiella företag som har en central betydelse för att upprätthålla samhällsfunktionerna inom den finansiella sektorn komma att ingå. Det kan exempelvis röra sig om andra företag inom den finansiella 268 infrastrukturen eller större värdepappersbolag och försäkringsföretag. Därutöver kan det bli aktuellt att inkludera företag som kortnätverken Visa och Mastercard trots att dessa inte står under tillsyn av Finansinspektionen eller omfattas av Riksbankens föreskrifter och allmänna råd. Sammantaget rör det sig om mellan 12 och 25 olika företag som kan tänkas ingå funktionens verksamhet. Eftersom utredningens förslag innebär att Riksbanken ska besluta om vilka företag, utöver de som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar, som ska ingå i funktionens verksamhet kan det komma att röra sig om såväl fler som färre företag. De ytterligare företag som kan komma att omfattas av den föreslagna regleringen är av varierande storlek. Några av de större kreditinstituten tillhör bland de största företagen i Sverige sett till antalet anställda medan

267 Dessa företag kommer från och med den 1 februari 2024 att omfattas av Riksbankens föreskrifter och allmänna råd (RBFS 2023:3) om företag av särskild betydelse för genomförandet av betalningar under fredstida krissituationer och vid höjd beredskap. Det rör sig om följande företag: Bankgirot AB, Bankomat AB, Danske Bank A/S (svensk filial), Euroclear Sweden AB, Finansiell ID-Teknik BID AB, Getswish AB, Loomis Sverige AB, Länsförsäkringar Bank AB, Nordea Bank Abp (svensk filial), Skandinaviska Enskilda Banken AB, Svenska Handelsbanken AB, samt Swedbank AB. Se Riksbanken, Beslutspromemoria, Betalningar under fredstida krissituationer och vid höjd beredskap (dnr 2023 – 01339). Det är dock möjligt att ytterligare företag med tiden kan komma att omfattas av Riksbankens föreskrifter och allmänna råd. 268 Exempel härpå är centrala motparter och företag som har tillstånd att driva en reglerad marknad.

andra företag, exempelvis de inom den finansiella infrastrukturen, har betydligt färre anställda. Inga av dessa företag är emellertid att betrakta 269 som småföretag eller mikroföretag. Vad gäller de kostnadsmässiga samt andra konsekvenserna av utredningens förslag för företagen kan följande tilläggas. Utredningen förslag innebär att företagen ska täcka sina egna kostnader för dess medverkan i funktionens verksamhet. De enskilda företagens kostnader kommer sannolikt främst bestå i att avsätta medarbetares arbetstid för att delta i övningsverksamhet eller i annan verksamhet som funktionen bedriver. Även om det är svårt att på förhand uppskatta storleken på kostnaderna för de enskilda företagens medverkan bör det kunna konstateras att det rör sig om tämligen begränsade insatser av ett fåtal medarbetare hos de berörda företagen. Det kan även komma att handla om mindre investeringar i tekniska system för att kunna delta i digitala möten med funktionens övriga deltagare. Det bör i sammanhanget noteras att flera av de företag som kommer att ingå i funktionens verksamhet – nämligen de företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar – kommer att vara skyldiga att planera och förbereda för att kunna ingå i Riksbankens ledningsfunktion för samordning och information enligt 8 § i Riksbankens föreskrifter och allmänna råd (RBFS 2023:3) om företag av särskild betydelse för genomförandet av betalningar under fredstida krissituationer och vid höjd beredskap. Som utredningen anför ovan i avsnitt 6.7 bör Riksbanken i dess egenskap av ansvarig myndighet verka för att merkostnaderna för de deltagande företagen inte blir alltför betydande.

8.4.2 Konkurrensförhållanden

Som redogjorts för ovan under avsnitt 6.6 kommer sannolikt enbart ett fåtal av de omkring 2 000 finansiella företag som står under Finansinspektionens tillsyn att omfattas av den föreslagna regleringen. Frågan är därmed hur detta faktum påverkar konkurrensförhållandena inom den aktuella branschen. De företag som kommer att ingå i funktionens verksamhet kommer att behöva avsätta vissa resurser för att kunna delta i funktionens verksamhet. Detta kan givetvis upplevas som betungande för det enskilda företaget. För de företag som inte omfattas finns inte motsvarande krav på deltagande. Samtidigt bör det betonas att det enskilda företagets medverkan i den krishanterande funktionen syftar till att stärka såväl dess egen som hela den finansiella sektorns hantering av en allvarlig driftstörning. Genom att vara en del av den krishanterande funktionens verksamhet kan företagens egna rutiner för krishantering förbättras. Ett deltagande kan därmed gynna det enskilda företaget. Ett annat perspektiv är att de företag som inte kommer att ingå i funktionens verksamhet kan uppleva sig vara missgynnade. Som

269 En definition av dessa företagstyper finns i Kommissionens rekommendation av den 6 maj 2003 om definitionen av mikroföretag samt små och medelstora företag. 113

redogjorts för ovan under 6.6 är det inte möjligt att inkludera alla finansiella företag i funktionens verksamhet. Vägledande vid bedömningen kring vilka företag som ska ingå bör vara huruvida företaget tillhandahåller en tjänst som är av central betydelse för att upprätthålla de viktiga samhällsfunktionerna inom den finansiella sektorn; sparande, finansiering och finansiell riskhantering, finansiell stabilitet och försäkring. Mot bakgrund av det finansiella systemets sammanlänkning är det avgörande för även mindre aktörer att de större aktörerna har en god motståndskraft mot driftstörningar. Detta eftersom en driftstörning hos ett företag som har en mer central roll i det finansiella systemet snabbt kan spridas till andra aktörer. Sammanfattningsvis kan det konstateras att utredningens förslag påverkar konkurrensförhållandena inom den finansiella sektorn i viss utsträckning men att denna påverkan bör anses vara godtagbar om man beaktar syftet med regleringen.

8.5 Konsekvenser för det allmänna

8.5.1 Riksbanken

Utredningens förslag innebär att Riksbanken ska ges ansvaret för den krishanterande funktionen. Som berörts ovan – bland annat under avsnitt 6.3 ovan – pågår ett arbete redan idag hos Riksbanken med att bygga upp en ledningsfunktion. Den krishanterande funktion som utredningen föreslår kommer att ha ett bredare verksamhetsområde och sannolikt även omfatta fler företag än den ledningsfunktion som Riksbanken planerar. Vilka uppgifter funktionen kommer att ha framgår av avsnitt 6.2 ovan. Utredningens förslag innebär att Riksbanken ska leda funktionens arbete och ansvara för dess bemanning. Funktionen bör ledas av en ordförande som är anställd hos Riksbanken. Som närmare diskuteras ovan under avsnitt 6.8 bör den krishanterande funktionens verksamhet när en kris inte föreligger vara tämligen begränsad. Viss personal kommer behöva arbeta löpande med administrativa uppgifter gällande funktionens verksamhet. Därutöver föreslår utredningen att funktionen ska bedriva visst kunskapsspridande arbete. Bemanningen kan dock komma att bli tämligen omfattande i händelse av att funktionen behöver aktiveras. En rimlig lösning på denna utmaning är att personal inom Riksbanken ges i uppdrag att delta i funktionens verksamhet i händelse av en aktivering. Dessa medarbetare kommer att behöva lägga en mindre del av sin arbetstid på exempelvis deltagande i övningar etc. Utredningen beräknar att omkring 1 – 2 årsarbetskrafter totalt kommer att behöva läggas på att bemanna funktionen och ge den ett adekvat administrativt stöd. Därutöver föreslår utredningen att Riksbanken, som ansvarig myndighet för funktionen, ska ansvara för att det finns lämpligt tekniska system på plats för att snabbt informera dess deltagare om viktiga händelser samt för att kunna hålla digitala möten med iakttagande av rimliga krav på säkerhet och tillförlitlighet. Vidare bör funktionen ha en egen webbplats alternativt tillgång till en del av Riksbankens webbplats för publicering av

information gällande funktionen och dess verksamhet. I dess egenskap av ansvarig myndighet bör Riksbanken även ansvara för att funktionen och dess deltagare har tillgång till effektiva och säkra kommunikationslösningar samt att det finns lämpliga ledningsplatser för funktionens verksamhet. Riksbankens kostnader som följer av förslagen bedöms sammanlagt uppgå till mellan 1,3 och 2,6 miljoner kronor per år. Jämfört med det genomsnittliga justerade resultatet för Riksbanken under åren 2018 – 2022 på minus 15 295 miljoner kronor per år, motsvarar dessa ökade kostnader ett försämrat resultat på mellan 0,085 och 0,17 promille per år. 270 Storleken på de ökade kostnaderna som utredningens förslag medför är dock väldigt 271 liten sett i relation till Riksbankens förväntade behov av kapitaltillskott.

8.5.2 Finansinspektionen och Riksgälden

Finansinspektionen är idag sektorsansvarig myndighet för beredskapssektorn finansiella tjänster. Som nämnts ovan, bland annat under avsnitt 4.5.1, innebär uppdraget som sektorsansvarig myndighet att Finansinspektionen ska verka för att samverkan med näringslivet sker i den utsträckning det behövs. 272 Genom inrättandet av den funktion för krishantering som utredningen föreslår kommer uppdraget när det gäller hanteringen av en uppkommen krissituation att delvis fullgöras av den krishanterande funktionen som Riksbanken ska ansvara för. Om en allvarlig driftstörning skulle uppstå, i såväl fredstid som under höjd beredskap, är det Riksbanken i egenskap av ansvarig myndighet för den krishanterande funktionen, som kommer att utföra de uppgifter som nämns ovan under avsnitt 6.2. Funktionen föreslås även få vissa förberedande uppgifter enligt samma avsnitt. Dessa torde dock inte påverka Finansinspektionens befintliga uppgifter. Utredningen föreslår dock att Finansinspektionen ska ingå i funktionen samt samråda med Riksbanken gällande vilka företag som ska ingå i den samt kring funktionens instruktion. Utredningen bedömer dock att dess förslag inte kommer att medföra ökade kostnader för Finansinspektionen. Skulle kostnadsökningar ändå uppstå bedömer utredningen de vara så begränsade att de kan hanteras inom befintliga ekonomiska ramar. Även Riksgälden föreslås ingå i den krishanterande funktionen. Utredningen bedömer dock att de eventuella kostnadsökningar som förslaget kommer att medföra för Riksgälden kan hanteras inom befintliga ekonomiska ramar.

270 Riksbankens resultat framgår av Riksbankens framställning till riksdagen (2022/23:RB2), s. 11 f. 271 Enligt 8 kap. 15 § riksbankslagen ska Riksbanken göra en framställning till riksdagen om återställning av det egna kapitalet om det egna kapitalet understiger 20 miljarder kronor. En preliminär analys av Riksbanken pekar på att Riksbanken behöver få eget kapital återställt till minst riksbankslagens grundnivå på 40 miljarder kronor. Ett återställande till grundnivån skulle innebära ett kapitaltillskott på omkring 40 miljarder kronor. En formell begäran om kapitaltillskott väntas i mars 2024. Se Riksbanken, ” Ingen avsättning för finansiella risker 2023 ”, publicerad på Riksbankens webbplats 2024 -01-10. 272 24 § 2 st. beredskapsförordningen. 115

8.5.3 Övriga myndigheter och domstolar

Utredningens förslag innebär att Riksbanken, i dess egenskap av ansvarig myndighet för den krishanterande funktionen, ska formalisera ett samarbete med vissa myndigheter såsom Energimyndigheten, Försvarsmakten, Försvarets radioanstalt, Myndigheten för samhällsskydd och beredskap, Post- och telestyrelsen och Säkerhetspolisen. Utredningen bedömer att förslaget inte kommer att medföra ökade kostnader för dessa myndigheter. Om förslaget skulle medföra ökade kostnader kan dessa hanteras inom befintlig ekonomisk ram. Utredningens förslag innebär att Riksbankens beslut om att ålägga ett företag att delta i funktionens verksamhet samt att förelägga ett företag att följa ett sådant åläggande ska kunna överklagas till allmän förvaltningsdomstol. Förslaget innebär även att ett förläggande ska kunna förenas med vite. Frågor om utdömande av viten prövas av förvaltningsrätt på ansökan av den myndighet som har utfärdat vitesföreläggandet. Utredningen bedömer dock att det är osannolikt att fler än ett mycket litet fåtal beslut av Riksbanken enligt vad som nu sagts kommer att överklagas. Eventuella merkostnader för Sveriges Domstolar ska därför hanteras inom befintliga ekonomiska ramar.

8.6 Övriga konsekvenser och bedömningar

Vad gäller förslagens ikraftträdande finns utredningens övervägningar i kapitel 7 ovan. Utredningen bedömer inte att särskilda hänsyn behöver tas vad gäller tidpunkten för ikraftträdande. Utredningen anser dock att Riksbanken, i dess egenskap av ansvarig myndighet för den krishanterande funktionen bör ansvara för lämpliga informationsinsatser riktade mot såväl de berörda företagen, övriga företag i den finansiella sektorn samt mot andra myndigheter som kan komma att beröras av funktionens verksamhet. Vad gäller informationsinsatser riktade mot företag i den finansiella sektorn kan Riksbanken samarbeta med Finansinspektionen i dess egenskap av sektorsansvarig myndighet och tillsynsmyndighet samt med FSPOS och de branschföreningar som representerar företag inom den finansiella sektorn. Utredningen bedömer att de förslag som lämnas är i enlighet med unionsrätten.

9 Författningskommentar

9.1 Förslaget till lag om ändring i offentlighetsoch sekretesslagen (2009:400)

10 kap.

5 d §

Paragrafen, som är ny , innehåller en sekretessbrytande bestämmelse. Bestämmelsen är utformad med viss förebild i 4 a kap. 3 § lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism samt 10 kap. 5 c § offentlighets- och sekretesslagen (2009:400). Av första stycket följer att sekretess inte hindrar en myndighet från att lämna uppgifter till en enskild eller en annan myndighet om det är nödvändigt för verksamheten inom den krishanterande funktionen. En förutsättning för att bryta sekretessen är därmed att den aktuella uppgiften är nödvändig för verksamheten i den krishanterande funktionen. Det är den utlämnande myndigheten som prövar om den aktuella uppgiften är nödvändig för verksamheten i den krishanterande funktionen. Med verksamhet menas här såväl funktionens uppdrag när det gäller krishantering som dess uppdrag gällande krisförberedande arbete och kunskapsspridning. Av det andra stycket följer att sekretessen enbart kan brytas av en myndighet som ingår i den krishanterande funktionen under förutsättning att den som tar emot uppgiften är en myndighet eller enskild som också ingår i den krishanterande funktionen. Av det tredje stycket följer att en intresseavvägning ska göras. Sekretessen ska inte brytas om övervägande skäl talar för att det intresse som sekretessen ska skydda har företräde framför intresset av att uppgiften lämnas ut. Detta innebär att den utlämnande myndigheten ska göra en intresseavvägning innan en uppgift lämnas ut. Vissa kategorier av uppgifter är särskilt känsliga till sin natur och bestämmelsen gör det möjligt för en deltagare att underlåta att lämna ut sådana uppgifter. Exempelvis kan uppgifter om en myndighets arbetsmetoder eller uppgifter som är av stor betydelse för Sveriges säkerhet eller hanteringen av en fredstida krissituation vara att betrakta som känsliga. En uppgift kan också innehålla personuppgifter som är att betrakta som känsliga enligt EU:s allmänna dataskyddsförordning (GDPR) vilket kan tala emot att uppgiften ska lämnas ut. Mot den eventuella skada som ett utlämnande kan medföra ska den utlämnande myndigheten väga den nytta som uppgiften kan ha för verksamheten i den krishanterande funktionen. Detta synsätt innebär att en känslig uppgift förutsätter att uppgiften i betydande utsträckning är nödvändig för funktionens verksamhet. Den utlämnande myndigheten ska 117

även bedöma om uppgiften ska delas med samtliga eller enbart vissa deltagare. Även här behöver myndigheten väga nödvändigheten av att alla funktionens deltagare har tillgång uppgiften mot den skada som ett spridande av uppgiften kan medföra. Det är den utlämnande myndigheten som ska göra intresseavvägningen.

Utredningens överväganden finns i avsnitt 6.9 ovan.

31 kap.

1 a §

Paragrafen, som är ny , innehåller bestämmelser om sekretessen hos Riksbanken och de övriga myndigheter som ingår i den krishanterande funktionen. Av paragrafens första stycke framgår att sekretess ska gälla hos Riksbanken, och de övriga myndigheter som ingår i krishanteringsfunktionen för den finansiella sektorn, det vill säga Finansinspektionen och Riksgälden. Sekretessen ska, enligt första punkten , avse uppgifter om en enskilds affärs- och driftförhållanden som ingår i den krishanterande funktionen. Sekretess för sådana uppgifter ska gälla om det kan antas att denne lider skada om uppgiften röjs. Enligt andra punkten ska sekretess även gälla för uppgifter om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med en enskild som ingår i den krishanterande funktionen. Sekretess enligt denna punkt är absolut. På så vis kan uppgifter som hos exempelvis ett kreditinstitut omfattas av banksekretess skyddas även hos myndigheterna som ingår i den krishanterande funktionen. Av paragrafens andra stycke framgår att sekretess för uppgift i en allmän handling som avses i första stycket ska gälla i högst tjugo år.

Utredningens överväganden finns i avsnitt 6.9 ovan.

26 §

Av paragrafen framgår vilka tystnadsplikter enligt 31 kap. OSL som bryter rätten att meddela och offentliggöra uppgifter. Utredningens förslag innebär en ändring av paragrafens första stycke innebärande att den tystnadsplikt som följer av 31 kap. 1 a § också inskränker rätten enligt 1 kap. 1 och 7 §§ tryckfrihetsförordningen och 1 kap. 1 och 10 §§ yttrandefrihetsgrundlagen att meddela och offentliggöra uppgifter.

Utredningens överväganden finns i avsnitt 6.9 ovan.

43 kap.

3 §

Paragrafen föreskriver att sekretessen enligt vissa uppräknade bestämmelser i OSL inte gäller hos en domstol i dess rättskipande eller

rättsvårdande verksamhet. Utredningens förslag innebär en ändring av paragrafens första stycke innebärande att sekretessbestämmelsen i 31 kap. 1 a § OSL inte gäller hos en domstol i dess rättskipande eller rättsvårdande verksamhet.

Utredningens överväganden finns i avsnitt 6.9 ovan.

Gemensam kommentar avseende 15 kap. 1 a §, 27 kap. 5 §, 30 kap. 7,

17 och 24 §§ och 37 kap. 2 §

Ändringarna innebär att den nya paragrafen 10 kap. 5 d § läggs till i uppräkningarna av sekretessbrytande bestämmelser som enligt respektive paragraf inte får tillämpas i strid med sekretess som gäller till följd av internationella åtaganden.

Utredningens överväganden finns i avsnitt 6.9 ovan.

9.2 Förslaget till lag om ändring i lagen (2022:1568) om Sveriges riksbank

5 kap.

4 §

Paragrafen innehåller bestämmelser om de företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningars uppgifter. Genom en ändring i den andra punkten i paragrafens första stycke anges att dessa företag ska delta i verksamhet enligt 5 a §. Med detta avses att företagen ska ingå i krishanteringsfunktionen för den finansiella sektorn.

Utredningens överväganden finns i avsnitt 6.7 ovan.

Krishanteringsfunktion för den finansiella sektorn

5 a §

Genom en ny rubrik markeras att den nya krishanteringsfunktionen omfattar samtliga finansiella tjänster, inte enbart förmedling av betalningar som kapitlets föregående paragrafer avser. Paragrafen är ny . I det första stycket anges att det ska finnas en funktion inom Riksbanken med uppgift att bedriva krishantering inom den finansiella sektorn. Att funktionen ska finnas inom Riksbanken innebär bland annat att funktionens arbete ska ledas av Riksbanken. I detta ingår att Riksbanken ska ansvara för funktionens bemanning och administrativa stöd. Med att Riksbanken ska leda funktionens arbete menas bland annat att dess ordförande ska vara en medarbetare hos Riksbanken. Funktionen bör även i övrigt bemannas av Riksbanken. Utredningens överväganden

gällande funktionens bemanning och administrativa stöd finns i avsnitt 6.8 ovan. Som nämns ovan i avsnitt 6.5 har Riksbanken, i dess egenskap av ansvarig myndighet för funktionen, även ansvar för att se till att det finns lämpliga tekniska system på plats för att snabbt informera funktionens deltagare om viktiga händelser samt för att kunna hålla digitala möten med iakttagande av rimliga krav på säkerhet och tillförlitlighet. Att hantera en händelse kan anses inbegripa de åtgärder som vidtas i syfte att få en viss händelse att upphöra, eller minska konsekvenserna av den. Åtgärderna kan även avse koordinering eller samordning i syfte att berörda aktörer gemensamt kan hantera händelsen eller situationen och dess konsekvenser mer effektivt. Funktionen ska dock inte fatta beslut som blir bindande för andra aktörer i händelse av en kris varför begreppet krishantering bättre beskriver dess uppdrag. Även om funktionen ska ägna sig åt visst krisförberedande arbete samt kunskapsspridning är dess centrala uppdrag krishantering. Mot den bakgrunden benämns den nya funktionen som just krishanterande. Funktionen kan komma att vara aktiv i händelse av såväl en fredstida krissituation som under höjd beredskap. Funktionen ska aktiveras vid en allvarlig driftstörning som lett till eller riskerar att leda till en allvarlig störning av viktiga samhällsfunktioner inom den finansiella sektorns digitala infrastruktur. Utredningens överväganden gällande när funktionen ska aktiveras respektive avaktiveras finns i avsnitt 6.4 ovan. När funktionen är aktiverad bör dess ordförande avgöra i vilken konstellation funktionens deltagare ska sammankallas. Som diskuteras i samma avsnitt kan funktionen komma att vara aktiverad under såväl en fredstida krissituation som under höjd beredskap. Funktionen ska aktiveras om den allvarliga driftstörningen drabbat eller riskerar att drabba den finansiella sektorns digitala infrastruktur. Begreppet digital infrastruktur kan förstås som ett samlingsnamn för olika typer av tjänster som möjliggör att data kan lagras eller delas digitalt mellan olika enheter. Funktionens uppdrag gällande krishantering innefattar att under en kris löpande upprätta och dela lägesbilder, att koordinera de åtgärder som vidtas av funktionens deltagare, samt att möjliggöra och underlätta informationsdelning. Funktionen bör även utgöra en central kontaktlänk mellan funktionens deltagare och övriga myndigheter, den bör ha förmågan att kunna identifiera, bedöma och föreslå ett företags behov av stödinsatser och att ta fram underlag avseende prioriteringar gällande krishanterande åtgärder inbegripet stödinsatser från det allmänna. Funktionen bör vidare ha förmågan att lämna ett enskilt företag förslag på vilka åtgärder som det bör vidta om det drabbats av, eller riskerar att drabbas av, en allvarlig driftstörning. Slutligen bör funktionen samordna den information som lämnas till allmänhet och media om krisens förlopp och vid behov själv kommunicera till allmänhet och media. Funktionen bör även ha ett visst krisförberedande uppdrag. Detta uppdrag bör innefatta att ta initiativ till och driva på samtal mellan funktionens deltagare kring åtgärder för att stärka motståndskraften i den finansiella sektorns digitala infrastruktur inbegripet att vara ett forum där sådana åtgärder kan tas fram och utvecklas, att ta fram planer specifika för de enskilda företag som ingår i funktionen i krisförberedande syfte samt att vara ett forum där gemensamma planeringsförutsättningar kan

diskuteras. Funktionen bör även hålla sig uppdaterad om skeenden i Sverige och utomlands som är av betydelse för att kunna hantera en allvarlig driftstörning som kan drabba den svenska finansiella sektorn samt anordna och delta i övningar. Funktionen bör också med viss regelbundenhet samla dess medlemmar till möten. Funktionens bör därutöver ägna sig åt kunskapsspridning på det sätt den ansvariga myndigheten och de övriga deltagarna finner lämpligt. Utredningens överväganden när det gäller funktionens uppgifter finns i avsnitt 6.2 ovan. Av det andra stycket framgår vilka som ska delta i den krishanterande funktionen. Funktionen ska bestå av representanter för Riksbanken, Riksgäldskontoret och Finansinspektionen. Funktionen ska också bestå av de företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar samt de övriga företag som Riksbanken beslutar ska ingå. Utredningens överväganden när det gäller deltagande i funktionen finns i avsnitt 6.6 ovan Av det tredje stycket framgår även att Riksbanken ska ha möjlighet att ålägga ett företag att delta i funktionen. Det framgår även av det tredje stycket att beslut om åläggande enbart bör fattas om det är nödvändigt, det vill säga om den juridiska personen inte deltar i funktionens arbete trots att Riksbanken, i dess egenskap av ansvarig myndighet för funktionen, beslutat att företaget ska delta i funktionen. Riksbanken bör samråda med Finansinspektionen och Riksgälden innan den fattar beslut om att ålägga ett företag att delta i funktionen. Utredningens överväganden i detta avseende finns i avsnitt 6.7 ovan.

5 b §

Paragrafen är ny . Av den framgår att Riksbanken ska anta en instruktion för funktionen. Av instruktionen bör det framgå när funktionen ska aktivera respektive avaktivera pågående insatser, hur funktionen ska arbeta när den är aktiverad, vem som ska leda dess sammanträden samt de övriga uppgifter som Riksbanken anser är lämpliga. Riksbanken bör samråda med funktionens övriga deltagare innan banken fattar beslut om att anta eller ändra instruktionen om det inte rör sig om ändringar som är av underordnad betydelse.

Utredningens överväganden finns i avsnitt 6.5 ovan.

6 §

Paragrafen innehåller en bestämmelse om tystnadsplikt. Utredningens förslag innebär att paragrafen delas upp i två stycken. Genom en ändring i dess första stycke utsträcks denna tystnadsplikt till att även omfatta den som fått kännedom om förhållanden av betydelse för att förebygga eller hantera fredstida krissituationer. Tystnadsplikten ska alltså gälla såväl för

förhållanden som är av betydelse för att förebygga fredstida krissituationer som förhållanden som är av betydelse för att hantera sådana situationer. 273 Paragrafen tillförs ett nytt andra stycke av vilket det framgår att tystnadsplikt även ska gälla för uppgifter om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med en enskild som ingår i den krishanterande funktionen. Syftet är att uppgifter som omfattas av banksekretess hos ett finansiellt företag ska erhålla likvärdigt skydd om uppgiften delas med en representant för ett annat företag som också ingår i den krishanterande funktionen.

Utredningens överväganden finns i avsnitt 6.9 ovan.

7 §

Paragrafen reglerar Riksbankens informationsplikt under fredstida krissituationer och vid höjd beredskap. Utredningens förslag innebär att paragrafen delas upp i två stycken. Genom en ändring av det första stycket utsträcks Riksbankens befintliga informationsplikt till att även omfatta Finansinspektionen som nyligen utsetts till sektorsansvarig myndighet för beredskapssektorn Finansiella tjänster samt kommer att ingå i den nya krishanterande funktionen tillsammans med Riksbanken och Riksgäldskontoret. Utredningen anser att det i första hand bör vara upp till Riksbanken att bedöma när information behöver ges i enlighet med denna bestämmelse. Av det andra stycket, som är nytt, framgår att Riksbanken, i dess egenskap av ansvarig myndighet för den krishanterande funktionen, ska hålla regeringen underrättad om viktigare frågor gällande verksamheten i funktionen. Riksbanken ska hålla regeringen underrättad om verksamheten såväl när funktionen är aktiverad som när den inte är det. Det är i första hand upp till Riksbanken att ta ställning till om, när och hur regeringen bör informeras.

Utredningens överväganden finns i avsnitt 6.3 och 6.10 ovan.

12 kap.

1 §

Paragrafen innehåller bestämmelser om uppgiftsskyldighet i förhållande till Riksbanken. Utredningens förslag innebär att en ny sjunde punkt införs. Av denna punkt framgår att företag som ingår i den krishanterande funktionen ska vara skyldiga att, på Riksbankens begäran, lämna de uppgifter som är nödvändiga för verksamheten i funktionen till Riksbanken.

273 Jfr prop. 2023/24:60 En telesamverkansgrupp för fredstida kriser och höjd beredskap s. 22 ff.

Utredningens överväganden finns i avsnitt 6.7 ovan.

2 §

Paragrafen reglerar Riksbankens möjligheter att besluta om förelägganden. Utredningens förslag innebär att ett nytt tredje stycke införs. Av detta stycke framgår det att Riksbanken har rätt att förelägga ett företag att följa ett sådant åläggande som banken beslutat enligt 5 kap. 5 a § tredje stycket. Ett föreläggande kan förenas med vite. Det nuvarande tredje stycket flyttas så att det blir paragrafens fjärde stycke, dock utan att det ändras i sak.

Utredningens överväganden finns i avsnitt 6.7 ovan.

3 §

Paragrafens första stycke reglerar vilka av Riksbankens beslut som får överklagas. Utredningens förslag innebär att såväl ett beslut om att ålägga ett företag att delta i funktionen enligt 5 kap. 5 a § tredje stycket som ett föreläggande som beslutats med stöd av 12 kap. 2 § tredje stycket får överklagas till allmän förvaltningsdomstol.

Utredningens överväganden finns i avsnitt 6.7 ovan.