En ny funktion för operativ krishantering i den finansiella sektorn (utkast till lagrådsremiss)

Utkast till lagrådsremiss

En ny funktion för operativ krishantering i den finansiella sektorn

Utkastets huvudsakliga innehåll

En allvarlig driftsstörning i det finansiella systemet, där samhällsviktiga finansiella tjänster slås ut, kan snabbt leda till att en allvarlig kris inträffar i samhället. En sådan störning innebär inte nödvändigtvis en finanskris, men kan likväl leda till en samhällskris. För att motverka att sådana kriser eskalerar föreslås att det införs en ny funktion för operativ krishantering som ska hantera allvarliga driftsstörningar i det finansiella systemet. Krishanteringsfunktionen inordnas inte i en myndighet och tar inte över några formella befogenheter från deltagarna. När det gäller krishanteringsfunktionens sammansättning och arbete föreslås följande: – Riksbanken ska få ansvaret att leda krishanteringsfunktionen. – Utöver Riksbanken ska Finansinspektionen, Riksgäldskontoret och vissa företag i den finansiella sektorn ingå i funktionen. Riksbanken ska även få bjuda in andra aktörer som har kunskaper eller resurser som är av betydelse för funktionen att medverka i dess verksamhet. – Myndigheter och företag som medverkar i krishanteringsfunktionen ska trots sekretess eller tystnadsplikt lämna de uppgifter som behövs för funktionens verksamhet till någon annan som medverkar i den verksamheten. – Sekretess till skydd för uppgifter om enskildas intressen ska gälla i en myndighets verksamhet med att medverka i krishanteringsfunktionen.

Riksbanken föreslås därutöver få en skyldighet att samverka med Finansinspektionen, Riksgäldskontoret, Myndigheten för samhällsskydd och beredskap och andra relevanta myndigheter i frågor som rör fredstida krissituationer och höjd beredskap. Lagändringarna föreslås träda i kraft den 1 juli 2026.

11.2 Förslaget till lag om ändring i lagen (2022:1568) om Bilaga 1 Sammanfattning av promemorian En ny funktion för krishantering vid allvarliga driftstörningar i den

1 Beslut

2 Lagtext

[---] har följande förslag till lagtext.

2.1 Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)

Härigenom föreskrivs i fråga om offentlighets- och sekretesslagen (2009:400) dels att 15 kap. 1 a §, 30 kap. 7 och 24 §§, 31 kap. 26 § och 43 kap. 3 § ska ha följande lydelse, dels att det ska införas två nya paragrafer, 10 kap. 13 a § och 31 kap. 1 a §, och närmast före 10 kap. 13 a § en ny rubrik av följande lydelse.

10 kap.

15 kap.

1 a §

Sekretess gäller för uppgift som en myndighet har fått från ett utländskt organ på grund av en bindande EU-rättsakt eller ett av EU ingånget eller av riksdagen godkänt avtal med en annan stat eller med en mellanfolklig organisation, om det kan antas att Sveriges möjlighet att delta i det internationella samarbete som avses i rättsakten eller avtalet försämras om uppgiften röjs. Motsvarande sekretess gäller för uppgift som en myndighet har inhämtat i syfte att överlämna den till ett utländskt organ i enlighet med en sådan rättsakt eller ett sådant avtal som avses i första stycket. Om sekretess gäller enligt första Om sekretess gäller enligt första eller andra stycket, får de sekretess- eller andra stycket, får de sekretessbrytande bestämmelserna i 10 kap. brytande bestämmelserna i 10 kap. 5 c §, 15 – 27 §§ och 28 § första 5 c §, 13 a §, 15 – 27 §§ och 28 § stycket inte tillämpas. första stycket inte tillämpas.

1 Senaste lydelse 2022:1538.

För uppgift i en allmän handling gäller sekretessen i högst fyrtio år. Om det finns särskilda skäl, får dock regeringen meddela föreskrifter om att sekretessen ska gälla under längre tid.

30 kap.

2 7 § Sekretess gäller hos en statlig myndighet i verksamhet som avses i 4 – 6 §§, i den utsträckning riksdagen har godkänt avtal om detta med en annan stat eller med en mellanfolklig organisation, för sådan uppgift om affärs- eller driftförhållanden och ekonomiska eller personliga förhållanden som myndigheten har fått enligt avtalet. Samma sekretess gäller hos Finansinspektionen för uppgifter som inspektionen har fått från en utländsk myndighet eller ett utländskt organ enligt något annat avtal, om regeringen meddelar föreskrifter om detta. Om sekretess gäller enligt första Om sekretess gäller enligt första stycket, får de sekretessbrytande stycket, får de sekretessbrytande bestämmelserna i 10 kap. 5 c §, bestämmelserna i 10 kap. 5 c §, 15 – 27 §§ och 28 § första stycket 13 a §, 15 – 27 §§ och 28 § första inte tillämpas i strid med det stycket inte tillämpas i strid med aktuella avtalet. det aktuella avtalet. För uppgift i en allmän handling gäller sekretessen i högst tjugo år.

3 24 § Sekretess gäller, i den utsträckning riksdagen godkänt ett avtal om detta med en annan stat eller med en mellanfolklig organisation, hos en statlig myndighet i verksamhet som avses i 23 §, för sådan uppgift om en enskilds ekonomiska eller personliga förhållanden som myndigheten förfogar över på grund av avtalet. Om sekretess gäller enligt första Om sekretess gäller enligt första stycket, får de sekretessbrytande stycket, får de sekretessbrytande bestämmelserna i 10 kap. 5 c §, bestämmelserna i 10 kap. 5 c §, 15 – 27 §§ och 28 § första stycket 13 a §, 15 – 27 §§ och 28 § första inte tillämpas i strid med det stycket inte tillämpas i strid med aktuella avtalet. det aktuella avtalet. För uppgift i en allmän handling gäller sekretessen i högst tjugo år.

31 kap.

1 a § Sekretess gäller i en myndighets verksamhet som består i medverkan i den krishanteringsfunktion som avses i 5 kap. 4 § lagen (2022:1568) om Sveriges riksbank 1. för uppgift om affärs- eller driftförhållanden hos en enskild som medverkar i krishanteringsfunktionens verksamhet, om det kan

2 Senaste lydelse 2022:1538. 3 Senaste lydelse 2022:1538.

antas att denne lider skada om uppgiften röjs, och 2. för uppgift om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med den som avses i 1. För uppgift i en allmän handling gäller sekretessen i högst tjugo år.

4 26 § Den tystnadsplikt som följer av Den tystnadsplikt som följer av 1 § första stycket, 2, 12 och 1 § första stycket, 1 a § första 20 – 22 §§ och den tystnadsplikt stycket 2, 2, 12 och 20 – 22 §§ och som följer av ett förbehåll som har den tystnadsplikt som följer av ett gjorts med stöd av 14 § andra förbehåll som har gjorts med stöd meningen, 19 § andra meningen av 14 § andra meningen, 19 § andra eller 25 § andra meningen meningen eller 25 § andra inskränker rätten enligt 1 kap. 1 och meningen inskränker rätten enligt 7 §§ tryckfrihetsförordningen och 1 kap. 1 och 7 §§ tryckfrihetsför- 1 kap. 1 och 10 §§ yttrandefrihets- ordningen och 1 kap. 1 och 10 §§ grundlagen att meddela och yttrandefrihetsgrundlagen att medoffentliggöra uppgifter. dela och offentliggöra uppgifter. Den tystnadsplikt som följer av 3 och 4 §§ begränsar rätten att meddela och offentliggöra uppgifter, när det är fråga om uppgift som hänför sig till affärsmässig utlåningsverksamhet. Den tystnadsplikt som följer av 15 § begränsar rätten att meddela och offentliggöra uppgifter, när det är fråga om uppgift om en enskilds personliga förhållanden vars röjande kan vålla allvarligt men.

43 kap.

5 3 § Bestämmelserna om sekretess i Bestämmelserna om sekretess i 19 kap., 28 kap. 12 §, 29 kap. 1 – 4 19 kap., 28 kap. 12 §, 29 kap. 1 – 4 och 9 §§, 30 kap. 1, 2, 4 – 7, 23, 24, och 9 §§, 30 kap. 1, 2, 4 – 7, 23, 24, 27 och 28 §§, 31 kap. 1 § första 27 och 28 §§, 31 kap. 1 § första stycket, 2 – 5, 12, 16 – 18 och 24 §§, stycket, 1 a, 2 – 5, 12, 16 – 18 och 32 kap. 4 §, 35 kap. 3 och 4 §§, 24 §§, 32 kap. 4 §, 35 kap. 3 och 36 kap. 6 och 7 §§, 38 kap. 5, 6 och 4 §§, 36 kap. 6 och 7 §§, 38 kap. 5, 8 §§ samt 40 kap. 2 § tillämpas inte 6 och 8 §§ samt 40 kap. 2 § hos en domstol i dess rättskipande tillämpas inte hos en domstol i dess eller rättsvårdande verksamhet. rättskipande eller rättsvårdande verksamhet. Sekretessen enligt 35 kap. 1 § första stycket 1 och 10 gäller hos en domstol i dess rättskipande eller rättsvårdande verksamhet endast om det kan antas att den enskilde eller någon närstående till denne lider skada eller men om uppgiften röjs.

4 Senaste lydelse 2018:1919. 5 Senaste lydelse 2024:788.

Första och andra styckena gäller inte om domstolen har fått uppgiften för att pröva om den kan lämnas ut. Denna lag träder i kraft den 1 juli 2026.

2.2 Förslag till lag om ändring i lagen (2022:1568) om Sveriges riksbank

Härigenom föreskrivs i fråga om lagen (2022:1568) om Sveriges riksbank dels att nuvarande 5 kap. 4 – 7 §§ ska betecknas 5 kap. 6 – 9 §§, dels att de nya 5 kap. 6, 8 och 9 §§, 12 kap. 1 och 4 §§ och 13 kap. 1 § ska ha följande lydelse, dels att rubrikerna närmast före 5 kap. 6 och 7 §§ ska sättas närmast före 5 kap. 8 respektive 9 §, dels att det ska införas fyra nya paragrafer, 5 kap. 4, 5, 10 och 11 §§, och närmast före 5 kap. 10 § en ny rubrik av följande lydelse.

5 kap.

4 § 6 § Ett företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar ska 1. planera och förbereda för att kunna fortsätta verksamhet som avser betalningar under fredstida krissituationer och vid höjd beredskap, 2. delta i verksamhet enligt 2. delta i verksamhet enligt 2 och 3 §§, och 2 – 4 §§, och 3. se till att arbets- och uppdragstagare får den utbildning och övning som behövs . Riksbanken ska övervaka att ett företag uppfyller sina skyldigheter enligt första stycket.

6 § 8 § Den som på grund av Den som på grund av bestämmelser i detta kapitel har fått bestämmelser i detta kapitel har fått kännedom om en enskilds affärs- del av uppgifter får inte obehörigen eller driftförhållanden eller röja eller utnyttja vad han eller hon förhållanden av betydelse för har fått veta om totalförsvaret eller annars för Sveriges säkerhet får inte obehörigen röja eller utnyttja vad han eller hon har fått veta . 1. förhållanden av betydelse för att förebygga eller hantera fredstida krissituationer, 2. förhållanden av betydelse för totalförsvaret eller annars för Sveriges säkerhet, 3. en enskilds affärs- eller driftförhållanden, eller 4. ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med en enskild som medverkar i den krishanteringsfunktion som avses i 4 §. I Riksbankens verksamhet I det allmännas verksamhet tillämpas i stället bestämmelserna i tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen offentlighets- och sekretesslagen (2009:400). (2009:400).

7 § 9 § Under fredstida krissituationer Under fredstida krissituationer och vid höjd beredskap ska och vid höjd beredskap ska Riksbanken hålla regeringen och Riksbanken hålla regeringen , Riksgäldskontoret underrättade om Finansinspektionen och Riksgäldsviktigare frågor. kontoret underrättade om viktigare frågor. Riksbanken ska även hålla 10 regeringen underrättad om

viktigare frågor när det gäller verksamheten i den krishanteringsfunktion som avses i 4 §.

Samverkan

10 § Riksbanken ska samverka med Finansinspektionen och Riksgäldskontoret i frågor som rör fredstida krissituationer och höjd beredskap. Vid samverkan ska Riksbanken lämna de uppgifter som Finansinspektionen och Riksgäldskontoret behöver. Riksbanken ska även samverka med Myndigheten för samhällsskydd och beredskap och andra relevanta myndigheter i frågor som rör fredstida krissituationer och höjd beredskap.

11 § Den som enligt 5 § medverkar i den krishanteringsfunktion som avses i 4 § ska trots sekretess eller tystnadsplikt lämna de uppgifter som behövs för funktionens verksamhet till någon annan som medverkar i den verksamheten. En uppgift ska inte lämnas om det finns en bestämmelse om sekretess eller tystnadsplikt som är tillämplig på uppgiften och om övervägande skäl talar för att det intresse som sekretessen eller tystnadsplikten ska skydda har företräde framför intresset av att uppgiften lämnas ut.

12 kap.

1 § På begäran av Riksbanken ska 1. finansiella företag lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt denna lag, 2. företag med kvalificerat innehav i deltagare i Riksbankens betalningsavvecklingssystem och underentreprenörer till sådana deltagare lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt 3 kap., 3. företag som bedriver verksamhet som avses i 3 kap. 8 § och underentreprenörer till sådana företag lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt 3 kap.,

4. utgivare av värdepapper lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt 2 och 3 kap., 5. företag som bedriver verk- 5. företag som bedriver verksamhet som är av särskild betydelse samhet som är av särskild betydelse för genomförandet av betalningar för genomförandet av betalningar lämna de uppgifter som är nödvän- lämna de uppgifter som är nödvändiga för Riksbankens verksamhet diga för Riksbankens verksamhet enligt 4 och 5 kap., och enligt 4 och 5 kap., 6. den som för egen eller någon 6. den som för egen eller någon annans räkning utför transaktioner annans räkning utför transaktioner med utländsk motpart eller innehar med utländsk motpart eller innehar tillgångar och skulder med utlands- tillgångar och skulder med utlandsanknytning lämna uppgifter som är anknytning lämna uppgifter som är nödvändiga för Riksbankens verk- nödvändiga för Riksbankens verksamhet enligt 1 kap. 11 § när det samhet enligt 1 kap. 11 § när det gäller framställning av statistik gäller framställning av statistik över betalningsbalanser och ut- över betalningsbalanser och utlandsställningen . landsställningen , och 7. företag som avses i 5 kap. 5 § första stycket 2 lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt 5 kap. 4 §.

4 § 6 Riksbankens beslut enligt 2 och Riksbankens beslut enligt 2 och 3 §§, 2 kap. 6 §, 4 kap. 4 § första 3 §§, 2 kap. 6 §, 4 kap. 4 § första och andra styckena och 8 kap. 16 § och andra styckena , 5 kap. 5 § får överklagas till allmän första stycket 2 och 8 kap. 16 § får förvaltningsdomstol. överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten.

13 kap.

1 § Riksbanken får meddela föreskrifter om 1. avgifter enligt 1 kap. 12 §, 2. villkoren för transaktioner enligt 2 kap. 4 § första stycket och 5 §, 3. kassakrav enligt 2 kap. 6 §, 4. system för avveckling av betalningar och avgifter enligt 3 kap. 2 §, 5. villkoren för likviditetsstöd enligt 3 kap. 6 §, 6. kontanters form enligt 4 kap. 2 § och förutsättningarna för inlösen av dem och avgifter enligt 4 kap. 4 §, 7. depåer och avgifter enligt 4 kap. 6 §, 8. räntekostnadsersättning eller räntefri kredit enligt 4 kap. 7 §, 9. underrättelseskyldigheten enligt 4 kap. 8 § andra stycket,

6 Senaste lydelse 2024:1372.

10. vilka företag som avses i 10. vilka företag som avses i 5 kap. 3 § och vilken verksamhet 5 kap. 3 § och vilken verksamhet som avses i 5 kap. 4 § , som avses i 5 kap. 6 § , 11. uppgiftsskyldigheten enligt 12 kap. 1 §, och 12. att uppgifter som enligt 12 kap. 1 § ska lämnas till Riksbanken i stället ska lämnas till Statistiska centralbyrån.

Denna lag träder i kraft den 1 juli 2026.

3 Ärendet och dess beredning

I juni 2023 fick avdelningschefen Olof Sandstedt i uppdrag att som sakkunnig biträda Finansdepartementet med att utreda och lämna förslag på en funktion för operativ krisledning vid allvarliga driftsstörningar i den finansiella sektorns digitala infrastruktur (Fi2023/01842). Uppdraget redovisades i januari 2024 i promemorian En ny funktion för krishantering vid allvarliga driftstörningar i den finansiella sektorns digitala infrastruktur. I promemorian föreslås bl.a. att det ska inrättas en ny funktion för operativ krishantering för den finansiella sektorn vid Riksbanken. En sammanfattning av promemorian finns i bilaga 1 . Promemorians lagförslag finns i bilaga 2 . Promemorian har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3 . Remissvaren finns tillgängliga på regeringens webbplats (regeringen.se) och i Finansdepartementet (Fi2024/00185). I utkastet behandlas promemorians förslag.

4 Civil beredskap inom det finansiella systemet

4.1 Civil beredskap är en del av totalförsvaret

Totalförsvar är den verksamhet som behövs för att förbereda Sverige för krig (lagen [1992:1403] om totalförsvar och höjd beredskap). Totalförsvar består av militär verksamhet (militärt försvar) och civil verksamhet (civilt försvar). Civilt försvar ska byggas utifrån de krav som ställs i höjd beredskap och ytterst krig. För att uppnå målet för det civila försvaret behöver aktörer inom det civila försvaret vidta åtgärder för att kunna möta och hantera ett väpnat angrepp (prop. 2024/25:34). Riksdagen, regeringen, statliga myndigheter, kommuner, regioner, näringsliv, frivilligorganisationer och enskilda individer är alla delar av det samlade totalförsvaret. Civil beredskap är ett samlingsnamn för krisberedskap och civilt försvar. Det civila försvaret och krisberedskapen ska förstärka varandra i gemensamma processer för samordning, planering och förberedelser. Ytterst syftar den civila beredskapen till att förbereda samhället för alla slags allvarliga samhällsstörningar. För att stärka landets försvarsförmåga kan beredskapen höjas. Höjd beredskap är antingen skärpt beredskap eller högsta beredskap. Under högsta beredskap är totalförsvar all samhällsverksamhet som ska bedrivas. Är Sverige i krig råder högsta beredskap. Regeringen beslutar om höjd beredskap. I sammanhanget bör ansvarsprincipen beröras. Denna princip utgör en hörnsten i krisberedskapssystemet och ska upprätthållas så långt som möjligt också i det civila försvaret. Principen innebär att den som har ansvar för en verksamhet under normala förhållanden, om inget annat reglerats, också har ansvaret under en kris och vid höjd beredskap. Strukturer och ansvarsförhållanden som gäller under normala

omständigheter ska alltså enligt ansvarsprincipen så långt som möjligt upprätthållas vid kris och höjd beredskap eftersom det som är väl inarbetat i vardagen också har förutsättningar att kunna fungera under ansträngda förhållanden. Regeringen är ansvarig för den nationella krishanteringen.

4.2 Beredskapsansvaret för myndigheter under regeringen

I förordningen (2022:524) om statliga myndigheters beredskap, kallad beredskapsförordningen, finns bestämmelser om uppgifter som statliga myndigheter under regeringen har inför och vid fredstida krissituationer och höjd beredskap. Syftet med förordningen är att myndigheter som omfattas av förordningen ska minska sårbarheten i samhället och utveckla en god förmåga att hantera sina uppgifter vid fredstida krissituationer och höjd beredskap. Beredskapsförordningen utgår från en helhetssyn som sträcker sig från förberedelser för och agerande vid fredstida krissituationer till planering inför och åtgärder vid höjd beredskap. Av beredskapsförordningen följer att myndigheterna ska planera för och vidta åtgärder för att ha en god förmåga att hantera sina uppgifter under fredstida krissituationer och vid höjd beredskap. Myndigheterna ska analysera om det finns sårbarheter eller hot och risker inom myndighetens ansvarsområde som synnerligen allvarligt kan försämra förmågan till verksamhet inom området. Myndigheterna ska även se till att de anställda får den utbildning och övning som behövs för att de ska kunna lösa sina uppgifter i samband med krissituationer. Vid en krissituation ska myndigheter samverka och stödja varandra och vidta de åtgärder som behövs för att hantera konsekvenserna av denna. Av beredskapsförordningen följer vidare att varje myndighet i sin verksamhet ska beakta totalförsvarets krav. Myndigheter ska även planera för att under höjd beredskap kunna fortsätta sin verksamhet så långt det är möjligt med hänsyn till tillgången på personal och förhållandena i övrigt. Myndigheternas planering för totalförsvaret ska ske i samverkan med de statliga myndigheter, kommuner, regioner, sammanslutningar och näringsidkare som är berörda. Bestämmelserna i förordningen ska tillämpas om inte annat följer av lag eller annan förordning. Förordningen pekar ut 67 myndigheter som s.k. beredskapsmyndigheter. Dessa myndigheter har ett särskilt ansvar för krisberedskapen och totalförsvaret. Det innebär att de ska vidta ytterligare förberedelser inför och vid höjd beredskap än andra myndigheter. Myndigheten för samhällsskydd och beredskap och Försvarsmakten ska gemensamt stödja aktörerna i det nya beredskapssystemet och säkerställa den gemensamma totalförsvarsplaneringen. Beredskapsmyndigheterna ska bl.a. verka för att andra myndigheter, kommuner och näringsidkare utvecklar sin förmåga att t.ex. hantera fredstida krissituationer och genomföra sina uppgifter vid höjd beredskap. Flertalet beredskapsmyndigheter ingår i någon av de tolv s.k. beredskapssektorerna. För varje sektor utses en sektorsansvarig myndighet för att leda arbetet med att samordna åtgärder både inför och vid fredstida krissituationer samt vid höjd beredskap. I beredskapssektorn för finansiella tjänster är Finans-

inspektionen sektorsansvarig myndighet. I sektorn ingår även Riksgäldskontoret. Sektorn ansvarar för beredskap avseende den samhällsviktiga verksamhet som benämns betalningsförmedling, vilket avser förmågan att säkerställa att betalningar kan genomföras. Förutom betalningsförmedling har även finansiell stabilitet, försäkring och sparande, finansiering samt finansiell riskhantering identifierats som samhällsviktiga verksamheter inom sektorn. Finansinspektionen ska i sin roll som sektorsansvarig myndighet driva på och stödja beredskapsmyndigheterna inom sektorn. En viktig del av sektorsansvaret är att vara ett stöd i arbetet med att tydliggöra uppgifter och roller inom beredskapssektorn. Det är även viktigt att det finns en myndighet som har översikt över beredskapsläget inom respektive beredskapssektor och verkar för att samverkan med näringslivet sker. Till uppgiften hör vidare att analysera, förebygga och ha förmåga att motstå sårbarheter, hot eller risker som allvarligt kan hota, skada eller försämra förmågan till den samhällsviktiga verksamheten inom myndighetens ansvarsområde under fredstida krissituationer och vid höjd beredskap. Finansinspektionen ska även verka för att övriga berörda statliga myndigheter, kommuner, regioner, sammanslutningar och näringsidkare utvecklar sin förmåga i dessa avseenden. I sammanhanget bör nämnas att varje enskild beredskapsmyndighet fortfarande har ansvar för att vidta beredskapsåtgärder, i enlighet med ansvarsprincipen (se avsnitt 4.1). I ansvaret ingår att vidta alla de åtgärder som krävs för att kunna förebygga, motstå och hantera olyckor och kriser. Principen innebär också ett ansvar för varje aktör att samverka med andra.

4.3 Riksbankens beredskapsansvar

Riksbanken, som är en myndighet under riksdagen, omfattas inte av beredskapsförordningen. I lagen (2022:1568) om Sveriges riksbank, kallad riksbankslagen, har Riksbanken fått ett utökat beredskapsansvar. Målet för Riksbankens verksamhet avseende beredskap är att ha en god förmåga att upprätthålla sin verksamhet under fredstida krissituationer och vid höjd beredskap, inbegripet att allmänheten ska kunna göra betalningar. I förslaget till riksbankslagen betonar regeringen att Riksbankens nya ansvarsområde ligger vid sidan av det ansvar som myndigheterna under regeringen har och att detta faktum ställer stora krav på samverkan mellan Riksbanken och myndigheter under regeringen i syfte att samordna beredskapsåtgärder (prop. 2021/22:41 s. 127). Riksbanken ska planera och förbereda för att kunna fortsätta sin verksamhet under fredstida krissituationer och vid höjd beredskap. I detta arbete ska Riksbanken beakta totalförsvarets krav. Detta omfattar även att vid störningar i genomförandet av betalningar under fredstida krissituationer, omgående upprätta en ledningsfunktion för samordning och information (samma prop. s. 227). Vid höjd beredskap ska Riksbanken kunna övergå till krigsorganisation. Riksbanken ska genomföra gemensamma utbildningar och övningar för bankens egen personal och för arbets- och uppdragstagare i företag som bedriver verksamhet som är av särskild betydelse för genomförandet av

betalningar. Vilka dessa företag är regleras i Riksbankens föreskrifter (se Riksbankens föreskrifter och allmänna råd [RBFS 2023:3] om företag av särskild betydelse för genomförandet av betalningar under fredstida krissituationer och vid höjd beredskap). Företagen ska planera och vidta förberedelser i syfte att kunna fortsätta sin verksamhet med betalningar under fredstida krissituationer och vid höjd beredskap. Företagen har alltså ett ansvar för att upprätta en krigsorganisation. Företagen ska även delta i Riksbankens beredskapsplanering och se till att arbets- och uppdragstagare får den utbildning och övning som behövs. Riksbanken ska utifrån sina föreskrifter på området, övervaka att företagen uppfyller sina skyldigheter i dessa avseenden. Riksbanken har bedömt att föreskrifterna initialt bör omfatta tolv företag som utgörs av vissa kreditinstitut samt företag som har verksamhet med betalningsinfrastruktur, elektronisk identifiering och underskrift, betalapplikationer samt företag som förvarar, uppräknar och transporterar kontanter. Riksbanken har för avsikt att göra en fördjupad analys av vilka företag som i ett nästa steg ska kunna komma att omfattas av föreskrifterna (se Riksbankens beslutspromemoria den 14 december 2023, dnr 2023-01339). Föreskrifterna innehåller bestämmelser om bl.a. företagens uppgifter när det gäller företagens interna planering och förberedelse och deltagande i Riksbankens ledningsfunktion för samordning och information.

5 En ny krishanteringsfunktion

5.1 Det finns ett behov av bättre operativ krishantering i det finansiella systemet

Utkastets förslag: Det ska införas en ny funktion för operativ krishantering i det finansiella systemet.

Promemorians förslag överensstämmer med utkastets förslag. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. Svensk Försäkring avstyrker förslaget, och anser att en enda myndighet inte bör få det huvudsakliga ansvaret för krishantering i den finansiella sektorn. Försvarsmakten och Säkerhetspolisen efterfrågar en analys på en övergripande nivå av hur cybersäkerhetsarbetet i Sverige bör struktureras och i vilken mån det bör bedrivas sektorsvis eller samlat. Stockholms universitet, Juridiska fakulteten anser att förslaget har svagt samband med promemorians syfte och att det därför behöver kompletteras.

Skälen för utkastets förslag

Allvarliga driftsstörningar i det finansiella systemet kan leda till en kris i samhället Ett stabilt och effektivt finansiellt system är av stor betydelse för samhällsekonomin. Det finansiella systemet är väl fungerande om det kan fullgöra

sina tre grundläggande funktioner – förmedling av betalningar, omvandling av sparande till finansiering och riskhantering. I väl fungerande ligger även att systemet är stabilt i meningen att det har motståndskraft mot störningar som hotar dessa funktioner. En situation där det finansiella systemet inte kan upprätthålla sina grundläggande funktioner skulle därför snabbt skada samhället. Det kan leda till att betalningar inte kan genomföras, krediter inte kan lämnas eller att hushåll och företag står utan försäkringsskydd. Betydande störningar i kreditgivningen skulle också kunna smitta av sig på betalningsväsendet, t.ex. genom att hushåll och företag inte får tillgång till de betalningsmedel de behöver. En väl fungerande och effektiv krishantering är följaktligen av stor betydelse. I det finansiella systemet finns både finansiella och operativa risker. Med finansiella risker avses i första hand kreditrisker och marknadsrisker. Med operativ risk menas risken för förluster som inte är direkt hänförlig till finansiella risker. Operativa risker innefattar risken för förluster till följd av bl.a. felaktig handläggning, brottslighet, olyckshändelser, avbrott i energiförsörjningen, cyberangrepp eller andra störningar i de digitala systemen. I Sverige tillhandahålls över 95 procent av de finansiella tjänsterna av privata aktörer. Ansvarsprincipen utgår från att den som ansvarar för en verksamhet under normala förhållanden också har ett ansvar för att verksamheten fungerar under en krissituation (se avsnitt 4.1). De finansiella företagen har därför ett ansvar för att själva ta höjd för operativa risker och ha säkra och motståndskraftiga system för att på egen hand kunna hantera en driftsstörning. Ansvarsprincipen innebär ett ansvar för varje aktör att samverka med andra aktörer, ofta i andra sektorer än den egna. Ansvaret innebär också att under en kris kunna bedriva verksamhet och hantera situationer. De senaste årtiondenas snabba digitalisering har lett till att användningen av informations- och kommunikationsteknik (IKT) i dag är avgörande för driften av finansiella företags vanliga dagliga funktioner. Det innebär i sin tur att finansiella tjänster är beroende av fungerande elförsörjning och fungerande nätverks- och informationssystem. Omvänt är de andra sektorerna beroende av finansiella tjänster, särskilt betalningar. Samtidigt som digitaliseringen innebär stora fördelar för samhället i stort medför den delvis nya krav på att hantera risker, hot och sårbarheter. Den höga graden av sammanlänkning mellan finansiella företag, finansmarknader och finansmarknadsinfrastruktur utgör systemsårbarheter. Svensk ekonomi är utsatt för destabiliserande aktiviteter. Det ökade antalet cyberangrepp mot företag i den finansiella sektorn liksom de hybridattacker som riktas mot energisektorn och sektorn för elektronisk kommunikation medför ännu högre risk för allvarliga driftsstörningar i det finansiella systemet. En allvarlig driftsstörning i det finansiella systemet där samhällsviktiga finansiella tjänster slås ut kan snabbt leda till att en allvarlig kris inträffar i samhället. En sådan störning innebär inte nödvändigtvis en finanskris, men kan likväl leda till en samhällskris. I förlängningen kan en sådan driftsstörning även hota den finansiella stabiliteten.

Det saknas en samordnad och koordinerad operativ krishantering i det finansiella systemet Sedan finanskrisen 2008 har flera åtgärder vidtagits för att stärka motståndskraften mot finansiella risker. Bland annat har det införts strängare kapital- och likviditetskrav för finansiella företag och regelverk om resolution av systemviktiga företag. Riksbanken har fått utökade möjligheter att lämna likviditetsstöd. Det offentliga ansvaret ligger på myndigheter inom den finansiella sektorn. Det innebär att tre förvaltningsmyndigheter ansvarar för att motverka störningar i det finansiella systemet: Finansinspektionen (tillsynsmyndighet), Riksbanken (centralbank) och Riksgäldskontoret (garanti-, resolutions- och stödmyndighet). Dessa tre myndigheter har olika roller på området. Även om rollerna skiljer sig åt handlar det dock om att bidra till samma övergripande mål, nämligen ett stabilt och effektivt finansiellt system. De senaste åren har åtgärder även vidtagits för att stärka de finansiella företagens motståndskraft mot operativa risker. Europaparlamentets och rådets förordning (EU) 2022/2554 av den 14 december 2022 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011, kallad DORA-förordningen, tillämpas fr.o.m. den 17 januari 2025. Genom förordningen införs nya krav på företag inom den finansiella sektorn. Kraven omfattar bl.a. företagens riskhantering när det gäller informations- och kommunikationsteknik (IKT), incidentrapportering, hantering av utlagd verksamhet och testning av digital operativ motståndskraft. Finansinspektionen är tillsynsmyndighet (se 1 kap. 2 § lagen [2024:1278] med kompletterande bestämmelser till EU:s förordning om digital operativ motståndskraft för finanssektorn). Finansinspektionen och Riksbanken har ett delat ansvar för testningen av företagens operativa motståndskraft (se 2 kap. samma lag). Enligt lagen (2022:1568) om Sveriges riksbank, kallad riksbankslagen, har Riksbanken även ett uppdrag att identifiera risker för allvarliga störningar i det finansiella systemet (3 kap. 9 §). Inom ramen för detta uppdrag erbjuder Riksbanken s.k. TIBER- tester (eng. Threat Intelligence‐based Ethical Red Teaming) till företag i den finansiella sektorn, vilket syftar till att stärka finansiella företags motståndskraft mot cyberangrepp. I lagen (2024:114) om clearing och avveckling av betalningar ställs krav på clearingbolag som bedriver clearingverksamhet, dvs. förmedlar betalningar mellan banker i ett clearing- eller avvecklingssystem. Kraven omfattar bl.a. riskhantering, beredskap och cybersäkerhet, styrning och att det ska ställas krav vid utkontraktering av clearingverksamhet. Myndigheterna i den finansiella sektorn har inte ansvar för att hantera störningar i företagens IKT-system eller att tillhandahålla back up eller ersättningssystem när företagens finansiella tjänster ligger nere. De åtgärder som myndigheterna kan tillgripa för att avvärja eller hantera finansiella kriser är inte heller i första hand verkningsfulla för att avvärja en allvarlig driftsstörning. Myndigheterna i den finansiella sektorn förfogar emellertid över verktyg som även vid en allvarlig driftsstörning kan komplettera åtgärder som är avsedda att direkt hantera själva driftsstörningen. Exempelvis ska Riksgäldskontoret, i egenskap av resolutionsmyndighet, planera för resolutionsåtgärder som ska vidtas om en central

motpart fallerar till följd av en s.k. icke-obeståndshändelse (t.ex. ett cyberangrepp). Företag tillhandhåller över 95 procent av de finansiella tjänsterna i Sverige. Privata aktörer har mycket goda kunskaper om hotbilden mot det finansiella systemet och hur olika hot kan motverkas. De enskilda privata aktörerna har en väl utvecklad förmåga att hantera de driftsstörningar som berör den egna verksamheten. Samtidigt finns det även hos företag med hög kompetens ett behov av strategiskt och operativt stöd i händelse av allvarliga störningar. Hanteringen av allvarliga störningar och händelser som avviker från det normala underlättas av att aktörerna kan hjälpa varandra. Från det allmännas sida finns det också behov av koordinering och samverkan för att till fullo dra nytta av företagens kompetens inför eller vid fredstida krissituationer och höjd beredskap. För att upprätthålla ett stabilt och effektivt finansiellt system behövs med andra ord ett väletablerat strategiskt och operativt samarbete mellan staten och privata aktörer. Som nämns ovan kan en situation där samhällsviktiga finansiella tjänster slås ut, på grund av en allvarlig driftsstörning i den finansiella sektorn, snabbt leda till att en allvarlig kris inträffar i samhället och att en fredstida krissituation uppstår. För att den uppkomna situationen ska anses utgöra en fredstida krissituation ska det dock vara fråga om händelser som inte kan hanteras av berörda aktörer var för sig utan som kräver koordinerade åtgärder från flera aktörer. Det är även möjligt att tänka sig det omvända, att en fredstida krissituation som uppkommit på grund av ett omfattande avbrott i elförsörjningen eller av nätverks- och informationssystem i sin tur kan leda till en allvarlig driftsstörning i det finansiella systemet. Gemensamt för sådana situationer är att de kräver samordnade och skyndsamma åtgärder från flera aktörer, både offentliga och privata. I dag saknas en samordnad och effektiv operativ krishantering inför och vid fredstida krissituationer i den finansiella sektorn. Med operativ krishantering avses hantering av kriser som uppstår till följd av allvarliga driftsstörningar i det finansiella systemet.

En särskild funktion för operativ krishantering i det finansiella systemet bör införas Erfarenheter från tidigare kriser visar på att förmågan att skyndsamt dela information samt upprätta och dela gemensamma lägesbilder har stor betydelse för en effektiv krishantering. En effektiv krishantering förutsätter vidare en gemensam inriktning avseende de åtgärder som behöver vidtas och att dessa åtgärder, vid behov, kan samordnas. Dessa förmågor är inte av mindre betydelse vid en kris som uppstår till följd av en allvarlig driftsstörning i det finansiella systemet. Försvarsmakten och Säkerhetspolisen tar upp frågan om cybersäkerhetsarbetet i Sverige bör bedrivas sektorsvis. Vid en kris som uppstår till följd av en allvarlig driftsstörning i det finansiella systemet kommer flera olika aktörer att behöva involveras. Tre statliga myndigheter (Finansinspektionen, Riksbanken och Riksgäldskontoret), med olika roller på området, ansvarar för att motverka störningar i det finansiella systemet. Företag har det huvudsakliga ansvaret att upprätthålla kontinuiteten i sina tjänster, men kan behöva ta hjälp av andra företag och myndigheter.

Avsaknaden av ovan nämnda åtgärder för effektiv krishantering i det finansiella systemet och av ett tydligt ledarskap i en krissituation riskerar att leda till att krishanterande åtgärder försenas och att krisen eskalerar ytterligare. För att motverka detta bör det finnas en etablerad funktion för samverkan och koordinering mellan berörda aktörer. I likhet med att det på EU-nivå finns en operativ sektorsspecifik funktion för cyberkrishantering i den finansiella sektorn (EU-SCICF), bör det i Sverige införas en sektorsspecifik funktion för operativ krishantering. En myndighet inom den finansiella sektorn bör, till skillnad mot vad Svensk Försäkring anser, få det huvudsakliga ansvaret för att leda en sådan funktion. Att en myndighet får ett utpekat ansvar för att leda krishanteringsfunktionen är nödvändigt för att skapa tydlighet när det gäller ledarskapet, inte minst när en krissituation uppstår. Ett tydligt ledarskap är en förutsättning för en väl fungerande krishantering och kommer att underlätta koordineringen av arbetet när det uppstår en allvarlig driftsstörning.

5.2 Riksbanken ska leda krishanteringsfunktionen

Utkastets förslag: Riksbanken ska få ansvaret att leda en krishanteringsfunktion för att hantera allvarliga driftsstörningar i det finansiella systemet i Sverige. Krishanteringsfunktionen ska regleras i lagen om Sveriges riksbank.

Promemorians förslag överensstämmer i huvudsak med utkastets förslag. I promemorian föreslås att Riksbanken ska vara ansvarig myndighet för funktionen. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. Svensk Försäkring avstyrker förslaget och anser att det skulle leda till oklara ansvarsförhållanden mellan Riksbanken och Finansinspektionen när det gäller krishantering inom den finansiella sektorn. Flera remissinstanser väcker olika frågor om hur Riksbankens ansvar för krishanteringsfunktionen förhåller sig till andra myndigheters och funktioners ansvar för hantering av cyberkriser. Försvarets radioanstalt , Försvarsmakten och Säkerhetspolisen anser att det är otydligt hur den närmare ansvars- och rollfördelningen ska se ut mellan den krishanteringsfunktion som föreslås, kommande krishanteringsmyndigheter (jfr SOU 2024:18), Nationellt cybersäkerhetscenter respektive CERT-SE/CIRT-SE (Computer Security Incident Response Team). Försvarsmakten ser även en risk med att promemorians förslag leder till att det upprättas flera parallella strukturer med överlappande uppdrag och långa informationskedjor. Myndigheten för samhällsskydd och beredskap (MSB) föreslår att Riksbanken pekas ut som sektorsvis cyberkrishanteringsmyndighet för den finansiella sektorn.

Skälen för utkastets förslag

Krishanteringsfunktionen bör inte inordnas i en myndighet I promemorian föreslås att Riksbanken ska vara ansvarig myndighet för den nya krishanteringsfunktionen. Med detta avses att det ska inrättas en 21

funktion för krishantering inom Riksbanken. Den krishanterande funktionen föreslås komplettera den ledningsfunktion som Riksbanken har upprättat. Inom den finansiella sektorn finns det tre myndigheter med olika uppdrag för att motverka störningar i det finansiella systemet och med olika ansvar för den civila beredskapen. Syftet med detta lagstiftningsärende är inte att ändra denna ordning. I likhet med förslaget i promemorian bör krishanteringsfunktionen, i enlighet med ansvarsprincipen, inte överta någon beslutanderätt från någon myndighet eller privat aktör. Varje myndighet och företag utgår från sin egen beslutskompetens och svarar själv för sina egna beslut. Syftet med krishanteringsfunktionen är att underlätta samordningen mellan myndigheter och företag och koordinera de åtgärder som behövs vid hanteringen av en allvarlig driftsstörning i det finansiella systemet i Sverige. Krishanteringsfunktionen bör därmed vara ett samarbete mellan flera myndigheter och inte vara en myndighet eller ingå i en myndighet. Till skillnad från vad som föreslås i promemorian bör funktionen därför inte utgöra en del av Riksbanken. I stället för att inrätta krishanteringsfunktionen i en myndighet, bör det klargöras att en myndighet får ansvaret att leda funktionens arbete.

Riksbanken bör få ansvaret att leda krishanteringsfunktionen Krishanteringsfunktionen tar inte över några formella befogenheter från deltagarna. Detta understryker vikten av att ge någon av de deltagande myndigheterna ett mandat att leda det gemensamma arbetet i funktionen. Den mest samhällsviktiga tjänsten i den finansiella sektorn är betalningar i vid mening. Riksbanken har ett uttalat ansvar för genomförandet av betalningar i krissituationer och ställer, genom föreskrifter, krav på företag som är av särskild betydelse för genomförandet av betalningar. Riksbanken är dessutom en central aktör i betalningssystemet genom att tillhandahålla system för avveckling av stora betalningar och avvecklingssystem för värdepapper. Riksbanken är därför särskilt lämpad att ansvara för att leda funktionens arbete. Det ger goda förutsättningar för funktionen att bidra till en effektiv och ändamålsenlig krishantering vid allvarliga driftsstörningar, i lägen som kräver skyndsamt agerande och där antalet berörda aktörer kan vara stort. Riksbanken har i dag ett uppdrag att, vid störningar i genomförandet av betalningar under fredstida krissituationer och vid höjd beredskap, upprätta en ledningsfunktion för samordning och information (prop. 2021/22:41 s. 227). Enligt 8 § Riksbankens föreskrifter och allmänna råd (RBFS 2023:3) om företag av särskild betydelse för genomförandet av betalningar under fredstida krissituationer och vid höjd beredskap ska de företag av särskilt betydelse för genomförandet av betalningar och som omfattas av föreskrifterna planera och förbereda för att kunna ingå i ledningsfunktionen. Riksbanken bör fortsätta att ha detta uppdrag. Att lägga ansvaret för operativ krishantering för övriga delar av det finansiella systemet i Sverige på en annan myndighet, skulle innebära att två myndigheter skulle ha delvis överlappande uppdrag. En sådan ordning med parallella strukturer är inte önskvärd. Riksbanken bör därför, till

skillnad mot vad Svensk Försäkring anser, få i uppdrag att leda den operativa krishanteringsfunktionen. Att Riksbanken är den myndighet som bör ansvara för att leda krishanteringsfunktionen innebär att Riksbanken har rollen som ordförande och har det huvudsakliga ansvaret för att det finns en fungerande struktur för krishanteringsfunktionens verksamhet. I det ingår att krishanteringsfunktionen ska kunna utföra sin uppgift att vara operativ inför och vid fredstida kriser och höjd beredskap. Riksbanken bör även t.ex. bistå krishanteringsfunktionen med administrativt stöd och ansvara för att tillhandahålla tekniska plattformar för informationsdelning och samordning. Företagen kommer inte att få rätt till ersättning för de merkostnader som förslagen kan leda till (se avsnitt 10). Det är därför viktigt att Riksbanken, i egenskap av den myndighet som är ansvarig för att leda krishanteringsfunktionen, verkar för att skyldigheterna för företagen inte medför betydande kostnader för dessa.

Förhållandet till andra myndigheters och funktioners ansvar vid allvarliga driftsstörningar i informations- och kommunikationsteknik Flera remissinstanser – Försvarets radioanstalt , Försvarsmakten , MSB , och Säkerhetspolisen – väcker olika frågor om hur Riksbankens ansvar för krishanteringsfunktionen förhåller sig till andra myndigheters och funktioners ansvar för hantering av cyberkriser. Som Försvarsmakten och Försvarets radioanstalt (FRA) påpekar har det i flera sammanhang gjorts analyser av ansvars- och rollfördelningen för bl.a. Nationellt cybersäkerhetscenter och nationella cyberkrishanteringsmyndigheter (se t.ex. Nya regler om cybersäkerhet SOU 2024:18, och Ett nytt nationellt cybersäkerhetscenter Del 1 och 2, Fö2024/00785). Med utgångspunkt i förslagen har ett arbete pågått i syfte att omstrukturera Nationellt cybersäkerhetscenter (NCSC), som fr.o.m. den 1 november 2024 är inordnat under huvudmannaskap av FRA. Syftet med omstruktureringen har varit att stärka styrningen och samordningen av den nationella cybersäkerheten på så sätt att cybersäkerhetscentret ska utgöra navet i det nationella cybersäkerhetsarbetet. Som ett led i det arbetet beslutade regeringen förordningen (2025:237) om det nationella cybersäkerhetscentret vid Försvarets radioanstalt. Förordningen innehåller bestämmelser om den verksamhet som ska bedrivas av det nationella cybersäkerhetscenter som finns inom FRA. Centret ska bl.a. utgöra en nationell plattform för samverkan och informationsutbyte mellan aktörer, såväl privata som offentliga, i frågor som rör cybersäkerhet. Centret ska också vara en kontaktpunkt för cybersäkerhetsfrågor. En särskild utredare har haft i uppdrag att analysera och föreslå vilka av MSB:s uppgifter inom informationsoch cybersäkerhet som bör föras över till FRA (dir. 2024:111). Uppdraget redovisades den 1 juli 2025 i betänkandet Samlade förmågor för ökad cybersäkerhet (SOU 2025:79). Med utgångspunkt i Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 (NIS 2-direktivet), beslutade regeringen den 12 juni 2025 en lagrådsremiss med förslag till en ny cybersäkerhetslag, som föreslås träda i kraft den 15 januari 2026

(Fö2025/01006). NIS 2-direktivet är bara i begränsad omfattning tillämpligt på den finansiella sektorn som i första hand i stället ska tillämpa DORA-förordningen (se avsnitt 5.1). Som bl.a. Försvarsmakten lyfter fram behöver risken för att det bildas parallella strukturer och långa informationskedjor beaktas i det pågående arbetet med att utveckla det strukturella ansvaret för cyberkrishantering. Det behöver därför vara tydligt vad som är respektive myndighets och funktions ansvar. Som nämns i avsnitt 5.1 har myndigheterna i det finansiella systemet inte något ansvar för att hantera störningar i företagens IKT-system eller att tillhandahålla back up eller ersättningssystem när företagens finansiella tjänster ligger nere. Dessa myndigheter har inte heller något ansvar för att hantera allvarliga driftsstörningar i andra sektorer som kan leda till att samhällsviktiga finansiella tjänster ligger nere. Myndigheterna i det finansiella systemet ansvarar däremot för att det finansiella systemet är stabilt och effektivt. Den nya krishanteringsfunktionens uppdrag kan inte gå utöver dessa myndigheters ansvar (se avsnitt 5.3). Uppdraget att hantera andra delar av en kris till följd av allvarliga driftsstörningar i IKT-system, såsom att hantera själva driftsstörningen eller att samordna samhällets krishantering och beredskap av sådana kriser, ligger på andra myndigheter och funktioner och behandlas inte vidare här. Mot bakgrund av att cyberhoten mot Sverige är omfattande, med allt fler cyberangrepp mot den finansiella sektorn, bör samarbete mellan krishanteringsfunktionen och NCSC vara en naturlig del för att stärka den samlade förmågan att bekämpa och hantera IKT-incidenter och cyberangrepp (se även avsnitt 5.4). Eftersom arbetet med att utforma det övergripande strukturella ansvaret för cyberkrishantering fortfarande pågår är det för tidigt att i detta sammanhang ta ställning till frågan om det bör inrättas en sektorsvis cyberkrishanteringsmyndighet för den finansiella sektorn, så som MSB föreslår. Hur Riksbankens ansvar enligt riksbankslagen förhåller sig till Finansinspektionens ansvar som sektorsansvarig myndighet enligt beredskapsförordningen behandlas i avsnitt 6.1.

Krishanteringsfunktionen bör regleras i riksbankslagen För att uppnå en fungerande operativ krisberedskap i den finansiella sektorn bör det säkerställas att det finns stabila förutsättningar för att krishanteringsfunktionen ska kunna verka. Det förutsätter att det går att säkerställa att personal avsätts till funktionen inför eller vid en krissituation eller höjd beredskap. Det finns därför skäl att göra deltagandet i funktionen obligatoriskt för centrala aktörer, både privata och offentliga. Krishanteringsfunktionens uppdrag och struktur behöver därför regleras. Riksbanken får endast bedriva eller ta del i sådan verksamhet som enligt lag ankommer på banken (1 kap. 5 § riksbankslagen). I promemorian föreslås att ändringar görs i 5 kap. riksbankslagen, som reglerar Riksbankens ansvar under fredstida krissituationer och vid höjd beredskap. Riksbankens ansvar i dessa situationer bör hållas samlat. Krishanteringsfunktionen bör därför regleras i 5 kap. riksbankslagen.

5.3 Krishanteringsfunktionens uppdrag

Utkastets förslag: Krishanteringsfunktionen ska, under fredstida krissituationer och vid höjd beredskap, stödja arbetet med att upprätthålla ett stabilt och effektivt finansiellt system, inbegripet att allmänheten ska kunna göra betalningar. Utkastets bedömning: Det bör inte regleras i lag att Riksbanken ska anta en instruktion för krishanteringsfunktionens verksamhet.

Promemorians förslag överensstämmer delvis med utkastets förslag och bedömning. I promemorian föreslås att funktionen ska ansvara för krishantering vid en allvarlig driftsstörning i den finansiella sektorns digitala infrastruktur som lett till eller riskerar att leda till en allvarlig störning av viktiga samhällsfunktioner inom sektorn. I promemorian föreslås att Riksbanken ska få anta en instruktion för att närmare reglera funktionens verksamhet. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. Finansinspektionen avstyrker vissa av förslagen i promemorian när det gäller funktionens krisförberedande arbete. Försvarets radioanstalt anser att det är viktigt att det operativa ansvaret för krishanteringsfunktionen definieras och avgränsas till att hantera allvarliga driftsstörningar inom den finansiella sektorn. Finansinspektionen anser att det bör klarläggas om Riksbankens ansvar enligt riksbankslagen för att allmänheten ska kunna göra betalningar innebär någon begränsning i uppdraget som ansvarig för funktionen. Myndigheten för samhällsskydd och beredskap (MSB) anser att funktionen ska kunna verka i hela hotskalan, från fredstida krissituationer till höjd beredskap och ytterst krig. Finansinspektionen, MSB och Riksbanken invänder mot omfattningen av funktionens krisförberedande arbete. Myndigheterna anser att det krisförberedande arbetet inte bör omfatta sådan verksamhet som tillkommer Finansinspektionen i rollen som sektorsansvarig myndighet. Loomis Sverige AB , Svenska Bankföreningen och Svensk Värdepappersmarknad anser att det inte bör ingå i funktionens uppdrag att ta fram planer som är specifika för enskilda företag, eftersom företagen ansvarar för sin egen krisledning och redan har etablerade kris- och kontinuitetsplaner. Funktionens uppdrag bör i stället vara att ta fram eskaleringsnivåer och rutiner som sedan de enskilda företagen kan införa i sina respektive planer. Finansbolagens Förening , Loomis Sverige AB, Svenska Bankföreningen och Svensk Värdepappersmarknad föreslår att funktionen även bör utgöra en central kontaktlänk mellan dess deltagare och gemensamma tredjepartsleverantörer. Riksgäldskontoret anser att funktionen bör arbeta för att ta fram operativa verktyg för hantering de olika störningarna som kan uppstå. Sveriges advokatsamfund anser att en bestämmelse i lag där det lämnas till Riksbanken att i en instruktion ange funktionens uppgifter är otillräcklig. Advokatsamfundet föreslår att det i stället bör övervägas om Riksbanken ska få ett särskilt bemyndigande att genom föreskrifter ytterligare konkretisera vilken verksamhet som ska bedrivas av krishanteringsfunktionen.

Skälen för utkastets förslag och bedömning

Krishanteringsfunktionens uppdrag bör utformas utifrån Riksbankens ansvar under fredstida krissituationer och vid höjd beredskap I promemorian föreslås att krishanteringsfunktionen ska ansvara för krishantering vid en allvarlig driftsstörning i den finansiella sektorns digitala infrastruktur som lett till eller riskerar att leda till en allvarlig störning av viktiga samhällsfunktioner inom sektorn. En grundläggande princip inom krisberedskap är ansvarsprincipen. Principen innebär att den som har ansvar för en verksamhet under normala förhållanden, om inget annat reglerats, också har ansvaret under fredstida krissituationer och vid höjd beredskap (se avsnitt 4.1, jfr även prop. 2021/22:41 s. 123). Riksbankens ansvar under fredstida krissituationer och vid höjd beredskap regleras i 5 kap. riksbankslagen. Riksbanken ska ha en god förmåga att upprätthålla sin verksamhet under fredstida krissituationer och vid höjd beredskap, inbegripet att allmänheten ska kunna göra betalningar (1 §). Riksbankens verksamhet regleras i 2 och 3 kap. samma lag. I 2 kap. finns bestämmelser om Riksbankens verksamhet med penningpolitik. I 3 kap. finns bestämmelser om Riksbankens verksamhet med det finansiella systemet. Utan att åsidosätta prisstabilitetsmålet i 2 kap. ska Riksbanken bidra till att det finansiella systemet är stabilt och effektivt, inbegripet att allmänheten ska kunna göra betalningar (1 §). I kapitlet utvecklas vilka uppgifter och befogenheter Riksbanken har i förhållande till det finansiella systemet. Riksbanken ska bl.a. bedöma att det finansiella systemet är stabilt och effektivt, identifiera risker för allvarliga störningar eller betydande effektivitetsförluster (9 §). Det finansiella systemet är stabilt och effektivt när det kan upprätthålla sina grundläggande funktioner och är tillräckligt motståndskraftigt för att fortsätta göra det (samma prop. s. 216). I enlighet med ansvarsprincipen bör krishanteringsfunktionens uppdrag utformas utifrån Riksbankens ansvar under fredstida krissituationer och vid höjd beredskap. Krishanteringsfunktionen bör därför, vid sådana situationer, stödja arbetet med att upprätthålla ett stabilt och effektivt finansiellt system, inbegripet att allmänheten ska kunna göra betalningar. Detta innebär, som Finansinspektionen och Förvarets radioanstalt efterfrågar, att krishanteringsfunktionen inte ansvarar för att hantera kriser utanför det finansiella systemet.

Krishanteringsfunktionens uppdrag inför och vid fredstida krissituationer och höjd beredskap Krishanteringsfunktionens uppgift ska, som MSB efterfrågar, vara operativ krishantering under fredstida krissituationer och vid höjd beredskap. Med operativ krishantering avses hantering av kriser som uppstår till följd av allvarliga driftsstörningar i det finansiella systemet. Fredstida krissituationer avser situationer som avviker från det normala, drabbar många människor, drabbar stora delar av samhället eller hotar grundläggande värden. Sådana situationer innebär en allvarlig störning eller en överhängande risk för en allvarlig störning av viktiga samhällsfunktioner och kräver samordnade och skyndsamma åtgärder från flera aktörer. Det behöver inte vara fråga om händelser som drabbar hela landet. En storm

eller en översvämning som endast lokalt eller regionalt drabbar många människor kan utgöra en sådan krissituation som avses. Det ska dock vara fråga om händelser som inte kan hanteras av berörda aktörer var för sig utan som kräver koordinerade åtgärder från flera aktörer (se definition i 6 § förordningen [2022:524] om statliga myndigheters beredskap, kallad beredskapsförordningen, och SOU 2021:25 s. 453 – 455). Riksbanken utgår även från denna definition vid tillämpningen av sina föreskrifter (se Riksbankens beslutspromemoria Betalningar under fredstida krissituationer och vid höjd beredskap, dnr 2023-01339). Att en fredstida krissituation ska innebära en allvarlig störning eller en överhängande risk för en allvarlig störning av viktiga samhällsfunktioner (jfr 6 § beredskapsförordningen) innebär alltså att funktionen ska vara verksam både inför och vid en fredstida krissituation. Höjd beredskap regleras i lagen (1992:1403) om totalförsvar och höjd beredskap. Krishanteringsfunktionen bör vid ovannämnda situationer stödja arbetet med att upprätthålla ett stabilt och effektivt finansiellt system i Sverige. Krishanteringsfunktionen bör alltså säkerställa samordning och koordinering av de åtgärder som vidtas av de involverade myndigheterna och privata aktörerna. I det ingår exempelvis att funktionen bör sammanställa en bild av skadeläget och upprätta gemensamma lägesbilder, som kan delas med de aktörer som medverkar i funktionens arbete. Krishanteringsfunktionen bör också initiera t.ex. koordinering mellan myndigheter och mellan myndigheter och företag samt olika lösningar för att tillgodose identifierade behov. Funktionen bör inventera och förmedla de resurser som aktörerna har tillgängliga för att avhjälpa konsekvenserna av den allvarliga driftsstörningen samt verka för koordinering inför de beslut som aktörerna fattar. Det förutsätter att de som medverkar i funktionens arbete har förutsättningar att dela information med berörda aktörer (se avsnitt 7.1 för förslag i denna del). Det är även viktigt att krishanteringsfunktionen koordinerar den information som företagen förmedlar vid en allvarlig driftsstörning i det finansiella systemet. Det ligger i sakens natur att krishanteringsfunktionen bör ha ett visst planerande och förberedande arbete för att kunna fullgöra sitt uppdrag inför och vid fredstida krissituationer och höjd beredskap. I detta bör ingå exempelvis att utveckla rutiner och processer samt skapa förutsättningar för funktionen att kunna agera effektivt vid en kris. Finansinspektionen är sektorsansvarig myndighet för beredskapssektorn för finansiella tjänster. Som nämns ovan är syftet med den krishanteringsfunktion som föreslås i utkastet inte att ändra befintliga uppdrag eller att överföra olika aktörers ansvar för operativ krishantering. I likhet med vad Finansinspektionen , MSB och Riksbanken framför bör krishanteringsfunktionen därför inte ha i uppdrag att utföra sådana krisförberedande uppgifter som Finansinspektionen har i rollen som sektorsansvarig myndighet. Det arbete som Finansinspektionen utför i denna roll är dock av värde för krishanteringsfunktionens verksamhet. Funktionen ska inte heller i övrigt ha i uppdrag att utföra uppgifter som ankommer de aktörer som deltar i funktionen. I likhet med vad Loomis Sverige AB , Svenska Bankföreningen och Svensk Värdepappersmarknad anför, bör funktionen därför inte ha i uppdrag att ta fram planer för enskilda företag.

Det finns inget hinder för att deltagarna i krishanteringsfunktionen på frivillig väg, såsom Riksgäldskontoret efterfrågar, verkar för att olika operativa verktyg utvecklas inom ramen för funktionen. Det finns inte heller något hinder för att funktionen fungerar som kontaktlänk gentemot gemensamma tredjepartsleverantörer, såsom flera remissinstanser, t.ex. Finansbolagens Förening , föreslår (se även avsnitt 7.1, t.ex. under rubriken Uppgiftsskyldighet för vissa syften).

Det bör inte regleras i lag att Riksbanken ska anta en instruktion I promemorian föreslås att det i riksbankslagen ska regleras att Riksbanken ska få anta en instruktion för krishanteringsfunktionen. Enligt förslaget ska det i instruktionen närmare anges förutsättningar och rutiner för aktivering av funktionen, funktionens sammansättning och hur funktionen ska arbeta med sitt krisförberedande arbete. Riksbanken antar i dag instruktioner för sin egen verksamhet utan stöd i lag. Förslaget i utkastet innebär att krishanteringsfunktionen inte ska ingå i Riksbankens verksamhet (se avsnitt 5.2). I funktionen ska andra statliga myndigheter ingå. För att Riksbanken ska få meddela föreskrifter som innebär att det ställs bindande krav på andra aktörer behövs ett bemyndigande i lag. Sveriges advokatsamfund föreslår att ett sådant bemyndigande övervägs. Riksbanken bör dock inte få ett bemyndigande att meddela föreskrifter som rör myndigheter under regeringen. Utöver föreskrifter om skyldighet att lämna uppgifter för privata aktörer, bör Riksbanken därför inte få utökade möjligheter att meddela föreskrifter (se avsnitt 7.2). Det finns däremot inget som hindrar att de styrdokument som behöver tas fram för krishanteringsfunktionens verksamhet kan tas fram i dialog med funktionens övriga deltagare.

5.4 Medverkande i krishanteringsfunktionen

Utkastets förslag: I krishanteringsfunktionen ska, utöver Riksbanken, ingå 1. de företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar, 2. de företag som bedriver verksamhet som omfattas av Riksbankens övervakning och som Riksbanken beslutar, 3. Finansinspektionen, och 4. Riksgäldskontoret.

Riksbanken ska även få bjuda in andra aktörer att medverka i krishanteringsfunktionens verksamhet om de har kunskaper eller resurser som är av betydelse för funktionen. Ett företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar ska vara skyldigt att delta i krishanteringsfunktionens verksamhet. Riksbankens beslut om att vissa företag ska ingå i funktionen ska få överklagas till allmän förvaltningsdomstol. Utkastets bedömning: Riksbanken bör inte få ålägga ett företag att delta i krishanteringsfunktionens verksamhet.

Promemorians förslag överensstämmer delvis med utkastets förslag. I promemorian föreslås att Riksbanken ska få besluta att andra företag än de som är av särskild betydelse för genomförandet av betalningar ska ingå i krishanteringsfunktionen. Vidare föreslås att Riksbanken ska få ålägga företag att delta i funktionen om det är nödvändigt. Riksbanken ska även få förelägga företag, vid vite, att följa ett sådant åläggande. I promemorian lämnas inte något förslag om överklagande. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. Svensk Försäkring anser att det bör vara Finansinspektionen som ska fatta beslut om vilka aktörer som ska omfattas av krishanteringsfunktionen. Försäkringskassan och Pensionsmyndigheten anser att Försäkringskassan bör ingå i krishanteringsfunktionen, eftersom Försäkringskassan är sektorsansvarig myndighet för beredskapssektorn för ekonomisk säkerhet. Bank-ID anser att Myndigheten för psykologiskt försvar bör knytas till krishanteringsfunktionen. Myndigheten för samhällsskydd och beredskap (MSB) anser att krishanteringsfunktionen behöver ett nära samarbete med flera myndigheter och funktioner, såväl nationellt som inom EU, bl.a. NCSC och MSB. Försvarets radioanstalt (FRA) framhåller att i en hantering av en störning i den finansiella sektorn som beror på ett cyberangrepp kommer samverkan mellan den föreslagna funktionen och NCSC bli central, inte minst för att möjliggöra en effektiv hantering av ett cyberangrepp som orsakar driftsstörningar i flera sektorer.

Skälen för utkastets förslag och bedömning

Vilka ska medverka i krishanteringsfunktionen? Riksbanken, Finansinspektionen och Riksgäldskontoret har alla ett ansvar för att motverka störningar i det finansiella systemet och bör därför ingå i krishanteringsfunktionen. Eftersom krishanteringsfunktionens uppdrag avser allvarliga driftsstörningar i det finansiella systemet, bör enbart myndigheter med ansvar för det finansiella system ingå i krishanteringsfunktionen. I beredskapssektorn för finansiella tjänster ingår Finansinspektionen och Riksgäldskontoret. Riksgäldskontoret är även beredskapsmyndighet i beredskapssektorn för ekonomisk säkerhet, där Försäkringskassan är sektorsansvarig myndighet. Det finns därmed förutsättningar för att koordinera åtgärder inom ramen för krishanteringsfunktionens verksamhet med åtgärder i beredskapssektorn för ekonomisk säkerhet. Till skillnad från vad Försäkringskassan och Pensionsmyndigheten anför, bör inte statliga myndigheter i andra beredskapssektorer, t.ex. Försäkringskassan, ingå i funktionen. Därutöver bör företag av särskild betydelse för det finansiella systemet ingå i funktionen. De företag av särskild betydelse för genomförandet av betalningar, som omfattas av Riksbankens föreskrifter, bör därför ingå. Dessa företag har krav på sig att delta i Riksbankens verksamhet med planering och förberedelser för att kunna fortsätta sin verksamhet som avser betalningar under fredstida krissituationer och vid höjd beredskap (5 kap. 4 § riksbankslagen). Utöver att ingå i funktionen, bör företagen även ha en skyldighet att delta i Riksbankens verksamhet med

krishanteringsfunktionen. Riksbanken får därmed meddela föreskrifter om vilka förberedelse- och planeringsåtgärder företagen ska vidta inför fredstida krissituationer och höjd beredskap (13 kap. 1 § 10 riksbankslagen). I promemorian föreslås att Riksbanken även ska få besluta om att andra företag, som bedriver en verksamhet som är av stor betydelse för att upprätthålla samhällsviktig verksamhet inom den finansiella sektorn, ska ingå i funktionen. Detta avser t.ex. kreditinstitut, värdepappersbolag, försäkringsföretag, kortnätverken Visa och Mastercard samt kritiska tredjepartsleverantörer. Operativ krishantering kan bli aktuell även för andra finansiella tjänster än betalningar. För att krishanteringsfunktionen ska vara ändamålsenlig behöver därför även företag, som tillhandahåller andra samhällsviktiga finansiella tjänster, kunna ingå. Som framgår av avsnitt 5.2 ska Riksbanken leda arbetet i krishanteringsfunktionen och ändringar göras i riksbankslagen. I detta ingår att Riksbanken ska ha det huvudsakliga ansvaret för att det finns en fungerande struktur för funktionens verksamhet. Riksbanken bör därmed kunna besluta om vilka företag som ska ingå i krishanteringsfunktionen. Det är inte lämpligt att, som Svensk Försäkring föreslår, Finansinspektionen fattar dessa beslut. Som framgår av avsnitt 5.3 bör krishanteringsfunktionens uppdrag utformas utifrån Riksbankens ansvar under fredstida krissituationer och vid höjd beredskap. Riksbankens ansvar omfattar i detta hänseende inte hela det finansiella systemet, utan begränsas till de delar som Riksbanken har att övervaka enligt 3 kap. riksbankslagen. Det innebär att Riksbanken inte kan få möjlighet att besluta om att andra företag ska ingå i krishanteringsfunktionen, än företag som omfattas av Riksbankens övervakning enligt detta kapitel. Företag som avses är sådana som är av särskild betydelse för den finansiella infrastrukturen i Sverige. Riksbankens beslut om att vissa företag ska ingå i funktionen bör kunna överklagas till allmän förvaltningsdomstol. Det finns även andra aktörer, t.ex. statliga myndigheter inom andra beredskapssektorer, branschorganisationer och företag, som kan ha kunskaper eller resurser som är av betydelse för krishanteringsfunktionens verksamhet. Vilka dessa är kan skilja sig åt beroende på vilken krissituation som uppstår. Riksbanken bör därför ha möjlighet att bjuda in sådana aktörer att medverka i funktionens verksamhet. Det finns därmed möjlighet att, såsom MSB påpekar, kunna knyta andra relevanta statliga myndigheter eller verksamheter till funktionen. Som anges i avsnitt 5.2 bör samarbete mellan krishanteringsfunktionen och Nationellt cybersäkerhetscenter, som FRA framhåller, vara en naturlig del för att stärka den samlade förmågan att bekämpa och hantera IKT-incidenter och cyberangrepp. Cybersäkerhetscentret är därför en sådan aktör som Riksbanken kan bjuda in att medverka i krishanteringsfunktionens verksamhet när det handlar om frågor som rör cybersäkerhet. I avsnitt 6.2 behandlas myndigheternas skyldighet att samverka med varandra i bl.a. dessa frågor.

Riksbanken bör inte få ålägga ett företag att delta i krishanteringsfunktionens verksamhet I promemorian föreslås att Riksbanken ska få ålägga företag att delta i krishanteringsfunktionen om det är nödvändigt. Riksbanken föreslås även få förelägga företag, vid vite, att följa ett sådant åläggande. Riksbanken har i dag endast möjlighet att förelägga företag som Riksbanken ska övervaka inom ramen för 3 kap. riksbankslagen att inkomma med uppgifter. Riksbanken har i övrigt inte några möjligheter att ålägga dessa företag att delta i Riksbankens verksamhet eller förelägga dem, vid vite, att göra så. Riksbanken har inte heller möjlighet att anta föreskrifter för dessa företags verksamhet. Ett åläggande skulle innebära att Riksbanken har möjlighet att ställa ytterligare krav på vad dessa företag är skyldiga att göra under fredstida krissituationer och vid höjd beredskap. Det saknas tillräckliga skäl för en sådan ordning, inte minst mot bakgrund av att företagen inte har rätt till ersättning för de merkostnader som förslaget kan leda till. Därmed blir det inte aktuellt med någon sådan möjlighet att förelägga vid vite som föreslås i promemorian.

5.5 Informationsskyldighet

Utkastets förslag: Riksbanken ska hålla regeringen informerad om viktigare frågor när det gäller verksamheten i krishanteringsfunktionen.

Promemorians förslag överensstämmer med utkastets förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot det. Skälen för utkastets förslag: Riksbanken har i dag en skyldighet att hålla regeringen underrättad om viktigare frågor under fredstida krissituationer och höjd beredskap (5 kap. 7 § riksbankslagen). Den befintliga bestämmelsen avser Riksbankens informationsskyldighet om sin verksamhet i dessa situationer. Regeringen har dock ett intresse av att även hållas informerad om den verksamhet som bedrivs i krishanteringsfunktionen. Eftersom krishanteringsfunktionen enligt förslaget inte ska vara en del av Riksbankens verksamhet, men Riksbanken ska leda funktionen, bör det införas en skyldighet för Riksbanken att hålla regeringen informerad om viktigare frågor när det gäller verksamheten i funktionen. Det är i första hand upp till Riksbanken att ta ställning till om, när och hur regeringen bör informeras.

6 Bättre samordning av den civila beredskapen i det finansiella systemet

6.1 Ansvarsfördelningen för civil beredskap i det finansiella systemet

Utkastets bedömning: Regleringen av fredstida krissituationer och höjd beredskap i lagen om Sveriges riksbank ersätter inte föreskrifter om fredstida krissituationer och höjd beredskap i annan författning.

Promemorian behandlar inte frågan. Remissinstanserna: Flera remissinstanser väcker olika frågor om hur Riksbankens ansvar för krishanteringsfunktionen förhåller sig till det beredskapsansvar som myndigheterna under regeringen har. Myndigheten för samhällsskydd och beredskap (MSB) saknar en övergripande beskrivning av vad förslagen i promemorian får för konsekvenser för det civila beredskapssystemet i sin helhet. Finansinspektionen anser att det är viktigt att myndigheternas ansvar tydliggörs särskilt när det gäller det arbete som ska bedrivas enligt beredskapsförordningen i händelse av en fredstida krissituation eller höjd beredskap. Ansvaret för att samverka med andra beredskapssektorer bör i första hand vara en uppgift för den sektorsansvariga myndigheten. Länsstyrelsen i Dalarnas län , Länsstyrelsen i Stockholms län och MSB påpekar att Riksbanken inte ingår i de nyinrättade beredskapssektorerna under delområdet finansiella tjänster. Detta kan enligt dessa remissinstanser medföra att ledningsförhållandena mellan Riksbanken och Finansinspektionen vid kris och krig, kan behöva tydliggöras så att inte missförstånd sker vid uppkomna händelser. Svensk Försäkring anser att det saknas en analys av Riksbankens uppdrag enligt riksbankslagen och hur det förhåller sig till det uppdrag som Finansinspektionen har enligt beredskapsstrukturen. Skälen för utkastets bedömning: Sedan den 1 oktober 2022 har Sverige en ny beredskapsstruktur för civilt försvar och krisberedskap. Enligt förordningen (2022:524) om statliga myndigheters beredskap, kallad beredskapsförordningen, ska varje myndighet beakta totalförsvarets krav i sin verksamhet. I detta ingår att planera för att myndigheten vid höjd beredskap ska fortsätta sin verksamhet så långt det är möjligt med hänsyn till tillgången på personal och förhållandena i övrigt. Av förordningen framgår det vidare att vissa myndigheter är beredskapsmyndigheter och att större delen av dessa är indelade i ett antal olika beredskapssektorer. Beredskapsmyndigheterna ska ha god förmåga att motstå hot och risker, förebygga sårbarheter och genomföra sina uppgifter vid höjd beredskap. Vid höjd beredskap och ytterst krig ska beredskapsmyndigheterna i första hand inrikta sin verksamhet på uppgifter som har betydelse för totalförsvaret. Den myndighet som är sektorsansvarig ska inom sin sektor leda arbetet med att samordna åtgärder inför och vid höjd beredskap samt under höjd beredskap utifrån behov lämna underlag till regeringen avseende prioritering och fördelning av resurser inom beredskapssektorn.

I beredskapssektorn för finansiella tjänster är Finansinspektionen ansvarig myndighet och i sektorn ingår även Riksgäldskontoret. Även om Riksbanken ansvarar för flera viktiga finansiella tjänster omfattas dock inte Riksbanken, som myndighet under riksdagen, av de strukturer som gäller för myndigheter under regeringen. Eftersom Riksbanken är en myndighet under riksdagen får dess verksamhet endast regleras genom lag (se 9 kap. 13 § regeringsformen). Riksbankens verksamhet kan därför inte regleras genom beredskapsförordningen. Detta innebär att Riksbanken inte omfattas av vare sig strukturen i stort eller beredskapssektorn för finansiella tjänster. Mot bakgrund av Riksbankens centrala roll i det finansiella systemet samt ansvaret för civil beredskap inom betalningsområdet är Riksbankens medverkan i arbetet med verksamhet av särskild betydelse för krisberedskap och totalförsvar inom beredskapssektorn för finansiella tjänster nödvändig. Riksbanken deltar därför på frivillig basis i arbetet inom beredskapssektorn. I lagen (2022:1568) om Sveriges riksbank, kallad riksbankslagen, har Riksbanken fått ett utökat beredskapsansvar för betalningar i samhället. Målet för Riksbankens verksamhet avseende beredskap är att ha en god förmåga att upprätthålla sin verksamhet under fredstida krissituationer och vid höjd beredskap, inbegripet att allmänheten ska kunna göra betalningar under fredstida krissituationer och vid höjd beredskap (5 kap. 1 § riksbankslagen). I förarbetena till riksbankslagen betonar regeringen att Riksbankens nya ansvarsområde ligger vid sidan av det ansvar som myndigheterna under regeringen har (prop. 2021/22:41 s. 127). Riksbanken ska planera och förbereda för att kunna fortsätta sin verksamhet under fredstida krissituationer och vid höjd beredskap (5 kap. 2 § samma lag). Riksbanken ska i detta arbete beakta totalförsvarets krav. Riksbanken har ett ansvar för att säkerställa att allmänheten kan genomföra betalningar även vid kris och krig. Betalningar utgör samtidigt samhällsviktig verksamhet inom sektorn finansiella tjänster (jfr avsnitt 4.2), för vilken Finansinspektionen är sektorsansvarig myndighet. Finansinspektionen har, i denna roll, i sin tur till uppgift att leda arbetet med att samordna åtgärder inför och vid fredstida krissituationer och höjd beredskap. Flera remissinstanser – Finansinspektionen , Länsstyrelsen i Dalarnas län , Länsstyrelsen i Stockholms län , MSB och Svensk Försäkring – väcker olika frågor om hur Riksbankens ansvar för krishanteringsfunktionen förhåller sig till det beredskapsansvar som myndigheterna under regeringen har. Beredskapsförordningen reglerar de uppgifter som statliga myndigheter under regeringen har inför och vid fredstida krissituationer och höjd beredskap. Även om beredskapsförordningen är dispositiv i förhållande till annan lag eller förordning (se 2 §), gäller det i förhållande till de bestämmelser som berör dessa myndigheter. Bestämmelserna om fredstida krissituationer och höjd beredskap i riksbankslagen (5 kap.) reglerar Riksbankens ansvar och innebär därför inte en särreglering av Finansinspektionens ansvar enligt beredskapsförordningen. På samma sätt som befintlig reglering i riksbankslagen inte innebär någon särreglering i förhållande till bestämmelserna i beredskapsförordningen, ändrar förslagen i utkastet inte det ansvar som myndigheterna under regeringen har enligt den förordningen (jfr avsnitt 6.2). Information och samverkan inom 33

ramen för civil beredskap med andra relevanta myndigheter under regeringen och funktioner, t.ex. Nationellt cybersäkerhetscenter, bör, som Finansinspektionen påpekar, därför följa strukturer som är inrättade för sådan information och samverkan.

6.2 Information och samverkan i frågor som rör fredstida krissituationer och höjd beredskap

Utkastets förslag: Riksbanken ska, under fredstida krissituationer och vid höjd beredskap, hålla Finansinspektionen underrättad om viktigare frågor. Riksbanken ska samverka med Finansinspektionen och Riksgäldskontoret i sådana frågor som rör fredstida krissituationer och höjd beredskap. Vid samverkan ska Riksbanken lämna de uppgifter som Finansinspektionen och Riksgäldskontoret behöver. Riksbanken ska även samverka med Myndigheten för samhällsskydd och beredskap och andra relevanta myndigheter i frågor som rör fredstida krissituationer och höjd beredskap. Utkastets bedömning: Riksgäldskontoret bör samverka med Riksbanken i sådana frågor som rör fredstida krissituationer och höjd beredskap. Finansinspektionen och Riksgäldskontoret bör vid samverkan lämna de uppgifter som Riksbanken behöver. Detta bör regleras i föreskrifter på lägre nivå än lag.

Promemorians förslag överensstämmer delvis med utkastets förslag. I promemorian föreslås inte några bestämmelser om samverkan. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. Finansinspektionen anser att Riksbanken bör ha en skyldighet att ge Finansinspektionen sådan information som inspektionen behöver för att fullgöra sina uppgifter enligt beredskapsförordningen. Finansinspektionen anser även att Riksbanken bör ha en skyldighet att samverka motsvarande den som inspektionen har enligt förordningen (2023:910) med instruktion för Finansinspektionen. Myndigheten för samhällsskydd och beredskap (MSB) anser att Riksbanken bör ha en motsvarande skyldighet att på förfrågan hålla MSB informerad på samma sätt som myndigheter under regeringen har enligt 12 § beredskapsförordningen. Länsstyrelsen i Stockholms län anser att Riksbankens skyldigheter att samverka bör spegla de krav som ställs på beredskapsmyndigheterna enligt beredskapsförordningen, exempelvis krav på samverkan med berörda länsstyrelser. Utbetalningsmyndigheten anser att samverkansskyldighet med beredskapssektorn för ekonomisk säkerhet ska fastslås på ett tydligare sätt.

Skälen för utkastets förslag och bedömning

Information och samverkan mellan Finansinspektionen, Riksbanken och Riksgäldskontoret Som anges i avsnitt 6.1 ligger Riksbankens ansvar för fredstida krissituationer och höjd beredskap vid sidan av det ansvar som myndigheterna under regeringen har för dessa situationer. Detta faktum innebär att det ställs stora krav på samverkan mellan Riksbanken och myndigheter under regeringen i syfte att samordna beredskapsåtgärder (jfr prop. 2021/22:41 s. 127). Beredskapsförordningen innehåller bestämmelser om skyldigheter för beredskapsmyndigheterna att samverka bl.a. med andra beredskapsmyndigheter, berörda länsstyrelser och övriga statliga myndigheter (20 §). Beredskapsmyndigheterna har även en skyldighet att inför och vid fredstida krissituationer och höjd beredskap lämna den sektorsansvariga myndigheten den information som behövs för att den sektorsansvariga myndigheten ska kunna fullfölja sina uppgifter (22 §). Finansinspektionen har därutöver en skyldighet att samverka med Riksbanken i sådana frågor som rör fredstida krissituationer och höjd beredskap som avses i beredskapsförordningen (13 § förordningen [2023:910] med instruktion för Finansinspektionen). För att uppnå ändamålsenligt samordnade beredskapsåtgärder bör Riksbanken ha en motsvarande samverkans- och informationsskyldighet. Det ger Finansinspektionen bättre förutsättningar att få en samlad lägesbild, som förutom att ligga till grund för beslut om planering och åtgärder inom beredskapssektorn för finansiella tjänster (och därmed när det gäller betalningar), kan utgöra ett viktigt underlag för beslut som fattas av andra berörda myndigheter eller av regeringen. Riksbankslagen innehåller bestämmelser om samverkans- och informationsskyldigheter för Riksbanken. Riksbanken ska ge myndigheter under regeringen på finansmarknadsområdet tillfälle att yttra sig innan Riksbanken fattar beslut i viktigare frågor på olika områden (3 kap. 11 §). Riksbanken ska vidare informera dessa myndigheter om vissa åtgärder som Riksbanken vidtar (3 kap. 12 §). Bestämmelserna omfattar inte fredstida krissituationer och höjd beredskap. I förvaltningslagen (2017:900) finns en allmän skyldighet för myndigheter att inom sitt verksamhetsområde samverka med andra myndigheter (8 §). Av förarbetena framgår att det innebär en generell – men inte obegränsad – samverkansskyldighet (prop. 2016/17:180 s. 293). En myndighet avgör alltid själv i vilken utsträckning som den egna arbetssituationen medger att resurser avsätts för att bistå den myndighet som begär assistans. Formerna för samverkan kan vara av många olika slag och variera med hänsyn till ändamålet. Bestämmelsen i förvaltningslagen innebär inte heller någon sådan uppgiftsskyldighet som enligt 10 kap. 28 § offentlighets- och sekretesslagen (2009:400), förkortad OSL, bryter sekretessen mellan myndigheter. De bestämmelser om samverkan och information som finns i 3 kap. 11 och 12 §§ riksbankslagen respektive 8 § förvaltningslagen är inte tillräckligt tydliga för att säkerställa en effektiv hantering av frågor som rör fredstida krissituationer och höjd beredskap för den finansiella sektorn. I likhet med vad Finansinspektionen anför, behöver en bestämmelse om att Riksbanken ska samverka med Finansinspektionen i frågor som rör

fredstida krissituationer och höjd beredskap därför införas i riksbankslagen. För att beredskapsåtgärderna ska bli ändamålsenliga behöver Riksbanken även samverka med Riksgäldskontoret, i dess egenskap av beredskapsmyndighet i beredskapssektorn för finansiella tjänster. Riksbanken har i dag en skyldighet att hålla regeringen och Riksgäldskontoret underrättade om viktigare frågor under fredstida krissituationer och vid höjd beredskap. Denna informationsskyldighet bör även gälla i förhållande till Finansinspektionen. Det behöver därför införas en bestämmelse i riksbankslagen om att Riksbanken ska, under fredstida krissituationer och vid höjd beredskap, hålla Finansinspektionen underrättad om viktigare frågor. I likhet med Finansinspektion bör Riksgäldskontoret samverka med Riksbanken i sådana frågor som rör fredstida krissituationer och höjd beredskap. Detta bör regleras i föreskrifter på lägre nivå än lag. Med stor sannolikhet behöver Riksbanken inom ramen för samverkan med Finansinspektionen och Riksgäldskontoret dela sekretessbelagd information med dessa myndigheter (se avsnitt 7.1). En förutsättning för att en uppgift som omfattas av sekretess ska få lämnas till en annan myndighet är att uppgiftsskyldighet följer av lag eller förordning (10 kap. 28 § OSL), eller att det finns något annat stöd för att lämna ut uppgiften. Det behöver därför införas en bestämmelse om att Riksbanken vid samverkan ska lämna de uppgifter som berörda myndigheter behöver. Även Finansinspektionen och Riksgäldskontoret bör vid samverkan lämna de uppgifter som Riksbanken behöver, men detta bör regleras i föreskrifter på lägre nivå än lag.

Information och samverkan med andra myndigheter Enligt beredskapsförordningen ska en sektorsansvarig myndighet verka för att de åtgärder som beredskapsmyndigheterna inom beredskapssektorn vidtar är samordnade med de åtgärder som andra beredskapsmyndigheter, inklusive länsstyrelser och civilområdesansvariga länsstyrelser, samt Försvarsmakten, vidtar (24 §). Eftersom Finansinspektionen, som är sektorsansvarig myndighet i beredskapssektorn för finansiella tjänster, ska ingå i krishanteringsfunktionen finns det inte skäl att, som MSB föreslår, föreskriva om informationsskyldighet för Riksbanken i förhållande till andra myndigheter än de som ingår i beredskapssektorn för finansiella tjänster. Det kan emellertid, som Länsstyrelsen i Stockholms län och Utbetalningsmyndigheten anför, finnas behov av samverkan mellan Riksbanken och andra beredskapsmyndigheter än de som ingår i beredskapssektorn för finansiella tjänster. Behovet av sådan samverkan kan uppstå i många olika sammanhang och variera med hänsyn till ändamålet. Det bör därför inte införas detaljerade bestämmelser om samverkan i någon särskild form. Som konstateras ovan gäller enligt förvaltningslagen att en myndighet inom sitt verksamhetsområde ska samverka med andra myndigheter (8 §). Det innebär t.ex. att Riksbanken bör samverka med Arbetsförmedlingen, Finansinspektionen, Försvarsmakten, Myndigheten för digital förvaltning, MSB, Post- och telestyrelsen, Riksgäldskontoret och Totalförsvarets plikt- och prövningsverk inom ramen för ansvaret för fredstida krissituationer och

höjd beredskap (se prop. 2021/22:41 s. 78 – 79). Som ett förtydligande av de allmänna bestämmelserna om samverkan i förvaltningslagen bör det i riksbankslagen tas in en bestämmelse om att Riksbanken även ska samverka med andra relevanta myndigheter än Finansinspektionen och Riksgäldskontoret i frågor som rör fredstida krissituationer och höjd beredskap. Riksbanken bör således samverka med t.ex. de myndigheter som anges ovan och med andra myndigheter såsom Försvarets radioanstalt och Försäkringskassan. MSB har en särskild samordnande roll vid kriser och vid höjd beredskap (se 7 och 7 a §§ förordningen [2008:1002] med instruktion för Myndigheten för samhällsskydd och beredskap). Med hänsyn till denna roll bör det anges uttryckligen i bestämmelsen i riksbankslagen att Riksbanken ska samverka med den myndigheten.

7 Uppgiftsskyldighet

7.1 Myndigheter och företag som medverkar i krishanteringsfunktionen ska vara skyldiga att lämna uppgifter

Utkastets förslag: Myndigheter och företag som medverkar i krishanteringsfunktionen ska trots sekretess eller tystnadsplikt lämna de uppgifter som behövs för funktionens verksamhet till någon annan som medverkar i den verksamheten. Bestämmelsen ska vara sekretessbrytande. Uppgiftsskyldigheten ska dock inte tillämpas om det skulle vara i strid med vissa avtal som träffats med en utländsk myndighet eller ett utländskt organ eller vissa andra förpliktelser som följer av Sveriges internationella åtaganden. En uppgift ska inte lämnas om övervägande skäl talar för att det intresse som sekretessen eller tystnadsplikten ska skydda har företräde framför intresset av att uppgiften lämnas ut.

Promemorians förslag överensstämmer i huvudsak med utkastets förslag. I promemorian föreslås bl.a. att en ny sekretessbrytande bestämmelse till förmån för enskilda och myndigheter ska tas in i offentlighets- och sekretesslagen samt att uppgiftsskyldigheten för företagen ska regleras i riksbankslagen i den befintliga bestämmelsen om uppgiftsskyldighet. Enligt promemorians lagförslag ska det gälla undantag från uppgiftsskyldigheten för frågor som rör skatt, tull, revisorer eller utlänningskontroll, om det skulle strida mot vissa avtal som träffats med en utländsk myndighet eller ett utländskt organ eller vissa andra förpliktelser som följer av Sveriges internationella åtaganden att lämna ut uppgifterna. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. Stockholms universitet, Juridiska fakulteten avstyrker förslaget samt tillägger att samordning kan behöva ske mellan fler myndigheter än de som föreslås och att uppgiftsskyldigheten för företag bör förtydligas.

Konkurrensverket anser att samverkan mellan konkurrerande företag kan medföra risker ur konkurrenssynpunkt, eller skapa ett forum för otillåtet informationsutbyte. Verket anser att det är viktigt att säkerställa att inte mer kommersiellt känslig information utbyts än vad som är nödvändigt för krishanteringen. Totalförsvarets forskningsinstitut (FOI) lyfter frågan att krishanteringsfunktionen kan samla in stora mängder information om företag som i sig kan bli föremål för ett angrepp. Finansbolagens förening , Finansiell ID-Teknik BID AB , Försäkringskassan , Loomis Sverige AB , Länsstyrelsen i Stockholms län , Myndigheten för samhällsskydd och beredskap , Riksbanken , Riksgäldskontoret , Sparbankernas Riksförbund , Svensk Värdepappersmarknad , Svenska Bankföreningen och Vinnova är positiva till förslaget och väcker olika frågor om hur krishanteringsfunktionen bör kunna samverka med myndigheter i Sverige och EU, samla information och i de medverkandes intresse kommunicera med myndigheter, företag utanför krishanteringsfunktionen eller allmänheten och media samt bedriva samverkan, samarbete, uppgiftsutbyte och kunskapsspridning mellan de medverkande och informera allmänheten om funktionens verksamhet. Försäkringskassan anser att formerna för informationsdelning bör författningsregleras. Riksgäldskontoret anser att myndigheters deltagande i funktionen är otydlig och därmed även hur den sekretessbrytande bestämmelsen ska tillämpas.

Skälen för utkastets förslag

Allmänna utgångspunkter om sekretess och sekretessbrytande bestämmelser Offentlighets- och sekretesslagen (2009:400), förkortad OSL, innehåller bestämmelser om hantering av allmänna handlingar för myndigheter och vissa andra organ. Lagen innehåller vidare bestämmelser om tystnadsplikt i det allmännas verksamhet och förbud att lämna ut allmänna handlingar. Förbudet att röja eller utnyttja en uppgift enligt den lagen eller enligt lag eller förordning som lagen hänvisar till gäller för myndigheter (2 kap. 1 § OSL). Sekretess gäller inte bara i förhållande till enskilda utan också mellan myndigheter (8 kap. 1 § OSL). Till skydd för det allmänna finns bl.a. bestämmelser om försvarssekretess (15 kap. 2 § OSL) samt skydd för uppgifter i risk- och sårbarhetsanalyser avseende fredstida krissituationer (18 kap. 13 § OSL). Dessa bestämmelser framstår som mest centrala för verksamheten i den nya krishanteringsfunktionen och behandlas närmare i avsnitt 8.1. Sekretessen enligt de bestämmelserna är inte begränsad till att gälla i en viss myndighets verksamhet och bör därför kunna lämnas från en myndighet till en annan myndighet (se prop. 2004/05:5 s. 264 och prop. 2023/24:60 s. 24). I 30 och 31 kap. OSL finns sekretessbestämmelser som rör myndigheters verksamhet att utöva tillsyn över eller övervaka finansmarknadens aktörer samt för annan myndighetsverksamhet med anknytning till näringslivet. Bestämmelserna ger skydd för enskildas personliga eller ekonomiska förhållanden. För krishanteringsfunktionens verksamhet är vissa bestämmelser i dessa kapitel av störst relevans och behandlas närmare i 38 avsnitt 8.2. Där behandlas även bestämmelser i andra kapitel i

offentlighets- och sekretesslagen som är av betydelse för enskildas skydd. Gemensamt för sekretessen till skydd för enskilda, av betydelse för krishanteringsfunktionens verksamhet, är att sekretessen som regel gäller i viss myndighets verksamhet och därför inte gäller om en myndighet delar en uppgift till en annan myndighet. Det är framför allt skyddet för enskildas integritet som talar emot ett fritt flöde av uppgifter mellan myndigheter (jfr prop. 2021/22:251 s. 27). Många myndigheter har legitima behov av att utbyta uppgifter för att på ett effektivt sätt kunna utföra sina uppdrag. Avvägningen av skyddsintresset och myndigheters behov att i vissa fall lämna ut känsliga uppgifter har utmynnat i ett antal sekretessbrytande bestämmelser med generell räckvidd i offentlighets- och sekretesslagen. Dessa innebär att myndigheter trots sekretess kan dela uppgifter med varandra och i vissa fall med enskilda under vissa angivna förutsättningar.

Hur myndigheter får lämna ut uppgifter En myndighet ska på begäran av en annan myndighet lämna en uppgift som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång (6 kap. 5 § OSL). Många uppgifter som de statliga myndigheterna förfogar över, som kan ha relevans för krishanteringsfunktionens verksamhet, omfattas av sekretess. I dessa fall kan de inte lämnas ut med stöd av 6 kap. 5 § OSL. I 10 kap. OSL finns de generella sekretessbrytande bestämmelserna som under vissa förutsättningar gör det möjligt att lämna ut uppgifter som är sekretessbelagda hos en myndighet till en annan myndighet eller till en enskild. Exempelvis är sekretess inte ett hinder för att lämna en uppgift till en annan myndighet eller enskild, om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet (10 kap. 2 § OSL). Bestämmelsen i 10 kap. 2 § OSL ska tillämpas restriktivt (prop. 1979/80:2 del A s. 465 och 494). En myndighet kan i vissa fall lämna ut en uppgift som omfattas av sekretess till en enskild, om det sker med förbehåll som inskränker den enskildes rätt att lämna uppgiften vidare eller utnyttja den (10 kap. 14 § OSL). Utlämnandet kan ske om risken för skada, men eller annan olägenhet som hindrar att uppgifterna lämnas till den enskilde kan undanröjas genom förbehållet. Uppgifter som omfattas av absolut sekretess har inget skaderekvisit och kan därför inte lämnas ut med stöd av bestämmelsen i 10 kap. 14 § OSL. I 10 kap. 27 § OSL finns den s.k. generalklausulen som, med vissa tillämpningsbegränsningar, innebär att sekretess inte hindrar att uppgifter lämnas till en annan myndighet om det är uppenbart att intresset av att uppgifterna lämnas har företräde framför det intresse som sekretessen ska skydda. Syftet med generalklausulen är att den ska utgöra en ventil för det fall ett utbyte av uppgifter uppenbart behöver ske och situationen inte har kunnat förutses i lagstiftningen (prop. 1979/80:2 del A s. 91). I 10 kap. 28 § första stycket OSL anges att sekretess inte hindrar att en uppgift lämnas till en annan myndighet, om uppgiftsskyldigheten följer av lag eller förordning. Bestämmelser som mer allmänt upplyser om att myndigheter ska samverka i olika situationer eller att myndigheter får lämna uppgifter är inte tillräckligt konkreta för att 10 kap. 28 § OSL ska

vara tillämplig. För utlämnande är det inte nödvändigt att bestämmelsen om uppgiftsskyldighet har utformats utifrån att uppgifterna är sekretessbelagda. Såväl offentliga som sekretessbelagda uppgifter kan därför omfattas av en uppgiftsskyldighet. Sammanfattningsvis innebär de sekretessbrytande bestämmelserna i 10 kap. OSL att det är möjligt att lämna ut sekretessbelagda uppgifter till en myndighet om vissa förutsättningar är uppfyllda medan möjligheten att lämna ut uppgifter till enskilda är mer begränsade. Mellan myndigheter kan uppgifter lämnas också om det finns en reglerad uppgiftsskyldighet (10 kap. 28 § OSL). Under fredstida krissituationer och vid höjd beredskap ska Riksbanken hålla regeringen och Riksgäldskontoret underrättade om viktigare frågor (5 kap. 7 § lagen [2022:1568] om Sveriges riksbank, kallad riksbankslagen). I första hand bör underrättelse ske på Riksbankens initiativ (prop. 2021/22:41 s. 133). Bestämmelsen omfattar inte underrättelse till Finansinspektionen, vilket den dock ska göra enligt förslaget i avsnitt 6.2. För Finansinspektionen finns en liknande bestämmelse i 13 § förordningen (2023:910) med instruktion för Finansinspektionen om att myndigheten ska samverka med Riksbanken i sådana frågor som rör fredstida krissituationer och höjd beredskap som avses i förordningen (2022:524) om statliga myndigheters beredskap, kallad beredskapsförordningen. Likaså följer det av 20 § andra stycket 1 beredskapsförordningen att beredskapsmyndigheter inför och vid fredstida krissituationer och höjd beredskap ska samverka med varandra. Det innebär att det finns en skyldighet att samverka mellan Finansinspektionen och Riksgäldskontoret. Dessa bestämmelser om samverkan bör dock inte anses sekretessbrytande. Bestämmelser om att Finansinspektionen och Riksgäldskontoret ska vara skyldiga att lämna uppgifter till Riksbanken bör tas in i förordningen med instruktion för respektive myndighet, se avsnitt 6.2. Därutöver är Riksgäldskontoret (i egenskap av beredskapsmyndighet enligt beredskapsförordningen) skyldig att lämna Finansinspektionen den information som behövs för att Finansinspektionen ska kunna fullgöra sitt uppdrag som sektorsansvarig myndighet inför och vid fredstida krissituationer och höjd beredskap (22 § tredje stycket och 24 § första stycket beredskapsförordningen). Bestämmelsen bör anses sekretessbrytande. Därutöver följer det av förvaltningslagen (2017:900) (8 §) att myndigheter har en generell samverkansskyldighet inom sitt respektive verksamhetsområde och av beredskapsförordningen att statliga myndigheter, inför och vid fredstida krissituationer samt inför och vid höjd beredskap, har samverkansskyldighet mot andra myndigheter, kommuner, regioner, sammanslutningar och näringsidkare som är berörda (9 och 10 §§ beredskapsförordningen). Bestämmelserna är inte sekretessbrytande med stöd av 10 kap. 28 § OSL (jfr prop. 1979/80:2 del A s. 322). För myndigheter som kan bjudas in att medverka i krishanteringsfunktionen kan det alltså finnas en samverkansskyldighet som rör fredstida krissituationer eller höjd beredskap, men som inte generellt sett är av sekretessbrytande karaktär. Sammanfattningsvis framstår de bestämmelser som kan tillämpas i krishanteringsfunktionen – med beaktande av de ändringar i riksbankslagen som föreslås i utkastet och som bedöms behöva göras i förordningar – delvis ge möjligheter att dela information mellan Finansinspektionen, 40 Riksbanken och Riksgäldskontoret. Det kan t.ex. handla om uppgifter som

rör rutiner och personalplanering som säkerställer att det går att genomföra betalningar i Sverige även under kriser. Sådan information kan vara betydelsefull för övriga myndigheter som ingår i krishanteringsfunktionen. Dock finns det begränsningar i befintliga sekretessbrytande bestämmelser när det gäller att dela sådan eller annan nödvändig information t.ex. från Finansinspektionen till Riksgäldskontoret. För andra myndigheter som bjuds in att medverka i krishanteringsfunktionens verksamhet saknas det i än högre utsträckning sekretessbrytande bestämmelser som är tillämpliga. Myndigheters möjlighet att med stöd av de generella sekretessbrytande bestämmelserna i offentlighets- och sekretesslagen lämna information till företag som medverkar i krishanteringsfunktionens verksamhet är som redovisas ovan begränsad.

Hur enskilda får lämna ut uppgifter Förutsättningarna för företag som medverkar i krishanteringsfunktionen att lämna uppgifter är annorlunda jämfört med de som gäller för myndigheterna. För kreditinstitut och andra finansiella företag gäller att de inte får röja enskildas förhållanden till företaget, t.ex. att en enskild är kund i en bank (s.k. banksekretess, se 1 kap. 10 § lagen [2004:297] om bankoch finansieringsrörelse, förkortad LBF). Den sekretessen hindrar att företag obehörigen lämnar ut uppgifter om ekonomiska och personliga förhållanden som rör företagets kunder. En överträdelse kan medföra skadeståndsansvar (jfr 1 kap. 10 § tredje stycket LBF). Om det i lag föreskrivs att ett företag är skyldigt att lämna uppgifter till exempelvis en tillsynsmyndighet, är utlämnandet inte obehörigt och alltså tillåtet. Då skyddas uppgifterna som regel hos tillsynsmyndigheten, t.ex. i Finansinspektionens tillsynsverksamhet med stöd av 30 kap. 4 § OSL. Ett företag kan under vissa förhållanden lämna ut uppgifter utan stöd i lag utan att obehörighetsrekvisitet bryts, om det finns ett befogat intresse att lämna ut uppgiften som är starkare än intresset av sekretess (Jansson, Per-Ola, 2010, Banksekretess och annan finansiell sekretess, s. 102, och jfr även prop. 2021/22:251 s. 77 och 93). Ett sådant utlämnande ska dock ske restriktivt (Banksekretess och annan finansiell sekretess, s. 63 – 65). För uppgifter om företags affärs- eller driftförhållanden framstår begränsningarna att dela informationen i första hand ligga i att företag av affärsmässiga skäl inte kan lämna ut sådan information. Bestämmelser om uppgiftsskyldighet för företag som står under Riksbankens övervakning finns i 12 kap. 1 § riksbankslagen. Bland annat gäller att finansiella företag ska lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt riksbankslagen (punkt 1) och att företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar ska lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt 4 och 5 kap. samma lag (punkt 5). Ett sådant utlämnande anses inte obehörigt. Gemensamt för bestämmelserna är att Riksbanken ska begära uppgiften och att den behövs för Riksbankens verksamhet. Bestämmelserna bör inte tillämpas för att dela uppgifter på eget initiativ. Riksbanken får vidare enligt 13 kap. 1 § riksbankslagen meddela föreskrifter om uppgiftsskyldigheten och enligt 12 kap. 2 § samma lag besluta om förelägganden och vite.

Sammanfattningsvis framstår möjligheterna för företag som medverkar i krishanteringsfunktionen att lämna uppgifter som omfattas av tystnadsplikt till andra företag som medverkar eller till andra myndigheter än Riksbanken som mycket begränsade.

Det behövs en ny bestämmelse om uppgiftsskyldighet för myndigheter och företag I avsnitt 5.1 föreslås att det ska införas en ny funktion för operativ krishantering. I samma avsnitt och i avsnitt 5.3 betonas att förmågan att hantera kriser ställer krav på att information kan delas snabbt vid samverkan med berörda myndigheter och enskilda. För att det i krishanteringsfunktionens verksamhet ska vara möjligt att verka på detta sätt är frågan om ett effektivt informationsutbyte mellan myndigheter och företag central. I flera sammanhang har reglerna om uppgiftsskyldighet mellan myndigheter och sekretessbrytande bestämmelser lyfts som komplexa och svårtillämpliga, vilket försvårat informationsutbytet (se t.ex. prop. 2024/25:65 s. 62 och 159 samt prop. 2024/25:180 s. 10 – 11, 58 och 77). I samband med regleringen av en nationell telesamverkansgrupp, som har flera likheter med den krishanteringsfunktion som nu föreslås, uttalade regeringen att sekretesskyddet för enskildas affärs- eller driftförhållanden kunde innebära att myndigheterna i samverkan var förhindrade att dela uppgifter (prop. 2023/24:60 s. 25). För att snabbt kunna dela information mellan berörda aktörer i krishanteringsfunktionen behövs nya bestämmelser om att information får delas mellan dem som medverkar i funktionen. Utan en sådan möjlighet till effektiv informationsdelning försvåras möjligheterna för dem som medverkar i krishanteringsfunktionens verksamhet att vidta skyndsamma åtgärder för att t.ex. upprätta gemensamma lägesbilder eller samordna och koordinera de åtgärder som de behöver vidta.

Utformningen av den nya bestämmelsen om uppgiftsskyldighet I promemorian föreslås en ny sekretessbrytande bestämmelse i 10 kap. OSL som innebär att sekretess inte hindrar att en uppgift lämnas till en enskild eller myndighet, om uppgiften är nödvändig för verksamheten i krishanteringsfunktionen. Därtill föreslås att Riksbanken ska anta en instruktion för krishanteringsfunktionen av vilken det bl.a. ska framgå hur uppgifter ska delas i funktionen samt att Riksbanken och sådana myndigheter som inte enligt lag ska ingå i funktionen ska träffa skriftliga överenskommelser om samverkan. För samtliga företag som ingår i krishanteringsfunktionen föreslås en bestämmelse om uppgiftsskyldighet i 12 kap. 1 § riksbankslagen som innebär att ett företag, på begäran av Riksbanken, är skyldigt att lämna de uppgifter som är nödvändiga för verksamheten i funktionen. Försäkringskassan invänder mot att uppgiftsskyldigheten regleras genom överenskommelser. Stockholms universitet och Riksgäldskontoret anser att det finns otydligheter i den reglering av krishanteringsfunktionens verksamhet som föreslås i promemorian och tillämpningen av uppgiftsskyldigheten för både myndigheter och företag.

Promemorians förslag innebär alltså att myndigheter som medverkar i krishanteringsfunktionens verksamhet får lämna uppgifter, medan företag ska lämna uppgifter på begäran från Riksbanken. Det framstår emellertid inte som motiverat att det ska gälla olika förutsättningar för uppgiftsskyldighet för de aktörer som medverkar i krishanteringsfunktionen. Uppgiftsskyldigheten bör även regleras tydligare i författning i enlighet med det som några remissinstanser framför. Förslaget i promemorian när det gäller företag framstår inte heller som ändamålsenligt för hur samverkan i krishanteringsfunktionen beskrivs i övrigt. Av promemorian framgår att finansiella företag och branschorganisationer i den finansiella sektorn har uttryckt att krishanteringsfunktionen behövs för bl.a. informationsutbyte, diskussion och koordination av gemensamma eller enskilda åtgärder, samt för att samordna kommunikation till media och allmänheten. Vidare får det antas att varje företag som medverkar i krishanteringsfunktionen, utifrån kännedom om den aktuella driftsstörningen, sin verksamhet och dess behov, i många situationer är bäst lämpat att bedöma om det har uppgifter som behövs för krishanteringsfunktionens verksamhet. Situationen kan också vara sådan att ett företag som medverkar i funktionen bistår ett annat företag med råd eller systemstöd för att avhjälpa en driftsstörning. Som den befintliga bestämmelsen om uppgiftsskyldighet för företag under Riksbankens övervakning är utformad kan t.ex. inte samverkan mellan andra aktörer som medverkar i krishanteringsfunktionen ske effektivt, eftersom möjligheten att lämna uppgifter enligt den bestämmelsen ska prövas mot Riksbankens behov att leda krishanteringsfunktionen. Många gånger kan det därför finnas hinder för Riksbanken att dela dessa uppgifter inom funktionen, som berörs ovan. I likhet med hur samverkan inom krishanteringsfunktionen beskrivs i övrigt, bör information från företag kunna lämnas både på begäran och på eget initiativ till andra aktörer i funktionen. Regleringen av uppgiftsskyldigheten för företag och myndigheter i krishanteringsfunktionen bör vara enhetlig. En bestämmelse om uppgiftsskyldighet för både myndigheter och enskilda som medverkar i funktionen bör därför tas in i riksbankslagen. Fördelen med ett gemensamt och enhetligt regelverk är att det bör kunna leda till att det utvecklas en tydlig praxis när det gäller vilka uppgifter som kan lämnas inom ramen för uppgiftsskyldigheten (jfr prop. 2015/16:167 s. 34 och prop. 2021/22:251 s. 64). Den nya bestämmelsen om uppgiftsskyldighet bör utformas som en skyldighet för den som medverkar i krishanteringsfunktionen att trots sekretess eller tystnadsplikt lämna de uppgifter som behövs för funktionens verksamhet till någon annan som medverkar i den verksamheten. Bestämmelsen är därmed sekretessbrytande och ger större flexibilitet när det gäller hur uppgifter får lämnas eftersom initiativet kan komma från såväl den som lämnar uppgifterna som den som tar emot dem, samtidigt som detta innebär att spridningen av uppgifter kan begränsas till endast den krets som behöver en viss uppgift. Bestämmelsen i riksbankslagen bör, till skillnad från förslaget i promemorian, tas in i en ny paragraf i 5 kap. i anslutning till de nya bestämmelserna som föreslås för att reglera krishanteringsfunktionens verksamhet. Den nya bestämmelsen bör placeras i anslutning till den befintliga bestämmelsen om information under fredstida krissituationer och vid höjd beredskap. 43

FOI påpekar att det innebär risker att Riksbanken samlar en stor mängd information om företagens sårbarheter som i sig kan utgöra föremål för en antagonistisk attack. Möjligheten att lämna information direkt till en annan aktör i krishanteringsfunktionen som är i behov sådan information kan minska risken för att information samlas hos Riksbanken eller lämnas till andra som medverkar i funktionen. Företag som medverkar i krishanteringsfunktionen kan antas lämna uppgifter framför allt till Riksbanken, t.ex. för att skapa lägesbilder. De företag som regelmässigt bör komma i fråga för att lämna sådan information står under övervakning av Riksbanken och omfattas därmed redan av uppgiftsskyldighet enligt 12 kap. 1 § riksbankslagen, som dessutom är mer långtgående än den uppgiftsskyldighet som nu föreslås. Bestämmelser och rutiner för hur Riksbanken hanterar känslig information bör därför finnas och ge tillfredsställande skydd för uppgifter som lämnas till Riksbanken inom ramen för krishanteringsfunktionens verksamhet. När det gäller skydd för uppgifter som lämnas till andra myndigheter eller företag som medverkar i krishanteringsfunktionen hänvisas till de överväganden och förslag som behandlas i avsnitt 8. Som Konkurrensverket anför får krishanteringsfunktionen inte utgöra ett forum för otillåtet informationsutbyte eller en samverkan som skadar konkurrensen på marknaden. Såväl Riksbanken som Finansinspektionen, som övervakar respektive utövar tillsyn över aktörer som medverkar i krishanteringsfunktionen, är deltagare i funktionen. När Riksbanken utför sitt uppdrag att leda funktionen och koordinera samverkan vid en inträffad driftsstörning, bör myndigheten undvika att föreslå samverkansformer som kan antas leda till konkurrensbegränsande effekter på ett sätt som strider mot konkurrenslagstiftningen.

En ny sekretessbrytande bestämmelse bör införas i offentlighets- och sekretesslagen En myndighet som medverkar i krishanteringsfunktionen bör kunna lämna uppgifter som omfattas av sekretess till andra myndigheter i funktionen med stöd av den föreslagna bestämmelsen om uppgiftsskyldighet för krishanteringsfunktionens verksamhet och den sekretessbrytande bestämmelsen i 10 kap. 28 § OSL. Den sekretessbrytande bestämmelsen gäller dock bara uppgifter som en myndighet lämnar till en annan myndighet. Det bör därför tas in en ny sekretessbrytande bestämmelse till förmån för enskilda i offentlighets- och sekretesslagen. Ett alternativt sätt att reglera sekretessbrytande bestämmelser för myndigheter är att de förs in i anslutning till de sekretessbestämmelser som gäller för respektive myndighets verksamhet. En sådan lösning framstår emellertid inte som lämplig i detta fall, eftersom flera myndigheter ska medverka i krishanteringsfunktionens verksamhet (se avsnitt 5.4). Den nya sekretessbrytande bestämmelsen i offentlighets- och sekretesslagen bör, i enlighet med förslaget i promemorian, placeras i 10 kap. OSL. I 10 – 14 §§ finns sekretessbrytande bestämmelser som gäller till förmån för enskilda. Med hänsyn till att den nya sekretessbrytande bestämmelsen ska gälla till förmån för enskilda bör den placeras i anslutning till dessa bestämmelser och under en ny rubrik. Krishanteringsfunktionens verksamhet har flera likheter med det informationsutbyte som får ske i sam-

verkan mot penningtvätt och finansiering av terrorism (se den sekretessbrytande bestämmelsen för den samverkan i 10 kap. 5 c § OSL). Den nya bestämmelsen bör utformas efter förebild av denna bestämmelse. I likhet med det som regeringen anförde vid införandet av den sekretessbrytande bestämmelsen i 10 kap. 5 c § OSL framstår det för uppgiftsskyldigheten i krishanteringsfunktionen som främmande att direkt i offentlighets- och sekretesslagen närmare reglera förutsättningarna för en sekretessbrytande uppgiftsskyldighet (jfr prop. 2021/22:251 s. 40). Det är inte heller möjligt att i offentlighets- och sekretesslagen reglera enhetliga förutsättningar för uppgiftsskyldigheten för både myndigheter och företag. Som redogörs för ovan bör därför de närmare förutsättningarna för informationsutbytet regleras i riksbankslagen. Riksgäldskontoret anser att det som enligt promemorians förslag ska gälla för myndigheters deltagande i krishanteringsfunktionen är otydligt och att det till följd av detta är otydligt hur den sekretessbrytande bestämmelsen ska tillämpas. Förslaget i avsnitt 5.4 om myndigheters medverkan i krishanteringsfunktionen skiljer sig åt från förslagen i promemorian. Genom den nu föreslagna bestämmelsen om uppgiftsskyldighet kommer den sekretessbrytande bestämmelsen i 10 kap. 28 § OSL att vara tillämplig på de myndigheter som medverkar i krishanteringsfunktionen. Det bör därmed vara tydligt hur de sekretessbrytande bestämmelserna ska tillämpas i förhållande till myndigheter.

Föreläggande och vite Befintliga bestämmelser om föreläggande och vite bör inte få tillämpas när det gäller den uppgiftsskyldighet som nu föreslås, till skillnad från när det gäller den uppgiftsskyldighet som följer av 12 kap. 1 § riksbankslagen. I avsnitt 7.2 föreslås att bestämmelsen i 12 kap. 1 §, med vissa justeringar, ska gälla i tillämpliga delar för företag som medverkar i krishanteringsfunktionen.

Proportionalitet och begränsningar av tillämpningsområdet För att samverkan i krishanteringsfunktionen ska bli effektiv bör uppgiftsskyldigheten bryta all sekretess, oavsett skyddsintresse. Om vissa uppgifter inte skulle omfattas skulle deltagarna i samverkan ställas inför svåra gränsdragningsfrågor som riskerar att påtagligt försvåra framför allt myndigheters deltagande i samverkan. Det är viktigt att det finns en balans mellan effektivitets- och integritetsintressen för samverkan i krishanteringsfunktionen, alltså att den är proportionerlig utifrån de ändamål som motiverar samverkan ställt mot rätten till skydd för den personliga integriteten eller de andra intressen som sekretessen är avsedd att skydda. Det kan konstateras att det nu aktuella förslaget kan innebära en ökad risk för kränkningar av den personliga integriteten, eftersom det inte kan uteslutas att det inom krishanteringsfunktionen behöver delas uppgifter som rör enskildas personliga förhållanden. Det bör dock understrykas att föremålet för samverkan och krishanteringsfunktionens verksamhet inte är att samla in eller överblicka information om enskilda, men att det i vissa fall, främst vid samordning när det gäller en inträffad incident och lämnande av uppgifter, kan förekomma tillfällen då t.ex. kunduppgifter

inte kan rensas. Andra situationer som kan förekomma som rör uppgifter om personliga förhållanden är t.ex. om en enskild som genomför en cyberattack kan identifieras. De flesta uppgifter som kan behöva lämnas ut inom ramen för krishanteringsfunktionens verksamhet bör dock röra tekniska system. I dessa fall gäller skyddsbehovet för uppgifterna främst det utlämnande företagets affärs- eller driftförhållanden. Mot det integritetsintrång eller skyddsintresse som utbytet av uppgifter riskerar att innebära ska ställas vikten av att under fredstida krissituationer och vid höjd beredskap stödja arbetet med att upprätthålla ett stabilt och effektivt finansiellt system. Det är av stor betydelse för samhällsekonomin att det finansiella systemet fungerar, t.ex. att betalningar kan genomföras, att krediter kan lämnas eller att hushåll och företag har tillgång till försäkringsskydd. Dessa ändamål innebär att vissa begränsningar av integritetsskyddet får anses vara godtagbara. Uppgifter bör bara få lämnas om de behövs för verksamheten i krishanteringsfunktionen. Bara de som medverkar i krishanteringsfunktionen får enligt förslaget lämna eller ta emot uppgifter. På så vis säkerställs att uppgifter inte lämnas slentrianmässigt utan bara när det finns ett behov utifrån de ändamål för vilka samverkan sker, vilket inbegriper att bara den eller de som medverkar i krishanteringsfunktionen som behöver en viss uppgift bör ta del av den. Om uppgifter t.ex. rör känslig information om ett företag eller dess kunder, krävs att det finns ett syfte för verksamheten i funktionen för att någon annan som medverkar ska få ta del av informationen. Ett sådant syfte kan t.ex. vara att en incident som har inträffat bättre kan avhjälpas genom samarbete, som förutsätter att viss information lämnas. Uppgifter som kan behöva lämnas ut av ett företag kan t.ex. också handla om attackmetoder och misstänkta aktörer vid cyberattacker, om vidtagna åtgärder, om vilka bedömningar som görs om återställningstid, om vilka reservlösningar som tas till vid förvärrat läge eller av behov av stöd. I praktiken bör de som medverkar i krishanteringsfunktionen samråda om huruvida det finns behov av att dela känsliga uppgifter och dela känsliga uppgifter bara efter noggrant övervägande. Det bör alltså inte vara tillräckligt att uppgifterna kan vara intressanta för någon annan som medverkar i krishanteringsfunktionen för att en uppgift ska lämnas ut. Det bör krävas att det kan antas att om uppgiften lämnas ut, så kan det bidra till att lösa en inträffad incident inom ramen för krishanteringsfunktionens verksamhet. Det bör därför t.ex. kunna ställas högre krav på den avsedda effekten – dvs. att lämnandet av uppgiften kan bidra till en lösning – ju starkare skyddsintresset är för den aktuella uppgiften. Ytterst bör det ankomma på den som innehar en uppgift att bedöma om det finns förutsättningar att lämna ut uppgiften till någon annan. För Finansinspektionen, Riksbanken och Riksgäldskontoret samt för företag som omfattas av Riksbankens övervakning blir uppgiftsskyldigheten obligatorisk, eftersom förslaget innebär att dessa aktörer ska ingå i krishanteringsfunktionen. När det gäller skyddet för integritetsintresset för dessa företag bör det understrykas att den nu föreslagna uppgiftsskyldigheten, som inte ska bli föremål för föreläggande eller vite, är mindre långtgående än den uppgiftsskyldighet som redan gäller i Riksbankens övervakningsverksamhet. Att dessa företag kan komma att lämna känsliga uppgifter i krishanteringsfunktionens verksamhet till myndigheter framstår 46 därför inte som avvikande mot den ordning som redan gäller. För andra

aktörer som kan bjudas in att medverka i krishanteringsfunktionens verksamhet, t.ex. statliga myndigheter inom andra beredskapssektorer, branschorganisationer och företag som kan ha kunskaper eller resurser som är av betydelse för krishanteringsfunktionens verksamhet, gäller enligt förslaget att medverkan är frivillig. Hos myndigheterna i krishanteringsfunktionen kan det finnas uppgifter som är av särskilt känslig karaktär och som därför i princip inte bör lämnas ut till någon annan. Även ett medverkande företag kan anse att vissa uppgifter är så pass känsliga att de inte bör lämnas ut. För andra samverkansformer mellan myndigheter och näringslivet har det införts en ventil för att kunna neka att lämna ut en viss uppgift (se t.ex. prop. 2021/22:251 s. 65 – 66). En sådan möjlighet bör finnas även när det gäller krishanteringsfunktionen. Det bör vara möjligt för den som medverkar i krishanteringsfunktionen att kunna avstå från att lämna ut en viss uppgift om övervägande skäl talar för att det intresse som sekretessen eller tystnadsplikten ska skydda har företräde framför intresset av att uppgiften lämnas ut. Vid den bedömningen bör möjligheten för mottagaren att skydda uppgiften vägas in. Kravet på övervägande skäl ger uttryck för att behovet av en effektiv krishantering i det finansiella systemet genom verksamheten i krishanteringsfunktionen normalt sett bör ha företräde framför andra intressen och innebär att det bör vara en presumtion för att uppgiften ska lämnas ut. Det gäller särskilt om ett företag som enligt förslaget ska ingå i krishanteringsfunktionen ska lämna en uppgift som företaget hade varit skyldigt att lämna enligt andra bestämmelser, t.ex. för Riksbankens ansvar att övervaka den finansiella infrastrukturen i Sverige (se 12 kap. 1 § riksbankslagen). Det innebär att kraven på att lämna information normalt bör vara något lägre på sådana företag som enligt förslaget får bjudas in att medverka i krishanteringsfunktionens verksamhet. För de medverkande företagen kan t.ex. skyddsintresset för vissa uppgifter ges företräde framför andra medverkandes intresse att ta del av uppgifterna, särskilt i en kontext där flera andra företag medverkar. Det kan t.ex. röra sig om uppgifter som omfattas av lagen (2018:558) om företagshemligheter eller uppgifter om företagens kunder. Vid en allvarlig driftsstörning för t.ex. e-legitimationstjänster (t.ex. Bank-id) kan dock intresset av att få ta del av uppgifterna väga över skyddsintresset för uppgifter om personliga eller ekonomiska förhållanden för enskilda som använder tjänsterna, särskilt om uppgifterna delas i en snäv krets och uppgifterna behövs för att hantera driftsstörningen. Myndigheter bör kunna avstå från att lämna ut t.ex. uppgifter som omfattas av försvarssekretess enligt 15 kap. 2 § OSL eller som omfattas av andra sekretessbestämmelser till skydd för allmänna intressen. Skyddsintresset för sådana uppgifter bör i många fall väga över intresset för ett medverkande företag att ta del av uppgiften. Om en allvarlig driftsstörning riskerar att leda till omfattande konsekvenser för samhället, bör dock intresset av att ta del av en uppgift kunna ges företräde framför det allmännas skyddsintresse, om uppgiftslämnandet är nödvändigt för att hantera driftsstörningen. Vidare kan t.ex. Riksbanken ha omfattande och detaljrika uppgifter som har betydelse för andra deltagares medverkan i krishanteringsfunktionen, men där skyddsintresset för såväl det allmänna som för enskilda innebär att uppgifterna inte bör lämnas i dess helhet. 47

I sådana fall bör uppgifterna i stället kunna lämnas ut på aggregerad övergripande nivå och rensad från särskilt känsliga uppgifter. Det bör, liksom när det gäller bedömningen av om mottagaren har behov av en viss uppgift, vara upp till den deltagare som innehar uppgiften att avgöra om uppgiften ska lämnas ut. I enlighet med det som föreslås i promemorian bör den nya sekretessbrytande bestämmelsen inte gälla i de fall där ett utlämnande av en uppgift skulle vara i strid med vissa avtal som träffats med en utländsk myndighet eller ett utländskt organ eller vissa andra förpliktelser som följer av Sveriges internationella åtaganden (15 kap. 1 a § och 30 kap. 7 och 24 §§ OSL). I krishanteringsfunktionens verksamhet kan det dock inte antas bli aktuellt att lämna uppgifter som rör skatt eller tull (27 kap. OSL), revisorer (30 kap. 17 § OSL) eller utlänningskontroll (37 kap. 2 § OSL). Det saknas därmed skäl att, som föreslås i promemorian, göra undantag från de sekretessbrytande bestämmelser som finns när det gäller sådana uppgifter. Vid en avvägning av ändamålet med krishanteringsfunktionens verksamhet och behovet att lämna uppgifter ställt mot det intrång i den personliga integriteten eller av de andra skyddsintressen som det kan medföra, är bedömningen i utkastet – med beaktande av de begränsningar som införs – att den uppgiftsskyldighet som föreslås bör anses godtagbar.

Uppgiftsskyldighet för vissa syften Flera remissinstanser, bl.a. Myndigheten för samhällsskydd och beredskap , Riksbanken och Riksgäldskontoret , pekar på olika åtgärder som kan vidtas inom ramen för krishanteringsfunktionen som rör samarbetet mellan dem som medverkar i funktionen och andra. Exempelvis nämns att funktionen kan eller bör fungera som kontaktpunkt mot andra myndigheter och företag eller för att förmedla uppgifter eller informera myndigheter, företag och allmänheten utanför funktionens verksamhet. Den skyldighet att lämna uppgifter till andra som medverkar i krishanteringsfunktionen som föreslås ovan, underlättar även möjligheten att genom funktionen samordna information i förhållande till exempelvis andra berörda myndigheter i syfte att agera gemensamt. Frågan hur detta ska ske bör lämpligen bedömas i varje enskilt fall av de myndigheter och företag som berörs av en händelse som kan hanteras genom samarbetet inom ramen för krishanteringsfunktionens verksamhet. I detta ingår att bedöma hur information kan lämnas inom krishanteringsfunktionen och lämnas vidare utanför funktionen med hänsyn till sekretess.

7.2 Företag som står under övervakning av Riksbanken ska också lämna uppgifter på begäran

Utkastets förslag: Företag som omfattas av Riksbankens övervakning och som Riksbanken beslutar ska ingå i krishanteringsfunktionen ska på begäran av Riksbanken lämna de uppgifter som är nödvändiga för Riksbankens verksamhet att leda krishanteringsfunktionen.

Riksbanken ska få meddela föreskrifter om uppgiftsskyldigheten för företag som omfattas av Riksbankens övervakning och som Riksbanken beslutar ska ingå i krishanteringsfunktionen. Riksbanken ska få besluta om de förelägganden som behövs för att ett sådant företag ska följa uppgiftsskyldigheten och föreskrifter som har meddelats med stöd av riksbankslagen. Ett beslut om föreläggande ska få förenas med vite. Utkastets bedömning: För finansiella företag och företag som bedriver verksamhet som är av särskild betydelse för den finansiella infrastrukturen i Sverige som enligt gällande rätt är skyldiga att lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt lagen om Sveriges riksbank omfattar den uppgiftsskyldigheten de uppgifter som är nödvändiga för Riksbankens verksamhet att leda krishanteringsfunktionen.

Promemorians förslag överensstämmer delvis med utkastets förslag. I promemorian föreslås bl.a. att uppgiftsskyldigheten för företag som medverkar i krishanteringsfunktionen ska regleras i den befintliga bestämmelsen om uppgiftsskyldighet i riksbankslagen. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. Stockholms universitet, Juridiska fakulteten avstyrker förslaget samt tillägger att uppgiftsskyldigheten för företag bör förtydligas. Skälen för utkastets förslag och bedömning: Vissa aktörer är enligt gällande rätt skyldiga att lämna uppgifter till Riksbanken (12 kap. 1 § riksbankslagen). I huvudsak rör det företag som står under Riksbankens övervakning. I avsnitt 7.1 föreslås en särskild uppgiftsskyldighet som ska gälla för samtliga som medverkar i krishanteringsfunktionen. För flera av de företag som ska ingå i krishanteringsfunktionen gäller alltså de befintliga bestämmelserna om uppgiftsskyldighet i riksbankslagen. Därtill kommer den nya särskilda uppgiftsskyldigheten att gälla i fråga om krishanteringsfunktionen. Det har inte framkommit skäl för att ändra den nuvarande ordningen för uppgiftsskyldigheten till Riksbanken. För finansiella företag och företag som bedriver verksamhet som är av särskild betydelse för den finansiella infrastrukturen i Sverige, som enligt gällande rätt är skyldiga att lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt riksbankslagen, bör den uppgiftsskyldigheten omfatta även de uppgifter som är nödvändiga för Riksbankens verksamhet att leda krishanteringsfunktionen. Företag som bedriver verksamhet som är av särskild betydelse för den finansiella infrastrukturen i Sverige står under Riksbankens övervakning enligt 3 kap. 8 § första stycket riksbankslagen. Det rör sig om företag som t.ex. tillhandahåller avvecklings-, betalnings- och clearingsystem, kontoföring av finansiella instrument, transaktionsregister, och annan verksamhet som är av särskild betydelse för den finansiella infrastrukturen i Sverige. Dessa företag – och underentreprenörer till dessa företag – ska på begäran lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt 3 kap. riksbankslagen (12 kap. 1 § 3 riksbankslagen). Riksbanken ska enligt förslaget i avsnitt 5.4 få besluta att ett sådant företag ska ingå i krishanteringsfunktionen. Ett sådant företag som ingår i krishanteringsfunktionen bör omfattas av samma uppgiftsskyldighet till Riksbanken som gäller för övriga företag

som ska ingå i krishanteringsfunktionen. Med hänsyn till den särskilda samverkansform som krishanteringsfunktionen utgör har det inte framkommit skäl för att även företagens underentreprenörer bör omfattas av uppgiftsskyldigheten. Uppgiftsskyldigheten bör gälla de uppgifter som är nödvändiga för Riksbankens verksamhet att leda krishanteringsfunktionen. Även i övrigt bör samma bestämmelser gälla för uppgiftsskyldigheten för ett sådant företag som ingår i krishanteringsfunktionen som de som gäller för övriga företag som ska ingå i krishanteringsfunktionen. Riksbanken bör därför få meddela föreskrifter om uppgiftsskyldigheten (13 kap. 1 § 11 riksbankslagen). Riksbanken bör även få besluta om de förelägganden som behövs för att ett sådant företag ska följa uppgiftsskyldigheten och föreskrifter som har meddelats med stöd av riksbankslagen (12 kap. 2 § första stycket). Ett beslut om föreläggande ska få förenas med vite (12 kap. 2 § tredje stycket). Bestämmelserna om uppgiftsskyldighet som bör omfatta Riksbankens verksamhet att leda krishanteringsfunktionen motsvarar alltså den ordning som redan gäller för Riksbankens övervakning av det finansiella systemet. Det bör därför inte, som Stockholms universitet, Juridiska fakulteten för fram, vara otydligt för företagen vilka uppgifter som behöver lämnas till Riksbanken. Det framstår inte heller som mer ingripande för företagen än vad som behövs för verksamheten i krishanteringsfunktionen att företagens uppgiftsskyldighet också omfattar verksamheten i krishanteringsfunktionen.

8 Sekretess och tystnadsplikt

8.1 Det finns tillfredsställande sekretesskydd för allmänna intressen

Utkastets bedömning: Gällande rätt tillgodoser behovet av sekretess för uppgifter om fredstida krissituationer och höjd beredskap eller för uppgifter som rör verksamhet för att försvara landet eller planläggning eller annan förberedelse av sådan verksamhet eller som i övrigt rör totalförsvaret.

Promemorians förslag överensstämmer med utkastets bedömning. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inte något att invända mot det. Försvarets radioanstalt påpekar att frågan om sekretess för säkerhetseller bevakningsåtgärder inte behandlas i promemorian. Skälen för utkastets bedömning: Vissa uppgifter som kan behöva lämnas ut till myndigheter eller företag som medverkar i krishanteringsfunktionen kan omfattas av sekretess till skydd för allmänna intressen. Som redovisas i avsnitt 7.1 bör en myndighet dock sällan behöva lämna uppgifter som omfattas av sekretess till skydd för allmänna intressen till ett företag som medverkar i krishanteringsfunktionen. I första hand rör det 50 sig om uppgifter som kan omfattas av försvarssekretess enligt 15 kap. 2 §

offentlighets- och sekretesslagen (2009:400), förkortad OSL, eller sekretess för uppgifter i risk- och sårbarhetsanalyser enligt 18 kap. 13 § OSL. Bestämmelserna har raka skaderekvisit, dvs. det är en presumtion att uppgifterna ska vara offentliga. Gemensamt för bestämmelserna är att de inte är begränsade att gälla hos viss myndighet eller i viss myndighets verksamhet. Sekretessen gäller därför både hos den myndighet som lämnar uppgifterna och hos den myndighet som tar emot uppgifterna. Det finns därmed tillfredsställande sekretesskydd för dessa uppgifter i det allmännas verksamhet. Försvarets radioanstalt påpekar att promemorian inte behandlar frågan om uppgifter som omfattas av sekretess för säkerhets- eller bevakningsåtgärder enligt 18 kap. 8 § OSL kan förekomma i krishanteringsfunktionen. I krishanteringsfunktionens verksamhet kan det förekomma uppgifter som rör t.ex. informationssäkerhet inom telekommunikation och för system för automatiserad behandling av information och för vilka sekretess gäller enligt 18 kap. 8 § 3 OSL. Sådana uppgifter kan också omfattas av sekretess enligt 15 kap. 2 § eller 18 kap. 9 § OSL. Det kan även förekomma uppgifter i risk- och sårbarhetsanalyser, där såväl 18 kap. 8 och 13 §§ OSL som andra bestämmelser kan tillämpas, t.ex. 15 kap. 2 § och 18 kap. 9 § OSL. Vad som gäller vid konkurrens mellan flera sekretessbestämmelser regleras i 7 kap. 3 § OSL. Med tanke på de skiftande skyddsintressen som kan förekomma för uppgifter i krishanteringsfunktionens verksamhet, i kombination med att flera bestämmelser i offentlighets- och sekretesslagen kan vara tillämpliga, bör det understrykas att den myndighet som får en begäran att lämna ut en handling har att pröva förutsättningarna för det (2 kap. 17 § andra stycket tryckfrihetsförordningen och 6 kap. 2 § OSL). Beroende på tillämpliga bestämmelser om sekretess och sekretessens räckvidd, kan det förekomma att sekretessen bara gäller i en viss myndighets verksamhet. I dessa fall är det den myndighet som ska lämna ut uppgiften som har att bedöma om det finns förutsättningar för det, bl.a. mot bakgrund av tillämpliga sekretessbrytande bestämmelser och bestämmelser om överföring av sekretess. När det gäller sekretessen för uppgift som rör säkerhets- eller bevakningsåtgärd enligt 18 kap. 8 § OSL konstateras att den kan tillämpas av alla myndigheter och organ som ska tillämpa offentlighets- och sekretesslagen. Uppgifter som skyddas av den bestämmelsen bedöms därmed kunna lämnas mellan myndigheter som deltar i krishanteringsfunktionens verksamhet med bibehållet sekretesskydd.

8.2 Det behövs en ny bestämmelse om sekretess för enskildas intressen

Utkastets förslag: Sekretess ska gälla i en myndighets verksamhet som består i medverkan i krishanteringsfunktionen 1. för uppgifter om affärs- eller driftförhållanden hos en enskild som medverkar i krishanteringsfunktionens verksamhet, om det kan antas att denne lider skada om uppgiften röjs, och

2. för uppgift om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med den som medverkar i krishanteringsfunktionen.

Tystnadsplikten för uppgifter som hänför sig till den som har trätt i affärsförbindelse eller liknande förbindelse med den som medverkar i krishanteringsfunktionen ska ha företräde framför meddelarfriheten. Sekretessen ska inte gälla hos domstol i dess rättskipande verksamhet. För uppgift i en allmän handling ska sekretessen gälla i högst tjugo år.

Promemorians förslag överensstämmer i huvudsak med utkastets förslag. I promemorian föreslås att rätten att meddela och offentliggöra uppgifter inte ska gälla för uppgifter om affärs- eller driftförhållanden hos den som deltar i krishanteringsfunktionen. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det. Journalistförbundet och Tidningsutgivarna avstyrker förslaget att absolut sekretess ska gälla för uppgifter om annan som har trätt i affärsförbindelse med den som medverkar i krishanteringsfunktionens verksamhet, samt avstyrker att meddelarfriheten ska inskränkas. Försäkringskassan påpekar att myndigheten inte omfattas av sekretessbestämmelsen eftersom den inte medverkar i krishanteringsfunktionen. Försäkringskassan betonar vikten av att myndigheten kan få del av information som är väsentlig för myndighetens uppdrag som sektorsansvarig myndighet för beredskapssektorn för ekonomisk säkerhet. Riksbanken anser att det behöver förtydligas hur nuvarande och föreslagna bestämmelser om sekretess i offentlighets- och sekretesslagen och riksbankslagen förhåller sig till Riksbankens uppdrag.

Skälen för utkastets förslag

Bestämmelser om sekretess till skydd för enskildas intressen I femte avdelningen i offentlighets- och sekretesslagen (21 – 40 kap.) finns bestämmelser om sekretess till skydd för enskildas personliga eller ekonomiska förhållanden. I Finansinspektionens tillsynsverksamhet gäller sekretess till skydd för enskilda enligt 30 kap. 4 § OSL. Sekretessen skyddar uppgifter om affärseller driftförhållanden hos den som tillsynen avser, om det kan antas att denne lider skada om uppgiften röjs (första stycket 1), och för uppgift om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med den som myndighetens verksamhet avser (första stycket 2). Begreppet tillsyn ska inte ges en alltför snäv tolkning utan får anses omfatta alla de fall där en myndighet har en övervakande eller styrande funktion (prop. 1979/80:2 del A s. 233). Bestämmelsen är därför tillämplig även för Riksbankens verksamhet att övervaka det finansiella systemet (prop. 2021/22:41 s. 187). I 38 kap. 6 § OSL finns bestämmelser om sekretess för uppgift om enskildas affärs- eller driftförhållanden som har lämnats till följd av särskild lagstiftning i frågor som rör samhällsplanering eller försörjningsberedskap. Det gäller främst uppgifter som inhämtats med stöd av oljekris-

lagen (1975:197), lagen (1977:439) om kommunal energiplanering och lagen (1982:1004) om skyldighet för näringsidkare, arbetsmarknadsorganisationer m.fl. att delta i totalförsvarsplaneringen.

Bestämmelserna i offentlighets- och sekretesslagen ger inte ett tillfredsställande skydd för uppgifter om enskildas intressen Befintliga sekretessbestämmelser ger inte ett tillfredsställande skydd för uppgifter som behöver kunna lämnas i krishanteringsfunktionens verksamhet om affärs- och driftförhållanden hos enskilda som medverkar i funktionen eller om personliga eller ekonomiska förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med den som medverkar i funktionens verksamhet. Den s.k. tillsynssekretessen i 30 kap. 4 § OSL ger i och för sig ett tillfredsställande skydd för uppgifter om enskildas personliga eller ekonomiska förhållanden när det handlar om uppgifter som lämnas till Finansinspektionen eller Riksbanken mot bakgrund av att myndigheterna utövar tillsyn över respektive övervakning av det finansiella systemet. Riksgäldskontoret har dock inte någon roll i övervakningen av finansmarknaden, vilket innebär att sekretessbestämmelsen inte kan tillämpas hos den myndigheten (jfr prop. 2015/16:5 s. 708). Bestämmelsen är inte heller tillämplig hos andra myndigheter som kan bjudas in att medverka i krishanteringsfunktionen. Sekretessbestämmelserna i 38 kap. 6 § OSL gäller inte sådana uppgifter som främst kan antas bli aktuella i krishanteringsfunktionens verksamhet, utan för uppgifter som har lämnats till följd av annan lagstiftning som inte är central för frågor som bör komma i fråga i krishanteringsfunktionen (jfr prop. 1979/80:2 del A s. 228). Uppgiftsskyldigheten som föreslås och behandlas närmare i avsnitt 7.1 innebär att uppgifter bör kunna lämnas till myndigheter som medverkar i krishanteringsfunktionens verksamhet. I gällande rätt finns det dock inte några bestämmelser om sekretess som är tillämpliga för uppgifter hos Riksgäldskontoret eller andra myndigheter som kan bjudas in att medverka i funktionens verksamhet. Det kan i och för sig förekomma att sekretessbestämmelser som är tillämpliga hos andra myndigheter än Finansinspektionen och Riksbanken kan ge skydd även för vissa uppgifter om enskilda som lämnas i anslutning till dessa myndigheters medverkan i krishanteringsfunktionen. Till exempel kan Riksgäldskontoret ha tagit emot uppgifter inom ramen för myndighetens verksamhet med förebyggande statligt stöd, statliga stabiliseringsverktyg och resolution (se 30 kap. 12 – 12 c §§ OSL). Sekretessbestämmelserna i 30 kap. 12 – 12 c §§ OSL är, i likhet med bestämmelserna om tillsynssekretess i 30 kap. 4 § OSL, inte tillämpliga i en annan myndighets verksamhet om en myndighet skulle ta emot uppgifter inom ramen för sin medverkan i krishanteringsfunktionen. Sett till det antal sekretessbestämmelser som skulle kunna vara tillämpliga när det gäller olika uppgifter som skulle kunna bli aktuella i krishanteringsfunktionens verksamhet framstår det inte som lämpligt att komplettera sekretesskyddet genom att införa bestämmelser om överföring av sekretess i anslutning till respektive sekretessbestämmelse. Det bör därför i stället införas en ny sekretessbestämmelse för sådana uppgifter.

Det bör tas in en ny bestämmelse om sekretess till skydd för uppgifter om enskildas intressen Att införa en ny sekretessbestämmelse för vissa uppgifter som förekommer hos myndigheter som ingår i krishanteringsfunktionen utgör en inskränkning av den grundlagsskyddade rätten att ta del av allmänna handlingar, som är ett viktigt medel för kontroll av offentliga organs verksamhet (se prop. 2008/09:150 s. 272). Myndigheternas vetskap om att deras handlingar kan komma att granskas medför att de anstränger sig för att handlägga mål och ärenden korrekt. Handlingsoffentlighetens har således bl.a. till syfte att garantera rättssäkerheten och effektiviteten i förvaltningen och folkstyret. Handlingsoffentligheten har emellertid även ett vidare syfte. Enligt 2 kap. 1 § tryckfrihetsförordningen, förkortad TF, ska varje medborgare till främjande av ett fritt meningsutbyte och en allsidig upplysning ha rätt att ta del av allmänna handlingar. Rätten att ta del av allmänna handlingar utgör således en del av den medborgerliga yttrande- och informationsfriheten och anses utgöra en av förutsättningarna för den fria demokratiska åsiktsbildningen. Insamling av information som skett på det allmännas bekostnad kan vidare användas av exempelvis forskare och företag t.ex. i kommersiellt syfte. Handlingsoffentligheten fyller således ett syfte som informationsförsörjare i vid mening. Rätten att ta del av allmänna handlingar får enligt 2 kap. 2 § första stycket 6 TF begränsas om det är påkallat med hänsyn till skyddet för enskildas personliga eller ekonomiska förhållanden. I avsnitten 5.1 och 7.1 görs bedömningen att det är centralt att uppgifter ska kunna lämnas mellan de myndigheter och företag som medverkar i krishanteringsfunktionens verksamhet för att funktionen ska kunna fungera effektivt. För detta krävs att det finns ett tillfredsställande sekretesskydd för uppgifterna. De uppgifter som den nya sekretessbestämmelsen bör skydda är av samma slag som uppgifter som skyddas hos Riksbanken eller Finansinspektionen med stöd av 30 kap. 4 § första stycket 1 eller 2 OSL. Det framstår därför som nödvändigt införa en ny sekretessbestämmelse för verksamheten i krishanteringsfunktionen ställt mot allmänhetens intresse av insyn i den verksamheten. Föremålet för sekretessen bör motsvara det som gäller vid tillsyn respektive övervakning av finansmarknaden enligt 30 kap. 4 § OSL, som är den bestämmelse som är tillämplig i Finansinspektionens och Riksbankens verksamhet när det gäller de företag som ska medverka i krishanteringsfunktionens verksamhet. För att uppnå detta behövs det en ny sekretessbestämmelse med en räckvidd som omfattar alla myndigheter som medverkar i krishanteringsfunktionens verksamhet. Med anledning av det som Försäkringskassan för fram om vikten av att myndigheten kan få del av information konstateras att det för samverkan mellan myndigheter utanför funktionen finns andra bestämmelser, t.ex. om myndigheters allmänna skyldighet att samverka och om samverkan enligt förordningen (2022:524) om statliga myndigheters beredskap, se avsnitt 7.1. Det saknas skäl att utvidga den nu föreslagna sekretessbestämmelsens räckvidd till att omfatta andra myndigheter än dem som medverkar i krishanteringsfunktionen.

Som redovisas ovan bör den nya sekretessbestämmelsen skydda samma slag av uppgifter som skyddas hos Riksbanken eller Finansinspektionen med stöd av tillsynssekretessen i 30 kap. 4 § första stycket 1 eller 2 OSL. Den nya bestämmelsen bör alltså täcka den lucka i sekretesskyddet som uppstår för verksamheten i krishanteringsfunktionen till följd av att även andra myndigheter än Riksbanken och Finansinspektionen ska ingå eller kan medverka i den verksamheten. Bestämmelsen bör därför – i likhet med tillsynssekretessen – omfatta uppgifter om affärs- och driftförhållanden hos enskilda som medverkar i krishanteringsfunktionens verksamhet, t.ex. om ett företags tekniska system. Det bör gälla ett rakt skaderekvisit, dvs. sekretess om det kan antas att den enskilde lider skada om uppgiften röjs. Det innebär en presumtion för offentlighet. Bestämmelsen bör även omfatta uppgifter om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med den som medverkar i krishanteringsfunktionens verksamhet, t.ex. ett företags kunder (främst enskildas bankengagemang och liknande, användare av e-legitimationstjänster som t.ex. Bank-id eller användare av omedelbara betalningar, t.ex. Swish) eller en enskild som utfört en cyberattack om denne kan identifieras. På samma sätt som gäller för tillsynssekretessen bör det för sådana uppgifter gälla absolut sekretess. Den nya sekretessbestämmelsen bör utformas efter förebild av 30 kap. 4 § OSL. Uppgifter som kan förekomma är bl.a. sådana som kan röja vilka som är kunder hos de finansiella företagen (dvs. uppgifter som kan omfattas av t.ex. banksekretess). Sådana uppgifter bör, till skillnad från uppgifter om affärs- eller driftförhållanden hos den som medverkar i krishanteringsfunktionens verksamhet, inte heller ha någon betydelse när det gäller vilka krishanterande åtgärder som vidtas. Den typen av uppgifter omfattas dessutom av absolut sekretess i de fall de har lämnats till Finansinspektionen eller Riksbanken vid myndigheternas tillsyn eller övervakning av finansmarknaden. Om sådana uppgifter skulle kunna komma att lämnas ut av en myndighet efter att ett företag har lämnat dem inom ramen för krishanteringsfunktionens verksamhet, riskerar det även att minska viljan hos företag att lämna uppgifter. Vid en avvägning mot allmänhetens intresse av insyn i krishanteringsfunktionens verksamhet finns det, även med hänsyn till det Journalistförbundet och Tidningsutgivarna anför, övervägande skäl för att uppgifter om affärs- och driftförhållanden hos enskilda som medverkar i krishanteringsfunktionens verksamhet bör omfattas av sekretess med ett rakt skaderekvisit medan uppgifter om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med den som medverkar i krishanteringsfunktionens verksamhet bör omfattas av absolut sekretess. I 30 kap. OSL finns bestämmelser om sekretess till skydd för enskild i verksamhet som avser tillsyn m.m. i fråga om näringslivet. Uppgifter som lämnas i krishanteringsfunktionens verksamhet lämnas inte inom ramen för en myndighets tillsyns- eller övervakningsverksamhet. Den nya sekretessbestämmelsen bör därför placeras i 31 kap. OSL, som innehåller bestämmelser om sekretess till skydd för enskild i annan verksamhet med anknytning till näringslivet. Bestämmelsen bör införas under rubriken Riksbankens verksamhet, eftersom den myndigheten föreslås ansvara för att leda krishanteringsfunktionen. 55

Sekretesstid För uppgifter som förekommer hos myndigheter som medverkar i krishanteringsfunktionens verksamhet bör sekretessen gälla i högst tjugo år. Den sekretesstiden framstår som väl avvägd med hänsyn till de uppgifter som kan antas förekomma i den verksamheten. Det är även den sekretesstid som gäller enligt bestämmelserna om tillsynssekretess i 30 kap. 4 § OSL.

Rätten att meddela och offentliggöra uppgifter Med meddelarfrihet avses rätten att lämna uppgift i vilket ämne som helst för publicering i de medier som omfattas av TF och yttrandefrihetsgrundlagen (1 kap. 1 och 7 §§ TF samt 1 kap. 1 och 10 §§ yttrandefrihetsgrundlagen). Bestämmelser om tystnadsplikt kan dock genom särskilda bestämmelser i offentlighets- och sekretesslagen ges företräde framför rätten att meddela och offentliggöra uppgifter. I dessa fall kan en meddelare straffas för sitt uppgiftslämnande. Stor återhållsamhet bör iakttas när man överväger om en inskränkning ska göras i rätten att meddela och offentliggöra uppgifter. Faktorer att beakta vid sådana överväganden är t.ex. vilken styrka sekretessen har och om uppgiften har lämnats i en förtroendesituation (prop. 1979/80:2 del A s. 111 – 112). När det gäller tystnadsplikten för uppgifter som förekommer i tillståndsoch tillsynsverksamhet på finansmarknadsområdet gäller meddelarfriheten bara för vissa uppgifter. Tystnadsplikten inskränker inte rätten enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen att meddela och offentliggöra uppgifter som rör affärs- eller driftförhållanden hos den som myndighetens verksamhet avser (se 30 kap. 4 § första stycket 1 jämförd med 30 kap. 30 § första stycket OSL). För tredjemansuppgifter som förekommer vid en statlig myndighets tillsynsverksamhet med avseende på bank- och kreditväsendet, värdepappersmarknaden eller försäkringsväsendet gäller absolut sekretess (30 kap. 4 § första stycket 2 OSL). Detta påverkar även tystnadsplikten som för dessa tredjemansuppgifter har företräde framför meddelarfriheten (30 kap. 30 § första stycket OSL). Förslaget i promemorian innebär att tystnadsplikten ska ges företräde framför meddelarfriheten när det gäller den nya sekretessbestämmelsen för krishanteringsfunktionens verksamhet såväl för uppgifter om den som medverkar i verksamheten som för tredjemansuppgifter. Journalistförbundet och Tidningsutgivarna avstyrker förslaget och anför att allmänheten har ett stort intresse av insyn i krishanteringsfunktionens verksamhet. Sekretessen enligt den nya sekretessbestämmelse som föreslås har samma föremål och styrka som den sekretess som gäller enligt 30 kap. 4 § OSL. Till skillnad från promemorian föreslås därför att tystnadsplikten för uppgifter som hänför sig till den som har trätt i affärsförbindelse eller liknande förbindelse med den som medverkar i krishanteringsfunktionens verksamhet ska ha företräde framför meddelarfriheten, medan meddelarfriheten ska ha företräde framför tystnadsplikten för uppgift om den som medverkar i krishanteringsfunktionens verksamhet.

Domstolssekretess Riksbankens beslut om att vissa företag ska ingå i krishanteringsfunk- 56 tionens verksamhet ska få överklagas till allmän förvaltningsdomstol, se

förslaget i avsnitt 5.4. Den nya sekretessbestämmelse som föreslås är utformad efter förebild av 30 kap. 4 § OSL och har samma skyddsintressen som den bestämmelsen. Enligt 43 kap. 3 § OSL tillämpas inte bestämmelserna om sekretess i 30 kap. 4 § OSL hos en domstol i dess rättskipande eller rättsvårdande verksamhet. Detsamma bör gälla för den sekretess som följer av den nya bestämmelsen. Det innebär att hos domstol i mål eller ärende i domstolens rättskipande eller rättsvårdande verksamhet kan i stället bestämmelserna om sekretess i 36 kap. 2 § OSL bli tillämpliga med de strängare villkor för sekretess som gäller enligt de bestämmelserna.

8.3 Tystnadsplikt i krishanteringsfunktionen

Utkastets förslag: Den som på grund av bestämmelserna i lagen om Sveriges riksbank om krishanteringsfunktionen har fått del av uppgifter ska inte obehörigen få röja eller utnyttja vad han eller hon har fått veta om 1. förhållanden av betydelse för att förebygga eller hantera fredstida krissituationer, 2. förhållanden av betydelse för totalförsvaret eller annars för Sveriges säkerhet, 3. en enskilds affärs- eller driftförhållanden, eller 4. ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med en enskild som medverkar i krishanteringsfunktionen.

Upplysningsbestämmelsen i lagen om Sveriges riksbank om att i Riksbankens verksamhet tillämpas i stället för bestämmelserna om tystnadsplikt i den lagen bestämmelserna i offentlighets- och sekretesslagen ska justeras så att det i stället för Riksbankens verksamhet anges det allmännas verksamhet.

Promemorians förslag överensstämmer i allt väsentligt med utkastets förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot det. Skälen för utkastets förslag: Riksbanken ska planera och förbereda för att kunna fortsätta sin verksamhet under fredstida krissituationer och vid höjd beredskap och för detta ändamål övervaka och leda åtgärder för företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar (5 kap. lagen [2022:1568] om Sveriges riksbank, kallad riksbankslagen). Företag som deltar i Riksbankens verksamhet kan därigenom få del av uppgifter som omfattas av sekretess och har därför belagts med tystnadsplikt (se prop. 2021/22:41 s. 130 och 132). Den nu gällande tystnadsplikten avser uppgifter om enskildas affärseller driftförhållanden eller förhållanden av betydelse för totalförsvaret eller annars för Sveriges säkerhet, dvs. försvarssekretess (5 kap. 6 § riksbankslagen). Bestämmelsen innebär att en enskild inte obehörigen får röja eller utnyttja vad han eller hon fått veta.

Den samverkan som kommer att ske inom ramen för den nya krishanteringsfunktionens verksamhet innebär att de som medverkar i verksamheten kan behöva hämta in och förmedla information samt utarbeta handlingar som innehåller uppgifter som är känsliga ur säkerhetssynpunkt. Om uppgifter som t.ex. rör risker och sårbarheter i den finansiella infrastrukturen sprids till obehöriga, kan uppgifterna komma att utnyttjas för att skada samhället. Vidare förutsätter krishanteringsfunktionens verksamhet att privata aktörer på olika sätt medverkar och att det inom verksamheten finns goda möjligheter till menings- och erfarenhetsutbyte. De privata aktörer som deltar i totalförsvarsplaneringen och i planeringen och samordningen av åtgärder inför eller vid fredstida krissituationer, kan inom ramen för krishanteringsfunktionens verksamhet i vissa fall behöva få del av information som inte bör föras vidare. De som medverkar i verksamheten måste också ha möjlighet att dela med sig av intern information av känslig karaktär utan att uppgifterna blir offentliga. En författningsreglerad tystnadsplikt utgör en inskränkning av yttrandefriheten, oavsett om den följer av offentlighets- och sekretesslagen eller av bestämmelser om tystnadsplikt. Yttrandefriheten får begränsas genom lag. En sådan begränsning får göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningen får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har motiverat den. För yttrandefriheten gäller vidare att den får inskränkas med hänsyn till bl.a. rikets säkerhet. Vid bedömandet av vilka begränsningar som får göras ska särskilt beaktas vikten av vidaste möjliga yttrandefrihet och informationsfrihet i politiska, religiösa, fackliga, vetenskapliga och kulturella angelägenheter (2 kap. 20 § första stycket, 21 § och 23 § första och andra styckena regeringsformen). Att den nya krishanteringsfunktionens verksamhet kräver att uppgifter kan lämnas effektivt mellan dem som medverkar i funktionen framgår bl.a. i avsnitt 7.1. För att detta ska vara praktiskt möjligt behöver det säkerställas att de som medverkar kan lämna känslig information utan att uppgifterna blir offentliga. Den tystnadsplikt som gäller i dag för den som på grund av bestämmelser i 5 kap. riksbankslagen har fått kännedom om en enskilds affärs- eller driftförhållanden eller sådant som rör försvarssekretess bör därför gälla för enskilda som deltar i krishanteringsfunktionens verksamhet. Den uppgiftsskyldighet som föreslås ska gälla i krishanteringsfunktionens verksamhet (se avsnitt 7.1) bör bryta all sekretess bland dem som medverkar i funktionen. Det innebär att det även bör kunna lämnas uppgifter om förhållanden av betydelse för att förebygga eller hantera fredstida krissituationer (18 kap. 13 § OSL) samt uppgifter som omfattar ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse med någon som medverkar i krishanteringsfunktionen. På motsvarande sätt som är fallet för offentliga aktörer bör tystnadsplikten även omfatta dessa förhållanden (jfr 30 kap. 4 § första stycket 2 OSL och förslaget i avsnitt 8.2). Den tystnadsplikt som föreslås för krishanteringsfunktionens verksamhet avser alltså att skydda uppgifter som i det allmännas verksamhet skyddas av nuvarande bestämmelser i offentlighets- och sekretesslagen eller kommer att skyddas av nya bestämmelser i den lagen som föreslås i 58 detta utkast (se avsnitt 8.2). Även om tystnadsplikten uttrycks på olika sätt

är målsättningen att uppgifterna ska skyddas på motsvarande sätt hos privata och offentliga aktörer. Det är då naturligt att vid tolkning av obehörighetsrekvisitet söka ledning i offentlighets- och sekretesslagens bestämmelser (jfr bl.a. prop. 1980/81:28 s. 23, prop. 2016/17:31 s. 41 och prop. 2017/18:105 s. 133 – 134). Även den rättspraxis som finns när det gäller tillämpningen av andra bestämmelser om tystnadsplikt där obehörighetsrekvisitet används bör kunna tjäna som ledning vid tolkningen och tillämpningen av den reglering som nu föreslås. Den begränsning av yttrandefriheten som en sådan tystnadsplikt innebär går inte utöver vad som är nödvändigt med hänsyn till ändamålet. Tystnadsplikten är förenlig med det skydd för yttrandefriheten som regeringsformen innebär. Den tystnadsplikt som föreslås avser alltså bl.a. uppgifter om förhållanden av betydelse för totalförsvaret och Sveriges säkerhet och om en enskilds affärs- eller driftförhållanden. Denna typ av uppgifter är av sådan karaktär att ett röjande eller utnyttjande kan innebära allvarlig skada för enskilda och offentlig verksamhet. I 20 kap. 3 § brottsbalken regleras det generella straffansvaret för brott mot tystnadsplikt. Straffansvaret gäller var och en som har skyldighet att hemlighålla en uppgift enligt lag eller annan författning, förutsatt att straffansvaret inte har reglerats särskilt. Straffskalan för ett brott ska spegla dess allvar. Med hänsyn till de skadeverkningar som ett röjande eller utnyttjande av uppgifter av det aktuella slaget kan ge upphov till behöver straffskalan ha ett tillräckligt utrymme för att möjliggöra en nyanserad straffmätning även i de allvarligaste fallen av brott mot denna tystnadsplikt. Den som bryter mot tystnadsplikten bör därför kunna dömas för brott mot tystnadsplikt enligt 20 kap. 3 § brottsbalken. Brottet avser gärningar som begås uppsåtligen eller av oaktsamhet. Sedan den 1 augusti 2023 finns även en grov svårhetsgrad av brottet, grovt brott mot tystnadsplikt. Endast uppsåtliga brott kan utgöra grovt brott mot tystnadsplikt (se prop. 2022/23:106 s. 40 – 41 och 52 – 53). I riksbankslagen anges i en upplysningsbestämmelse att i Riksbankens verksamhet tillämpas bestämmelserna i offentlighets- och sekretesslagen (5 kap. 6 § andra stycket riksbankslagen). Med hänsyn till att inte bara Riksbanken utan även andra myndigheter ska ingå i krishanteringsfunktionen bör upplysningsbestämmelsen justeras så att det i stället anges att i det allmännas verksamhet tillämpas bestämmelserna i offentlighetsoch sekretesslagen.

8.4 Förhållandet till säkerhetsskyddslagen

Utkastets bedömning: Den nya krishanteringsfunktionen kräver inga ändringar i säkerhetsskyddslagen.

Promemorian behandlar inte frågan. Remissinstanserna: Riksbanken anser att säkerhetsskyddslagen (2018:585) behöver beaktas när enskilda delar säkerhetskänslig information, t.ex. ifall det finns behov att reglera undantag från vissa skyldigheter inför förfaranden som kräver säkerhetsskyddsavtal. Totalförsvarets forskningsinstitut (FOI) anser att det saknas en redo- 59

görelse i promemorian för hur säkerhetsskyddsklassificerad information ska hanteras i krishanteringsfunktionen. Skälen för utkastets bedömning: Säkerhetsskyddslagen (2018:585) gäller för den som till någon del bedriver verksamhet som är av betydelse för Sveriges säkerhet eller som omfattas av ett för Sverige förpliktande internationellt åtagande om säkerhetsskydd (1 kap. 1 § säkerhetsskyddslagen). Med säkerhetsskyddsklassificerade uppgifter avses uppgifter som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen eller som skulle ha omfattats av sekretess enligt den lagen, om den hade varit tillämplig (1 kap. 2 § säkerhetsskyddslagen). Systematiken i lagen bygger på att det är verksamhetsutövaren själv som till någon del bedriver säkerhetskänslig verksamhet som ska utreda behovet av säkerhetsskydd (säkerhetsskyddsanalys). Säkerhetsskyddsanalysen ska identifiera vilka säkerhetsskyddsklassificerade uppgifter och vilken säkerhetskänslig verksamhet i övrigt som finns i verksamheten. Med utgångspunkt i analysen ska verksamhetsutövaren planera och vidta de säkerhetsskyddsåtgärder som behövs med hänsyn till verksamhetens art och omfattning, förekomst av säkerhetsskyddsklassificerade uppgifter och övriga omständigheter. Säkerhetsskyddsåtgärder kan avse informationssäkerhet, fysisk säkerhet och personalsäkerhet (2 kap. 2 – 4 §§ säkerhetsskyddslagen). Med informationssäkerhet avses bl.a. att förebygga att säkerhetsskyddsklassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs. Säkerhetsskyddslagen innebär att ett finansiellt företag som helt eller delvis bedriver säkerhetskänslig verksamhet är skyldigt att tillämpa den lagen. För den som är anställd eller på annat sätt deltar eller har deltagit i verksamheten hos en enskild aktör som bedriver säkerhetskänslig verksamhet och hanterar säkerhetsskyddsklassificerade uppgifter enligt säkerhetsskyddslagen gäller tystnadsplikten i den lagen (se 8 kap. 2 § säkerhetsskyddslagen). Syftet med bestämmelserna om tystnadsplikt är bl.a. att uppgifter som behandlas inte ska få ett sämre skydd när de hanteras i enskild verksamhet än när motsvarande hantering sker hos en myndighet. Det finns ingen anledning att göra skillnad på förhållandena när det gäller tystnadsplikt för privatanställda och offentliganställda (prop. 2017/18:89 s. 120). Vid tolkningen av bestämmelserna om tystnadsplikt kan ledning sökas i motsvarande bestämmelser i offentlighets- och sekretesslagen. Utgångspunkten är att det ska vara en nära överensstämmelse när det gäller innebörden av de olika bestämmelserna om tystnadsplikt för offentlig respektive enskild verksamhet. I promemorian behandlas frågan att säkerhetsprövning kan behöva ske vid inlån av medarbetare. Förslaget i avsnitt 5.2 innebär att krishanteringsfunktionen inte ska ingå i Riksbanken. Det medför att det inte kommer att bli aktuellt med några inlån av medarbetare på det sätt som beskrivs i promemorian. Vissa av de aktörer som kan medverka i krishanteringsfunktionens verksamhet kan bedriva verksamhet av sådant slag att den kan komma att omfattas av regleringen i säkerhetsskyddslagen, eftersom t.ex. företagen i den finansiella infrastrukturen hanterar stora mängder uppgifter om betalningsinformation. Riksbanken och FOI anser att tillämpningen av säkerhetsskyddslagen är en fråga som behöver behandlas, bl.a. när det gäller företag. Det har inte 60 framkommit något som talar för att säkerhetsskyddsklassificerade

uppgifter kommer att behöva lämnas inom ramen för krishanteringsfunktionens verksamhet i någon större omfattning. Det kan dock inte uteslutas att sådan information i vissa lägen kan behöva lämnas. I de fall detta kan bli aktuellt är det en fråga för det enskilda företaget att avgöra vilken information som kan lämnas till någon annan som medverkar i krishanteringsfunktionen med hänsyn till bestämmelserna i säkerhetsskyddslagen. Om sådana uppgifter behöver lämnas, är det också det företag som ska lämna uppgifter som har att pröva om det finns förutsättningar för det, t.ex. med beaktande av möjligheten att träffa säkerhetsskyddsavtal (4 kap. 1 § säkerhetsskyddslagen). Om det finns bara ett begränsat behov av att lämna sådana uppgifter bedöms det därmed inte heller finnas tillräckliga skäl för att, som Riksbanken tar upp, med stöd av 4 kap. 7 § säkerhetsskyddslagen meddela föreskrifter om undantag från vissa skyldigheter inför förfaranden som kräver säkerhetsskyddsavtal. Sammanfattningsvis behövs det inte några lagändringar med anledning av krishanteringsfunktionens verksamhet och dess förhållande till bestämmelserna i säkerhetsskyddslagen. För anställda i det allmännas verksamhet tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen.

9 Ikraftträdande

Utkastets förslag: Lagändringarna ska träda i kraft den 1 juli 2026. a Promemorians förslag överensstämmer inte med utkastets förslag. I promemorian föreslås att lagändringarna ska träda i kraft den 1 januari 2025. Remissinstanserna tillstyrker förslaget eller har inget att invända mot det. Skälen för utkastets förslag: Lagändringarna bör träda i kraft så snart som möjligt, vilket bedöms vara den 1 juli 2026.

10 Konsekvensanalys

Utkastets bedömning: Förslagen ger bättre förutsättningar för krishantering och beredskap i den finansiella sektorn och har därmed positiva konsekvenser för Sveriges säkerhet såväl i fredstid som under höjd beredskap. Förslagen ger därmed bättre förutsättningar för att upprätthålla samhällsviktiga tjänster i det finansiella systemet och bidrar till att det finansiella systemet är stabilt och effektivt. De har positiva samhällsekonomiska effekter. Eventuella ökade kostnader för Riksbanken, Finansinspektionen och Riksgäldskontoret bedöms vara begränsade. De eventuella merkostnader som förslagen medför för Finansinspektionen och Riksgäldskontoret kan hanteras inom befintliga budgetramar.

Kostnaderna för företag kommer att öka endast i begränsad utsträckning.

Promemorians bedömning överensstämmer i huvudsak med utkastets bedömning. Promemorian innehåller inte någon analys avseende de samhällsekonomiska effekterna. Remissinstanserna: Flertalet remissinstanser tillstyrker bedömningen eller har inget att invända mot den. Finansinspektionen anser att förslagen kommer att ha konsekvenser för Finansinspektionens personalbehov och därmed medföra ökade kostnader. Finansinspektionen bedömer att kostnaderna inte är försumbara. Konkurrensverket anser att olika typer av samverkan mellan konkurrerande företag kan medföra risker ut konkurrenssynpunkt. Regelrådet anser att konsekvensanalysen brister i fråga om påverkan på berörda företags kostnader och tidsåtgång.

Skälen för utkastets bedömning

Samhällsekonomiska effekter Förslagen ger bättre förutsättningar för krishantering och beredskap i den finansiella sektorn och har därmed positiva konsekvenser för Sveriges säkerhet såväl i fredstid som under höjd beredskap. Förslagen ger därmed bättre förutsättningar för att upprätthålla samhällsviktiga tjänster i det finansiella systemet och bidrar till att det finansiella systemet är stabilt och effektivt. Andra sektorer är beroende av att samhällsviktiga finansiella tjänster kan upprätthållas. Samverkan inom den nya krishanteringsfunktionen bedöms ge en bättre förmåga för aktörer att snabbt och effektivt komma till rätta med allvarliga driftsstörningar. Det är därför troligt att de sammanlagda kostnaderna för att hantera en kris med stöd av funktionen blir lägre än vad de skulle ha blivit om krisen hanterades utan den koordinering som blir möjlig genom krishanteringsfunktionen. En effektiv krisberedskap förutsätter att det finns en tydlig ansvarsfördelning mellan myndigheterna och att det inte förekommer att två eller flera myndigheter har delvis överlappande uppdrag. Genom förslagen klargörs hur Riksbankens ansvarsområden förhåller sig till Finansinspektionens och Riksgäldskontorets ansvarsområden och motverkar att det uppstår parallella krishanterande strukturer. Detta bedöms ha positiva samhällsekonomiska effekter.

Uppskattning av antalet berörda aktörer En förutsättning för att den nya krishanteringsfunktionens arbete ska vara effektivt är att antalet aktörer som medverkar inte blir alltför stort. Vilka aktörer som ska medverka och omfattningen av deras medverkan kan skilja sig åt beroende på vilken slags krissituation som uppstår. Det är därför svårt att uppskatta antalet aktörer. Enligt förslaget om en ny krishanteringsfunktion ska de företag av särskild betydelse för genomförandet av betalningar, som omfattas av Riksbankens föreskrifter, ingå i krishanteringsfunktionen. I dag omfattar föreskrifterna ett tiotal enskilda företag såsom värdepapperscentraler och

kreditinstitut. För det fall föreskrifterna ändras, kan antalet företag som omfattas komma att öka. Riksbanken föreslås få besluta att de företag som bedriver verksamhet som omfattas av Riksbankens övervakning ska ingå i funktionen. Det rör sig om ett fåtal företag, t.ex. de börser och centrala motparter som finns i Sverige (i dag finns börserna Nasdaq Stockholm Aktiebolag och Nordic Growth Market NGM Aktiebolag respektive den centrala motparten Nasdaq Clearing Aktiebolag). Utöver Riksbanken ska Finansinspektionen och Riksgäldskontoret ingå i funktionen. Riksbanken ska även få bjuda in andra aktörer att medverka i krishanteringsfunktionens verksamhet om de har kunskaper eller resurser som är av betydelse för funktionen. Exempel på sådana aktörer är statliga myndigheter inom andra sektorer än beredskapssektorn för finansiella tjänster, Nationellt cybersäkerhetscenter, branschorganisationer och företag som inte ska ingå funktionen. Vilka aktörerna är och omfattningen av deras medverkan kan skilja sig åt beroende på vilken slags krissituation som uppstår.

Konsekvenser för Riksbanken Förslaget om en ny krishanteringsfunktion innebär att Riksbanken ska få ansvaret att leda den nya funktionen. Det innebär att Riksbanken har rollen som ordförande i krishanteringsfunktionen och har det huvudsakliga ansvaret för att det finns en fungerande struktur för funktionens verksamhet. I det ingår t.ex. att bistå krishanteringsfunktionen med administrativt stöd och ansvara för att tillhandahålla tekniska plattformar för informationsdelning och samordning. Krishanteringsfunktionen är inte en del av Riksbanken och övertar inte någon beslutanderätt från någon annan myndighet eller privat aktör. Krishanteringsfunktionen är inte heller en egen myndighet och fattar därför inte några egna beslut. Riksbanken är Sveriges centralbank och en myndighet under riksdagen. Riksbanken har enligt lagen (2022:1568) om Sveriges riksbank tillgångar som den förvaltar och det finns inte någon särskild anslagspost för Riksbanken i statens budget. Kostnaderna för Riksbankens verksamhet täcks i stället av bankens egna intäkter. Att Riksbanken har en tillgångsmassa som är skild från statens tillgångar är ett väl etablerat sätt att säkerställa att den kan upprätthålla en tillräckligt hög grad av finansiellt oberoende från staten. Riksbanken ska planera och förbereda sin verksamhet under fredstida krissituationer och vid höjd beredskap. Detta omfattar ett särskilt ansvar för genomförandet av betalningar, som är en central del av de samhällsviktiga tjänsterna i den finansiella sektorn. Förslagen innebär att krishanteringsfunktionen ska ha ett bredare verksamhetsområde än betalningar och därmed sannolikt kommer att omfatta fler aktörer. På grund av förslagen kommer Riksbanken att behöva avsätta mer resurser än i dag till arbetet med krishanteringsfunktionen. Det inledande arbetet med funktionen kommer att innebära en marginell ökning av Riksbankens kostnader. Inför en kris kommer ansvaret för att leda krishanteringsfunktionen inte att innebära några större arbetsinsatser för Riksbanken. Uppdraget att leda funktionen kan medföra vissa kostnader, främst i form av ökad administration. Vid en kris och under höjd beredskap behöver

Riksbankens egen krishanteringsorganisation utökas med fler arbetsinsatser. Det innebär dock inte att arbetsinsatserna i krishanteringsfunktionerna i sin tur behöver utökas nämnvärt. Sammantaget bedöms därmed konsekvenserna vara begränsade för Riksbanken.

Konsekvenser för Finansinspektionen och Riksgäldskontoret Förslagen innebär att Finansinspektionen och Riksgäldskontoret ska ingå i en ny krishanteringsfunktion. Krishanteringsfunktionen övertar inte någon beslutanderätt från någon annan myndighet eller privat aktör. Krishanteringsfunktionen är inte heller en egen myndighet och fattar därför inte några egna beslut. Myndigheterna ska samverka med Riksbanken i frågor om fredstida krissituationer och höjd beredskap. Finansinspektionens och Riksgäldskontorets verksamhet finansieras i huvudsak genom anslag på statens budget. Inrättandet av en ny funktion innebär i regel ökade kostnader. Detta gäller särskilt i ett inledande skede. På grund av förslagen kommer myndigheterna därför att behöva avsätta resurser till arbetet i krishanteringsfunktionen. Myndigheterna kan även behöva anpassa vissa it-system med anledning av förslagen. Finansinspektionen och Riksgäldskontoret har i dag ett ansvar för att motverka störningar i det finansiella systemet. Finansinspektionen är även sektorsansvarig myndighet för beredskapssektorn för finansiella tjänster enligt förordningen (2022:524) om statliga myndigheters beredskap. I beredskapssektorn ingår även Riksgäldskontoret. Myndigheternas krishanterande roller i funktionen motsvarar det ansvar som myndigheterna redan har. De kostnadsökningar som arbetet i krishanteringsfunktionen kan komma att medföra för myndigheterna är därför inte av någon större omfattning. Sammantaget bedöms förslagen leda till ökade, om än begränsade kostnader för Finansinspektionen. Eventuella merkostnader ska hanteras inom befintliga ekonomiska ramar.

Konsekvenser för företag som ingår i krishanteringsfunktionen Regelrådet anser att konsekvensanalysen i promemorian brister i fråga om påverkan på berörda företags kostnader och tidsåtgång. Förslaget om en ny krishanteringsfunktion innebär att de företag som är av särskild betydelse för genomförandet av betalningar och som omfattas av Riksbankens föreskrifter, ska ingå i den funktionen. Enligt förslaget ska Riksbanken få meddela föreskrifter om dessa företags deltagande i funktionen och deras uppgiftsskyldighet. Det föreslås vidare att Riksbanken ska få besluta att de företag som bedriver verksamhet som omfattas av Riksbankens övervakning ska ingå i funktionen. Enligt förslagen ska Riksbanken bara få meddela föreskrifter om dessa företags uppgiftsskyldighet. Det innebär att kretsen av verksamhetsutövare som kommer att ingå i krishanteringsfunktionen avgörs av Riksbankens föreskrifter på området och Riksbankens beslut om vilka företag som ska ingå. De allvarliga driftsstörningar som krishanteringsfunktionen ska hantera avser situationer där samhällsviktiga finansiella tjänster slås ut eller får nedsatt funktionalitet. Det ska vara fråga om händelser som inte kan hanteras av företagen var

för sig utan som kräver koordinerade åtgärder från flera offentliga och privata aktörer. Det rör sig om ett begränsat antal företag, som tillhandahåller sådana kritiska finansiella tjänster. Det bedöms inte röra sig om några små eller medelstora företag. För anställda i de företag som ska ingå i krishanteringsfunktionen innebär deltagandet i funktionen att de kommer att omfattas av en ny tystnadsplikt. Eftersom tystnadsplikten omfattar alla uppgifter som delas i funktionen och då anställda i dessa företag är vana vid att hantera känsliga uppgifter som omfattas av tystnadsplikt, bör detta i praktiken inte innebära några påtagliga förändringar jämfört med i dag. Utöver de resurser i form av personal som krävs för att delta i samverkan i krishanteringsfunktionens arbete innebär samverkan i sig inte några kostnader för deltagarna, även om det inte kan uteslutas att det kan krävas mindre insatser för att deltagandet ska kunna ske på ett sätt som säkerställer att krav på informationssäkerhet iakttas och att uppgifter som omfattas av tystnadsplikt inte röjs. Företagen kan även behöva anpassa vissa it-system med anledning av förslaget om en ny krishanteringsfunktion. Den typ av medverkan som förslaget avser innebär planering, samordning och samverkan, inte konkreta åtgärder för återställande av infrastruktur. Mot den bakgrunden bör förslagen endast medföra att de privata företagens kostnader ökar i begränsad omfattning. De åtgärder som företagen vidtar inom ramen för krishanteringsfunktionen för att ta fram operativa verktyg vid driftsstörningar är frivilliga för företagen. Det är därför upp till företagen att avgöra i vilken omfattning de vill delta i detta arbete. Den samlade tidsåtgången och kostnader för ett företag är därför svåra att beräkna. De företag av särskild betydelse för genomförandet av betalningar, som omfattas av Riksbankens föreskrifter, har redan i dag krav på sig att delta i Riksbankens verksamhet med planering och förberedelser för att kunna fortsätta sin verksamhet som avser betalningar under fredstida krissituationer och vid höjd beredskap. Dessa företag ska även kunna planera för att ingå i den ledningsfunktion som Riksbanken ska kunna upprätta under en fredstida krissituation och vid höjd beredskap. De ytterligare krav som Riksbanken kan komma att ställa i föreskrifter torde inte vara av någon större omfattning i förhållande till de krav som ställs på företagen i dag. När det gäller de företag som Riksbanken enligt förslagen ska få besluta att de ska ingå i krishanteringsfunktionen, har Riksbanken mer begränsade möjligheter att ställa krav på vad det innebär att delta i funktionens arbete. Det är därför upp till dessa företag att komma överens med övriga aktörer i krishanteringsfunktionen om omfattningen av deltagandet i funktionen. Vid en fredstida krissituation kommer det många gånger att krävas mer arbete för de berörda företagen än vad som vanligtvis förväntas av dem. Omfattningen av ett sådant merarbete beror givetvis på vilken typ av händelse som inträffar och på krisens varaktighet. Det är dock rimligt att anta att företagen ändå skulle ha varit tvungna att lägga ner minst motsvarande tid på internt krishanteringsarbete. Eftersom det ska vara fråga om situationer som inte kan hanteras av berörda aktörer var för sig, utan som kräver koordinerade åtgärder, skulle de berörda företagen även behöva koordinera sina åtgärder med andra privata och offentliga aktörer. Samverkan inom den nya krishanteringsfunktionen bedöms ge en bättre 65

förmåga för sådana företag att snabbt och effektivt komma till rätta med allvarliga driftsstörningar. Det är därför troligt att de sammanlagda kostnaderna för att hantera en kris med stöd av funktionen blir lägre än vad de skulle ha blivit om krisen hanterades enskilt av var och en av de berörda företagen. Om krishanteringsfunktionen behöver aktiveras på grund av höjd beredskap, kommer detta sannolikt också att kräva mer arbete än vanligt för företagen. Någon uppskattning av vilken tidsåtgång som kan bli aktuell i sådant fall är inte möjlig att göra, då denna kan variera beroende på vad som motiverat den höjda beredskapen. Sammanfattningsvis förväntas förslagen medföra vissa kostnader för företagen i form av arbetskraft och vissa investeringar i tekniska system för att kunna delta i krishanteringsfunktionens verksamhet. Företagen har inte har rätt till ersättning för de merkostnader som förslagen kan leda till. Riksbanken bör därför se till att skyldigheterna för de företag som ska ingå i krishanteringsfunktionen inte medför betydande kostnader för dessa och att de kostnader som kan komma att uppstå för företagen står i proportion till nyttan med åtgärderna.

Konsekvenser för andra aktörer som medverkar i krishanteringsfunktionen Förslaget om en ny krishanteringsfunktion innebär att andra statliga myndigheter än Riksbanken, Finansinspektionen och Riksgäldskontoret ska kunna bjudas in att medverka i funktionen. Medverkan i krishanteringsfunktionen utgår från myndigheternas befintliga uppdrag och innebär därför inte någon ändring av dessa. Även andra aktörer, såsom branschorganisationer, krishanterande funktioner och företag ska kunna bjudas in. Eftersom det för de aktörer som bjuds in är frivilligt att medverka i krishanteringsfunktionen leder förslagen i sig inte till några kostnader för dem. Eventuella kostnader som kan uppstå beror på i vilken omfattning och med vilken ambitionsnivå som sådana aktörer väljer att medverka i funktionen. Vid en fredstida krissituation kommer det många gånger att krävas mer arbete för de enskilda aktörerna som kan komma att medverka i krishanteringsfunktionen. Omfattningen av ett sådant merarbete beror givetvis på vilken typ av händelse som inträffar och på krisens varaktighet. Det är dock rimligt att anta att aktörerna ändå skulle ha varit tvungna att lägga ner minst motsvarande tid på enskilt eller internt krishanteringsarbete. Vid höjd beredskap kommer det sannolikt också att krävas mer arbete än vanligt för aktörerna i funktionen. Någon uppskattning av vilken tidsåtgång som kan bli aktuell i ett sådant fall är inte möjlig att göra, då denna kan variera beroende på vad som motiverat den höjda beredskapen. Samverkan inom krishanteringsfunktionen bedöms dock ge en bättre förmåga för aktörerna att snabbt och effektivt komma till rätta med allvarliga driftsstörningar. Det är därför troligt att de sammanlagda kostnaderna för att hantera en kris med stöd av krishanteringsfunktionen blir lägre än vad de skulle ha blivit om krisen hanterades utan funktionen.

Konsekvenser för konkurrensen Konkurrensverket anser att olika typer av samverkan mellan konkurrerande företag kan medföra risker ut konkurrenssynpunkt. Riksbanken kommer enligt förslagen att leda arbetet i den nya krishanteringsfunktionen och besluta om vilka företag som ska ingå i funktionen. Riksbanken ska även, i samverkan med Finansinspektionen och Riksgäldskontoret, kunna bjuda in andra aktörer att medverka i funktionens verksamhet. Genom att dessa myndigheter ingår i krishanteringsfunktionen har myndigheterna förutsättningar för att se till att aktörer som står utanför funktionen inte missgynnas. I sin roll kommer Riksbanken också ha goda möjligheter att säkerställa att informationsutbytet inom funktionen inte får konkurrensbegränsande effekter i förhållande till andra företag. Sammantaget bedöms förslagen inte påverka konkurrensen mellan de företag som verkar på finansmarknaden.

Konsekvenser för domstolarna Riksbankens beslut om att vissa företag ska ingå i den nya krishanteringsfunktionen ska enligt förslaget få överklagas till allmän förvaltningsdomstol. Som redovisas ovan kommer Riksbankens beslut att beröra ett mycket begränsat antal företag. Förslagen kan leda till att fler ärenden med begäran om att ta del av allmän handling överklagas till kammarrätterna. Det torde dock röra sig om ett begränsat antal nya mål per år. Bedömningen är mot denna bakgrund att förslaget kommer att kunna medföra bara ett ytterst begränsat antal mål som endast kommer att innebära en marginell ökad belastning för de allmänna förvaltningsdomstolarna. Eventuella kostnader för detta ska därför hanteras inom befintliga ekonomiska ramar.

Ikraftträdande och särskilda informationsinsatser Det föreslås att lagändringarna ska träda i kraft den 1 juli 2026. Det föreslås inte några övergångsbestämmelser. Riksbanken, i dess egenskap av ansvarig myndighet för att leda krishanteringsfunktionen, bör ansvara för att lämpliga informationsinsatser riktas till såväl de berörda företagen som övriga företag i den finansiella sektorn samt till andra berörda statliga myndigheter. Riksbanken behöver i dessa delar samverka med Finansinspektionen, i dess egenskap av sektorsansvarig myndighet för beredskapssektorn för finansiella tjänster och tillsynsmyndighet för den finansiella sektorn.

Övriga konsekvenser Förslagen får inga konsekvenser för jämställdheten mellan kvinnor och män och har inga sociala konsekvenser. De har inte heller några konsekvenser för miljön. Förslagen bedöms vara förenliga med EU-rätten.

11 Författningskommentar

11.1 Förslaget till lag om ändring i offentlighetsoch sekretesslagen (2009:400)

10 kap.

13 a § Sekretess hindrar inte att en uppgift lämnas till en enskild enligt 5 kap. 11 § lagen (2022:1568) om Sveriges riksbank.

Paragrafen, som är ny, innehåller en sekretessbrytande bestämmelse. Paragrafen är utformad efter förebild av 5 c §. Övervägandena finns i avsnitt 7.1. Av paragrafen följer att sekretess inte hindrar en myndighet från att lämna uppgifter till en enskild med stöd av 5 kap. 11 § första stycket lagen (2022:1568) om Sveriges riksbank, kallad riksbankslagen. Uppgiftsskyldigheten i 5 kap. 11 § första stycket riksbankslagen gäller alla som medverkar i den nya krishanteringsfunktion som Riksbanken ansvarar för att leda. I första hand berörs myndigheter och företag som ingår i krishanteringsfunktionen, dvs. Riksbanken, Finansinspektionen, Riksgäldskontoret samt de företag som ska ingå med stöd av 5 kap. 5 § första stycket 1 och 2 riksbankslagen. Uppgiftsskyldigheten i riksbankslagen gäller också andra aktörer som bjuds in att medverka i krishanteringsfunktionens verksamhet med stöd av 5 kap. 5 § andra stycket riksbankslagen, t.ex. statliga myndigheter inom andra sektorer än beredskapssektorn för finansiella tjänster, Nationellt cybersäkerhetscenter, branschorganisationer och företag som inte ska ingå i funktionen enligt 5 kap. 5 § första stycket riksbankslagen. Paragrafen får inte tillämpas i strid med internationella åtaganden (15 kap. 1 a § samt 30 kap. 7 och 24 §§). Att sekretess som regel inte hindrar att myndigheter som medverkar i krishanteringsfunktionen lämnar uppgifter mellan varandra följer av 28 § första stycket med stöd av 5 kap. 11 § första stycket riksbankslagen.

15 kap.

1 a § Sekretess gäller för uppgift som en myndighet har fått från ett utländskt organ på grund av en bindande EU-rättsakt eller ett av EU ingånget eller av riksdagen godkänt avtal med en annan stat eller med en mellanfolklig organisation, om det kan antas att Sveriges möjlighet att delta i det internationella samarbete som avses i rättsakten eller avtalet försämras om uppgiften röjs. Motsvarande sekretess gäller för uppgift som en myndighet har inhämtat i syfte att överlämna den till ett utländskt organ i enlighet med en sådan rättsakt eller ett sådant avtal som avses i första stycket. Om sekretess gäller enligt första eller andra stycket, får de sekretessbrytande bestämmelserna i 10 kap. 5 c §, 13 a §, 15 – 27 §§ och 28 § första stycket inte tillämpas. För uppgift i en allmän handling gäller sekretessen i högst fyrtio år. Om det finns särskilda skäl, får dock regeringen meddela föreskrifter om att sekretessen ska gälla under längre tid.

Paragrafen innehåller bestämmelser om sekretess för uppgift som en myndighet har tagit emot eller hämtat in till följd av en EU-rättsakt eller en internationell överenskommelse. Övervägandena finns i avsnitt 7.1. I tredje stycket läggs 10 kap. 13 a § till i uppräkningen av sekretessbrytande bestämmelser. Det innebär att den bestämmelsen inte får tillämpas i strid med sekretess som gäller till följd av internationella åtaganden.

30 kap.

7 § Sekretess gäller hos en statlig myndighet i verksamhet som avses i 4 – 6 §§, i den utsträckning riksdagen har godkänt avtal om detta med en annan stat eller med en mellanfolklig organisation, för sådan uppgift om affärs- eller driftförhållanden och ekonomiska eller personliga förhållanden som myndigheten har fått enligt avtalet. Samma sekretess gäller hos Finansinspektionen för uppgifter som inspektionen har fått från en utländsk myndighet eller ett utländskt organ enligt något annat avtal, om regeringen meddelar föreskrifter om detta. Om sekretess gäller enligt första stycket, får de sekretessbrytande bestämmelserna i 10 kap. 5 c §, 13 a §, 15 – 27 §§ och 28 § första stycket inte tillämpas i strid med det aktuella avtalet. För uppgift i en allmän handling gäller sekretessen i högst tjugo år.

Paragrafen innehåller bestämmelser om sekretess för uppgift som en myndighet har fått på grund av en internationell överenskommelse. Övervägandena finns i avsnitt 7.1. I andra stycket läggs 10 kap. 13 a § till i uppräkningen av sekretessbrytande bestämmelser. Det innebär att den bestämmelsen inte får tilllämpas i strid med sekretess som gäller till följd av internationella åtaganden.

24 § Sekretess gäller, i den utsträckning riksdagen godkänt ett avtal om detta med en annan stat eller med en mellanfolklig organisation, hos en statlig myndighet i verksamhet som avses i 23 §, för sådan uppgift om en enskilds ekonomiska eller personliga förhållanden som myndigheten förfogar över på grund av avtalet. Om sekretess gäller enligt första stycket, får de sekretessbrytande bestämmelserna i 10 kap. 5 c §, 13 a §, 15 – 27 §§ och 28 § första stycket inte tillämpas i strid med det aktuella avtalet. För uppgift i en allmän handling gäller sekretessen i högst tjugo år.

Paragrafen innehåller bestämmelser om sekretess för uppgift om enskildas personliga eller ekonomiska förhållanden som en myndighet förfogar över på grund av ett internationellt avtal som riksdagen har godkänt. Övervägandena finns i avsnitt 7.1. I andra stycket läggs 10 kap. 13 a § till i uppräkningen av sekretessbrytande bestämmelser. Det innebär att den bestämmelsen inte får tilllämpas i strid med sekretess som gäller till följd av internationella åtaganden.

31 kap.

1 a § Sekretess gäller i en myndighets verksamhet som består i medverkan i den krishanteringsfunktion som avses i 5 kap. 4 § lagen (2022:1568) om Sveriges riksbank

1. för uppgift om affärs- eller driftförhållanden hos en enskild som medverkar i krishanteringsfunktionens verksamhet, om det kan antas att denne lider skada om uppgiften röjs, och 2. för uppgift om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med den som avses i 1. För uppgift i en allmän handling gäller sekretessen i högst tjugo år.

Paragrafen, som är ny, innehåller bestämmelser om sekretess till skydd för enskild i en myndighets verksamhet som består i medverkan i den nya krishanteringsfunktion som Riksbanken ansvarar för att leda. Paragrafen är utformad efter förebild av 30 kap. 4 § första stycket 1 och 2 och andra stycket. Övervägandena finns i avsnitt 8.2. Paragrafen innebär att uppgifter som ett företag lämnar till en myndighet vid dess medverkan i krishanteringsfunktionen omfattas av ett skydd som motsvarar det som gäller enligt 30 kap. 4 § när de förekommer i Riksbankens eller Finansinspektionens verksamhet för övervakning respektive tillsyn. Paragrafen blir i första hand tillämplig i fråga om uppgifter om finansiella företag som medverkar i krishanteringsfunktionens verksamhet. Bestämmelserna kan dock även tillämpas när det gäller uppgifter om andra företag än finansiella företag, förutsatt att de medverkar i krishanteringsfunktionens verksamhet. Med finansiella företag avses företag som definieras som finansiella företag i 1 kap. 2 § riksbankslagen (juridiska personer som står under tillsyn av Finansinspektionen, utländska juridiska personer som i hemlandet står under motsvarande tillsyn som svenska företag som står under tillsyn av Finansinspektionen och bedriver verksamhet i Sverige, AP-fonder och Svenska skeppshypotekskassan). Sekretessen enligt paragrafen gäller hos alla myndigheter som har fått del av uppgifter till följd av att de medverkar i krishanteringsfunktionens verksamhet. Det innebär att även uppgifter från andra myndigheter omfattas om uppgifterna lämnats i den mottagande myndighetens verksamhet att medverka i krishanteringsfunktionen och förhållandena rör den som medverkar i krishanteringsfunktionen ( första stycket 1 ). Detsamma gäller för uppgifter om annan som har trätt i affärsförbindelse eller liknande förbindelse med den som medverkar i krishanteringsfunktionens verksamhet ( första stycket 2 ), t.ex. kunder i en bank. I första stycket 1 anges att sekretess gäller för uppgift om affärs- eller driftförhållanden hos en enskild som medverkar i krishanteringsfunktionen, om det kan antas att denne lider skada om uppgiften röjs, dvs. med en presumtion för offentlighet. Enligt första stycket 2 gäller absolut sekretess för uppgift om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med den som medverkar i krishanteringsfunktionen. Sekretessen ska, enligt andra stycket , gälla för uppgift i en allmän handling i högst tjugo år.

26 § Den tystnadsplikt som följer av 1 § första stycket, 1 a § första stycket 2, 2, 12 och 20 – 22 §§ och den tystnadsplikt som följer av ett förbehåll som har gjorts med stöd av 14 § andra meningen, 19 § andra meningen eller 25 § andra meningen inskränker rätten enligt 1 kap. 1 och 7 §§ tryckfrihetsförordningen och 1 kap. 1 och 70 10 §§ yttrandefrihetsgrundlagen att meddela och offentliggöra uppgifter.

Den tystnadsplikt som följer av 3 och 4 §§ begränsar rätten att meddela och offentliggöra uppgifter, när det är fråga om uppgift som hänför sig till affärsmässig utlåningsverksamhet. Den tystnadsplikt som följer av 15 § begränsar rätten att meddela och offentliggöra uppgifter, när det är fråga om uppgift om en enskilds personliga förhållanden vars röjande kan vålla allvarligt men.

I paragrafen anges de sekretessbestämmelser i kapitlet som inskränker meddelarfriheten, dvs. rätten enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen att meddela och offentliggöra uppgifter. Övervägandena finns i avsnitt 8.2. I första stycket läggs 1 a § första stycket 2 till i uppräkningen av sekretessbestämmelser. Ändringen innebär att meddelarfrihet inte gäller för uppgift om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med den som medverkar i den krishanteringsfunktion som avses i 5 kap. 4 § riksbankslagen. Det innebär att tystnadsplikten har företräde framför rätten att meddela och offentliggöra uppgifter i samma utsträckning som gäller för tillsynssekretess i 30 kap. 4 § (jfr 30 kap. 30 §).

43 kap.

3 § Bestämmelserna om sekretess i 19 kap., 28 kap. 12 §, 29 kap. 1 – 4 och 9 §§, 30 kap. 1, 2, 4 – 7, 23, 24, 27 och 28 §§, 31 kap. 1 § första stycket, 1 a, 2 – 5, 12, 16 – 18 och 24 §§, 32 kap. 4 §, 35 kap. 3 och 4 §§, 36 kap. 6 och 7 §§, 38 kap. 5, 6 och 8 §§ samt 40 kap. 2 § tillämpas inte hos en domstol i dess rättskipande eller rättsvårdande verksamhet. Sekretessen enligt 35 kap. 1 § första stycket 1 och 10 gäller hos en domstol i dess rättskipande eller rättsvårdande verksamhet endast om det kan antas att den enskilde eller någon närstående till denne lider skada eller men om uppgiften röjs. Första och andra styckena gäller inte om domstolen har fått uppgiften för att pröva om den kan lämnas ut.

I paragrafen anges några av de sekretessbestämmelser i 15 – 40 kap. som inte gäller hos en domstol. Övervägandena finns i avsnitt 8.2. I första stycket läggs 31 kap. 1 a § till i uppräkningen av sekretessbestämmelser. Ändringen innebär att bestämmelserna om sekretess i den paragrafen inte tillämpas hos en domstol i dess rättskipande eller rättsvårdande verksamhet. I stället kan 36 kap. 2 § bli tillämplig.

11.2 Förslaget till lag om ändring i lagen (2022:1568) om Sveriges riksbank

5 kap.

4 § Riksbanken ska ansvara för att leda en krishanteringsfunktion för att hantera allvarliga driftsstörningar i det finansiella systemet i Sverige. Funktionen ska, under fredstida krissituationer och vid höjd beredskap, stödja arbetet med att upprätthålla ett stabilt och effektivt finansiellt system, inbegripet att allmänheten ska kunna göra betalningar.

Paragrafen, som är ny, innehåller bestämmelser om en ny krishanteringsfunktion för att hantera allvarliga driftsstörningar i det finansiella systemet i Sverige och Riksbankens ansvar för denna funktion. Övervägandena finns i avsnitten 5.2 och 5.3. Av första stycket följer att Riksbanken ska leda en krishanteringsfunktion. Det innebär att Riksbanken har rollen som ordförande i krishanteringsfunktionen och har det huvudsakliga ansvaret för att det finns en fungerande struktur för funktionens verksamhet. I det ingår t.ex. att bistå krishanteringsfunktionen med administrativt stöd och ansvara för att tillhandahålla tekniska plattformar för informationsdelning och samordning. Krishanteringsfunktionen är inte en del av Riksbanken och övertar inte någon beslutanderätt från någon annan myndighet eller privat aktör. Krishanteringsfunktionen är inte heller en egen myndighet och fattar därför inte några egna beslut. En driftsstörning i det finansiella systemet i Sverige är allvarlig när samhällsviktiga finansiella tjänster har nedsatt funktionalitet eller inte är tillgängliga. Driftsstörningen behöver inte ha uppstått i det finansiella systemet, utan kan vara en konsekvens av störningar i t.ex. energiförsörjningen eller i telekommunikationssystemen. Paragrafen gäller bara hantering av driftsstörningar som påverkar det finansiella systemet i Sverige. I andra stycket anges det uppdrag som krishanteringsfunktionen har under fredstida krissituationer och vid höjd beredskap. Bestämmelsen är utformad utifrån det ansvar som Riksbanken har enligt 3 kap. 1 §. Med fredstida krissituationer avses situationer som avviker från det normala, drabbar många människor och stora delar av samhället eller hotar grundläggande värden, innebär en allvarlig störning eller en överhängande risk för en allvarlig störning av viktiga samhällsfunktioner, och kräver samordnade och skyndsamma åtgärder från flera aktörer (se 6 § förordningen [2022:524] om statliga myndigheters beredskap och SOU 2021:25 s. 453 – 455). Höjd beredskap regleras i lagen (1992:1403) om totalförsvar och höjd beredskap.

5 § I krishanteringsfunktionen ska, utöver Riksbanken, ingå 1. de företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar enligt 6 §, 2. de företag som bedriver verksamhet som omfattas av Riksbankens övervakning enligt 3 kap. 8 § första stycket och som Riksbanken beslutar, 3. Finansinspektionen, och 4. Riksgäldskontoret. Riksbanken får även bjuda in andra aktörer att medverka i krishanteringsfunktionens verksamhet om de har kunskaper eller resurser som är av betydelse för funktionen.

Paragrafen, som är ny, innehåller bestämmelser om den nya krishanteringsfunktionens sammansättning. Övervägandena finns i avsnitt 5.4. I första stycket anges de aktörer som ingår i funktionen. Punkt 1 gäller företag som är av särskild betydelse för genomförandet av betalningar enligt 6 § och som omfattas av Riksbankens föreskrifter enligt 13 kap. 1 § 10. Enligt Riksbankens föreskrifter och allmänna råd (RBFS 2023:3) om företag av särskild betydelse för genomförandet av

betalningar under fredstida krissituationer och vid höjd beredskap omfattas t.ex. vissa värdepapperscentraler och kreditinstitut. Enligt punkt 2 får Riksbanken besluta att företag som omfattas av Riksbankens övervakning enligt 3 kap. ska ingå i krishanteringsfunktionen. Bestämmelsen omfattar andra företag än dem i punkt 1, som bedriver verksamhet som är av särskild betydelse för den finansiella infrastrukturen i Sverige. Punkterna 3 och 4 gäller Finansinspektionen och Riksgäldskontoret. Enligt andra stycket får Riksbanken bjuda in andra aktörer, än de som avses i första stycket, att medverka i krishanteringsfunktionens verksamhet. Exempel på aktörer med sådana kunskaper eller resurser som är av betydelse för funktionen är statliga myndigheter inom andra sektorer än beredskapssektorn för finansiella tjänster, Nationellt cybersäkerhetscenter, branschorganisationer och företag som inte ska ingå i funktionen enligt första stycket. Vilka aktörerna är och omfattningen av deras medverkan kan skilja sig åt beroende på vilken krissituation som uppstår.

6 § Ett företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar ska 1. planera och förbereda för att kunna fortsätta verksamhet som avser betalningar under fredstida krissituationer och vid höjd beredskap, 2. delta i verksamhet enligt 2 – 4 § §, och 3. se till att arbets- och uppdragstagare får den utbildning och övning som behövs. Riksbanken ska övervaka att ett företag uppfyller sina skyldigheter enligt första stycket.

Paragrafen, som i sin nuvarande lydelse betecknas 4 §, innehåller bestämmelser om krav på vissa företag. Övervägandena finns i avsnitt 5.4. I första stycket 2 görs en ändring med anledning av att det införs en ny 4 § (se författningskommentaren till den paragrafen). Företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar ska även delta i den nya krishanteringsfunktionens verksamhet enligt denna paragraf. Riksbanken får även meddela föreskrifter enligt 13 kap. 1 § 10 om företagens deltagande i funktionens verksamhet.

8 § Den som på grund av bestämmelser i detta kapitel har fått del av uppgifter får inte obehörigen röja eller utnyttja vad han eller hon har fått veta om 1. förhållanden av betydelse för att förebygga eller hantera fredstida krissituationer, 2. förhållanden av betydelse för totalförsvaret eller annars för Sveriges säkerhet, 3. en enskilds affärs- eller driftförhållanden, eller 4. ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med en enskild som medverkar i den krishanteringsfunktion som avses i 4 §. I det allmännas verksamhet tillämpas i stället bestämmelserna i offentlighetsoch sekretesslagen (2009:400).

Paragrafen, som i sin nuvarande lydelse betecknas 6 §, innehåller bestämmelser om tystnadsplikt. Övervägandena finns i avsnitt 8.3. Paragrafen reglerar i sin nuvarande lydelse tystnadsplikt för arbets- eller uppdragstagare hos företag som bedriver verksamhet som är av särskild 73

betydelse för genomförandet av betalningar (se prop. 2021/22:41 s. 229). Den nya krishanteringsfunktionen innebär att arbets- eller uppdragstagare även hos andra företag omfattas av bestämmelserna om tystnadsplikt. Det gäller företag som står under Riksbankens övervakning och som Riksbanken enligt 5 § första stycket 2 får besluta ska ingå i krishanteringsfunktionen, t.ex. företag som tillhandahåller avvecklings-, betalnings- och clearingsystem, kontoföring av finansiella instrument, transaktionsregister, och annan verksamhet som är av särskild betydelse för den finansiella infrastrukturen i Sverige. Därutöver gäller tystnadsplikten även för arbets- eller uppdragstagare hos enskilda aktörer som bjuds in att medverka i krishanteringsfunktionen enligt 5 § andra stycket, t.ex. branschorganisationer och företag som kan ha kunskaper eller resurser som är av betydelse för krishanteringsfunktionens verksamhet (se författningskommentaren till 5 §). Första stycket reglerar tystnadspliktens tillämpningsområde. Punkterna 2 och 3 motsvarar den nuvarande lydelsen. Enligt punkt 1 , som är ny, gäller tystnadsplikt för uppgifter om förhållanden av betydelse för att förebygga eller hantera fredstida krissituationer. I det allmännas verksamhet gäller i stället 18 kap. 13 § offentlighets- och sekretesslagen. Bestämmelsen ligger nära den nuvarande bestämmelsen om tystnadsplikt som nu tas in i punkt 2 om uppgifter som rör förhållanden av betydelse för totalförsvaret eller annars för Sveriges säkerhet, som i det allmännas verksamhet följer av 15 kap. 2 § offentlighets- och sekretesslagen. Tystnadsplikten innefattar också förhållanden vid höjd beredskap (jfr prop. 2023/24:60 s. 27). Därutöver gäller enligt punkt 4 , som är ny, tystnadsplikt för uppgifter om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med en enskild som medverkar i krishanteringsfunktionen, t.ex. att en enskild är kund hos en bank. I det allmännas verksamhet gäller i stället 31 kap. 1 a § offentlighets- och sekretesslagen. I andra stycket finns en upplysningsbestämmelse. I den görs en ändring som innebär att bestämmelserna i offentlighets- och sekretesslagen ska tillämpas i det allmännas verksamhet. Ändringen görs med anledning av den nya sekretessbestämmelsen i 31 kap. 1 a § offentlighets- och sekretesslagen som gäller för Riksbankens och andra myndigheters verksamhet med att medverka i krishanteringsfunktionen. Bestämmelser som kan bli tillämpliga i offentlighets- och sekretesslagen är bl.a. 15 kap. 2 §, 18 kap. 13 §, 30 kap. 4 § eller 38 kap. 6 § samt den nya 31 kap. 1 a §. I 20 kap. 3 § brottsbalken finns bestämmelser om straff för brott mot tystnadsplikt.

9 § Under fredstida krissituationer och vid höjd beredskap ska Riksbanken hålla regeringen , Finansinspektionen och Riksgäldskontoret underrättade om viktigare frågor. Riksbanken ska även hålla regeringen underrättad om viktigare frågor när det gäller verksamheten i den krishanteringsfunktion som avses i 4 §.

Paragrafen, som i sin nuvarande lydelse betecknas 7 §, reglerar information till regeringen och myndigheter. Övervägandena finns i avsnitten 5.5 och 6.2.

Ändringen i första stycket innebär att Riksbanken även ska hålla Finansinspektionen underrättad om viktigare frågor under fredstida krissituationer och vid höjd beredskap. Finansinspektionen är sektorsansvarig myndighet för beredskapssektorn för finansiella tjänster enligt förordningen (2022:524) om statliga myndigheters beredskap. Enligt andra stycket , som är nytt, ska Riksbanken hålla regeringen underrättad om viktigare frågor när det gäller den nya krishanteringsfunktionens verksamhet. Skyldigheten gäller, till skillnad från den i första stycket, inte bara under fredstida krissituationer och vid höjd beredskap. Det är i första hand upp till Riksbanken att ta ställning till om, när och hur information ska lämnas.

10 § Riksbanken ska samverka med Finansinspektionen och Riksgäldskontoret i frågor som rör fredstida krissituationer och höjd beredskap. Vid samverkan ska Riksbanken lämna de uppgifter som Finansinspektionen och Riksgäldskontoret behöver. Riksbanken ska även samverka med Myndigheten för samhällsskydd och beredskap och andra relevanta myndigheter i frågor som rör fredstida krissituationer och höjd beredskap.

Paragrafen, som är ny, innehåller bestämmelser om samverkan mellan myndigheter i frågor om fredstida krissituationer och höjd beredskap. Övervägandena finns i avsnitten 5.4, 6.1 och 6.2. I första stycket anges att Riksbanken ska samverka med Finansinspektionen och Riksgäldskontoret, som är de två myndigheter som ingår i beredskapssektorn för finansiella tjänster. Bestämmelserna i denna lag om Riksbankens ansvar för fredstida krissituationer och höjd beredskap ersätter inte föreskrifter om fredstida krissituationer och höjd beredskap i andra författningar såsom förordningen (2022:524) om statliga myndigheters beredskap, kallad beredskapsförordningen. Riksbankens ansvar när det gäller fredstida krissituationer och höjd beredskap ligger därför vid sidan av det ansvar som myndigheterna under regeringen har enligt beredskapsförordningen (jfr prop. 2021/22:41 s. 127). För att den civila beredskapen i den finansiella sektorn ska fungera behöver Riksbanken, som är en myndighet under riksdagen, samverka med Finansinspektionen och Riksgäldskontoret. Det ankommer på Riksbanken och de två myndigheterna under regeringen att bestämma formerna för samverkan. Enligt andra stycket ska Riksbanken, när den samverkar med Finansinspektionen och Riksgäldskontoret i frågor som rör fredstida krissituationer och höjd beredskap, lämna de uppgifter som dessa myndigheter behöver. I tredje stycket anges att Riksbanken även ska samverka med Myndigheten för samhällsskydd och beredskap och andra relevanta myndigheter i frågor som rör fredstida krissituationer och höjd beredskap. Bestämmelsen innebär ett förtydligande av det som enligt förvaltningslagen (2017:900) gäller om att en myndighet inom sitt verksamhetsområde ska samverka med andra myndigheter (8 §). Det innebär t.ex. att Riksbanken bör samverka med Myndigheten för samhällsskydd och beredskap och bl.a. Försvarsmakten, Försvarets radioanstalt, Försäkringskassan, Myndigheten för digital förvaltning och Post- och telestyrelsen inom ramen för ansvaret för fredstida krissituationer och höjd beredskap.

Formerna för samverkan kan vara av många olika slag och variera med hänsyn till ändamålet (jfr prop. 2016/17:180 s. 293). Samverkan med Myndigheten för samhällsskydd och beredskap ska ske med beaktande av den myndighetens uppdrag att stödja berörda myndigheters samordning av åtgärder vid en kris eller vid höjd beredskap (jfr 7 § förordningen [2008:1002] med instruktion för Myndigheten för samhällsskydd och beredskap). Paragrafen ger inte stöd för samverkansprojekt som faller utanför respektive myndighets ansvarsområde.

11 § Den som enligt 5 § medverkar i den krishanteringsfunktion som avses i 4 § ska trots sekretess eller tystnadsplikt lämna de uppgifter som behövs för funktionens verksamhet till någon annan som medverkar i den verksamheten. En uppgift ska inte lämnas om det finns en bestämmelse om sekretess eller tystnadsplikt som är tillämplig på uppgiften och om övervägande skäl talar för att det intresse som sekretessen eller tystnadsplikten ska skydda har företräde framför intresset av att uppgiften lämnas ut.

Paragrafen, som är ny, innehåller bestämmelser om uppgiftsskyldighet som bryter sekretess eller tystnadsplikt för myndigheter och enskilda som medverkar i krishanteringsfunktionen. Övervägandena finns i avsnitt 7.1. I första stycket regleras den uppgiftsskyldighet som följer av att medverka i krishanteringsfunktionen. Bestämmelsen gäller såväl myndigheter som företrädare för företag, se författningskommentaren till 5 §. Den som medverkar i funktionen ska trots sekretess eller tystnadsplikt lämna uppgifter till någon annan som medverkar om det behövs för funktionens verksamhet. Med sekretess avses sekretess enligt offentlighets- och sekretesslagen. För företag avses i första hand en skyldighet att lämna uppgifter av samma slag som följer av den nu gällande uppgiftsskyldigheten till Riksbanken enligt 12 kap. 1 §. Till skillnad från den bestämmelsen gäller att inom ramen för krishanteringsfunktionens verksamhet kan uppgifter lämnas till andra än Riksbanken. Skyddsintresset för uppgifterna bör i första hand röra medverkande företags affärs- eller driftförhållanden, dvs. uppgifter som i Riksbankens normala övervakningsverksamhet skyddas med stöd av 30 kap. 4 § offentlighets- och sekretesslagen. Den typen av uppgifter behöver inte omfattas av en författningsreglerad tystnadsplikt hos ett företag. Det kan även undantagsvis förekomma att t.ex. ett kreditinstitut behöver lämna ut uppgifter som omfattas av tystnadsplikt enligt 1 kap. 10 § lagen (2004:297) om bank- och finansieringsrörelse (banksekretess), eller sådana uppgifter som ett företag har fått del av i funktionen som därför omfattas av tystnadsplikt enligt 8 § denna lag. Det finns inget formaliserat krav för hur ett beslut fattas om att bjuda in någon att medverka i krishanteringsfunktionen (5 § andra stycket) till skillnad från de företag som avses i 5 § första stycket 1 eller 2 (se författningskommentaren till den paragrafen). Uppgiftsskyldigheten förutsätter att informationen behövs för krishanteringsfunktionens verksamhet. Det innefattar att den som uppgiften lämnas till behöver den för sin medverkan i funktionen. Behovet av uppgifter kan variera eftersom medverkan i funktionen kan se ut på olika sätt. Likaså varierar behovet av uppgifter utifrån vilken driftsstörning som

ska hanteras. Det kan t.ex. handla om att närvara vid möten, bidra eller ta emot information för att kunna skapa lägesbilder, lämna information om system och liknande som drabbats av en driftsstörning. För att skapa lägesbilder kan information om hot och risker som har inträffat ha betydelse, även om de inte orsakat allvarliga driftsstörningar. Information om företagens finansiella infrastruktur kan behöva delas för Riksbankens uppdrag att leda funktionen och koordinera vilka medverkande som bör samverka vid en allvarlig driftsstörning. I dessa fall kan det förekomma uppgifter om t.ex. ett kreditinstituts kunder, som inte har kunnat rensas. Vid en driftsstörning hos en aktör kan det även vara relevant att dela information om det som har inträffat med flera liknande aktörer för att dessa ska kunna säkerställa att deras system är säkra, t.ex. vid en s.k. hackarattack. I och med att bestämmelsen är utformad som en skyldighet att lämna uppgifter är utgångspunkten att uppgifter ska lämnas ut om förutsättningarna i paragrafen är uppfyllda (för myndigheter med stöd av 10 kap. 13 a eller 28 § offentlighets- och sekretesslagen). Det är den medverkande som lämnar ut en uppgift som prövar om förutsättningarna är uppfyllda. Uppgifter kan lämnas efter förfrågan men också spontant om den som medverkar vet vilka uppgifter någon annan som medverkar behöver för verksamheten i krishanteringsfunktionen. I de flesta fall bör dock ett utlämnande av uppgifter föregås av en diskussion mellan dem som medverkar om behovet av och lämpligheten i att lämna ut viss information. Särskilt gäller detta känsliga personuppgifter eller uppgifter som kan omfattas av försvarssekretess. I de fallen bör det noga övervägas om och på vilket sätt uppgiften behövs i funktionen och varför varje mottagare av uppgiften behöver den för funktionens verksamhet. Av offentlighets- och sekretesslagen följer att uppgiftsskyldigheten inte gäller i vissa situationer. Så är fallet för uppgifter som en myndighet har fått genom vissa internationella avtal eller där ett utlämnande annars skulle vara i strid med vissa internationella åtaganden (15 kap. 1 a § och 30 kap. 7 och 24 §§ offentlighets- och sekretesslagen). Enligt andra stycket ska en uppgift inte lämnas om övervägande skäl talar för att det intresse som sekretessen eller tystnadsplikten ska skydda har företräde framför intresset av att uppgiften lämnas ut. Det innebär att den som ska lämna ut uppgiften ska göra en intresseavvägning innan uppgiften lämnas ut. Det krävs inte att det alltid görs en prövning i varje enskilt fall, utan en bedömning kan göras utifrån de behov av sekretess eller tystnadsplikt som typiskt sett finns för en viss kategori av uppgifter. Bedömningen kan falla olika ut beroende på vem som är mottagare av informationen. Kravet på övervägande skäl ger uttryck för att behovet av en effektiv krishantering i det finansiella systemet genom verksamheten i krishanteringsfunktionen normalt sett har företräde framför andra intressen och innebär att det kan sägas råda en presumtion för utlämnande. Det gäller särskilt om ett företag som ska ingå i krishanteringsfunktionen enligt 5 § första stycket 1 eller 2 ska lämna en uppgift som företaget hade varit skyldigt att lämna enligt andra bestämmelser, t.ex. för Riksbankens ansvar att övervaka den finansiella infrastrukturen i Sverige enligt 12 kap. 1 §. Det innebär att kraven på information normalt bör vara något lägre på företag som medverkar i krishanteringsfunktionen enligt 5 § andra stycket.

Vissa kategorier av uppgifter är särskilt känsliga till sin natur och paragrafen gör det möjligt för en deltagare att inte att lämna ut sådana uppgifter. För myndigheternas del kan det t.ex. handla om vissa uppgifter om den finansiella infrastrukturen som inte bör lämnas över till en enskild. Även om det är av stor betydelse att informationsutbyte i krishanteringsfunktionen kan ske får samverkan inte inskränka myndigheternas möjlighet att utföra sina primära uppdrag eller i övrigt försvåra myndigheternas arbete och verksamhet. Även företag kan ha skäl att inte lämna ut uppgifter i vissa undantagsfall, t.ex. uppgifter som omfattas av lagen (2018:558) om företagshemligheter.

12 kap.

1 § På begäran av Riksbanken ska 1. finansiella företag lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt denna lag, 2. företag med kvalificerat innehav i deltagare i Riksbankens betalningsavvecklingssystem och underentreprenörer till sådana deltagare lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt 3 kap., 3. företag som bedriver verksamhet som avses i 3 kap. 8 § och underentreprenörer till sådana företag lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt 3 kap., 4. utgivare av värdepapper lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt 2 och 3 kap., 5. företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt 4 och 5 kap., 6. den som för egen eller någon annans räkning utför transaktioner med utländsk motpart eller innehar tillgångar och skulder med utlandsanknytning lämna uppgifter som är nödvändiga för Riksbankens verksamhet enligt 1 kap. 11 § när det gäller framställning av statistik över betalningsbalanser och utlandsställningen , och 7. företag som avses i 5 kap. 5 § första stycket 2 lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt 5 kap. 4 §.

Paragrafen innehåller bestämmelser om uppgiftsskyldighet. Övervägandena finns i avsnitt 7.2. I paragrafen regleras uppgiftsskyldighet till Riksbanken för finansiella företag och andra företag som omfattas av Riksbankens övervakning. Riksbanken har möjlighet att förena skyldigheten att lämna uppgifter med föreläggande och vite enligt 2 § och meddela föreskrifter med stöd av 13 kap. 1 § 11. Punkt 1 innebär att finansiella företag ska lämna Riksbanken de uppgifter som banken behöver för sin verksamhet enligt lagen. Den nya krishanteringsfunktionen innebär att skyldigheten att lämna uppgifter till Riksbanken också kommer att gälla för finansiella företag som ingår i funktionen. Punkt 5 innebär att företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar är skyldiga att lämna uppgifter om uppgifterna behövs för Riksbankens verksamhet enligt 4 och 5 kap. Det innebär att sådana företag som ingår i krishanteringsfunktionen är skyldiga att lämna uppgifter till Riksbanken i likhet med finansiella företag enligt punkt 1.

Punkt 7 , som är ny, innebär att företag som bedriver verksamhet som omfattas av Riksbankens övervakning enligt 3 kap. 8 § första stycket och som Riksbanken har beslutat ska ingå i krishanteringsfunktionen är skyldiga att lämna uppgifter till Riksbanken (se avsnitt 5.4). Det rör sig t.ex. om företag som tillhandahåller avvecklings-, betalnings- och clearingsystem, kontoföring av finansiella instrument, transaktionsregister, och annan verksamhet som är av särskild betydelse för den finansiella infrastrukturen i Sverige. Punkt 7 innebär att dessa företag omfattas av en uppgiftsskyldighet som motsvarar den som gäller andra företag som medverkar i krishanteringsfunktionen enligt t.ex. punkt 5, dock bara i den utsträckning det behövs för Riksbankens verksamhet i krishanteringsfunktionen. När det gäller vilken typ av uppgifter som bör kunna komma i fråga, se författningskommentaren till 5 kap. 11 §. Till skillnad från skyldigheten att lämna uppgifter enligt 5 kap. 11 § förutsätter uppgiftsskyldigheten enligt punkt 7 att Riksbanken efterfrågar uppgiften, vilket också gäller för övriga punkter i paragrafen. Punkt 7 innebär vidare, till skillnad från 5 kap. 11 §, att det ytterst är Riksbanken som avgör om en uppgift är nödvändig och ska lämnas. För uppgifter från företag som avses i punkt 7, som Riksbanken behöver i sin verksamhet utanför krishanteringsfunktionen, gäller uppgiftsskyldigheten enligt punkt 3.

4 § Riksbankens beslut enligt 2 och 3 §§, 2 kap. 6 §, 4 kap. 4 § första och andra styckena , 5 kap. 5 § första stycket 2 och 8 kap. 16 § får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten.

Paragrafen innehåller bestämmelser om överklaganden. Övervägandena finns i avsnitt 5.4. Ändringen i första stycket innebär att också beslut om att vissa företag som omfattas av Riksbankens övervakning enligt 3 kap. ska ingå i den nya krishanteringsfunktionen får överklagas.

13 kap.

1 § Riksbanken får meddela föreskrifter om 1. avgifter enligt 1 kap. 12 §, 2. villkoren för transaktioner enligt 2 kap. 4 § första stycket och 5 §, 3. kassakrav enligt 2 kap. 6 §, 4. system för avveckling av betalningar och avgifter enligt 3 kap. 2 §, 5. villkoren för likviditetsstöd enligt 3 kap. 6 §, 6. kontanters form enligt 4 kap. 2 § och förutsättningarna för inlösen av dem och avgifter enligt 4 kap. 4 §, 7. depåer och avgifter enligt 4 kap. 6 §, 8. räntekostnadsersättning eller räntefri kredit enligt 4 kap. 7 §, 9. underrättelseskyldigheten enligt 4 kap. 8 § andra stycket, 10. vilka företag som avses i 5 kap. 3 § och vilken verksamhet som avses i 5 kap. 6 §, 11. uppgiftsskyldigheten enligt 12 kap. 1 §, och 12. att uppgifter som enligt 12 kap. 1 § ska lämnas till Riksbanken i stället ska lämnas till Statistiska centralbyrån.

Paragrafen innehåller bemyndiganden. Övervägandena finns i avsnitt 7.2.

I punkt 10 görs en följdändring med anledning av att nuvarande 5 kap. 4 § får ny numrering och blir 5 kap. 6 §.

Bilaga 1

Sammanfattning av promemorian En ny funktion för krishantering vid allvarliga driftstörningar i den finansiella sektorns digitala infrastruktur

I denna promemoria föreslås en ny funktion för krishantering inom den finansiella sektorn. Inom den finansiella sektorn bedrivs samhällsviktig verksamhet i mycket stor utsträckning av privata företag. Detta samtidigt som den finansiella sektorn under de senaste decennierna genomgått en betydande digitalisering. Genom såväl gällande som kommande lagstiftning ställs krav på de finansiella företagens motståndskraft mot störningar som kan drabba deras digitala infrastruktur. Detta är motiverat eftersom svårigheter hos ett finansiellt företag snabbt kan drabba hela det finansiella systemet, särskilt om företaget i fråga har en systemviktig roll. Även strukturen för att hantera en uppkommen kris inom det finansiella systemet har på senare tid varit föremål för ny reglering. Trots de insatser som redan gjorts finns det idag inte en utpekad funktion för hantering av operativa kriser i den svenska finansiella sektorns digitala infrastruktur. Det finns därmed ett tydligt behov av ett en myndighet ges ansvar för att inrätta en sådan funktion för att agera i händelse av en allvarlig driftstörning. I promemorian lämnas därför förslag på att en ny krishanterande funktion ska inrättas inom Riksbanken. Riksbanken utgör navet i det svenska betalningssystemet samt bedriver i dagsläget krissamverkan inom betalningssystemet på frivillig grund. Med stöd i förarbetena till 2023 års riksbankslag bygger Riksbanken dessutom upp en ledningsfunktion församordning och information som ska kunna omgående aktiveras vid störningar i genomförandet av betalningar. Den nya krishanterande funktionen föreslås komplettera den funktion som Riksbanken nu bygger upp. Den nya krishanterande funktionen ska, utöver Riksbanken, bestå av Finansinspektionen, Riksgäldskontoret samt vissa företag. Företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar ska ingå i funktionen. Riksbanken ska kunna fatta beslut om vilka övriga företag som ska ingå i funktionen. Samråd bör ske med Finansinspektionen och Riksgälden innan ett sådant beslut fattas. Företag som ingår i funktionen ska vara skyldiga att lämna de uppgifter som är nödvändiga för verksamheten i funktionen till Riksbanken. Funktionen ska främst ha till uppdrag att ansvara för krishantering vilket innebär att under en kris löpande upprätta och dela lägesbilder, möjliggöra och underlätta informationsdelning, koordinera de åtgärder som vidtas av funktionens deltagare, utgöra en central kontaktlänk mellan funktionens deltagare och övriga myndigheter, ha förmågan att kunna bedöma och lämna förslag avseende ett enskilt företags behov av stödinsatser samt kunna identifiera, bedöma och föreslå företags behov av stödinsatser från det allmänna. Därutöver bör funktionen ha förmåga att samordna den

Bilaga 1 information som lämnas till allmänhet och media om krisens förlopp och vid behov själv kommunicera till allmänhet och media. Funktionen bör därutöver ha ett visst krisförberedande uppdrag. Detta uppdrag bör innefatta att ta fram planer specifika för de enskilda företag som ingår i funktionen i krisförberedande syfte, ta initiativ till och driva på samtal mellan funktionens deltagare kring åtgärder för att stärka motståndskraften i den finansiella sektorns digitala infrastruktur inbegripet att vara ett forum där sådana åtgärder kan tas fram och utvecklas samt att vara ett forum där gemensamma planeringsförutsättningar för den finansiella sektorn kan diskuteras. Funktionen bör även genomföra och delta i övningar. Funktionens bör därutöver ägna sig åt kunskapsspridning på det sätt den ansvariga myndigheten och de övriga deltagarna finner lämpligt. Funktionen ska aktiveras i händelse av att en allvarlig driftstörning har drabbat eller riskerar att drabba ett eller flera företag i den svenska finansiella sektorns digitala infrastruktur. Vägledande för om en allvarlig driftstörning kan anses vara för handen bör vara om det finansiella systemets möjlighet att upprätthålla sina samhällsviktiga funktioner allvarligt har påverkats eller riskerar att påverkas. I syfte att kunna fullgöra sitt uppdrag behöver den krishanterande funktionen ha ett nära samarbete med flera olika myndigheter. I dess egenskap av ansvarig myndighet för den krishanterande funktionen bör Riksbanken ansvara för att formalisera samverkan med dessa myndigheter. I dess egenskap av ansvarig myndighet för den krishanterande myndigheten ska Riksbanken hålla regeringen underrättad om viktigare frågor gällande verksamheten i den krishanterande funktionen. Det bör även vara möjligt för medarbetare från Regeringskansliet att delta i funktionens verksamhet som observatörer. De förslag som lämnas i denna promemoria innebär även att Riksbanken ges möjlighet att ålägga ett företag att delta i den krishanterande funktionen om så är nödvändigt. För det fall ett företag trots ett åläggande inte deltar i funktionen ska Riksbanken ges möjlighet att förelägga företaget att följa åläggandet. Ett föreläggande om att följa ett åläggande ska få förenas med vite. I dess egenskap av ansvarig myndighet för den krishanterande funktionen ska Riksbanken även ansvara för funktionens administrativa stöd och utse dess ordförande. Funktionens arbete ska närmare regleras i en instruktion. Riksbanken bör samråda med funktionens övriga deltagare innan den antar eller ändrar instruktionen. I promemorian föreslås även att tystnadsplikt ska gälla för de personer som deltar i funktionen. Därutöver lämnas lagförslag med syftet att underlätta delning av uppgifter mellan de myndigheter och företag som ingår i funktionen samt för att uppgifter som delas med de myndigheter som ingår i funktionen ska omfattas av adekvat sekretess. Slutligen lämnas förslag på att utvidga Riksbankens skyldighet att hålla regeringen och Riksgälden informerad om viktigare frågor under fredstida krissituationer och vid höjd beredskap, till att även omfatta Finansinspektionen. Lagändringarna föreslås träda i kraft den 1 januari 2025.

Bilaga 2

Promemorians lagförslag

Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)

Härigenom föreskrivs i fråga om offentlighets- och sekretesslagen (2009:400) dels att det ska införas en ny paragraf, 10 kap. 5 d §, samt en ny rubrik närmast före den paragrafen av följande lydelse, dels att det ska införas en ny paragraf, 31 kap. 1 § §, av följande lydelse, dels att 15 kap. 1 a §, 27 kap. 5 §, 30 kap. 7, 17 och 24 §§, 31 kap. 26 §, 37 kap. 2 § samt 43 kap. 3 § ska ha följande lydelse.

10 kap.

Krishanteringsfunktion för den finansiella sektorn

5 d §

Bilaga 2 15 kap.

1 1 a §

Sekretess gäller för uppgift som en myndighet har fått från ett utländskt organ på grund av en bindande EU-rättsakt eller ett av EU ingånget eller av riksdagen godkänt avtal med en annan stat eller med en mellanfolklig organisation, om det kan antas att Sveriges möjlighet att delta i det internationella samarbete som avses i rättsakten eller avtalet försämras om uppgiften röjs.

Motsvarande sekretess gäller för uppgift som en myndighet har inhämtat i syfte att överlämna den till ett utländskt organ i enlighet med en sådan rättsakt eller ett sådant avtal som avses i första stycket.

Om sekretess gäller enligt första Om sekretess gäller enligt första eller andra stycket, får de eller andra stycket, får de sekretessbrytande sekretessbrytande bestämmelserna i 10 kap. 5 c §, bestämmelserna i 10 kap. 5 c §, 15 – 27 §§ och 28 § första stycket 5 d §, 15 – 27 §§ och 28 § första inte tillämpas. stycket inte tillämpas.

För uppgift i en allmän handling gäller sekretessen i högst fyrtio år.

Om det finns särskilda skäl, får dock regeringen meddela föreskrifter om att sekretessen ska gälla under längre tid

27 kap.

2 5 §

Sekretessen enligt 1 – 4 §§ gäller, i den utsträckning riksdagen har godkänt ett avtal om detta med en annan stat eller med en mellanfolklig organisation, i ärende om handräckning eller bistånd som en svensk myndighet lämnar åt en myndighet eller något annat organ i den staten eller inom den mellanfolkliga organisationen i verksamhet som motsvarar den som avses i nämnda paragrafer.

Sekretess gäller, i den utsträckning riksdagen har godkänt ett avtal om detta med en annan stat eller med en mellanfolklig organisation, hos en myndighet i verksamhet som avses i 1 – 4 §§ för sådan uppgift om en enskilds personliga eller ekonomiska förhållanden som myndigheten förfogar över på grund av avtalet.

1 Senaste lydelse 2022:1538. 2 Senaste lydelse 2022:1538.

Om sekretess gäller enligt andra Om sekretess gäller enligt andra Bilaga 2 stycket, får de sekretessbrytande stycket, får de sekretessbrytande bestämmelserna i 10 kap. 5 c §, bestämmelserna i 10 kap. 5 c §, 15 – 27 §§ och 28 § första stycket 5 d §, 15 – 27 §§ och 28 § första inte tillämpas i strid med avtalet. stycket inte tillämpas i strid med avtalet.

För uppgift i en allmän handling gäller sekretessen enligt andra stycket i högst tjugo år.

30 kap.

7 § 3

Sekretess gäller hos en statlig myndighet i verksamhet som avses i 4 – 6 §§, i den utsträckning riksdagen har godkänt avtal om detta med en annan stat eller med en mellanfolklig organisation, för sådan uppgift om affärs- eller driftförhållanden och ekonomiska eller personliga förhållanden som myndigheten har fått enligt avtalet. Samma sekretess gäller hos Finansinspektionen för uppgifter som inspektionen har fått från en utländsk myndighet eller ett utländskt organ enligt något annat avtal, om regeringen meddelar föreskrifter om detta.

Om sekretess gäller enligt första Om sekretess gäller enligt första stycket, får de sekretessbrytande stycket, får de sekretessbrytande bestämmelserna i 10 kap. 5 c §, 15 – bestämmelserna i 10 kap. 5 c §, 27 §§ och 28 § första stycket inte 5 d §, 15 – 27 §§ och 28 § första tillämpas i strid med det stycket inte tillämpas i strid med aktuella avtalet. det aktuella avtalet.

För uppgift i en allmän handling gäller sekretessen i högst tjugo år.

17 § 4

Sekretess gäller i ärende om godkännande eller auktorisation av en revisor eller registrering av ett revisionsbolag, om disciplinärt ingripande mot en godkänd eller auktoriserad revisor eller ett registrerat revisionsbolag eller om upphävande av godkännande, auktorisation eller registrering för uppgift om revisorns eller revisionsbolagets ekonomiska ställning eller om annans personliga eller ekonomiska förhållanden, om det kan antas att den som uppgiften rör lider skada eller men om uppgiften röjs.

Sekretessen gäller inte beslut i ärendet.

3 Senaste lydelse 2022:1538. 4 Senaste lydelse 2022:1538.

Bilaga 2 Om sekretess gäller enligt första Om sekretess gäller enligt första stycket, får de sekretessbrytande stycket, får de sekretessbrytande bestämmelserna i 10 kap. 5 c §, bestämmelserna i 10 kap. 5 c §, 15 – 27 §§ och 28 § första stycket 5 d §, 15 – 27 §§ och 28 § första inte tillämpas i strid med avtal stycket inte tillämpas i strid med som träffats med en utländsk avtal som träffats med en myndighet eller ett utländskt utländsk myndighet eller ett organ. utländskt organ.

För uppgift i en allmän handling gäller sekretessen i högst femtio år.

5 24 §

Sekretess gäller, i den utsträckning riksdagen godkänt ett avtal om detta med en annan stat eller med en mellanfolklig organisation, hos en statlig myndighet i verksamhet som avses i 23 §, för sådan uppgift om en enskilds ekonomiska eller personliga förhållanden som myndigheten förfogar över på grund av avtalet.

Om sekretess gäller enligt första Om sekretess gäller enligt första stycket, får de sekretessbrytande stycket, får de sekretessbrytande bestämmelserna i 10 kap. 5 c §, bestämmelserna i 10 kap. 5 c §, 15 – 27 §§ och 28 § första stycket 5 d §, 15 – 27 §§ och 28 § första inte tillämpas i strid med det stycket inte tillämpas i strid med aktuella avtalet. det aktuella avtalet.

För uppgift i en allmän handling gäller sekretessen i högst tjugo år.

31 kap.

1 a §

Sekretess gäller hos Riksbanken och de övriga myndigheter som ingår i krishanteringsfunktionen för den finansiella sektorn enligt 5 kap. 5 a § lagen (2022:1568) om Sveriges riksbank 1. för uppgift om en enskilds affärs- och driftförhållanden som ingår i krishanteringsfunktionen, om det kan antas att denne lider skada om uppgiften röjs, och 2. för uppgift om ekonomiska eller

5 Senaste lydelse 2022:1538.

personliga förhållanden Bilaga 2 för annan som har trätt i affärsförbindelse eller liknande förbindelse med en enskild som ingår i krishanteringsfunktionen

För uppgift i en allmän handling som avses i första stycket gäller sekretessen i högst tjugo år.

6 26 § Den tystnadsplikt som följer av Den tystnadsplikt som följer av 1 § första stycket, 2, 12 och 20 – 1 § första stycket, 1 a, 2, 12 och 22 §§ och den tystnadsplikt som 20 – 22 §§ och den tystnadsplikt följer av ett förbehåll som har som följer av ett förbehåll som gjorts med stöd av 14 § andra har gjorts med stöd av 14 § andra meningen, 19 § andra meningen meningen, 19 § andra meningen eller 25 § andra meningen eller 25 § andra meningen inskränker rätten enligt 1 kap. 1 inskränker rätten enligt 1 kap. 1 och 7 §§ och 7 §§ tryckfrihetsförordningen och 1 tryckfrihetsförordningen och 1 kap. 1 och 10 §§ kap. 1 och 10 §§ yttrandefrihetsgrundlagen att yttrandefrihetsgrundlagen att meddela och offentliggöra meddela och offentliggöra uppgifter. uppgifter.

Den tystnadsplikt som följer av 3 och 4 §§ begränsar rätten att meddela och offentliggöra uppgifter, när det är fråga om uppgift som hänför sig till affärsmässig utlånings-verksamhet.

Den tystnadsplikt som följer av 15 § begränsar rätten att meddela och offentliggöra uppgifter, när det är fråga om uppgift om en enskilds personliga förhållanden vars röjande kan vålla allvarligt men.

37 kap.

7 2 §

Sekretess gäller, i den utsträckning riksdagen har godkänt ett avtal om detta med en annan stat eller med en mellanfolklig organisation, för uppgifter som avses i 1 § och 21 kap. 5 § och som en myndighet fått enligt avtalet.

6 Senaste lydelse 2018:1919. 7 Senaste lydelse 2022:1538.

Bilaga 2 De sekretessbrytande De sekretessbrytande bestämmelserna i 10 kap. 5 c §, bestämmelserna i 10 kap. 5 c och 15 – 27 §§ och 28 § första stycket 5 d §§, 15 – 27 §§ och 28 § första får inte tillämpas i strid med stycket får inte tillämpas i strid avtalet. med avtalet.

För uppgift i en allmän handling gäller sekretessen i högst femtio år.

43 kap.

3 §

Bestämmelserna om sekretess i Bestämmelserna om sekretess i 19 kap., 28 kap. 12 §, 29 kap. 1 – 19 kap., 28 kap. 12 §, 29 kap. 1 – 4 och 9 §§, 30 kap. 1, 2, 4 – 7, 23, 4 och 9 §§, 30 kap. 1, 2, 4 – 7, 23, 24, 27 och 28 §§, 31 kap. 1 § 24, 27 och 28 §§, 31 kap. 1 § första stycket, 2 – 5, 12, 16 – 18 första stycket, 1 a §, 2 – 5, 12, 16 – och 24 §§, 32 kap. 4 §, 35 kap. 3 18 och 24 §§, 32 kap. 4 §, 35 och 4 §§, 36 kap. 6 och 7 §§, 38 kap. 3 och 4 §§, 36 kap. 6 och 7 kap. 5, 6 och 8 §§ samt 40 kap. 2 §§, 38 kap. 5, 6 och 8 §§ samt 40 § tillämpas inte hos en domstol i kap. 2 § tillämpas inte hos en dess rättskipande eller domstol i dess rättskipande eller rättsvårdande verksamhet. rättsvårdande verksamhet.

Sekretessen enligt 35 kap. 1 § första stycket 1 gäller hos en domstol i dess rättskipande eller rättsvårdande verksamhet endast om det kan antas att den enskilde eller någon närstående till denne lider skada eller men om uppgiften röjs.

Första och andra styckena gäller inte om domstolen har fått uppgiften för att pröva om den kan lämnas ut.

_________________________________

Denna lag träder i kraft den 1 januari 2025.

Förslag till lag om ändring i lagen (2022:1568)

Bilaga 2

om Sveriges riksbank

Härigenom föreskrivs i fråga om lagen (2022:1568) om Sveriges riksbank dels att det ska införas nya paragrafer, 5 kap. 5 a och 5 b §§ samt närmast före 5 kap. 5 a § en ny rubrik av följande lydelse, dels att 5 kap. 4, 6 och 7 §§ samt 12 kap. 1, 2 och 3 §§ ska ha följande lydelse.

5 kap.

4 §

Ett företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar ska

1. planera och förbereda 1. planera och förbereda för att kunna fortsätta för att kunna fortsätta verksamhet som avser verksamhet som avser betalningar under betalningar under fredstida fredstida krissituationer och vid krissituationer och vid höjd beredskap, höjd beredskap 2. delta i verksamhet 2. delta i verksamhet enligt 2 och 3 §§, och enligt 2, 3 och 5 a §§, 3. se till att arbets- och och uppdragstagare får den 3. se till att arbets- och utbildning och övning uppdragstagare får den som behövs. utbildning och övning som behövs.

Riksbanken ska övervaka att ett företag uppfyller sina skyldigheter enligt första stycket.

Krishanteringsfunktion för den finansiella sektorn

5 a §

Inom Riksbanken ska det finnas en funktion för krishantering vid en allvarlig driftstörning i den finansiella sektorns digitala infrastruktur som lett till eller riskerar att leda till en allvarlig störning av viktiga samhällsfunktioner inom sektorn.

Bilaga 2 Funktionen ska bestå av representanter för Riksbanken, Riksgäldskontoret och Finansinspektionen. Funktionen ska även bestå av företag som bedriver verksamhet som är av särskild betydelse för genomförandet av betalningar samt de övriga företag som Riksbanken beslutar ska ingå i den.

Riksbanken får ålägga ett företag att delta i funktionen om det är nödvändigt.

5 b §

Riksbanken ska anta en instruktion för krishanteringsfunktionen.

6 §

Den som på grund av Den som på grund av bestämmelser i detta kapitel har bestämmelser i detta kapitel har fått kännedom om en enskilds fått kännedom om en enskilds affärs- eller driftförhållanden affärs- eller driftförhållanden , eller förhållanden av betydelse förhållanden av betydelse för att för totalförsvaret eller annars för förebygga eller hantera Sveriges säkerhet får inte fredstida krissituationer, eller obehörigen röja eller utnyttja förhållanden av betydelse för vad han eller hon har fått veta. totalförsvaret eller annars för Sveriges säkerhet får inte obehörigen röja eller utnyttja vad han eller hon har fått veta.

Vad som sägs i första stycket ska även gälla för uppgift om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med en enskild som ingår i krishanteringsfunktionen enligt 5 a §.

I Riksbankens verksamhet tillämpas i stället bestämmelserna i offentlighets- och sekretesslagen (2009:400).

7 § Bilaga 2

Under fredstida krissituationer och Under fredstida krissituationer vid höjd beredskap ska och vid höjd beredskap ska Riksbanken hålla regeringen och Riksbanken hålla regeringen, Riksgäldskontoret underrättade Finansinspektionen och om viktigare frågor. Riksgäldskontoret underrättade om viktigare frågor.

Riksbanken ska även hålla regeringen underrättad om viktigare frågor gällande verksamheten i krishanteringsfunktionen enligt 5 a §.

12 kap.

1 §

På begäran av Riksbanken ska

1. finansiella företag lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt denna lag,

2. företag med kvalificerat innehav i deltagare i Riksbankens betalningsavvecklingssystem och underentreprenörer till sådana deltagare lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt 3 kap.,

3. företag som bedriver verksamhet som avses i 3 kap. 8 § och underentreprenörer till sådana företag lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt 3 kap.,

4. utgivare av värdepapper lämna de uppgifter som är nödvändiga för Riksbankens verksamhet enligt 2 och 3 kap.,

5. företag som bedriver 5. företag som bedriver verksamhet som är av verksamhet som är av särskild betydelse för särskild betydelse för genomförandet av genomförandet av betalningar lämna de betalningar lämna de uppgifter som är uppgifter som är nödvändiga för nödvändiga för Riksbankens Riksbankens verksamhet enligt 4 verksamhet enligt 4 och 5 kap., och och 5 kap.,

Bilaga 2 6. den som för egen eller 6. den som för egen eller någon annans räkning någon annans räkning utför transaktioner utför transaktioner med utländsk motpart med utländsk motpart eller innehar tillgångar eller innehar tillgångar och skulder med och skulder med utlandsanknytning utlandsanknytning lämna uppgifter som är lämna uppgifter som är nödvändiga för nödvändiga för Riksbankens Riksbankens verksamhet enligt 1 verksamhet enligt 1 kap. 11 § när det gäller kap. 11 § när det gäller framställning av framställning av statistik över statistik över betalningsbalanser och betalningsbalanser och utlandsställningen. utlandsställningen , och

7. företag som ingår i krishanteringsfunktionen enligt 5 kap. 5 a § lämna de uppgifter som är nödvändiga för verksamheten i funktionen.

2 §

Riksbanken får besluta om de förelägganden som behövs för att en fysisk eller juridisk person ska följa uppgiftsskyldigheten enligt 1 § och föreskrifter som har meddelats med stöd av 13 kap. 1 §.

Riksbanken får också besluta om förelägganden för den fysiska eller juridiska person som bryter mot 4 kap. 11 § och som väsentligen har bidragit till spridningen och varit medveten om att kontanterna var förändrade eller bearbetade.

Riksbanken får även besluta om de förelägganden som behövs för att ett företag ska följa ett åläggande som meddelats med stöd av 5 kap. 5 a § tredje stycket.

Ett beslut om föreläggande får förenas med vite.

_____________________________ ______________________________

Denna lag träder i kraft den 1 januari 2025.

Bilaga 3

Förteckning över remissinstanserna

Efter remiss har yttranden kommit in från Affärsverket Svenska kraftnät, Bankgirocentralen BGC AB, Card Payment Sweden, Euroclear Sweden AB, Finansbolagens Förening, Finansiell ID-Teknik BID AB, Finansinspektionen, Fondbolagens förening, Försvarets materielverk, Försvarets radioanstalt, Försvarsmakten, Försäkringskassan, Justitiekanslern, Kommerskollegium, Konkurrensverket, Konsumentverket, Loomis Sverige AB, Länsstyrelsen Dalarnas län, Länsstyrelsen Stockholm, Myndigheten för digital förvaltning (Digg), Myndigheten för samhällsskydd och beredskap, Nasdaq Clearing AB, Nasdaq Stockholm AB, Pensionsmyndigheten, Polismyndigheten, Post- och telestyrelsen, Regelrådet, Riksgäldskontoret, Skatteverket, Sparbankernas Riksförbund, Statens energimyndighet, Statens servicecenter, Stockholms universitet, Juridiska fakulteten, Svensk Försäkring, Svensk Värdepappersmarknad, Svenska Bankföreningen, Svenska journalistförbundet, Sveriges advokatsamfund, Sveriges riksbank, Swedish House of Finance, Säkerhetspolisen, Totalförsvarets forskningsinstitut, Trafikverket, TU – medier i Sverige, Utbetalningsmyndigheten och Verket för innovationssystem (Vinnova). Följande remissinstanser har inte svarat eller angett att de avstår från att lämna några synpunkter: Bankomat AB, Företagarna, Getswish AB, Kungl. Tekniska Högskolan, Cybercampus Sverige, Nordic Growth Market NGM AB, Näringslivets Regelnämnd, Riksdagens ombudsmän (JO), RISE Research Institute of Sweden, Spotlight Stock Market, Svenskt Näringsliv, Swedish Blockchain Association, Swedish FinTech Association och Swedish Private Equity & Venture Capital Association (SVCA).