Transportstyrelsens föreskrifter om redovisningscentraler för taxitrafik, TSFS 2016:46

Dessa föreskrifter innehåller bestämmelser om de krav som gäller för den verksamhet som bedrivs av en sådan redovisningscentral för taxitrafik som avses i 2 § lagen (2014:1020) om redovisningscentraler.

Tekniska krav i dessa föreskrifter gäller inte för produkter som 1. lagligen har tillverkats eller satts på marknaden i en annan medlemsstat inom EU eller i Turkiet, eller 2. lagligen har tillverkats i ett EFTA-land som har undertecknat EESavtalet. Om en produkt enligt första stycket inte uppnår en säkerhetsnivå som är likvärdig med den som garanteras genom dessa föreskrifter, ska de tekniska kraven i dessa föreskrifter gälla.

I dessa föreskrifter används följande begrepp med nedan angiven betydelse. informations- bevarande av konfidentialitet, riktighet och tillgängsäkerhet lighet hos informationstillgångar informations- information som ska skyddas

tillgångar

Se Europaparlamentets och rådets direktiv (EU) 2015/1535 av den 9 september 2015 om ett informationsförfarande beträffande tekniska föreskrifter och beträffande föreskrifter för informationssamhällets tjänster.

teknisk utrustning applikation som består av mjuk- och/eller hårdvara i valfri kombination och som ska användas i redovisningscentralens verksamhet och uppfyller de föreskrivna funktioner som krävs för att hantera föreskrivna informationstillgångar verksamhets- sådan person som anges i 5–7 §§ lagen (2014:1020) ansvarig om redovisningscentraler för taxitrafik

Ansökan om tillstånd att få driva en redovisningscentral ska göras på formulär som har fastställts av Transportstyrelsen. Till ansökan om tillstånd ska bifogas 1. uppgift om vilken teknisk utrustning som ska användas i redovisningscentralens verksamhet enligt 6 § förordningen (2016:623) om redovisningscentraler för taxitrafik, och 2. ett övergripande dokument som visar hur kraven för informationssäkerhet enligt 5 § ska uppfyllas.

Redovisningscentralen ska bedriva verksamheten i enlighet med ett dokumenterat ledningssystem som styr informationssäkerheten. Den verksamhetsansvarige ansvarar för att ett sådant system tas fram och fastställs. Systemet ska uppdateras regelbundet och vid större organisatoriska förändringar.

Den verksamhetsansvarige ska säkerställa att berörd personal följer ledningssystemet för informationssäkerhet enligt 5 §.

Den verksamhetsansvarige ska genom behörighetskontroller säkerställa att informationstillgångar som ingår i verksamheten skyddas från obehörig åtkomst. Åtkomstmöjligheter ska vara baserade på behörighet, ansvarsområde och tilldelad roll. Ändringar ska vara spårbara på individnivå.

Den verksamhetsansvarige ansvarar för att det finns rutiner för hantering och uppföljning av säkerhetsincidenter samt för incidentrapportering för den utrustning som behövs för att uppfylla föreskrivna krav.

Den utrustning som behövs för att uppfylla föreskrivna krav ska ha en gemensam tidskälla och lagra datum och tid enligt svensk normaltid.

Åtkomst till lokaler där informationstillgångar lagras ska begränsas och kunna spåras. Uppgifter om datum, tid och individ ska framgå.

Den verksamhetsansvarige ansvarar för att etablera och upprätthålla skydd mot yttre och miljörelaterade hot för den utrustning som behövs för att uppfylla föreskrivna krav.

Den verksamhetsansvarige ska säkerställa att underleverantörer har kännedom om och efterlever de föreskrivna krav som är tillämpliga när underleverantören utför sin uppgift.

Den verksamhetsansvarige ansvarar för att se till att det finns dokumentation som visar hur kraven i 5–12 §§ uppfylls och att dokumentationen sparas i sju år.

Om hela eller delar av en teknisk utrustning byts ut eller avvecklas får informationstillgångar därefter inte återskapas i den utbytta eller avvecklade utrustningen. Den verksamhetsansvarige ansvarar för att vidta åtgärder som gör att utbytt eller avvecklad utrustning inte kan användas för att återskapa informationstillgångar.

Uppgifter enligt 24 § första stycket lagen (2014:1020) om redovisningscentraler för taxitrafik ska lämnas ut till Skatteverket genom elektronisk överföring via anvisad elektronisk tjänst på Skatteverkets webbplats. Identifiering av redovisningscentral vid överföring av taxameteruppgifter till Skatteverket via anvisad elektronisk tjänst enligt första stycket ska ske med ett för redovisningscentralen unikt och kontrollerbart publikt certifikat. Certifikatets egenskaper ska vara klient och server. Certifikatet ska använda säkra algoritmer för att etablera en säker Transport Layer Security (TLS) förbindelse med Skatteverket. Om det finns särskilda skäl får Skatteverket begära att utlämnandet sker på annat sätt som Skatteverket anvisar.

Uppgifter om uteblivna överföringar enligt 24 § tredje stycket lagen (2014:1020) om redovisningscentraler för taxitrafik ska lämnas till Transportstyrelsen genom elektronisk överföring enligt de anvisningar som Transportstyrelsen har bestämt.

Överföring av taxameteruppgifter enligt 17 och 22 §§ lagen (2014:1020) om redovisningscentraler för taxitrafik till en annan redovisningscentrals tekniska utrustning ska ske elektroniskt.

Vid överföring av taxameteruppgifter enligt 17 § ska en nyckel upprättas för beräknande av kontrollsumma enligt 3 kap. 14 § Transportstyrelsens föreskrifter (TSFS 2016:47) om teknisk utrustning hos redovisningscentraler för taxitrafik. Nyckeln ska överföras till mottagande redovisningscentral. Detta ska ske via ett medium som är skilt från det medium som används vid överförande av utläsningsfil och medföljande kontrollsumma.

Vid utläsning av fil för överföring av taxameteruppgifter till annan redovisningscentrals tekniska utrustning ska ett dokument upprättas vilket ska innehålla minst följande information: 1. Datum för utläsning av fil.

2. Anledning till utläsning. 3. Vald nyckel. 4. Signering av utförd utläsning. Den verksamhetsansvarige hos den redovisningscentral som ska läsa in filen ska spara dokumentet i två år.

Vid inläsning av fil för överföring av taxameteruppgifter från annan redovisningscentrals tekniska utrustning ska ett dokument upprättas vilket ska innehålla minst följande information: 1. Datum för inläsning av fil. 2. Anledning till inläsning. 3. Kontrollsumma. 4. Signering av utförd inläsning. Den verksamhetsansvarige ska spara dokumentet i sju år.

Undantag från dessa föreskrifter prövas av Transportstyrelsen. ___________

Denna författning träder i kraft den 1 januari 2017.

På Transportstyrelsens vägnar

MARIA ÅGREN Maria Åkerlund (Väg- och järnvägsavdelningen)

Utgivare: Kristina Nilsson, Transportstyrelsen, Norrköping ISSN 2000-1975