Digital operativ motståndskraft för finanssektorn

Propositionens huvudsakliga innehåll

Genom EU:s förordning om digital operativ motståndskraft för finanssektorn införs nya krav på företag inom den finansiella sektorn. Kraven omfattar bl.a. företagens riskhantering när det gäller informations- och kommunikationsteknik, incidentrapportering, hantering av utlagd verksamhet och testning av digital operativ motståndskraft. Förordningen ska tillämpas från och med den 17 januari 2025. Samtidigt införs ändringar i flera EU-direktiv på finansmarknadsområdet.

EU-förordningen och direktivändringarna kräver vissa nationella lagstiftningsåtgärder. I propositionen föreslås därför en ny lag med kompletterande bestämmelser till EU-förordningen. Den nya lagen innehåller bestämmelser om bl.a.

–ansvariga myndigheter för hotbildsstyrda penetrationstester,

–Finansinspektionens tillsynsbefogenheter,

–ingripanden och sanktioner vid överträdelser av EU-förordningen, och

–avgifter för att bekosta Finansinspektionens och Riksbankens verksamhet enligt EU-förordningen.

Därutöver föreslås, med anledning av ändringarna i EU-direktiven, ändringar i flera lagar på finansmarknadsområdet.

I propositionen lämnas också förslag till ändringar som rör överklaganden av Finansinspektionens beslut i vissa frågor som inte har samband med EU-förordningen.

Den nya lagen och övriga lagändringar föreslås träda i kraft den 17 januari 2025.

Innehållsförteckning

1Förslag till riksdagsbeslut

Regeringens förslag

1. Riksdagen antar regeringens förslag till lag med kompletterande bestämmelser till EU:s förordning om digital operativ motståndskraft för finanssektorn.
2. Riksdagen antar regeringens förslag till lag om ändring i lagen (1967:531) om tryggande av pensionsutfästelse m.m.
3. Riksdagen antar regeringens förslag till lag om ändring i trafikskadelagen (1975:1410).
4. Riksdagen antar regeringens förslag till lag om ändring i lagen (1980:1097) om Svenska skeppshypotekskassan.
5. Riksdagen antar regeringens förslag till lag om ändring i lagen (1998:1479) om värdepapperscentraler och kontoföring av finansiella instrument.
6. Riksdagen antar regeringens förslag till lag om ändring i lagen (2004:46) om värdepappersfonder.
7. Riksdagen antar regeringens förslag till lag om ändring i lagen (2004:297) om bank- och finansieringsrörelse.
8. Riksdagen antar regeringens förslag till lag om ändring i lagen (2007:528) om värdepappersmarknaden.
9. Riksdagen antar regeringens förslag till lag om ändring i lagen (2010:751) om betaltjänster.
10. Riksdagen antar regeringens förslag till lag om ändring i försäkringsrörelselagen (2010:2043).
11. Riksdagen antar regeringens förslag till lag om ändring i lagen (2011:755) om elektroniska pengar.
12. Riksdagen antar regeringens förslag till lag om ändring i lagen (2013:561) om förvaltare av alternativa investeringsfonder.
13. Riksdagen antar regeringens förslag till lag om ändring i lagen (2018:1219) om försäkringsdistribution.
14. Riksdagen antar regeringens förslag till lag om ändring i lagen (2019:742) om tjänstepensionsföretag.

2Lagtext

Regeringen har följande förslag till lagtext.

2.1Förslag till lag med kompletterande bestämmelser till EU:s förordning om digital operativ motståndskraft för finanssektorn

Härigenom föreskrivs följande.

1 kap. Inledande bestämmelser

Lagens syfte

1 § Denna lag kompletterar Europaparlamentets och rådets förordning (EU) 2022/2554 av den 14 december 2022 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011, i denna lag kallad EU-förordningen.

Termer och uttryck i denna lag har samma betydelse som i EU-förord- ningen.

Behörig myndighet

2 § Av artikel 46 i EU-förordningen följer att Finansinspektionen är behörig myndighet enligt förordningen.

Avgifter till Finansinspektionen

3 § För att bekosta Finansinspektionens verksamhet enligt EU-förord- ningen och denna lag ska de finansiella entiteter som står under inspektionens tillsyn betala årliga avgifter.

Regeringen får meddela föreskrifter om avgifterna.

Information om allvarliga IKT-relaterade incidenter

4 § Finansinspektionen ska i enlighet med artikel 19.6 i EU-förord- ningen informera Riksbanken om allvarliga IKT-relaterade incidenter hos en finansiell entitet.

2 kap. Hotbildsstyrda penetrationstester

Finansinspektionen

1 § Finansinspektionen ska besluta om vilka finansiella entiteter som ska genomföra hotbildsstyrda penetrationstester enligt artikel 26 i EU-förord- ningen. Finansinspektionen ska också besluta om hur ofta en finansiell entitet ska genomföra sådana tester.

4 kap. Ingripanden

Ingripanden mot finansiella entiteter

1 § Finansinspektionen ska ingripa mot följande finansiella entiteter om de åsidosätter sina skyldigheter enligt EU-förordningen, denna lag eller andra författningar som har meddelats i anslutning till dessa:

1. Svenska skeppshypotekskassan,
2. en leverantör av kryptotillgångstjänster,
3. en emittent av tillgångsanknutna token,
4. en pensionsstiftelse,
5. en administratör av kritiska referensvärden,
6. en leverantör av gräsrotsfinansieringstjänster, och
7. ett transaktionsregister.

2 § Bestämmelser om ingripanden mot andra finansiella entiteter än de som anges i 1 § och som åsidosätter sina skyldigheter enligt EU-förord- ningen, denna lag eller andra författningar som har meddelats i anslutning till dessa finns i de lagar som reglerar den berörda verksamheten.

3 § Ett ingripande enligt 1 § mot Svenska skeppshypotekskassan sker genom beslut om föreläggande att inom en viss tid vidta en viss åtgärd eller upphöra med ett visst agerande.

4 § Ett ingripande enligt 1 § mot en emittent av tillgångsanknutna token, en pensionsstiftelse eller ett transaktionsregister sker genom beslut om

1. föreläggande att inom en viss tid vidta en viss åtgärd eller upphöra med ett visst agerande, eller
2. anmärkning.

5 § Ett ingripande enligt 1 § mot en leverantör av kryptotillgångstjänster, en administratör av kritiska referensvärden eller en leverantör av gräsrotsfinansieringstjänster sker genom beslut om

1. föreläggande att inom en viss tid vidta en viss åtgärd eller upphöra med ett visst agerande, eller
2. anmärkning.

Om överträdelsen är allvarlig får den finansiella entitetens auktorisation återkallas eller, om det är tillräckligt, en varning meddelas.

6 § Ett ingripande får inte ske om en överträdelse omfattas av ett föreläggande som har förenats med vite och en ansökan om utdömande av vitet har gjorts.

28.1–28.8, 29, 30.1–30.4, 31.12 eller 45 i EU-förordningen.

Ett ingripande får ske genom en eller båda av följande sanktioner:

1. beslut att den fysiska personen under en viss tid, lägst tre och högst tio år, inte får vara styrelseledamot eller verkställande direktör i en sådan finansiell entitet som avses i första stycket, eller ersättare för någon av dem, eller
2. beslut om sanktionsavgift.

Ett ingripande får ske bara om den finansiella entitetens överträdelse är allvarlig och den fysiska personen i fråga uppsåtligen eller av grov oaktsamhet orsakat överträdelsen.

Sanktionsföreläggande

10 § Frågor om ingripande mot fysiska personer enligt 9 § tas upp av Finansinspektionen genom ett sanktionsföreläggande.

Ett sanktionsföreläggande innebär att den fysiska personen föreläggs att inom en viss tid godkänna en sanktion som är bestämd till tid eller belopp.

När ett sanktionsföreläggande har godkänts, gäller det som ett domstolsavgörande som fått laga kraft. Ett godkännande som görs efter den tid som angetts i föreläggandet är utan verkan.

11 § Ett sanktionsföreläggande ska innehålla uppgift om

1. den fysiska person som föreläggandet avser,
2. överträdelsen och de omständigheter som behövs för att känneteckna

den,

3. de bestämmelser som är tillämpliga på överträdelsen, och
4. den sanktion som föreläggs personen.

Sanktionsföreläggandet ska också innehålla en upplysning om att ansökan om sanktion kan komma att ges in till domstol, om sanktionsföreläggandet inte godkänns inom den tid som Finansinspektionen anger.

12 § Om ett sanktionsföreläggande inte har godkänts inom angiven tid, får Finansinspektionen ansöka hos domstol om att en sanktion ska beslutas. En sådan ansökan ska göras hos den förvaltningsrätt som är behörig att pröva ett överklagande av Finansinspektionens beslut om ingripande mot den finansiella entiteten för samma överträdelse.

Prövningstillstånd krävs vid överklagande till kammarrätten.

13 § Ett sanktionsföreläggande är utan verkan, om föreläggandet inte har delgetts den som det riktas mot inom två år från den tidpunkt då överträdelsen ägde rum. I ett sådant fall får inte heller någon sanktion enligt 12 § första stycket beslutas.

Sanktionsavgifter

14 § Sanktionsavgiften för en finansiell entitet som anges i 1 § och som är en juridisk person ska som högst fastställas till det högsta av

1. ett belopp som per den 16 januari 2023 i svenska kronor motsvarade en miljon euro,
2. tio procent av den finansiella entitetens omsättning närmast föregående räkenskapsår eller, i förekommande fall, motsvarande omsättning på koncernnivå, eller
3. tre gånger den vinst som den finansiella entiteten har gjort till följd av regelöverträdelsen, om beloppet går att fastställa.

Sanktionsavgiften får inte bestämmas till ett lägre belopp än

5 000 kronor.

Om en överträdelse har skett under den juridiska personens första verksamhetsår eller om uppgifter om omsättningen annars saknas eller är bristfälliga, får omsättningen uppskattas när den högsta sanktionsavgiften ska beräknas.

15 § Sanktionsavgiften för en leverantör av kryptotillgångstjänster får inte vara så stor att leverantören därefter inte uppfyller kraven i Europaparlamentets och rådets förordning (EU) 2023/1114 av den 31 maj 2023 om marknader för kryptotillgångar och om ändring av förordningarna (EU) nr 1093/2010 och (EU) nr 1095/2010 samt direktiven 2013/36/EU och (EU) 2019/1937 eller andra bestämmelser om soliditet och likviditet som gäller för leverantören.

Sanktionsavgiften för en leverantör av gräsrotsfinansieringstjänster får inte vara så stor att leverantören därefter inte uppfyller kraven enligt artikel 11 i Europaparlamentets och rådets förordning (EU) 2020/1503 av den 7 oktober 2020 om europeiska leverantörer av gräsrotsfinansieringstjänster för företag och om ändring av förordning (EU) 2017/1129 och direktiv (EU) 2019/1937 eller andra bestämmelser om soliditet och likviditet som gäller för leverantören.

16 § Sanktionsavgiften för en fysisk person ska som högst fastställas till det högsta av

1.ett belopp som per den 16 januari 2023 i svenska kronor motsvarade

500 000 euro, eller

2.tre gånger den vinst som den fysiska personen har gjort till följd av regelöverträdelsen, om beloppet går att fastställa.

17 § Sanktionsavgifter tillfaller staten.

Val av ingripande

18 § Vid valet av ingripande ska Finansinspektionen ta hänsyn till hur allvarlig överträdelsen är och hur länge den har pågått. Särskild hänsyn ska tas till överträdelsens art, överträdelsens konkreta och potentiella effekter på det finansiella systemet, skador som uppstått samt graden av ansvar hos den fysiska eller juridiska person som har gjort sig skyldig till överträdelsen.

19 § Utöver det som anges i 18 § ska det i försvårande riktning beaktas om den som har begått överträdelsen tidigare har begått en överträdelse. Vid denna bedömning ska särskild vikt fästas vid om överträdelserna är likartade och den tid som har gått mellan de olika överträdelserna.

I förmildrande riktning ska det beaktas om den som har begått överträdelsen

1. i väsentlig utsträckning genom ett aktivt samarbete har underlättat Finansinspektionens utredning, och
2. snabbt upphört med överträdelsen eller snabbt verkat för att överträdelsen ska upphöra, sedan den anmälts till eller påtalats av Finansinspektionen.

20 § När sanktionsavgiftens storlek fastställs ska särskild hänsyn tas till sådana omständigheter som anges i 18 och 19 §§ samt till den berörda fysiska eller juridiska personens finansiella ställning och, om det går att fastställa, den vinst som personen gjort till följd av överträdelsen.

Möjlighet att avstå från ett ingripande

21 § Finansinspektionen får avstå från ingripande, om

1. överträdelsen är ringa eller ursäktlig,
2. den fysiska eller juridiska personen i fråga gör rättelse,
3. den fysiska personen har verkat för att den juridiska personen ska göra rättelse, eller
4. någon annan myndighet eller något annat organ har vidtagit åtgärder mot den fysiska eller juridiska personen och dessa åtgärder bedöms tillräckliga.

Verkställighet av beslut om sanktionsavgift

22 § En sanktionsavgift ska betalas till Finansinspektionen inom 30 dagar efter det att ett beslut eller en dom om att ta ut avgiften har fått laga kraft eller ett sanktionsföreläggande har godkänts, eller inom den längre tid som anges i beslutet eller föreläggandet.

23 § Om sanktionsavgiften inte har betalats inom den tid som anges i 22 §, ska Finansinspektionen lämna avgiften för indrivning.

Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m.

24 § En sanktionsavgift faller bort i den utsträckning verkställighet inte har skett inom fem år från det att beslutet eller domen om att ta ut avgiften fick laga kraft eller sanktionsföreläggandet godkändes.

2.5Förslag till lag om ändring i lagen (1998:1479) om värdepapperscentraler och kontoföring av finansiella instrument

Härigenom föreskrivs att 9 kap. 12 § lagen (1998:1479) om värdepapperscentraler och kontoföring av finansiella instrument1 ska ha följande lydelse.

10.har åsidosatt sina skyldigheter enligt någon av artiklarna 5–10, 11.1–11.10, 12–14, 16.1,

1Senaste lydelse av lagens rubrik 2016:51.

1. beslut att personen i fråga under en viss tid, lägst tre och högst tio år, eller, för upprepade allvarliga överträdelser, permanent inte får vara styrelseledamot, verkställande direktör eller ersättare för någon av dem i värdepapperscentralen, eller
2. beslut om sanktionsavgift.

Denna lag träder i kraft den 17 januari 2025.

1. beslut att personen i fråga under en viss tid, lägst tre och högst tio år, eller, för upprepade allvarliga överträdelser, permanent inte får vara styrelseledamot eller verkställande direktör i ett fondbolag, eller ersättare för någon av dem, eller
2. beslut om sanktionsavgift.

13kap. 1 §5

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om

1. vilka åtgärder ett fondbolag ska vidta om det tar emot medel med redovisningsskyldighet enligt 1 kap. 4 § eller 7 kap. 1 §,
2. hur ett förvaltningsbolag eller fondföretag ska tillhandahålla information om de uppgifter som avses i 1 kap. 6 c § första stycket och 8 § första stycket,
3. på vilket språk ett förvaltningsbolag eller fondföretag ska tillhandahålla funktionerna i 1 kap. 6 c § första stycket och 8 § första stycket,
4. på vilket språk ett fondföretag ska tillhandahålla information enligt

1kap. 9 § första stycket 1 och 2 och 9 a § första stycket,

5. hur ett fondföretag ska offentliggöra avsikten att upphöra med marknadsföringen av andelar i företaget enligt 1 kap. 9 § första stycket 2,
6. hur medel för distanskommunikation får användas när ett fondföretag som har upphört med marknadsföring i Sverige av andelar i företaget ska tillhandahålla kvarvarande andelsägare här i landet information enligt

1kap. 9 a § första stycket,

7. vilka poster som får räknas in i startkapitalet enligt 2 kap. 4 §,
8. vilka poster som får räknas in i egna medel enligt 2 kap. 8–10 §§,
9. på vilket språk underrättelsen enligt 2 kap. 15 c § första stycket ska skrivas,

Denna lag träder i kraft den 17 januari 2025.

2.7Förslag till lag om ändring i lagen (2004:297) om bank- och finansieringsrörelse

Härigenom föreskrivs1 i fråga om lagen (2004:297) om bank-och finansieringsrörelse2 dels att nuvarande 6 kap. 2 a och 2 b §§ ska betecknas 6 kap. 2 b och

2 c §§, dels att den nya 6 kap. 2 c §, 10 kap. 1 §, 15 kap. 1 a §, 16 kap. 1 § och 17 kap. 1 § ska ha följande lydelse, dels att rubriken närmast före 6 kap. 2 a § ska sättas närmast före 6 kap.

2 b §, dels att det ska införas en ny paragraf, 6 kap. 2 a §, och närmast före

6 kap. 2 a § en ny rubrik av följande lydelse.

1Jfr Europaparlamentets och rådets direktiv 2013/36/EU av den 26 juni 2013 om behörighet att utöva verksamhet i kreditinstitut och om tillsyn av kreditinstitut, om ändring av direktiv 2002/87/EG och om upphävande av direktiven 2006/48/EG och 2006/49/EG, i lydelsen enligt Europaparlamentets och rådets direktiv (EU) 2022/2556.

2Senaste lydelse av

10. vid upprepade tillfällen eller systematiskt låter bli att hålla likvida tillgångar i strid med artikel 412 i tillsynsförordningen,
11. utsätter sig för en exponering som överskrider gränserna enligt artikel 395 i tillsynsförordningen,
12. är exponerat för kreditrisken i en värdepapperiseringsposition utan att uppfylla villkoren i artikel 405 i tillsynsförordningen,
13. låter bli att lämna information eller lämnar ofullständig eller felaktig information i strid med någon av artiklarna 431.1–431.3 och 451.1 i tillsynsförordningen,
14. gör betalningar till innehavare av instrument som ingår i institutets kapitalbas i strid med 8 kap. 3 och 4 §§ lagen (2014:966) om kapitalbuffertar eller artikel 28, 51 eller 63 i tillsynsförordningen, när dessa artiklar förbjuder sådana betalningar till innehavare av instrument som ingår i kapitalbasen,
15. har befunnits ansvarigt för en allvarlig, upprepad eller systematisk överträdelse av lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism eller föreskrifter som har meddelats med stöd av den lagen,
16. har befunnits ansvarigt för en allvarlig, upprepad eller systematisk överträdelse av Europaparlamentets och rådets förordning (EU) 2023/1113 av den 31 maj 2023 om uppgifter som ska åtfölja överföringar av medel och vissa kryptotillgångar och om ändring av direktiv (EU) 2015/849,
17. har tillåtit en styrelseledamot, verkställande direktören eller ersättare för någon av dem att åta sig ett sådant uppdrag i institutet eller kvarstå i

institutet trots att kraven i 3 kap. 2 § första stycket 4 eller 5, 10 kap. 8 a–8 c §§ eller 12 kap. 6 a–6 c §§ eller i föreskrifter som har meddelats med stöd av 16 kap. 1 § 3 inte är uppfyllda,

18. i strid med 6 a kap. 1 eller 2 § låter bli att upprätta eller lämna in en återhämtningsplan eller en koncernåterhämtningsplan,
19. i strid med 6 b kap. 11 § låter bli att anmäla att koncerninternt finansiellt stöd ska lämnas,
20. i strid med 13 kap. 4 a och 5 a §§ låter bli att underrätta Finansinspektionen om institutet fallerar eller sannolikt kommer att fallera,
21. inte uppfyller kravet på kapitalbas och kvalificerade skulder enligt 4 kap. lagen (2015:1016) om resolution eller i strid med 28 kap. 1 § samma lag låter bli att lämna begärda upplysningar till Riksgäldskontoret,
22. är ett moderföretag enligt artikel 4.1.15 i tillsynsförordningen och inte uppfyller kraven i del tre, fyra, sex eller sju i den förordningen eller 2 kap. 1 eller 2 § lagen (2014:968) om särskild tillsyn över kreditinstitut och värdepappersbolag på grupp- eller undergruppsnivå,
23. omfattas av tillståndsplikt enligt lagen (2003:1223) om utgivning av säkerställda obligationer och

a) har fått tillstånd att ge ut säkerställda obligationer genom att lämna falska uppgifter eller på något annat otillbörligt sätt, b) driver verksamhet med säkerställda obligationer utan tillstånd,

6. erkännande av utländska krav enligt 6 kap. 3 d §,
7. innehållet i en återhämtningsplan enligt 6 a kap. 1 § och en koncernåterhämtningsplan enligt 6 a kap. 2 §, när planerna ska upprättas och hur ofta de ska uppdateras,
8. innehållet i en ansökan om godkännande av avtal gällande koncerninternt finansiellt stöd enligt 6 b kap. 3 § första stycket,
9. vad det beslut som styrelsen i det stödgivande företaget fattar enligt 6 b kap. 8 § ska innehålla,
10. innehållet i en anmälan om givande av koncerninternt finansiellt stöd enligt 6 b kap. 11 §,
11. offentliggörandet av information enligt 6 b kap. 16 §,
12. vilka åtgärder ett kreditinstitut ska vidta för att uppfylla de krav på kreditprövning, dokumentation och beslutsunderlag som avses i 8 kap. 1–4 §§ i fråga om

– krediter till andra än konsumenter, och

– sådana krediter till konsumenter som är bostadskrediter,

13.tillhandahållande av tjänster till en jävskrets som avses i 8 kap. 5 och

6 §§,

14. kreditinstituts mångfaldspolicy vid tillsättandet av styrelse samt resurser för introduktion och utbildning av styrelseledamöter,
15. vilka begränsningar som gäller när ett bankaktiebolag eller ett kreditmarknadsbolag tar emot egna aktier eller aktier i sitt moderbolag som pant enligt 10 kap. 12 §,
16. vilka upplysningar ett kreditinstitut och sådana utländska kreditinstitut som inrättat filial i Sverige ska lämna till Finansinspektionen för dess tillsynsverksamhet,

b)någon av 11 kap. 1 §, 1 a § andra stycket, 1 b–4 a eller 12 §§ eller driver en tillväxtmarknad för små och medelstora företag trots att kraven i 13 § inte är uppfyllda,

Denna lag träder i kraft den 17 januari 2025.

2.11Förslag till lag om ändring i lagen (2011:755) om elektroniska pengar

5 kap.

8 b §

Finansinspektionen ska ingripa mot någon som ingår i styrelsen för institutet för elektroniska pengar eller är dess verkställande direktör, eller ersättare för någon av dem, om institutet har åsidosatt sina skyldigheter enligt någon av artiklarna 5–10, 11.1–11.10, 12–14, 16.1, 16.2, 17, 18.1, 18.2,

19.1, 19.3, 19.4, 23–25, 26.1–26.8, 27, 28.1–28.8, 29, 30.1–30.4, 31.12 eller 45 i Europaparlamentets och rådets förordning (EU) 2022/2554 av den 14 december 2022 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011.

Ett ingripande enligt första stycket får ske bara om institutets överträdelse är allvarlig och den fysiska personen i fråga uppsåtligen eller av grov oaktsamhet orsakat överträdelsen.

Ingripande får ske genom en eller båda av följande sanktioner:

1. beslut att den fysiska personen under en viss tid, lägst tre och högst tio år, inte får vara styrelseledamot eller verkställande direktör i ett institut för elektroniska pengar, eller ersättare för någon av dem, eller
2. beslut om sanktionsavgift.

Ett ingripande enligt 2 § första stycket 6 får ske bara om överträdelsen är allvarlig och den fysiska personen i fråga uppsåtligen eller av grov oaktsamhet orsakat överträdelsen.

Denna lag träder i kraft den 17 januari 2025.

2.beslut om förordnande av sakkunnig enligt

– 10 kap. 1 § andra stycket 2 denna lag och 23 kap. 45 b § aktiebolagslagen (2005:551),

– 10 kap. 1 § andra stycket 3 denna lag och 24 kap. 47 § aktiebolagslagen, eller

– 10 kap. 1 § andra stycket 4 denna lag och 24 a kap. 24 § aktiebolagslagen.

3Ärendet och dess beredning

Europaparlamentet och rådet antog den 14 december 2022 förordning (EU) 2022/2554 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011, i det följande benämnd DORA-förordningen. Förordningen trädde i kraft den 16 januari 2023 och ska tillämpas från och med den 17 januari 2025. Förordningen finns i bilaga 1.

Tillsammans med DORA-förordningen gjordes ändringar i flera EUdirektiv på finansmarknadsområdet genom Europaparlamentets och rådets direktiv (EU) 2022/2556 av den 14 december 2022 om ändring av direktiven 2009/65/EG, 2009/138/EG, 2011/61/EU, 2013/36/EU, 2014/59/EU, 2014/65/EU, (EU) 2015/2366 och (EU) 2016/2341 vad gäller digital operativ motståndskraft för finanssektorn, i det följande benämnt ändringsdirektivet. Ändringarna ska tillämpas från och med den 17 januari 2025. Ändringsdirektivet finns i bilaga 2.

DORA-förordningen och ändringsdirektivet kräver vissa nationella lagstiftningsåtgärder. Finansdepartementet har tagit fram promemorian Digital operativ motståndskraft för finanssektorn som innehåller förslag till sådana åtgärder. I promemorian lämnas också förslag till vissa ändringar som rör överklaganden av Finansinspektionens beslut i frågor som inte har samband med DORA-förordningen. En sammanfattning av promemorian finns i bilaga 3. Promemorians lagförslag finns i bilaga 4.

Promemorian har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 5. Remissvaren finns tillgängliga på regeringens webbplats (regeringen.se) och i Finansdepartementet (Fi2024/00073).

I propositionen behandlas promemorians förslag.

En jämförelsetabell finns i bilaga 8. I tabellen visas de bestämmelser som föreslås för att i svensk rätt genomföra de ändringar som genom ändringsdirektivet görs i de olika EU-direktiven på finansmarknadsområdet.

Lagrådet

Regeringen beslutade den 15 augusti 2024 att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 6. Lagrådets yttrande finns i bilaga 7.

Regeringen har i huvudsak följt Lagrådets förslag och synpunkter. Lagrådets synpunkter behandlas i avsnitt 5.5, 10.2.2 och 10.4. I förhållande till lagrådsremissen har det i propositionen dessutom gjorts vissa språkliga och redaktionella ändringar.

4EU:s förordning om digital operativ motståndskraft för finanssektorn

förordningen benämns dessa som finansiella entiteter (artikel 2.2). Förvaltare av alternativa investeringsfonder, försäkrings-och återförsäk-ringsföretag, tjänstepensionsinstitut och försäkrings-och återförsäkringsförmedlare som inte uppfyller vissa storlekskrav undantas från tillämpningsområdet. Från förordningens tillämpningsområde undantas även postgiroinstitut, försäkringsförmedlare som bedriver förmedling som sidoverksamhet och personer som omfattas av artiklarna 2 och 3 i Europaparlamentets och rådets direktiv 2014/65/EU av den 15 maj 2014 om marknader för finansiella instrument och om ändring av direktiv 2002/92/EG och av direktiv 2011/61/EU. Förordningen ger även möjlighet att undanta bl.a. Svenska skeppshypotekskassan från tillämpningsområdet (se avsnitt 5.3). Som Myndigheten för samhällsskydd och beredskap framför, kan entiteter som undantas från tillämpningsområdet i DORAförordningen i stället omfattas av NIS2-och CER-direktiven (se avsnitt 4.2).

Förordningen gäller bara för de institut som anges i förordningen (artikel 2). Det innebär, som Finansinspektionen framför, att nationella konstruktioner, t.ex. bostadskreditinstitut och konsumentkreditinstitut, inte är att anse som finansiella entiteter enligt DORA-förordningen. Nationella konstruktioner kan dock, som Getswish AB tar upp, omfattas av DORA-förordningen i dess egenskap av tredjepartsleverantörer av IKTtjänster (artikel 2.1 u, se även avsnitt 4.4.4 och 4.4.5).

Förordningen gäller för flera olika typer av finansiella entiteter inom den finansiella sektorn där riskerna varierar utifrån den verksamhet som den enskilda entiteten får bedriva. Proportionalitetsprincipen är därmed central vid tillämpningen av förordningen (artikel 4 och skäl 21). Finansiella entiteter ska uppfylla kraven i förordningen med beaktande av bl.a. sin storlek och allmänna riskprofil samt karaktären på, omfattningen av och komplexiteten i sina tjänster. På motsvarande sätt ska tillsynsmyndigheterna beakta de finansiella entiteternas tillämpning av proportionalitetsprincipen när de utövar sin tillsyn.

4.4Centrala termer och uttryck i förordningen

4.4.1Digital operativ motståndskraft

Digital operativ motståndskraft definieras i DORA-förordningen som en finansiell entitets förmåga att bygga upp, säkerställa och se över sin operativa integritet och tillförlitlighet genom att, direkt eller indirekt, med användning av tjänster från tredjepartsleverantörer av IKT-tjänster, säkerställa hela skalan av IKT-relaterad kapacitet som behövs för att hantera säkerheten i de nätverks- och informationssystem som en finansiell entitet använder och som stöder ett fortlöpande tillhandahållande av finansiella tjänster och deras kvalitet, inbegripet under avbrott (artikel 3.1). Begreppet syftar till att säkerställa både robusta IKT-system samt företagsledningar och organisationer som är rustade att stå emot och hantera alla möjliga former av IKT-relaterade incidenter.

tillhandahålls av tredjepartsleverantörer av IKT-tjänster eller av under- leverantörer till sådana leverantörer (artikel 3.18).

4.4.8Hotbildsstyrd penetrationstestning

Hotbildsstyrd penetrationstestning avser en testram som efterliknar den taktik, teknik och de förfaranden som används av verkliga fientliga aktörer som uppfattas som ett genuint cyberhot. Testramen ska ge ett kontrollerat, skräddarsytt och underrättelsestyrt test (s.k. red team-test) av de kritiska produktionssystem som är i drift hos den finansiella entiteten (artikel 3.17).

4.5IKT-riskhantering

IDORA-förordningen anges vilka krav på IKT-riskhantering som ska gälla för de finansiella entiteterna. Finansiella entiteter ska ha en sund, heltäckande och väldokumenterad IKT-riskhanteringsram som ska göra det möjligt för de finansiella entiteterna att säkerställa en hög nivå av digital operativ motståndskraft (artikel 6.1). IKT-riskhanteringsramen ska innehålla en strategi för digital operativ motståndskraft som inbegriper metoder för att hantera IKT-risker och genomförandet av tester av den digitala operativa motståndskraften (artikel 6.8). Metoder för att hantera IKT-risker avser bl.a. regelbundna riskbedömningar (artikel 8), övervakning av IKT-systemens verksamhet (artikel 9), rutiner för säkerhetskopiering, återskapande och återställning (artikel 12) samt IKTkontinuitetspolicys (artikel 11). Strategin ska uppdateras regelbundet (artikel 6).

För vissa finansiella entiteter gäller en förenklad IKT-riskhanteringsram (se artikel 16).

Finansiella entiteter ska registrera alla IKT-relaterade incidenter och betydande cyberhot och inrätta lämpliga förfaranden och processer för att säkerställa en konsekvent och integrerad övervakning, hantering och uppföljning av IKT-relaterade incidenter (artikel 17.1 och 17.2). Allvarliga IKT-relaterade incidenter ska rapporteras till den behöriga myndigheten (artikel 19). Finansiella entiteter får också på frivillig basis rapportera betydande cyberhot till den relevanta behöriga myndigheten.

Det finns också bestämmelser om klassificering av IKT-relaterade incidenter och cyberhot. Kommissionen har vidare möjlighet att komplettera förordningen med tekniska standarder inom detta område (artikel 18).

4.6Testning av digital operativ motståndskraft

tester såsom bl.a. sårbarhetsanalyser, nätverkssäkerhetsbedömningar, fysiska säkerhetsgranskningar och penetrationstester (artikel 25.1). Utifrån testresultatet ska den finansiella entiteten besluta en åtgärdsplan för att säkerställa att identifierade brister hanteras på ett tillfredsställande sätt (artikel 24.5).

Finansiella entiteter som är verksamma inom delsektorer för centrala finansiella tjänster och som har en central betydelse för systemet ska dessutom regelbundet genomföra avancerad testning baserad på hotbildsstyrd penetrationstestning (artikel 26.1 och 26.8 samt skäl 56). Sådana tester ska som utgångspunkt genomföras vart tredje år.

4.7Hantering av IKT-tredjepartsrisker

IKT-tredjepartsrisker ska hanteras som en integrerad del av IKT-risk- hanteringsramen, vilken ska innehålla en strategi för IKT-tredjepartsrisk (artikel 28). Finansiella entiteter ska upprätthålla ett register med information om användningen av IKT-tjänster som tillhandahålls av tredjepartsleverantörer av IKT-tjänster och åtminstone årligen rapportera till den behöriga myndigheten om antalet nya arrangemang. Innan en finansiell entitet ingår ett kontraktsmässigt arrangemang om användning av IKTtjänster ska den bl.a. genomföra due diligence-granskning av potentiella tredjepartsleverantörer, identifiera och bedöma intressekonflikter som det kontraktsmässiga arrangemanget kan orsaka samt identifiera och bedöma alla relevanta risker i samband med det kontraktsmässiga arrangemanget, inbegripet möjligheten att sådana kontraktsmässiga arrangemang kan bidra till att förstärka IKT-koncentrationsrisken. Förordningen innehåller även krav på exitstrategier (artikel 28.8) och bestämmelser om innehållet ide kontraktsmässiga arrangemangen för användning av IKT-tjänster (artikel 30).

För kritiska tredjepartsleverantörer av IKT-tjänster ska det inrättas ett särskilt tillsynsforum som en underkommitté till de europeiska tillsynsmyndigheterna (artiklarna 31–44).

4.8Det fortsatta arbetet inom EU

4.8.1Ytterligare bestämmelser

De europeiska tillsynsmyndigheterna har genom den gemensamma kommittén, i vissa fall i samråd med antingen Europeiska unionens cybersäkerhetsbyrå (Enisa) eller med Europeiska centralbanken (ECB) eller med både Enisa och ECB, utarbetat förslag till tekniska standarder för tillsyn och genomförande på ett antal områden. Kommissionen har enligt DORA-förordningen befogenhet att anta sådana tekniska standarder (artiklarna 15, 16, 18, 20, 26, 28, 30 och 41).

Kommissionen ges enligt DORA-förordningen även befogenhet att anta delegerade akter för att komplettera förordningens bestämmelser om vilka kriterier de europeiska tillsynsmyndigheterna ska tillämpa för att identifiera kritiska tredjepartsleverantörer av IKT-tjänster (artikel 31.6) och för

att fastställa avgiftsbeloppen för tillsynen avseende kritiska tredjeparts- leverantörer av IKT-tjänster (artikel 43.2).

4.8.2Kommande utvärdering

Kommissionen ska senast den 17 januari 2028, efter samråd med de europeiska tillsynsmyndigheterna och Europeiska systemrisknämnden (ESRB), genomföra en översyn och överlämna en rapport för Europaparlamentet och rådet. Översynen ska bl.a. omfatta vissa delar avseende tillämpningen av bestämmelserna om kritiska tredjepartsleverantörer av IKT-tjänster, den frivilliga karaktären avseende rapportering om betydande cyberhot samt lämpligheten i att utvidga förordningens tillämpningsområde till att omfatta försäkrings-och återförsäkringsförmedlare som använder automatiska försäljningssystem, men som på grund av sin storlek m.m.för närvarande exkluderas av förordningens tillämpningsområde (artikel 58.1). Kommissionen ska också senast den 17 januari 2026, efter samråd med de europeiska tillsynsmyndigheterna och kommittén för europeiska tillsynsorgan för revisorer, genomföra en översyn och överlämna en rapport till Europaparlamentet och rådet om behovet av att införa krav på digital operativ motståndskraft för lagstadgade revisorer (artikel 58.3). Rapporterna får åtföljas av lagstiftningsförslag, om lämpligt.

När det gäller tillämpningsområdet för DORA-förordningen har kommissionen, som Getswish AB framför, bedömt att det i nuläget skulle vara förhastat att inkludera betalsystemsoperatörer och andra enheter som deltar i betalningshantering (se artikel 58.2). Mot bakgrund av dessa oövervakade operatörers växande betydelse för tillhandahållandet av betaltjänster och de potentiella risker som deras verksamhet kan orsaka för betalningssystemen och den finansiella stabiliteten, har kommissionen annonserat att en ny översyn ska göras (se Rapport från kommissionen till Europaparlamentet, rådet, Europeiska centralbanken samt Europeiska ekonomiska och sociala kommittén om översynen av Europaparlamentets och rådets direktiv 2015/2366/EU om betaltjänster på den inre marknaden, COM/2023/365 final).

5Kompletterande bestämmelser i nationell rätt

5.1En ny lag införs

Regeringens förslag: Det ska införas en ny lag med kompletterande bestämmelser till DORA-förordningen.

Termer och uttryck i den nya lagen ska ha samma betydelse som i DORA-förordningen.

Bestämmelser om ingripande mot vissa företrädare för juridiska personer ska i första hand införas i befintlig lagstiftning.

respektive entitet. I stället gäller samma definition som enligt de EUrättsakter som reglerar entiteten (se artikel 2.1 tillsammans med artikel 3). Med t.ex. kreditinstitut avses således detsamma som enligt artikel 4.1.1 i Europaparlamentets och rådets förordning (EU) nr 575/2013 av den 26 juni 2013 om tillsynskrav för kreditinstitut och om ändring av förordning (EU) nr 648/2012, dvs. ett företag vars verksamhet består i att från allmänheten ta emot insättningar eller andra återbetalbara medel och att bevilja krediter för egen räkning (artikel 3.31 i DORA-förordningen). Vissa definitioner är i och för sig mindre tillgängliga än andra. Så är t.ex., som Sveriges advokatsamfund tar upp, fallet med transaktionsregister och värdepapperiseringsregister. Genom hänvisningarna i DORA-förord- ningen till andra EU-rättsakter framgår dock även för dessa entiteter vad som avses med respektive begrepp. Med ett transaktionsregister avses en juridisk person som centralt samlar in och registerför uppgifter om derivat (artikel 3.41 i DORA-förordningen tillsammans med artikel 2.2 i Europaparlamentets och rådets förordning (EU) nr 648/2012 av den 4 juli 2012 om OTC-derivat, centrala motparter och transaktionsregister). Ett värdepapperiseringsregister är å sin sida en juridisk person som centralt samlar in och registerför uppgifter om värdepapperiseringar (artikel 3.59 i DORA-förordningen tillsammans med artikel 2.23 i Europaparlamentets och rådets förordning (EU) 2017/2402 av den 12 december 2017 om ett allmänt ramverk för värdepapperisering och om inrättande av ett särskilt ramverk för enkel, transparent och standardiserad värdepapperisering samt om ändring av direktiven 2009/65/EG, 2009/138/EG och 2011/61/EU och förordningarna (EG) nr 1060/2009 och (EU) nr 648/2012, i det följande benämnd EU:s förordning om värdepapperisering). Det bör inte utan starka skäl införas andra termer och uttryck i svensk rätt än de som används i en EU-rättsakt. Motsvarande gäller för förtydliganden av sådant som uteslutande definieras i EU-rättsakter. Regeringen anser därmed, till skillnad från Sveriges advokatsamfund, att termer och uttryck i kompletteringslagen bör ha samma betydelse som i DORA-förordningen. Inte heller bör det göras några förtydliganden av de begrepp som används i DORA-förordningen eller andra EU-rättsakter.

(Esma) som är behörig myndighet (se artikel 46 n om kreditvärderings-institut och artikel 46 q om värdepapperiseringsregister). För sådana kreditinstitut som har klassificerats som betydande i enlighet med artikel

6.4i Rådets förordning (EU) nr 1024/2013 av den 15 oktober 2013 om tilldelning av särskilda uppgifter till Europeiska centralbanken i fråga om politiken för tillsyn över kreditinstitut, är även Europeiska centralbanken (ECB) behörig myndighet. Det följer därför direkt av DORA-förordningen att Finansinspektionen är behörig myndighet enligt förordningen. En upplysningsbestämmelse om detta bör införas i kompletteringslagen.

5.3Svenska skeppshypotekskassan

Regeringens förslag: Svenska skeppshypotekskassan ska inte undantas från tillämpningsområdet för DORA-förordningen.

Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot det.

Skälen för regeringens förslag: Medlemsstaterna får utesluta vissa enheter från tillämpningsområdet för DORA-förordningen. Svenska skeppshypotekskassan är en sådan enhet (artikel 2.4 i DORA-förordningen tillsammans med artikel 2.5.23 i Europaparlamentets och rådets direktiv 2013/36/EU av den 26 juni 2013 om behörighet att utöva verksamhet i kreditinstitut och om tillsyn av kreditinstitut och värdepappersföretag, om ändring av direktiv 2002/87/EG och om upphävande av direktiv 2006/48/EG och 2006/49/EG, i det följande benämnt kapitaltäckningsdirektivet.

Svenska skeppshypotekskassan behandlas som ett kreditinstitut vid tillämpning av EU:s regelverk om kapitaltäckning (se 1 kap. 2 § 7 lagen [2014:968] om särskild tillsyn över kreditinstitut och värdepappersbolag). Det innebär att bestämmelserna i Europaparlamentets och rådets förordning (EU) nr 575/2013 av den 26 juni 2013 om tillsynskrav för kreditinstitut och om ändring av förordning (EU) nr 648/2012 som gäller för kreditinstitut också gäller för Svenska skeppshypotekskassan, utom i fråga om bestämmelserna om stora exponeringar. I och med att DORA-förord- ningen ska gälla för kreditinstitut, bör förordningen också gälla för Svenska skeppshypotekskassan. Möjligheten enligt förordningen att undanta denna enhet utnyttjas således inte.

5.4Hänvisningar till DORA-förordningen

Regeringens förslag: Hänvisningar till DORA-förordningen ska vara dynamiska, dvs. avse förordningen i den vid varje tidpunkt gällande lydelsen.

Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot det.

och att sådana uppgifter inte förs vidare till Finansinspektionen i samband med rapporteringen. Finansinspektionen har att informera de finansiella entiteterna om vilka uppgifter som ska ges in och om de tekniska förutsättningarna för systemet för incidentrapportering. Detta bör samordnas med Finansinspektionens uppgifter kopplade till säkerhetsskydd. När en incidentrapport väl har getts in till Finansinspektionen gäller bestämmelserna i säkerhetsskyddslagen för myndighetens hantering av säkerhetsskyddsklassificerade uppgifter. För uppgifter i en incidentrapport kan sekretess gälla enligt bl.a. 18 kap. 8 § offentlighets-och sekretesslagen (se vidare avsnitt 11). I ett enskilt fall kan det, som Lagrådet berör, innebära att en svensk myndighet inte kan lämna vidare alla uppgifter om en allvarlig ITK-relaterad incident.

5.6Rapportering och anmälan till Finansinspektionen

Regeringens bedömning: Regeringen eller den myndighet som regeringen bestämmer har möjlighet att meddela bestämmelser om hur finansiella entiteter ska rapportera allvarliga IKT-relaterade incidenter och anmäla betydande cyberhot. Detsamma gäller för bestämmelser om hur och när finansiella entiteter ska lämna uppgifter om tredjepartsleverantörer av IKT-tjänster.

Promemorian behandlar inte frågan.

Remissinstanserna: Flertalet remissinstanser tar inte upp frågan. Finansinspektionen efterfrågar ett bemyndigande för att kunna före-skriva om enligt vilket format som inrapportering enligt DORA-förord- ningen ska ske och vid vilken tidpunkt som rapporteringen ska göras.

Skälen för regeringens bedömning: Finansiella entiteter ska enligt DORA-förordningen rapportera allvarliga IKT-relaterade incidenter till Finansinspektionen (artikel 19.1, se även avsnitt 6). Vidare får de, på frivillig basis, anmäla betydande cyberhot till Finansinspektionen (artikel 19.2). Finansiella entiteteter ska även, som en del av hanteringen av IKT-tredjepartsrisker, rapportera vissa uppgifter till Finansinspektionen. Det gäller uppgifter om antalet nya arrangemang för användningen av IKT-tjänster, kategorier av tredjepartsleverantörer av IKT-tjänster, typen av kontraktsmässigt arrangemang och de IKT-tjänster och funktioner som tillhandahålls (artikel 28.3).

Kompletterande tekniska standarder ska tas fram på EU-nivå för att fastställa standardmallar för rapportering av allvarliga IKT-relaterade incidenter (artikel 20) och för det register över uppgifter om tredjepartsleverantörer av IKT-tjänster som avses i artikel 28.3 (artikel 28.9).

Själva rapporteringen av IKT-relaterade incidenter och cyberhot behöver dock göras i ett format som kan hanteras av de system som används av mottagaren, dvs. Finansinspektionen. Det finns därför, som Finansinspektionen påpekar, skäl att reglera i vilket format som rapporteringen ska göras. Det finns även behov av bestämmelser för rapporteringen av uppgifter om tredjepartsleverantörer av IKT-tjänster ska göras. Detta gäller både hur och när det ska ske.

Bestämmelser om hur och när rapporteringen ska ske kan meddelas av regeringen eller den myndighet som regeringen bestämmer i form av verkställighetsföreskrifter (8 kap. 7 § regeringsformen). Det behövs således inte något bemyndigande i kompletteringslagen för detta.

6IKT-relaterade incidenter och cyberhot

Regeringens bedömning: Sverige bör inte utnyttja möjligheten att bestämma att finansiella entiteter ska använda DORA-förordningens mallar när de överlämnar information om en IKT-relaterad incident till en enligt NIS2-direktivet behörig myndighet eller CSIRT-enhet.

Möjligheten att bestämma att finansiella entiteter som frivilligt rapporterar om allvarliga cyberhot också får vidarebefordra en anmälan till en enligt NIS2-direktivet särskilt utsedd CSIRT-enhet bör inte utnyttjas.

Promemorians bedömning överensstämmer med regeringens bedömning.

Remissinstanserna: Flertalet remissinstanser tillstyrker bedömningen eller har inget att invända mot den.

Myndigheten för samhällsskydd och beredskap rekommenderar att finansiella entiteter ska ges möjlighet att frivilligt dela information om allvarliga cyberhot med berörda myndigheter enligt NIS2-direktivet. Myndigheten föreslår att samma rapporteringsformulär bör användas vid incidentrapportering enligt NIS2-direktivet och DORA-förordningen. Myndigheten anser även att det bör införas särskilda bestämmelser om informationsutbyte kring kritiska tredjepartsleverantörer och samverkan mellan myndigheten och Finansinspektionen. Försvaret radioanstalt anser att det finns andra aktörer som också kan ha nytta av information om IKTrelaterade incidenter, t.ex. CSIRT-enheter.

Skälen för regeringens bedömning

DORA-förordningen

I DORA-förordningen finns det flera bestämmelser om rapportering av allvarliga IKT-relaterade incidenter och betydande cyberhot. Allvarliga IKT-relaterade incidenter ska rapporteras till den relevanta behöriga myndigheten (artikel 19.1). Rapporteringen inleds med en första anmälan. En anmälan ska sedan följas upp av en delrapport

–så snart statusen för den ursprungliga incidenten har förändrats avsevärt eller hanteringen av den allvarliga IKT-relaterade incidenten har förändrats på grund av ny tillgänglig information,

–när så är lämpligt åtföljd av uppdaterade anmälningar varje gång en relevant statusuppdatering finns tillgänglig, samt

–på särskild begäran av den behöriga myndigheten.

och cyberkrishantering i förhållande till det nationella genomförandet av NIS2-direktivet låter sig mot denna bakgrund inte göras inom ramen för detta lagstiftningsarbete.

7Hotbildsstyrda penetrationstester

organisations anställda, processer och teknik. Syftet med testet är att identifiera brister för att sedan kunna förbättra motståndskraften för organisationen.

När testet har avslutats och efter att rapporter och åtgärdsplaner har godkänts ska den finansiella entiteten förses med ett intyg som bekräftar att testet har genomförts i enlighet med kraven i DORA-förordningen. Intyget är tänkt att möjliggöra ett ömsesidigt erkännande av hotbildsstyrda penetrationstester mellan behöriga myndigheter i olika medlemsstater (artikel 26.7). Intyget bör enbart användas för ömsesidigt erkännande och bör inte utesluta några uppföljningsåtgärder som krävs för att hantera den IKT-risk som den finansiella entiteten är utsatt för. Avsikten med intyget är inte att det ska innebära tillsynsmyndighetens godkännande av den finansiella entitetens kapacitet att hantera och begränsa IKT-risk (skäl 61). För de finansiella entiteterna gäller alltjämt förordningens krav om IKTriskhantering med en skyldighet att regelbundet se över den egna styrningen och organisationen (se t.ex. artikel 5.2 e–h). Det finns inte anledning att, som Kungl. Tekniska högskolan framför, införa ytterligare krav om att verksamheten ska ses över.

De finansiella entiteterna är enligt förordningen skyldiga att genomföra hotbildsstyrda penetrationstester (artikel 26.1). De behöriga myndigheterna har enligt förordningen vissa uppgifter kopplade till testningen. I ett första steg ska myndigheterna identifiera vilka finansiella entiteter som ska testas (artikel 26.8 tredje stycket). Myndigheterna ska godkänna en finansiell entitets bedömning av vad som ska testas, dvs. om ett test ska omfatta flera eller alla av en finansiell entitets kritiska eller viktiga funktioner och ska utföras på produktionssystem i drift som stöder sådana funktioner (artikel 26.2). Själva testerna ska för de allra flesta finansiella entiteter utföras av en oberoende part (artikel 24.4). Detta hindrar inte att en finansiell entitet använder en intern testare, men det ställer särskilda krav på bl.a. avsatta resurser och hanteringen av intressekonflikter (artiklarna 26.8 och 27). Användande av en intern testare kräver även ett särskilt godkännande av den ansvariga myndigheten (artikel 27.2 a). Vart tredje test ska dock utföras av en extern testare (artikel 26.8 första stycket).

För att dra nytta av den expertis som redan i vissa fall förvärvats med avseende på genomförandet av TIBER-EU, får medlemsstaterna utse en enda offentlig myndighet inom finanssektorn för alla frågor som rör hotbildsstyrd penetrationstestning och ge myndigheten alla befogenheter och uppgifter i detta syfte (artikel 26.9). Om ingen sådan myndighet utses får en behörig myndighet delegera uppgifter som rör sådan testning till en annan nationell myndighet inom den finansiella sektorn (artikel 26.10).

I figur 7.1 ges en översiktlig bild av förfarandet för hotbildsstyrd penetrationstestning enligt DORA-förordningen.

Som ett led i detta bör Riksbanken också utfärda ett sådant intyg som avses i artikel 26.7 i DORA-förordningen om att testerna uppfyller kraven i förordningen.

Bestämmelser om ansvarsfördelningen, i enlighet med artikel 26.9 och

26.10i DORA-förordningen, bör tas in i kompletteringslagen. Finansinspektionen och Riksbanken efterfrågar ytterligare vägledning för ansvarsfördelningen mellan myndigheterna. Artiklarna 26 och 27 i DORA-förordningen om hotbildsstyrd penetrationstestning ska kompletteras med tekniska standarder för tillsyn i enlighet med TIBER-EU-ramen (artikel 26.11). De tekniska standarderna ska bl.a. närmare specificera kraven i fråga om omfattningen av den hotbildsstyrda penetrationstestningen som avses i artikel 26.2, den testmetod och det tillvägagångssätt som ska följas för varje specifik fas i testprocessen, testningens resultat och avslutnings- och åtgärdsfaser samt samarbetet kring testning av finansiella entiteter som är verksamma i mer än en medlemsstat. Den ansvarsfördelning som föreslås i kompletteringslagen bör gälla även för de uppgifter som ska utföras av nationella myndigheter enligt den tekniska standarden. Uppdraget att övervaka och samordna de hotbildsstyrda penetrationstesterna bör alltså innefatta de uppgifter för nationella myndigheter som regleras i den tekniska standarden, med undantag för de beslut som ska fattas av Finansinspektionen enligt kompletteringslagen.

7.2Samverkan mellan Finansinspektionen och Riksbanken

Regeringens förslag: Finansinspektionen ska ge Riksbanken tillfälle att yttra sig innan Finansinspektionen fattar beslut om vilka finansiella entiteter som ska genomföra hotbildsstyrda penetrationstester och hur ofta.

Riksbanken ska ge Finansinspektionen möjlighet att yttra sig innan Riksbanken fattar beslut om testningen som berör Finansinspektionens tillsynsverksamhet. Om detta skulle innebära att testet onödigt fördröjs är det tillräckligt att Riksbanken underrättar Finansinspektionen om beslutet.

Finansinspektionen och Riksbanken ska lämna varandra de uppgifter som respektive myndighet behöver för samverkan.

Promemorians förslag överensstämmer i huvudsak med regeringens förslag. Promemorians förslag innehåller inte någon begränsning av Riksbankens skyldighet att samverka med Finansinspektionen.

Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det.

Riksbanken framför att skyldigheten att samverka med Finansinspektionen bör vara mer begränsad under den aktiva testfasen.

lämnas till en annan myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda (10 kap. 27 § OSL).

Det är tveksamt om dessa bestämmelser i offentlighets- och sekretesslagen är tillräckliga för att Finansinspektionen och Riksbanken ska kunna samverka och lämna uppgifter till varandra på det sätt som krävs för att de ska kunna fullgöra sina uppgifter enligt DORA-förordningen och kompletteringslagen. I första hand är det den mottagande myndigheten som behöver information för att kunna fullgöra sina uppgifter. Riksbanken behöver uppgifter från Finansinspektionen för att kunna fatta beslut om själva genomförandet av testningen. På motsvarande sätt kan Finansinspektionen behöva uppgifter från Riksbanken för att fatta beslut om vilka finansiella entiteter som ska genomföra testningen. Denna typ av informationsutbyte kan inte ske med stöd av bestämmelsen om nödvändigt utlämnande (10 kap. 2 §), då ett sådant utlämnande bara är möjligt för att den utlämnande myndigheten ska kunna fullgöra sitt uppdrag. Ett utlämnande bör i och för sig kunna ske med stöd av generalklausulen (10 kap.

27 §) under förutsättning att det står klart att intresset av ett utlämnande har företräde framför det intresse som sekretessen ska skydda. Ett mer rutinmässigt utlämnande bör dock bara i undantagsfall kunna ske med stöd den bestämmelsen (se del A s. 327).

För att Finansinspektionen och Riksbanken ska kunna utföra sina uppgifter enligt DORA-förordningen och kompletteringslagen bör det krävas ett nära samarbete, med ett omfattande och kontinuerligt informationsutbyte. Det bör lämpligen införas en bestämmelse om att myndigheterna ska lämna vissa uppgifter till varandra. På så sätt tydliggörs skyldigheterna för myndigheterna. En sådan bestämmelse medför också att sekretess inte hindrar att en uppgift lämnas (10 kap. 28 §). Ett utlämnande blir därmed inte beroende av att bestämmelsen om nödvändigt utlämnande (10 kap.

2 §) eller generalklausulen (10 kap. 27 §) är tillämplig. Det bör således införas en särskild uppgiftsskyldighet mellan Finansinspektionen och Riksbanken som möjliggör ett utbyte av uppgifter trots sekretess. Uppgiftsskyldigheten bör begränsas till det som myndigheterna ska samverka med varandra om.

bankens ansvarsområden som föreslås i avsnitt 7.1 kommer befogenheterna bara gälla för Finansinspektionen. Frågan är därmed om Riksbanken behöver motsvarande befogenheter för den hotbildsstyrda penetrationstestningen.

Genomförande av den hotbildsstyrda penetrationstestningen bör i huvudsak ske genom frivillig dialog och samarbete mellan de finansiella entiteter som utför testerna och Riksbanken. Samtidigt rör det sig om krav enligt såväl DORA-förordningen som kompletteringslagen. Riksbanken har inte någon generell befogenhet för att säkerställa att de finansiella entiteterna följer myndighetens anvisningar.

För att Riksbanken ska kunna övervaka och samordna testerna (se avsnitt 7.1) bör myndigheten ges möjlighet att begära in uppgifter av den finansiella entiteten. Detta bör bara gälla de uppgifter som är nödvändiga för Riksbankens verksamhet som rör de hotbildsstyrda penetrationstesterna. Om den finansiella entiteten inte följer Riksbankens begäran bör Riksbanken kunna förelägga den finansiella entiteten att lämna den efterfrågade informationen. Ett föreläggande om att lämna uppgifter bör kunna förenas med vite.

Finansiella entiteter får anlita underleverantörer eller tredjepartsleverantörer av IKT-tjänster, s.k. utkontraktering (se artiklarna 29 och 30 i DORA-förordningen). I de fall ett hotbildsstyrt penetrationstest även ska omfatta den verksamhet som bedrivs av en tredjepartsleverantör av IKTtjänster kommer även leverantören att omfattas av testet. Enligt DORAförordningen är det likväl den finansiella entiteten som har fullt ansvar för att säkerställa att förordningen efterlevs och entiteten ska vidta nödvändiga åtgärder och skyddsåtgärder för att säkerställa att berörda tredjepartsleverantörer av IKT-tjänster deltar i den hotbildsstyrda penetrationstestningen (artikel 26.3). Även i dessa situationer med utkontraktering bör det vara tillräckligt att skyldigheten att lämna uppgifter bara gäller för den finansiella entiteten.

En bestämmelse om uppgiftsskyldighet bör tas in i kompletteringslagen. Bestämmelsen bör utformas efter förebild av motsvarande bestämmelse om uppgiftsskyldighet i lagen (2022:1568) om Sveriges riksbank (12 kap. 1 §).

9Tillsyn

och finansieringsrörelse och 17 kap. 2 § försäkringsrörelselagen [2010:2043]). Som påtalas av remissinstanserna och berörs nedan finns det dock vissa skillnader enligt de olika regelverken (se avsnitt 9.3).

En konsekvens av att det införs bestämmelser i kompletteringslagen är att det, som Sparbankernas Riksförbund påtalar, uppstår en viss dubbelreglering. Det handlar framför allt om möjligheterna att inhämta uppgifter, hålla förhör och genomföra platsundersökningar. Motsvarande överlappning förekommer dock redan mellan flera lagar på finansmarknadsområdet (se t.ex. 17 kap. 1 § försäkringsrörelselagen och 8 kap. 3 § lagen [2018:1219] om försäkringsdistribution, se även s. 90–91). Finansinspektionen har i en sådan situation möjlighet att välja vilken bestämmelse som ska användas.

9.2Rätt att få tillgång till dokument och information

Regeringens förslag: För tillsynen över att bestämmelserna i DORAförordningen följs ska Finansinspektionen få förelägga en fysisk eller juridisk person att tillhandahålla uppgifter, handlingar eller annat.

Finansinspektionen ska även få förelägga den som förväntas kunna lämna upplysningar i saken att inställa sig till förhör.

Ett föreläggande om upplysningar eller om inställelse till förhör ska få förenas med vite.

Ett föreläggande om upplysningar eller om inställelse till förhör ska dock inte få strida mot den i lag reglerade tystnadsplikten för advokater.

Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det.

Sveriges advokatsamfund påtalar att en skyldighet att lämna information kan strida mot den grundläggande rätten för fysiska och juridiska personer att inte belasta sig själva och att det i vart fall bör lyftas att rätten att inte belasta sig själv ska särskilt iakttas av Finansinspektionen.

Sparbankernas Riksförbund påpekar att Finansinspektionen enligt förslaget ges befogenheter som går utöver vad som krävs enligt DORAförordningen.

Skälen för regeringens förslag: Enligt DORA-förordningen ska den behöriga myndigheten få tillgång till alla dokument eller uppgifter i vilken form som helst som enligt myndigheten är relevanta för fullgörandet av dess uppgifter och få eller ta en kopia av dem (artikel 50.2 a). Den behöriga myndigheten ska även kunna kalla till sig företrädare för finansiella entiteter och be dem om muntliga eller skriftliga förklaringar angående sakförhållanden eller dokument som rör föremålet för och syftet med utredningen samt nedteckna svaren samt höra vilken annan fysisk eller

grundlagen. Eftersom det redan följer av principen att grundlag har före- träde framför vanlig lag, behöver detta inte anges särskilt (jfr prop.

2011/12:175 s. 19 och s. 142).

I likhet med flera lagar på finansmarknadsområdet bör det i kompletteringslagen tas in en uttrycklig bestämmelse om att en begäran om upplysningar eller ett beslut om inställelse till förhör inte får strida mot den i lag reglerade tystnadsplikten för advokater (se t.ex. 23 kap. 3 § lagen om värdepappersmarknaden). Det är endast när det gäller advokater som det är befogat att Finansinspektionen ska ha en skyldighet att i samband med föreläggandet beakta tystnadsplikten (se s. 33). Frågan om den person som omfattas av en sådan tystnadsplikt har en skyldighet att lämna uppgifter till Finansinspektionen får avgöras i det enskilda fallet och beror på vilken tystnadsplikt det är fråga om (jfr Kammarrätten i Stockholms dom den 28 september 2006 i mål nr 4514-06).

det gäller tillsynen enligt DORA-förordningen. Det innebär att Finansinspektionen, om det är nödvändigt för tillsynen över att en finansiell entitet följer bestämmelserna i DORA-förordningen och kompletteringslagen, bör få genomföra en undersökning i dennes verksamhetslokaler. En bestämmelse om detta bör tas in i kompletteringslagen.

I likhet med det som annars gäller på finansmarknadsområdet saknas anledning att ge Finansinspektionen rätt att använda tvångsmedel för att genomföra platsundersökningar (jfr s. 148).

Liksom när det gäller andra åtgärder krävs att en platsundersökning aldrig får vara mer långtgående än vad som behövs och att det avsedda resultatet av en sådan undersökning står i rimligt förhållande till de olägenheter som kan antas uppstå för den som undersökningen riktas mot (se 5 § förvaltningslagen [2017:900]).

9.4Finansinspektionens uppföljning av den ledande tillsynsmyndighetens rekommendationer

Regeringens bedömning: Det behövs inte några ytterligare bestämmelser för att Finansinspektionen ska kunna förbjuda användningen eller införandet av en tjänst som tillhandahålls av en kritisk tredjepartsleverantör.

Promemorians bedömning överensstämmer med regeringens bedömning.

Remissinstanserna tillstyrker bedömningen eller har inget att invända mot den.

Skälen för regeringens bedömning: Enligt DORA-förordningen ska tillsynen av kritiska tredjepartsleverantörer av IKT-tjänster utföras på unionsnivå av den ledande tillsynsmyndigheten (artikel 31). En av de tre europeiska tillsynsmyndigheterna EBA, Esma eller Eiopa ska utses till ledande tillsynsmyndighet för var och en av de kritiska tredjepartsleverantörerna. För att utföra sina uppgifter enligt DORA-förordningen får den ledande tillsynsmyndigheten bl.a. genomföra allmänna utredningar och inspektioner (artiklarna 38 och 39). Inom tre månader efter slutförandet av en utredning eller en inspektion, ska den ledande tillsynsmyndigheten anta rekommendationer som riktar sig till den kritiska tredjepartsleverantören (artikel 40.3).

Den ledande tillsynsmyndigheten ska bistås av en gemensam undersökningsgrupp. Denna grupp ska bestå av personal från de europeiska tillsynsmyndigheterna, relevanta behöriga myndigheter och, på frivillig basis, personal från nationell behörig myndighet enligt NIS2-direktivet och nationell behörig myndighet från den medlemsstat där den kritiska tredjepartsleverantören är etablerad (artikel 40). Den ledande tillsynsmyndigheten kan även delegera befogenheter till tjänstemän och andra personer (se artiklarna 37–39 i DORA-förordningen). Befogenheterna för den ledande tillsynsmyndigheten att bedriva tillsyn och ingripa mot kritiska tredjepartsleverantörer regleras direkt i DORA-förordningen.

Efterlevnaden av rekommendationerna för kritiska tredjepartsleveran-törer ska ingå i de behöriga myndigheternas tillsyn av de finansiella entiteterna (artikel 42). Om Finansinspektionen bedömer att en finansiell entitet i sin hantering av IKT-tredjepartsrisker inte tar hänsyn till eller i tillräcklig utsträckning hanterar de specifika risker som identifieras i rekommendationen får inspektionen underrätta den finansiella entiteten om att inspektionen kan komma att vidta åtgärder i avsaknad av lämpliga kontraktsmässiga arrangemang för hantering av sådana risker (artikel 42.4). Som en sista utväg får Finansinspektionen fatta beslut om att finansiella entiteter tillfälligt, helt eller delvis, ska avbryta användningen eller införandet av en tjänst som tillhandahålls av den kritiska tredjepartsleverantören till dess att riskerna har åtgärdats. Vid behov får Finansinspektionen även kräva att finansiella entiteter helt eller delvis ska avsluta relevanta kontraktsmässiga arrangemang som har ingåtts med de kritiska tredjepartsleverantörerna (artikel 42.6). Sådana beslut ska fattas i enlighet med artikel 50 om administrativa sanktioner och avhjälpande åtgärder i förordningen.

Finansinspektionen ska kunna ingripa, med stöd av kompletteringslagen eller med befintliga bestämmelser i rörelselagarna, mot finansiella entiteter genom beslut om föreläggande att inom viss tid vidta en viss åtgärd eller upphöra med ett visst agerande (se förslagen i avsnitt 10.2). Med stöd av detta har inspektionen möjlighet att fatta de beslut som krävs enligt artikel 40.6 i DORA-förordningen.

10Ingripanden

10.1Överträdelser av DORA-förordningen bör inte kriminaliseras

Regeringens bedömning: Det bör inte införas några bestämmelser om straffansvar för överträdelser av DORA-förordningen.

10.2Ingripanden mot finansiella entiteter

rättsliga sanktioner i stället för administrativa sanktioner. Inte heller när det gäller överträdelser av DORA-förordningen finns det skäl att införa straffrättsliga sanktioner. Sanktioner vid överträdelser av förordningen bör därför vara av administrativt slag.

av reglerna i DORA-förordningen (artikel 50.4 d). I tidigare lagstiftnings-ärenden på finansmarknadsområdet har det gjorts bedömningen att Finans-inspektionen inte bör ges rätt att begära ut uppgifter om datatrafik från teleoperatör (se s. 68–69 och prop. 2016/17:22 s. 161–165). De principer och krav för utlämnande av uppgifter över datatrafik som innehas av en teleoperatör som normalt tillämpas i Sverige bör tillämpas även i detta fall. För uppgifter över datatrafik som innehas av en teleoperatör har i svensk rätt avvägningen mellan den enskildes integritetsskydd och möjligheterna att kunna utreda brott lett till att det krävs brott av en viss svårighetsgrad för att brottsbekämpande myndigheter ska få tillgång till uppgifterna. Finansinspektionens utredningar på det område som omfattas av DORA-förordningen rör inte brott eller företeelser som tidigare varit kriminaliserade. Inspektionen bör därför inte heller ges en sådan rätt när det gäller DORA-förordningen.

Den behöriga myndigheten ska enligt DORA-förordningen även kunna besluta om ett offentligt meddelande med uppgift om den fysiska eller juridiska personens identitet och överträdelsens art (artikel 50.4 e). En befogenhet att utfärda offentliga meddelanden ska inbegripa offentliga uttalanden. En möjlighet för Finansinspektionen att meddela ett beslut om anmärkning bör, i enlighet med bedömningar i tidigare lagstiftningsärenden, uppfylla dessa krav i förordningen (se s. 52 och prop. 2022/23:7 s. 156).

Sammantaget har Finansinspektionen, genom gällande bestämmelser i rörelselagarna, de befogenheter att ingripa mot finansiella entiteter som krävs enligt DORA-förordningen. För tydlighets skull bör det dock tas in en upplysningsbestämmelse i kompletteringslagen om att bestämmelser om ingripanden mot finansiella entiteter som åsidosätter sina skyldigheter enligt DORA-förordningen, kompletteringslagen eller, som Finansinspektionen framför och i enlighet med rörelselagarna, andra bestämmelser som har meddelats i anslutning till dessa finns i de lagar som reglerar deras verksamhet.

Lagrådets synpunkt om åtalspreskription behandlas i avsnitt 10.2.2. Ingripanden mot personer som ingår i ledningen för finansiella entiteter behandlas i avsnitt 10.3.

Dessa finansiella entiteter omfattas i stället av direkt tillämpliga EUförordningar som kompletteras av vissa svenska bestämmelser i en kompletteringslag (se t.ex. lagen [2021:899] med kompletterande bestämmelser till EU:s förordning om gräsrotsfinansiering och lagen [2018:2024] med kompletterande bestämmelser till EU:s förordning om referensvärden). Enligt dessa regelverk kan Finansinspektionen vanligtvis bara ingripa vid överträdelser av respektive EU-förordning och kompletteringslag. Detta avviker från det som gäller för de finansiella entiteter som omfattas av en rörelselag där Finansinspektionen har möjlighet att ingripa om entiteten har åsidosatt en bestämmelse som gäller för dess verksamhet (se avsnitt 10.2.1). Finansinspektionen har således inte möjlighet att ingripa mot en finansiell entitet som inte omfattas av en rörelsereglering, om den gör sig skyldig till en överträdelse av DORAförordningen. För att uppfylla kraven enligt DORA-förordningen behöver det införas en sådan möjlighet för Finansinspektionen. En bestämmelse om detta bör tas in i kompletteringslagen. Finansinspektionen bör därmed ges möjlighet att ingripa mot finansiella entiteter som inte omfattas av en rörelselag vid överträdelser av DORA-förordningen eller kompletteringslagen. Såväl kommissionen som regeringen eller den myndighet som regeringen bestämmer ges möjlighet att meddela ytterligare bestämmelser för de finansiella entiteterna (se avsnitt 4.8.1 och avsnitt 5.6). Som Finansinspektionen framför bör myndigheten få ingripa också vid överträdelser av sådana andra författningar som har meddelats i anslutning till DORA-förordningen och kompletteringslagen.

När det gäller kreditvärderingsinstitut är det Esma som ansvarar för tillsynen och som ska ingripa mot sådana institut med tillsynsåtgärder och sanktioner (se s. 17–19). Motsvarande gäller för värdepapperiseringsregister (se artiklarna 10 och 14.1 i EU:s förordning om värdepapperisering, se även prop. 2019/20:37 s. 28–29). Finansinspektionen har således enligt gällande rätt inte någon möjlighet att ingripa mot kreditvärderingsinstitut eller värdepapperiseringsregister. Till skillnad mot vad som föreslås i promemorian bör Finansinspektionen därför inte heller ges rätt att ingripa enligt den nya kompletteringslagen mot sådana finansiella entiteter vid överträdelser av DORA-förordningen.

Särskilt om Svenska skeppshypotekskassan

Svenska skeppshypotekskassan omfattas av DORA-förordningen (se förslagen i avsnitt 5.3). I kompletteringslagen bör det därför införas en möjlighet för Finansinspektionen att ingripa mot kassan om den åsidosätter sina skyldigheter enligt förordningen eller kompletteringslagen.

Finansinspektionen bör kunna ingripa genom att rikta ett föreläggande mot Svenska skeppshypotekskassan att inom viss tid vita en åtgärd eller upphöra med ett visst agerande. Det motsvarar nuvarande ingripandebefogenheter på finansmarknadsområdet mot kassan (se 8 kap. 1 § lagen om särskild tillsyn över kreditinstitut och värdepappersbolag). En sådan bestämmelse bör därför införas i den nya kompletteringslagen.

Finansinspektionen möjlighet att i sitt beslut om återkallelse ge anvis-ningar om hur rörelsen ska avvecklas. Därigenom ges utrymme att ta hänsyn till individuella förhållanden hos den verksamhet som beslutet avser (se s. 175, prop.1991/92:113 s. 208 och prop. 2006/07:115 s. 639). Också vid en återkallelse av auktorisationen för en leverantör av kryptotillgångstjänster, en administratör av kritiska referensvärden och en leverantör av gräsrotsfinansieringstjänster är det av vikt att verksamheten avvecklas på ett ordnat sätt. I kompletteringslagen bör det införas en bestämmelse om att Finansinspektionen ska få besluta hur verksamheten ska avvecklas om en auktorisation återkallas.

I likhet med det som gäller enligt flera rörelselagar på finansmarknadsområdet bör ett beslut om återkallelse av auktorisation få förenas med förbud att fortsätta verksamheten och ett sådant förbud med vite (se t.ex.

15 kap. 4 § andra stycket och 20 § lagen om bank- och finansieringsrörelse). Bestämmelser om detta bör tas in i kompletteringslagen.

Överträdelsen omfattas av ett föreläggande som förenats med vite

Som berörs ovan får begreppet straff i den mening som avses i Europakonventionen även anses omfatta t.ex. vite, se avsnitt 9.2. Om ett vite har dömts ut bör det inte vara möjligt att besluta om en sanktion för samma sak (jfr s. 227–229). I avsnitt 9.2 föreslås att Finansinspektionen ska få utfärda förelägganden om att tillhandahålla uppgifter eller inställa sig till förhör. Ovan föreslås att inspektionen ska kunna besluta om ett förbud att fortsätta verksamheten efter tillståndet återkallats och i avsnitt 10.3 föreslås bestämmelser om förbud att vara styrelseledamot eller verkställande direktör eller ersättare för någon av dem. Dessa beslut ska få förenas med vite.

Om ett föreläggande förenas med vite och det inte följs, bör Finansinspektionen välja mellan att ansöka om utdömande av vitet eller att ingripa mot överträdelsen (jfr samma prop. s. 228). Det bör tas in en bestämmelse i kompletteringslagen om att ett ingripande inte får ske om överträdelsen omfattas av ett föreläggande som har förenats med vite och överträdelsen ligger till grund för en ansökan om utdömande av vitet.

Ett ingripande ska få ske bara om den finansiella entitetetens överträdelse är allvarlig och den fysiska personen i fråga uppsåtligen eller av grov oaktsamhet orsakat överträdelsen.

Ingripande ska få ske genom en eller båda av följande administrativa sanktioner:

1. att den fysiska personen under en viss tid, lägst tre och högst tio år, inte får företräda den finansiella entiteten, eller
2. sanktionsavgift.

Ett beslut om förbud mot att företräda den finansiella entiteten ska få förenas med vite.

Frågor om ingripanden mot fysiska personer ska tas upp av Finansinspektionen genom ett sanktionsföreläggande. Ett godkänt sanktionsföreläggande gäller som ett domstolsavgörande som har fått laga kraft.

Det ska införas en bestämmelse om vilka uppgifter ett sanktionsföreläggande ska innehålla.

Om ett sanktionsföreläggande inte har godkänts inom angiven tid ska Finansinspektionen få ansöka hos domstol om att en sanktion ska beslutas. En sådan ansökan ska göras hos den förvaltningsrätt som är behörig att pröva ett överklagande av Finansinspektionens beslut om ingripande mot den finansiella entiteten. Prövningstillstånd ska krävas vid överklagande till kammarrätten.

Ett sanktionsföreläggande ska vara utan verkan om föreläggandet inte har delgetts den som det riktas mot inom viss tid, oavsett om det gäller handläggningen vid Finansinspektionen eller i domstol.

Promemorians förslag överensstämmer i huvudsak med regeringens förslag. Promemorians förslag innehåller dock inte en särskild bestämmelse om ingripande mot företrädare för försäkringsförmedlare. Promemorians förslag avviker även från regeringens förslag genom att det enligt promemorians förslag ska vara möjligt att ingripa mot företrädare för Svenska skeppshypotekskassan, ett kreditvärderingsinstitut och ett värdepapperiseringsregister.

Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det.

Myndigheten för samhällsskydd och beredskap framför att bestämmelserna, så långt möjligt, bör vara desamma som de bestämmelser som föreslås med anledning av NIS2-direktivet.

Svenska försäkringsförmedlares förening efterfrågar, på motsvarande sätt som för försäkringsföretag, en särskild bestämmelse i lagen om försäkringsdistribution.

Flera remissinstanser har frågor om kretsen som kan bli föremål för ett ingripande. Kungl. Tekniska högskolan anser att det bör förtydligas vilka som omfattas av begreppet ledningsorgan och under vilka omständigheter. Finansinspektionen påpekar att den i dag inte har möjlighet att besluta om sanktionsavgifter mot företrädare för Svenska skeppshypotekskassan och ifrågasätter en sådan möjlighet vid överträdelser av DORA-förordningen. När det gäller ingripanden mot företrädare för en AIF-förvaltare konstaterar såväl Finansinspektionen som Fondbolagens förening att inspektionen, till skillnad mot vad som gäller andra finansiella entiteter, ges möjlighet att ingripa mot förvaltarens ledning. Inspektionen anser att

eller genom sanktionsavgift. Dessa två sanktioner bör också kunna kombineras.

Beräkningen av sanktionsavgifter behandlas i avsnitt 10.4.

I flera lagar på finansmarknadsområdet gäller att ett förbud mot att utöva ledningsfunktioner ska gälla för viss tid, lägst tre år och högst tio år (se t.ex. 15 kap. 1 a § fjärde stycket 1 lagen om bank- och finansieringsrörelse). Detsamma bör gälla för de förbud som nu föreslås. Ett förbud bör även få förenas med vite. Bestämmelser om detta bör tas in i den nya kompletteringslagen, vilket överensstämmer med det som kommer att gälla enligt de olika rörelselagarna.

Ett beslut om förbud mot att utöva vissa ledningsfunktioner i en finansiell entitet innebär i första hand ett förbud att inneha en sådan ställning i den aktuella juridiska personen. Förbudet i är dock vidare än så och omfattar även motsvarande ledande funktioner i andra finansiella entiteter som omfattas av bestämmelsen (se s. 370). Efterlevnaden är i första hand något som Finansinspektionen har att hantera vid en ledningsprövning (prop. 2014/15:57 s. 48–49). Det är inte möjligt att, som Bolagsverket efterfrågar, inom ramen för detta lagstiftningsärende föreslå kompletterande bestämmelser om hur finansiella entiteter ska agera efter ett beslut. När det gäller Finansinspektionen bör en uppgiftsskyldighet regleras på annan nivå än lag (jfr 3 § förordningen [2022:1765] med kompletterande bestämmelser till EU:s förordning om en paneuropeisk privat pensionsprodukt [PEPP-produkt]).

Det bör krävas att överträdelsen är allvarlig och att personen i fråga uppsåtligen eller av grov oaktsamhet har orsakat överträdelsen, eftersom sanktionerna endast ska kunna komma i fråga i särskilt allvarliga fall och de har straffrättslig karaktär. Detta överensstämmer med det som gäller enligt flera lagar på finansmarknadsområdet (se t.ex. 15 kap. 1 a § tredje stycket lagen om bank- och finansieringsrörelse, se även s. 539–542 och de hänvisningar som görs där). Enligt DORA-förordningen ska befogenheterna att tillämpa administrativa sanktioner och avhjälpande åtgärder mot fysiska personer som ingår i ledningsorganet för en finansiell entitet ges med förbehåll för villkor som föreskrivs i nationell rätt (artikel 50.5). Förordningen hindrar därför inte att ett sådant ingripande villkoras på det sättet.

Sanktionsföreläggande

Ingripanden mot fysiska personer som ingår i ledningsorganet för en finansiell entitet bör, i likhet med det som gäller enligt flera lagar på finansmarknadsområdet, ske genom ett sanktionsföreläggande (se t.ex. 25 kap. 10 a § lagen om värdepappersmarknaden, se även s. 536 och de hänvisningar som görs där). Ett sanktionsföreläggande innebär att den fysiska personen föreläggs att inom en viss tid godkänna ett ingripande som är bestämt till tid eller belopp. När ett sanktionsföreläggande har godkänts gäller det som ett domstolsavgörande som har fått laga kraft. Det innebär bl.a. att föreläggandet kan verkställas enligt utsökningsbalken om avgiften inte betalas i tid (jfr prop. 2014/15:57 s. 61). Ett godkännande som görs efter den tid som anges i föreläggandet är utan verkan.

Ett sanktionsföreläggande bör, i likhet med det som gäller enligt andra lagar på finansmarknadsområdet, innehålla vissa uppgifter (se t.ex. 25 kap.

10 b § lagen om värdepappersmarknaden). I kompletteringslagen och de rörelselagar som saknar bestämmelser om sanktionsförelägganden bör det därför anges att ett sanktionsföreläggande ska innehålla en uppgift om den fysiska person som föreläggandet avser, en uppgift om överträdelsen och de omständigheter som behövs för att känneteckna den, uppgift om de bestämmelser som är tillämpliga på överträdelsen och om den sanktion som föreläggs personen. Föreläggandet bör också innehålla en upplysning om att en ansökan om sanktion kan komma att ges in till domstol om föreläggandet inte godkänns inom den tid som Finansinspektionen anger.

Beträffande vad som ska gälla om ett sanktionsföreläggande inte godkänns, görs nu samma bedömning som i tidigare lagstiftningsärenden om sanktioner mot fysiska personer som ingår i en juridisk persons ledningsorgan (se t.ex. s. 61–62). Finansinspektionen bör alltså ha möjlighet att ansöka hos domstol om att en sanktion ska beslutas. En sådan ansökan bör göras hos den förvaltningsrätt som är behörig att pröva ett överklagande av Finansinspektionens beslut om ingripande mot den juridiska personen för samma överträdelse. Prövningstillstånd bör krävas vid överklagande till kammarrätten.

Vidare bör ett sanktionsföreläggande mot en fysisk person vara utan verkan om föreläggandet inte har delgetts personen inom två år från den tidpunkt då överträdelsen ägde rum. I ett sådant fall bör inte heller domstol få besluta om en sanktion.

Bestämmelserna om sanktionsföreläggande i kompletteringslagen och berörda rörelselagar bör utformas efter förebild av motsvarande bestämmelser i andra lagar på finansmarknadsområdet (se t.ex. 25 kap. 10 c och 10 d §§ lagen om värdepappersmarknaden).

10.4Beräkning av sanktionsavgift

Regeringens förslag: En sanktionsavgift för en leverantör av kryptotillgångstjänster, en emittent av s.k. tillgångsanknutna token, en pensionsstiftelse, en administratör av kritiska referensvärden, en leverantör av gräsrotsfinansieringstjänster och ett transaktionsregister som är en juridisk person ska högst kunna fastställas till det högsta av

1. ett belopp som per den 16 januari 2023 i svenska kronor motsvarade en miljon euro,
2. tio procent av den finansiella entitetens omsättning närmast föregående räkenskapsår eller, i förekommande fall, motsvarande omsättning på koncernnivå, eller
3. tre gånger den vinst den finansiella entiteten har gjort till följd av regelöverträdelsen, om beloppet går att fastställa.

Sanktionsavgiften ska inte få bestämmas till ett lägre belopp än

5 000 kronor.

Sanktionsavgiften för en leverantör av kryptotillgångstjänster eller en leverantör av gräsrotsfinansieringstjänster får inte vara så stor att leverantören därefter inte uppfyller de krav särskilda krav om soliditet och likviditet som gäller för sådana finansiella entiteter.

en sanktionsavgift enligt kompletteringslagen inte heller för en leverantör av kryptotillgångstjänster vara så stor att leverantören därefter inte uppfyller de krav om soliditet och likviditet som gäller för den.

I likhet med det som gäller enligt andra lagar på finansmarknadsområdet bör sanktionsavgifter som meddelas med stöd av kompletteringslagen tillfalla staten (se t.ex. 25 kap. 9 § fjärde stycket och 9 a § andra stycket lagen om värdepappersmarknaden).

10.5Omständigheter som ska vara styrande vid ett beslut om ingripande

Regeringens förslag: Det ska tas in bestämmelser i kompletteringslagen om vad Finansinspektionens ska beakta vid ingripanden mot en finansiell entitet.

Vid valet av ingripande ska Finansinspektionen ta hänsyn till hur allvarlig överträdelsen är och hur länge den har pågått. Särskild hänsyn ska tas till överträdelsens art, överträdelsens konkreta och potentiella effekter på det finansiella systemet, skador som uppstått samt graden av ansvar för den som har begått överträdelsen.

Finansinspektionen ska i försvårande riktning beakta om den fysiska eller juridiska personen tidigare har begått en överträdelse. Vid denna bedömning ska särskild vikt fästas vid om överträdelserna är likartade och den tid som har gått mellan de olika överträdelserna.

I förmildrande riktning ska det beaktas om den som har begått överträdelsen i väsentlig utsträckning genom ett aktivt samarbete har underlättat Finansinspektionens utredning, och snabbt upphört med överträdelsen eller snabbt verkat för att överträdelsen ska upphöra, sedan den anmälts till eller påtalats av Finansinspektionen.

De omständigheter som ska vara styrande vid valet av ingripande ska beaktas även vid bestämmande av sanktionsavgiftens storlek. Utöver detta ska särskild hänsyn tas till den juridiska eller fysiska personens finansiella ställning och den vinst som gjorts till följd av överträdelsen, om vinsten går att fastställa.

Finansinspektionen ska få avstå från ett ingripande om överträdelsen är ringa eller ursäktlig, den fysiska eller juridiska personen i fråga gör en rättelse, den fysiska personen har verkat för att den juridiska personen gör en rättelse, någon annan myndighet eller något annat organ har vidtagit åtgärder mot den fysiska eller juridiska personen och dessa åtgärder bedöms som tillräckliga.

Regeringens bedömning: Tillämpliga bestämmelser i rörelselagarna om omständigheter som ska beaktas vid val av sanktion är tillräckliga för att uppfylla DORA-förordningens krav.

Promemorians förslag och bedömning överensstämmer i huvudsak med regeringens förslag och bedömning. Promemorians förslag avviker från regeringens förslag genom att bestämmelserna ska omfatta ingripanden mot ett kreditvärderingsinstitut och ett värdepapperiseringsregister.

Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget och bedömningen eller har inget att invända mot dem. Svenska Bankföreningen

bör, liksom vid tidigare införanden av liknande bestämmelser i EUrättsakter på finansmarknadsområdet, motsvaras av uttrycket ”skador som uppstått” (se prop. 2015/16:26 s. 104–106). Vid bedömningen av själva överträdelsen bör hänsyn även tas till sådant som i DORA-förordningen uttrycks som ”graden av ansvar” (artikel 51.2 b). Med detta avses i huvudsak att någon kan vara mer eller mindre ansvarig för en överträdelse och ha en omfattande eller mer begränsad kännedom om de omständigheter som utgör överträdelsen. Detta innefattar även om överträdelsen är uppsåtlig eller om den har begåtts av oaktsamhet. Om nämnda faktorer bildar utgångspunkt för valet av ingripande kan därefter det slutliga utfallet påverkas av faktorer som inte är att hänföra till själva överträdelsen. Till sådana omständigheter bör hänföras omfattningen av erhållna fördelar till följd av överträdelsen, tidigare överträdelser och agerandet hos den som begått överträdelsen efter det att överträdelsen har avslöjats.

Omständigheter som bör beaktas särskilt vid bestämmande av sanktionsavgiftens storlek

I flera lagar på finansmarknadsområdet anges inte bara omständigheter som Finansinspektionen ska beakta vid valet av ingripande. Det anges även omständigheter som ska beaktas vid fastställande av sanktionsavgiftens storlek (se t.ex. 25 kap. 19 c § lagen om värdepappersmarknaden). Också i kompletteringslagen bör det anges omständigheter som Finansinspektionens ska beakta vid fastställande av sanktionsavgiftens storlek.

I likhet med det som gäller enligt flera andra lagar på finansmarknadsområdet bör Finansinspektionen, vid fastställande av storleken på sanktionsavgiften, ta hänsyn till samtliga relevanta omständigheter. Detta inbegriper sådana omständigheter som ska beaktas vid valet av ingripande. I fråga om sanktionsavgiftens storlek är det därutöver särskilt relevant att beakta den aktuella personens finansiella ställning och storleken på den vinst som personen gjort till följd av överträdelsen.

I DORA-förordningen anges att den finansiella styrkan hos den fysiska eller juridiska personen ska beaktas (artikel 51.2 c). I andra lagstiftningsärenden på finansmarknadsområdet har den finansiella ställningen bestämts utifrån den juridiska personens totala omsättning eller den ansvariga fysiska personens årsinkomst. Även andra ekonomiska förhållanden, såsom underhållsskyldighet i fråga om fysisk person och förmögenhetsförhållanden, bör dock kunna beaktas (se s.90).

Vidare anges det i DORA-förordningen att omfattningen av de vinster som erhållits eller förluster som undvikits av den fysiska eller juridiska person som har gjort sig skyldig till överträdelsen ska beaktas (artikel 51.2 d). I likhet med de bedömningar som gjorts i tidigare lagstiftningsärenden av motsvarande bestämmelser i andra EU-rättsakter, bör i bestämmelsen i den nya kompletteringslagen enbart vinst anges (se t.ex. s. 602–603). Den vinst som gjorts avser ett nettobelopp och omfattar de intäkter som erhållits och de förluster som undvikits, dvs. den fördel som faktiskt erhållits (jfr samma prop. s. 603).

Finansinspektionen ska kunna avstå från ett ingripande

Enligt flera lagar på finansmarknadsområdet får Finansinspektionen avstå från ett ingripande i vissa situationer (se t.ex. 25 kap. 2 § andra stycket lagen om värdepappersmarknaden). Denna möjlighet bör även finnas vid ett ingripande med stöd av kompletteringslagen.

I huvudsak bör Finansinspektionen få avstå från ett ingripande i samma situationer som enligt andra lagar på finansmarknadsområdet (jfr samma lag som ovan). Finansinspektionen bör således kunna avstå från ett ingripande om överträdelsen är ringa eller ursäktlig, den juridiska eller fysiska personen i fråga gör en rättelse eller den fysiska personen har verkat för att den juridiska personen ska göra rättelse. Inspektionen bör också kunna avstå från ett ingripande om någon annan myndighet eller något annat organ har vidtagit åtgärder mot den juridiska eller fysiska personen och dessa åtgärder bedöms tillräckliga. Detta täcker ett stort antal situationer, t.ex. en risk för dubbelprövning (jfr 5 kap. 17 § 3 lagen med kompletterande bestämmelser till EU:s marknadsmissbruksförordning och s. 392). Till skillnad från t.ex. lagen med kompletterande bestämmelser till EU:s marknadsmissbruksförordning torde det inte bli aktuellt med ingripanden mot mycket unga och omyndiga personer (se samma prop. s. 227 och 392). Det är därmed svårt att se några ytterligare fall då Finansinspektionen bör kunna avstå från ett ingripande. I kompletteringslagen bör det därmed inte införas någon generell möjlighet för Finansinspektionen att avstå från ingripande om det finns andra särskilda skäl.

10.6Betalning, preskription och verkställighet

Regeringens förslag: Sanktionsavgifter som tas ut med stöd av kompletteringslagen ska betalas inom 30 dagar efter det att ett beslut om att ta ut avgiften har fått laga kraft eller sanktionsföreläggandet godkänts eller den längre tid som anges i beslutet eller föreläggandet. Om en sanktionsavgift inte betalas inom denna tid, ska Finansinspektionen lämna den obetalda avgiften för indrivning.

En sanktionsavgift ska falla bort i den utsträckning verkställighet inte har skett inom fem år från det att beslutet eller domen fick laga kraft eller sanktionsföreläggandet godkändes.

Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot det.

Skälen för regeringens förslag: I DORA-förordningen finns det inte några bestämmelser om betalning av sanktionsavgifter, preskription och verkställighet. Medlemsstaterna har således möjlighet att själva avgöra vad som ska gälla i sådana frågor.

I flera lagar på finansmarknadsområdet finns det bestämmelser om betalning, preskription och verkställighet av sanktionsavgifter som beslutas med stöd av de lagarna (se t.ex. 25 kap. 25–28 §§ lagen om värdepappersmarknaden). För sanktionsavgifter som beslutas med stöd av kompletteringslagen bör motsvarande bestämmelser införas. Sådana bestämmelser bör utformas efter förebild av motsvarande bestämmelser i andra lagar på finansmarknadsområdet (se t.ex. 25 kap. 25–28 §§ lagen om värdepappersmarknaden).

En sanktionsavgift som beslutas med stöd av kompletteringslagen bör således betalas till Finansinspektionen inom 30 dagar efter det att ett beslut om avgiften har fått laga kraft eller den längre tid som anges i beslutet (jfr t.ex. 25 kap. 25 § lagen om värdepappersmarknaden). Finansinspektionens beslut om en sanktionsavgift bör få verkställas enligt utsökningsbalken (jfr t.ex. 25 kap. 26 § lagen om värdepappersmarknaden). Om avgiften inte betalas inom denna tid, bör Finansinspektionen lämna den obetalda avgiften för indrivning (jfr t.ex. 25 kap. 27 § lagen om värdepappersmarknaden).

Finansinspektionens beslut om sanktionsavgift ska kunna överklagas (se förslagen i avsnitt 17.1). Beslutet är därmed ett sådant beslut som enligt 3 kap. 1 § första stycket 6 a och 20 § första stycket utsökningsbalken får verkställas som en exekutionstitel när beslutet har fått laga kraft (se prop. 2021/22:206). Det behövs därför ingen särskild föreskrift om att beslutet får verkställas enligt utsökningsbalken. Även ett godkänt sanktionsföreläggande kan verkställas (se avsnitt 10.3). Ett mål om sanktionsavgift handläggs som allmänt mål hos Kronofogdemyndigheten (se 1 kap. 6 § och 3 kap. 1 § första stycke 6 utsökningsbalken).

I flera lagar på finansmarknadsområdet anges att en sanktionsavgift som beslutats faller bort, dvs. preskriberas, i den utsträckning verkställighet inte har skett inom fem år (se t.ex. 5 kap. 25 § lagen med kompletterande bestämmelser till EU:s marknadsmissbruksförordning). Motsvarande bör gälla för sanktionsavgifter som beslutas med stöd av kompletteringslagen. Även i dessa fall bör preskriptionstiden vara fem år. Med verkställighet avses faktiska verkställighetsåtgärder. Preskriptionen är absolut. Det betyder att fullgörande inte kan krävas efter det att fem år har gått sedan beslutet fått laga kraft, även om verkställighet har skett under femårsperioden avseende en del av sanktionsavgiften. Det som preskriberas är den del av avgiften som ännu inte har drivits in (se s. 255–257).

sammanhang kan de ge grundläggande information om vilket skydd ett företag har, t.ex. om det är allmänt känt att en person har en särskild expertkunskap eller är knuten till ett företag som bara tillhandahåller en viss typ av it-tjänster.

Genom DORA-förordningen införs krav om att vissa företag ska genomföra tester (se avsnitt 7). Dessa tester kräver ett samspel och tilltro mellan företag och myndigheter. För företagen är det, som Riksbanken tar upp, av yttersta vikt att de uppgifter som företagen delar har ett tillräckligt skydd hos myndigheterna. Det kan motverka syftet med testerna om företagen väljer att begränsa vilka uppgifter som de delar bara utifrån risken att uppgifterna inte kan skyddas hos myndigheterna och förlängningen hamna i orätta händer. Detta skulle försvåra möjligheterna till erfarenhetsutbyte och ett samlat arbete med att öka motståndskraften i hela den finansiella sektorn, vilket är det huvudsakliga syftet med DORA-förordningen (se artikel 1). I stort gäller detta även för incidentrapporteringen där ett mer begränsat informationsutbyte riskerar att leda till att större och mer grundläggande brister inte identifieras, vilket kan påverka hela den finansiella sektorn och den finansiella stabiliteten.

I DORA-förordningen finns en särskild bestämmelse om tystnadsplikt. Bestämmelsen tar i första hand sikte på det samarbete och informationsutbyte som enligt förordningen ska äga rum mellan olika myndigheter. All information som utbyts mellan de behöriga myndigheterna och som avser affärs- eller driftförhållanden och andra ekonomiska eller personliga förhållanden ska anses vara konfidentiell och omfattas av tystnadsplikt (artikel 55.4). Tystnadsplikten ska gälla för alla personer som arbetar eller har arbetat för de behöriga myndigheterna, eller för en myndighet eller ett marknadsföretag eller en fysisk eller juridisk person som de behöriga myndigheterna har delegerat sina befogenheter till. Detta inbegriper revisorer och experter som arbetar på den behöriga myndighetens uppdrag (artikel 55.2). Information som omfattas av tystnadsplikt, inbegripet det informationsutbyte som ska ske mellan behöriga myndigheter enligt DORA-förordningen och behöriga myndigheter som har utsetts eller inrättats i enlighet med NIS2-direktivet, får inte lämnas ut till någon annan person eller myndighet utom när det föreskrivs i unionsrätt eller nationell rätt (artikel 55.3).

För svenska förhållanden torde bestämmelsen i DORA-förordningen främst gälla för de uppgifter som ska utbytas mellan Finansinspektionen och Riksbanken (se avsnitt 7.2). Den torde också omfatta det samarbete och informationsutbyte som ska ske mellan svenska myndigheter och myndigheter i andra medlemsstater och de europeiska tillsynsmyndigheterna (se t.ex. artikel 48 i DORA-förordningen, se även avsnitt 13). Bestämmelsen är, som förordningen i sig, direkt tillämplig (se avsnitt 5.1). Det som anges i artikel 55.3 om tystnadsplikt kommer därmed att gälla även utan lagstiftningsåtgärder. Möjligheterna för svenska myndigheter att lämna ut eller dela uppgifter styrs av bestämmelserna i offentlighets- och sekretesslagen.

Sammantaget finns det ett behov av skydd för uppgifter som de svenska myndigheterna kommer att hantera med anledning av DORA-förord- ningen. Frågan är vilket skydd som sådana känsliga uppgifter har enligt gällande rätt.

särskilt känsliga. Som utvecklas ovan bör det dock vara samma typ av känsliga uppgifter som kan förekomma vid en myndighets verksamhet enligt DORA-förordningen som i dag förekommer vid annan tillstånds- och tillsynsverksamhet på finansmarknadsområdet. Behovet av skydd bör därmed vara detsamma oavsett om uppgifterna förekommer vid den vanliga finansiella tillsynen eller vid tillsyn enligt DORA-förordningen, de hotbildsstyrda penetrationstesterna eller i incidentrapporter. Regeringen anser därmed, till skillnad från Svenska Bankföreningen och Sparbankernas Riksförbund, att det nuvarande skyddet för affärs- eller driftförhållanden är tillräckligt.

För tredjemansuppgifter, dvs. uppgifter om ekonomiska eller personliga förhållanden för annan som har trätt i affärsförbindelse eller liknande förbindelse med den som myndighetens verksamhet avser, är det svårt att få en överblick av vilka uppgifter som är känsliga och vilka som inte är det. Som TU – medier i Sverige och Svenska journalistförbundet framför kan det finnas ett intresse för allmänheten att ta del av också denna typ av uppgifter. Dessa uppgifter kan dock, som utvecklas ovan, behöva ses i ett sammanhang. Uppgifterna kan då vara mycket känsliga även om de var för sig inte ger sken av det. Det kan t.ex. gälla uppgifter om en befattningshavare i en tredjepartsleverantör av IKT-tjänster som förenat med uppgifter om befattningshavarens kompetens och erfarenhet kan ge information om både vilket it-system som används och hur det fungerar. Vanligtvis bör tredjemannen även vara en enskild som bara står i affärsförbindelse med ett företag som omfattas av DORA-förordningen utan att själv omfattas av förordningen och dess krav. Vidare bör tredjemannens verksamhet som huvudregel vara specialiserad och i första hand riktad mot företag. Det rör sig således, till skillnad mot den som myndighetens verksamhet avser, inte om en verksamhet där konsumenter erbjuds finansiella tjänster. De nu aktuella tredjemansuppgifterna bör, liksom uppgifter om affärs- eller driftförhållanden, förekomma både i myndigheternas verksamhet enligt DORA-förordningen och i myndigheternas övriga tillsynsverksamhet. Detta gäller både typen av uppgifter och de faktiska uppgifterna. Regeringen anser därmed, till skillnad från TU – medier i Sverige och Svenska journalistförbundet, att det inte finns skäl att inskränka det nu gällande skyddet för denna typ av uppgifter om uppgifterna förekommer vid en myndighets verksamhet enligt DORA-förordningen.

Annat har inte framkommit än att den sekretesstid som gäller enligt ovan berörda bestämmelser är tillräcklig också för uppgifter som förekommer vid verksamhet enligt DORA-förordningen.

Sammantaget anser regeringen att de ovan nämnda bestämmelserna om sekretess tillgodoser behovet av skydd för sådana känsliga uppgifter som kan förekomma i de svenska myndigheternas verksamhet enligt DORAförordningen. Det finns därför inte behov av några ytterligare bestämmelser.

Frågan, som Riksbanken tar upp, om ett bredare samarbete på finansmarknadsområdet mellan företag och myndigheter och förutsättningarna för det ryms inte inom detta lagstiftningsärende.

Utlämnande trots sekretess berörs i avsnitt 7.2 och 13.

skyddsförordning), i det följande benämnd EU:s dataskyddsförordning, eller Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG, beroende på vilken förordning som är tillämplig (artikel 56.1). Möjligheten att offentliggöra ett beslut i anonymiserad form (artikel 54.3 b) innebär i sig ett skydd för personuppgifter. I enlighet med den bedömning som gjorts i ett tidigare lagstiftningsärende (prop. 2020/21:206 s. 92), bör gällande regelverk för hantering av personuppgifter inte innebära något hinder för uppfyllande kraven på offentliggörande av beslut enligt DORA-förordningen.

13Samarbete och informationsutbyte mellan myndigheter

Regeringens bedömning: Det informationsutbyte som enligt DORAförordningen ska ske mellan myndigheter kan komma till stånd inom ramen för gällande svensk rätt.

Promemorians bedömning överensstämmer med regeringens bedömning.

Remissinstanserna: Flertalet remissinstanser tillstyrker bedömningen eller har inget att invända mot den.

Riksbanken påpekar att det inom ramen för TIBER-EU förekommer ett samarbete mellan såväl behöriga myndigheter som centralbanker och Europeiska centralbanken.

Skälen för regeringens bedömning: I DORA-förordningen finns det flera bestämmelser om samarbete och informationsutbyte. Detta gäller dels mellan behöriga myndigheter, dels mellan behöriga myndigheter och europeiska myndigheter och andra organ. Till exempel ska de behöriga myndigheterna och den ledande tillsynsmyndigheten (någon av EBA, Esma eller Eiopa) ömsesidigt utbyta all relevant information om kritiska tredjepartsleverantörer av IKT-tjänster som är nödvändig för att de ska kunna utföra sina respektive uppgifter enligt förordningen (artikel 48.2 i DORA-förordningen). De europeiska tillsynsmyndigheterna EBA, Esma och Eiopa får, i samarbete med bl.a. behöriga myndigheter, inrätta mekanismer för att möjliggöra utbyte av effektiv praxis mellan olika finansiella sektorer för att öka situationsmedvetenheten och identifiera gemensamma sårbarheter och risker på it-området (artikel 49.1 första stycket). Vidare ska de behöriga myndigheterna, de europeiska tillsynsmyndigheterna och ECB nära samordna sin tillsyn för att identifiera och åtgärda överträdelser av förordningen, utarbeta och främja bästa praxis, underlätta samarbete, främja en konsekvent tolkning och tillhandahålla bedömningar över jurisdiktionsgränserna om det uppstår meningsskiljaktigheter (artikel 49.2).

Bestämmelserna i DORA-förordningen är, som utvecklas i avsnitt 5.1, direkt tillämpliga och ger i och med det finansiella entiteter möjlighet att dela information på det sätt som anges i förordningen även utan svenska lagstiftningsåtgärder. Information får dock inte delas på ett sätt som strider mot bestämmelser som begränsar möjligheterna att dela information, t.ex. bestämmelser om tystnadsplikt, personuppgiftsskydd eller konkurrens.

16Avgifter

integritetsintrång som behandlingen av personuppgifter innebär får anses stå i proportion till de behov som motiverar behandlingen.

Sammanfattningsvis görs bedömningen att den personuppgiftsbehandling som förslagen ger upphov till är förenlig med EU:s dataskyddsförordning. Befintlig reglering på personuppgiftsområdet utgör en tillräcklig reglering för den personuppgiftsbehandling som kommer med anledning av DORA-förordningen och kompletteringslagen.

avgifter av de finansiella entiteter som står under Finansinspektionens tillsyn. En bestämmelse om detta bör tas in i kompletteringslagen. Det innebär, som Euroclear Sweden AB framför, att avgifterna ska uppgå till ett belopp som motsvarar Finansinspektionens årliga kostnader för den aktuella verksamheten (2 § förordningen om årliga avgifter för finansiering av Finansinspektionens verksamhet). Det finns inte anledning att, som Euroclear Sweden AB och Sparbankernas Riksförbund efterfrågar, närmare beröra avgiftssättningen inom ramen för detta lagstiftningsärende. Som gäller enligt flera lagar på finansmarknadsområdet (se t.ex.

23 kap. 12 § första stycket och 15 § 6 lagen om värdepappersmarknaden) bör regeringen få meddela föreskrifter om avgifterna.

16.2Riksbankens verksamhet

Regeringens förslag: Riksbanken ska få ta ut avgifter från de finansiella entiteter som ska genomgå hotbildsstyrda penetrationstester.

Riksbanken ska få meddela föreskrifter om avgifterna.

Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot det.

Skälen för regeringens förslag: Riksbanken kommer i och med DORA-förordningen att få ytterligare uppgifter. Den ska samordna och övervaka utförandet av de hotbildsstyrda penetrationstesterna (se förslagen i avsnitt 7.1). Detta innebär att Riksbanken ska delta i planeringen och genomförandet av testningen genom att bl.a. validera vilka delar inom den finansiella entiteten som ska omfattas av testningen och säkerställa att den testare som anlitas för utförandet av testet uppfyller de krav som ställs i DORA-förordningen. Riksbanken ska även utfärda intyg om att ett test har utförts i enlighet med kraven i förordningen.

De nya uppgifterna utgör myndighetsutövning mot enskilda och innebär ökade kostnader för Riksbanken. Inom den finansiella sektorn finansieras myndighetsutövning mot enskilda vanligtvis genom avgifter. Detta gäller t.ex. Riksbankens verksamhet som rör referensvärden (se 1 kap. 12 § andra stycket lagen om Sveriges riksbank). Också Riksbankens verksamhet som rör hotbildsstyrda penetrationstester enligt DORA-förordningen bör finansieras genom avgifter. Riksbanken bör därför få ta ut avgifter av de finansiella entiteter som ska genomgå tester. Som gäller för verksamhet som rör referensvärden bör Riksbanken få meddela föreskrifter om avgifterna (jfr 13 kap. 1 § 1 lagen om Sveriges riksbank).

17Överklagande, beslut som ska gälla omedelbart och verkställighet

agerande som strider mot DORA-förordningen eller kompletteringslagen. Även vid ett beslut om att en fysisk person under en viss tid inte får vara styrelseledamot eller verkställande direktör är det av betydelse att beslutet gäller omedelbart. Slutligen kan det också vid ett beslut om återkallelse av tillstånd vara av stor vikt att beslutet gäller omedelbart. För att signalera att allmänintresset av omedelbar verkställighet kan vara särskilt högt i de nu aktuella fallen bör en bestämmelse tas in i kompletteringslagen om att Finansinspektionen får bestämma att dessa beslut ska gälla omedelbart (jfr bl.a. prop. 2020/21:206 s. 95).

Vid ingripanden mot finansiella entiteter som omfattas av en rörelselag finns bestämmelser i respektive rörelselag om omedelbar verkställighet av Finansinspektionens beslut om förbud, föreläggande och återkallelse av tillstånd (se avsnitt 10.2.1). De hotbildsstyrda penetrationstesterna är förhållandevis omfattande och såväl planeringen som genomförandet tar tid i anspråk. Testerna ska dessutom, som utgångspunkt, genomföras minst vart tredje år (se artikel 26.1 i DORA-förordningen). Därtill kommer den snabba utvecklingen inom området. Det är av vikt att testerna både påbörjas i tid och slutförs så snart det är möjligt. Även i dessa fall bedöms allmänintresset av omedelbar verkställighet vara särskilt stort. Det bör därför, som Finansinspektionen och Riksbanken framför, införas en bestämmelse i kompletteringslagen om att Finansinspektionen får bestämma att ett beslut om hotbildsstyrda penetrationstester ska gälla omedelbart.

och 42 §§ förvaltningslagen). Det bör, som vanligtvis gäller för en myndighets beslut, krävas prövningstillstånd vid överklagande till kammarrätten.

Under genomförandet av de hotbildsstyrda penetrationstesterna torde Riksbanken behöva fatta flera olika beslut. Bland annat ska Riksbanken säkerställa att den finansiella entiteten tillämpar den testmetod och det tillvägagångssätt som ska följas för varje specifik fas i testprocessen. Enligt DORA-förordningen ska Riksbanken också validera vilka kritiska eller viktiga funktioner som ska omfattas av testningen (artikel 26.2 tredje stycket) och säkerställa att den testare som anlitas för utförandet av testet uppfyller de krav som ställs i förordningen (artikel 27). Ett överklagande av dessa beslut skulle kunna fördröja testprocessen i onödan. Dessa beslut bör därför inte få överklagas. Ett beslut av detta slag kan likväl, om än i ett senare skede, komma att prövas av domstol. Detta kan t.ex. ske antingen genom att Riksbanken fattar ett beslut om att inte utfärda ett intyg om att testningen har utförts i enlighet med kraven i DORA-förordningen. Andra beslut än de som avser förelägganden eller utfärdande av intyg bör därför inte få överklagas.

17.3Verkställighet av den ledande tillsynsmyndighetens beslut om viten

Regeringens förslag: Beslut om viten enligt DORA-förordningen ska få verkställas enligt utsökningsbalkens bestämmelser på samma sätt som en svensk dom som har fått laga kraft.

Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot det.

Skälen för regeringens förslag: Enligt DORA-förordningen ska den ledande tillsynsmyndighetens beslut om viten vara verkställbara (artikel 35.9). Verkställigheten ska följa de civilprocessrättsliga regler som gäller i den medlemsstat inom vars territorium åtgärden ska genomföras.

Beslut om viten enligt DORA-förordningen, som fattas av den ledande tillsynsmyndigheten, bör därför få verkställas enligt utsökningsbalken på samma sätt som en svensk dom som har fått laga kraft. En bestämmelse om detta bör tas in i kompletteringslagen. Bestämmelsen bör utformas efter förebild av det som gäller enligt motsvarande bestämmelser för verkställighet av Esmas beslut om viten enligt förordningen om marknader för finansiella instrument (se 23 kap. 4 b § lagen om värdepappersmarknaden och s. 47).

Enligt DORA-förordningen ska domstolarna i den berörda medlemsstaten vara behöriga att pröva klagomål som rör oegentligheter i verkställigheten (artikel 35.9).

Kronofogdemyndigheten är den svenska myndighet som kommer att ansvara för den praktiska verkställigheten och dess beslut kan överklagas till allmän domstol (se 1 kap. 3 § och 18 kap. utsökningsbalken). Dessa mål bör, liksom mål om avgifter eller viten enligt EU:s förordning om marknader för finansiella instrument, hanteras som enskilda mål (se 1 kap. 6 § tredje stycket utsökningsbalken, se även samma prop.).

18Ändringsdirektivet

18.1EU-direktiv på finansmarknadsområdet som ändras

I samband med DORA-förordningen har Europaparlamentet och rådet genom ändringsdirektivet beslutat om ändringar i följande direktiv:

–Europaparlamentet och rådets direktiv 2009/65/EG av den 13 juli 2009 om samordning av lagar och andra författningar som avser företag för kollektiva investeringar i överlåtbara värdepapper (fondföretag), i det följande benämnt UCITS-direktivet.

– Europaparlamentets och rådets direktiv 2009/138/EG av den 25 november 2009 om upptagande och utövande av försäkrings-och återförsäkringsverksamhet, i det följande benämnt Solvens II-direktivet.

–Europaparlamentets och rådets direktiv 2011/61/EU av den 8 juni 2011 om förvaltare av alternativa investeringsfonder samt om ändring av direktiv 2003/41/EG och 2009/65/EG och förordningarna (EG) nr 1060/2009 och (EU) nr 1095/2010, i det följande benämnt AIFM-direktivet. – Europaparlamentets och rådets direktiv 2013/36/EU av den 26 juni 2013 om behörighet att utöva verksamhet i kreditinstitut och om tillsyn av kreditinstitut och värdepappersföretag, om ändring av direktiv 2002/87/EG och om upphävande av direktiv 2006/48/EG och 2006/49/EG, i det följande benämnt kapitaltäckningsdirektivet. – Europaparlamentets och rådets direktiv 2014/59/EU av den 15 maj 2014 om inrättande av en ram för återhämtning och resolution av kredit-institut och värdepappersföretag och om ändring av rådets direktiv 82/891/EEG och Europaparlamentets och rådets direktiv 2001/24/EG, 2002/47/EG, 2004/25/EG, 2005/56/EG, 2007/36/EG, 2011/35/EU, 2012/30/EU och 2013/36/EU samt Europaparlamentets och rådets förord-ningar (EU) nr 1093/2010 och (EU) nr 648/2012, i det följande benämnt krishanteringsdirektivet. – Europaparlamentets och rådets direktiv 2014/65/EU av den 15 maj 2014 om marknader för finansiella instrument och om ändring av direktiv 2002/92/EG och av direktiv 2011/61/EU, i det följande benämnt MiFID II, – Europaparlamentets och rådets direktiv (EU) 2015/2366 av den 25 november 2015 om betaltjänster på den inre marknaden, om ändring av direktiven 2002/65/EG, 2009/110/EG och 2013/36/EU samt förordning (EU) nr 1093/2010 och om upphävande av direktiv 2007/64/EG, i det följande benämnt andra betaltjänstdirektivet. – Europaparlamentets och rådets direktiv (EU) 2016/2341 av den 14 december 2016 om verksamhet i och tillsyn över tjänstepensions-institut, i det följande benämnt andra tjänstepensionsdirektivet.

Finansinspektionen framför att det bör förtydligas att kraven på fondbolags och AIF-förvaltares rutiner för drift och förvaltning av verksamheten också bör omfatta deras nätverkssystem.

När det gäller betaltjänstleverantörer framför Finansinspektionen att det bör tydliggöras vilka betaltjänstleverantörer som fortsatt är rapporteringsskyldiga enligt lagen om betaltjänster. Riksbanken avstyrker förslaget om att de betaltjänstleverantörer som omfattas av DORA-förordningen bara ska incidentrapportera enligt förordningen. Myndigheten för samhällsskydd och beredskap anser å sin sida att Finansinspektionens informationsskyldighet enligt lagen om betaltjänster även bör gälla den gemensamma kontaktpunkten, Cyberkrishanteringsmyndigheten, den nationella CSIRTenheten enligt direktiv (EU) 2022/2555. Kungl. Tekniska högskolan framför att det bör förtydligas och utvecklas vad som omfattas av betaltjänster.

Svenska Pensionsstiftelsers Förening framför att regeringen bör överväga att utreda om pensionsstiftelser lämpligen ska ses som ett tjänstepensionsinstitut på det sätt som nu sker. Det framför även att regeringen tydligare bör ange hur proportionaliteten ska få genomslag för pensionsstiftelser, t.ex. genom att en pensionsstiftelse oavsett storlek ska få tillämpa den förenklade IKT-riskhanteringsramen. Utifrån pensionsstiftelsers särart bör även förtydligas vilka nätverks- och informationssystem som pensionsstiftelsen ska ansvara för enligt förordningen och vilka IKT-risker som ska beaktas inom stiftelsernas riskhantering inom IKT-riskhanteringsramen.

Skälen för regeringens förslag

Skyldighet att uppfylla kraven i DORA-förordningen

En del ändringar i EU-direktiven kräver justeringar av de svenska bestämmelser som genomför direktiven. I huvudsak rör det bestämmelser om företagens riskhantering och att företagen framöver också ska uppfylla kraven i DORA-förordningen.

Det är, som Myndigheten för samhällsskydd och beredskap tar upp, viktigt med en enhetlig användning av olika begrepp. Begreppen i EUrättsakterna bör dock som utgångspunkt användas även i de svenska bestämmelserna. I såväl andra tjänstepensionsdirektivet som i det svenska genomförandet används begreppet beredskapsplan (se artikel 21.5 jämförd med 16 g § lagen [1967:531] om tryggande av pensionsutfästelse m.m. och 9 kap. 2 § andra stycket lagen [2019:742] om tjänstepensionsföretag). Samma begrepp används i ändringsdirektivet såvitt gäller ändringen av bestämmelsen i andra tjänstepensionsdirektivet (artikel 8 i ändringsdirektivet). Det finns inte anledning att inom ramen för detta lagstiftningsärende se över användningen av detta begrepp.

Fondbolag och AIF-förvaltare

När det gäller fondbolag bör det förtydligas att rutinerna för drift och förvaltning ska uppfylla kraven i DORA-förordningen (2 kap. 17 § första stycket 3 lagen om värdepappersfonder). Som Finansinspektionen framför gäller detta både nätverks- och informationssystem (se artikel 12.1 i

UCITS-direktivet, i lydelsen enligt artikel 1.1 i ändringsdirektivet).

Pensionsstiftelser och tjänstepensionsföretag

Regeringen har vid flera tidigare tillfällen gjort bedömningen att pensionsstiftelser är att anse som tjänstepensionsinstitut (se s. 107–111 och prop. 2018/19:159 s. 32–34). Det är inte möjligt att, som Svenska Pensionsstiftelsers Förening efterfrågar, närmare beröra detta ställningstagande inom ramen för detta lagstiftningsärende. Som föreningen också framför anser även regeringen att det är av vikt att pensionsstiftelsernas särart beaktas, t.ex. att en pensionsstiftelse inte får utfästa pension och därmed inte har någon pensionsskuld till de förmånsberättigade (se s. 110 och prop. 2018/19:159 s. 37–40). Enligt DORA-förordningen gäller att de finansiella entiteterna ska genomföra reglerna om IKT-riskhantering i enlighet med proportionalitetsprincipen, och med beaktande av sin storlek och allmänna riskprofil, och karaktären på, omfattningen av och komplexiteten i sina tjänster, sin verksamhet och sina insatser. Vidare gäller att entiteternas tillämpning av bl.a. bestämmelserna om hantering av IKT-tredjepartsrisker ska stå i proportion till deras storlek och allmänna riskprofil, och karaktären på, omfattningen av och komplexiteten i sina tjänster, verksamhet och insatser, i enlighet med vad som specificeras i de relevanta bestämmelserna (artikel 4.1 och 4.2). När det gäller IKT-riskhantering och hantering av IKT-tredjepartsrisker har kommissionen befogenhet att komplettera förordningen genom att anta tekniska standarder (se artiklarna 15, 28.9 och 30.5, se även avsnitt 4.8.1). Genomslaget för de olika och enskilda finansiella entiteterna är dock i första hand en fråga för rättstillämpningen.

För tjänstepensionsföretag och pensionsstiftelser bör det förtydligas att de, i egenskap av tjänstepensionsinstitut, ska ha de nätverks- och informationssystem som följer av DORA-förordningen (9 kap. 2 § lagen om tjänstepensionsföretag och 16 g § lagen om tryggande av pensionsutfästelse m.m.).

Inskränkta bemyndiganden

De nya EU-rättsliga bestämmelserna minskar medlemsstaternas handlingsutrymme att meddela ytterligare bestämmelser om riskhantering. Bemyndigandena i lagen om tryggande av pensionsutfästelse m.m. (16 i §), lagen om värdepappersfonder (13 kap. 1 § 11), lagen om bank- och finansieringsrörelse (16 kap. 1 § 5), lagen om värdepappersmarknaden (8 kap. 35 § 4) och lagen om betaltjänster (5 b kap. 6 §) bör ändras så att de inte omfattar krav som följer av DORA-förordningen.

18.3Ändringar som inte kräver lagstiftningsåtgärder

funktioner (artikel 65.3, se 13 kap. 6 § lagen om bank- och finansieringsrörelse, 23 kap. 2 och 3 §§ lagen om värdepappersmarknaden och 6 kap. 1 § lagen om särskild tillsyn över kreditinstitut och värdepappersbolag) och att de behöriga myndigheterna inom tillsynen ska utvärdera de risker som påvisats vid testning av digital operativ motståndskraft i enlighet med DORA-förordningen (artikel 97.1, se 9 § förordningen [2014:993] om särskild tillsyn och kapitalbuffertar). Också bestämmelserna i krishanteringsdirektivet om vad en återhämtningsplan ska innehålla (avsnitt A 16 i bilagan till direktivet, se 16 kap. 1 § 7 lagen om bank- och finansieringsrörelse, 5 kap. 2 § 9 förordningen (2004:329) om bank- och finansieringsrörelse och 3 § Finansinspektionens föreskrifter [FFFS 2016:6] om återhämtningsplaner, koncernåterhämtningsplaner och avtal om finansiellt stöd inom koncerner) och vilka uppgifter som resolutionsmyndigheter får begära från institut för utarbetande och uppdatering av resolutionsplaner (avsnitt B 14 och 14a i bilagan till direktivet, se 28 kap. 1 § lagen om resolution) tillgodoses genom gällande rätt. Till sist gäller detta även för bestämmelserna i andra betaltjänstdirektivet om att direktivet inte är tillämpligt på tekniska stödtjänster (artikel 3 j, se 1 kap. 6 § 4 lagen om betaltjänster) och om utkontraktering av viktiga operativa funktioner (artikel 19.6, se 3 kap. 28 § andra stycket lagen om betaltjänster).

Ändringar som inte riktar sig till medlemsstaterna

Flera ändringar i EU-direktiven rör bestämmelser som inte riktar sig till de enskilda medlemsstaterna. Detta gäller ändringarna i artikel 12.3 i UCITSdirektivet, artikel 50.1 i Solvens II-direktivet, artikel 18.2 i AIFMdirektivet, artikel 10.9 i krishanteringsdirektivet, artiklarna 17.7 och 48.12 i MiFID II och artikel 98.5 i andra betaltjänstdirektivet. Dessa ändringar kräver således inte några lagstiftningsåtgärder.

överskridande förfarande ska ansöka hos Bolagsverket om tillstånd att verkställa en fusions-, delnings- eller ombildningsplan (23 kap. 20 och

36 a §§, 24 kap. 22 och 31 §§ samt 24 a kap. 22 § aktiebolagslagen). Bolagsverket ska pröva om förutsättningarna för att verkställa en plan är uppfyllda och i så fall utfärda ett intyg om att den del av förfarandet som regleras av svensk lag har genomförts på föreskrivet sätt. Om det vid handläggningen av en ansökan om ett gränsöverskridande förfarande uppkommer en fråga som kräver särskild fackkunskap, får Bolagsverket förordna en lämplig person som sakkunnig. Bolagsverket ska ersätta den sakkunnige för utfört arbete och sökanden ska i sin tur ersätta Bolagsverket för denna kostnad enligt ett beslut som verket fattar (23 kap. 45 b §, 24 kap. 47 § och 24 a kap. 24 § aktiebolagslagen).

Om ett finansiellt företag, dvs. ett företag som omfattas av lagen om bank- och finansieringsrörelse, försäkringsrörelselagen eller lagen om tjänstepensionsföretag, vill genomföra ett gränsöverskridande förfarande finns det särskilda bestämmelser i de lagarna. I sådana fall är det Finansinspektionen som prövar en ansökan. Inspektionen kan, som Bolagsverket, förordna en sakkunnig vid handläggningen. Finansinspektionen ska i så fall också besluta om sökandens betalningsskyldighet för ersättning till en sakkunnig (jfr 10 kap. 1 § lagen om bank- och finansieringsrörelse, 11 kap. 1 § försäkringsrörelselagen och 10 kap. 1 § lagen om tjänstepensionsföretag).

Bolagsverkets beslut om betalningsskyldighet för ersättning till sakkunnig kan överklagas till allmän förvaltningsdomstol (31 kap. 2 § 5 aktiebolagslagen). Ett beslut om förordnande av sakkunnig kan dock inte överklagas. Frågan om en sakkunnig borde ha utsetts kan dock bli föremål för prövning i samband med överklagande av beslutet om fastställande av ersättning (prop. 2021/22:286 s. 202).

I lagen om bank- och finansieringsrörelse (17 kap. 1 § tredje stycket), i försäkringsrörelselagen (21 kap. 3 §) och i lagen om tjänstepensionsföretag (17 kap. 1 §) finns det generella bestämmelser om överklagande av Finansinspektionens beslut. Enligt dessa bestämmelser kan såväl ett beslut om förordnande av sakkunnig, som ett beslut om betalningsskyldighet för ersättning till sakkunnig överklagas till allmän förvaltningsdomstol.

Det saknas skäl för denna skillnad mellan Bolagsverkets och Finansinspektionens beslut om förordnande av sakkunnig. Om ett beslut om förordnande av sakkunnig kan överklagas finns det också risk för att ärendet i onödan fördröjs. Finansinspektionens beslut om förordnande av sakkunnig i ärenden om gränsöverskridande fusioner, delningar och ombildningar bör därför, som gäller för motsvarande beslut som fattas av Bolagsverket, inte få överklagas.

19.2Undantag från bosättningskrav

Regeringens förslag: Finansinspektionens beslut enligt lagen om bank- och finansieringsrörelse om undantag från bosättningskraven för styrelseledamöter, verkställande direktör och särskild firmatecknare

ska få överklagas till allmän förvaltningsdomstol. Prövningstillstånd ska krävas vid överklagande till kammarrätten.

Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot det.

Skälen för regeringens förslag: I aktiebolagslagen finns det särskilda bestämmelser om bosättningskrav för styrelseledamöter, verkställande direktör och särskilda firmatecknare. För styrelseledamöter gäller att minst hälften ska vara bosatta inom Europeiska ekonomiska samarbetsområdet (8 kap. 9 §). Den verkställande direktören ska vara bosatt inom Europeiska ekonomiska samarbetsområdet (8 kap. 30 §). Av de särskilda firmatecknarna ska minst en vara bosatt inom Europeiska ekonomiska samarbetsområdet (8 kap. 37 §). Bolagsverket får besluta om undantag från dessa bosättningskrav om det finns särskilda skäl. För företag som omfattas av lagen om bank- och finansieringsrörelse eller försäkringsrörelselagen får Finansinspektionen fatta ett motsvarande beslut om undantag (10 kap. 1 § andra stycket lagen om bank- och finansieringsrörelse och 11 kap. 1 § andra stycket försäkringsrörelselagen).

Bolagsverkets beslut om undantag från bosättningskraven överklagas till allmän förvaltningsdomstol (31 kap. 2 § första stycket 2 aktiebolagslagen). Även Finansinspektionens beslut i dessa frågor överklagas till allmän förvaltningsdomstol om det rör försäkringsföretag (21 kap. 2 § första stycket försäkringsrörelselagen, se även s. 653). Finansinspektionens beslut om undantag enligt lagen om bank- och finansieringsrörelse överklagas dock till regeringen (17 kap. 1 § första stycket den lagen).

I enlighet med vad som anförts i tidigare lagstiftningsärenden torde det som regel inte finnas något behov av ett ställningstagande från regeringen, i dess egenskap av politiskt organ, i denna typ av ärenden. En överprövning bör då ske i domstol (prop. 2013/14:86 s. 63–64). Även om det är olika myndigheter som fattar det grundläggande beslutet bör det inte finnas skäl för skilda förfaranden för ett överklagande. Särskilt inte som ett beslut enligt försäkringsrörelselagen överklagas på samma sätt som motsvarande beslut enligt aktiebolagslagen. Ett beslut om undantag från bosättningskraven som Finansinspektionen fattar enligt lagen om bank- och finansieringsrörelse bör därför i fortsättningen också överklagas till allmän förvaltningsdomstol. Liksom gäller vid överklagande av motsvarande beslut enligt aktiebolagslagen och försäkringsrörelselagen bör prövningstillstånd krävas vid överklagande till kammarrätten av beslut enligt lagen om bank- och finansieringsrörelse (jfr 31 kap. 8 § aktiebolagslagen och 21 kap. 2 § andra stycket försäkringsrörelselagen).

19.3Begränsad skyldighet att meddela trafikförsäkring

Regeringens förslag: Finansinspektionens beslut enligt trafikskadelagen om begränsning av skyldigheten att meddela trafikförsäkring ska

19.4Tillsyn över Svenska skeppshypotekskassan

Regeringens förslag: Finansinspektionens beslut enligt lagen om Svenska skeppshypotekskassan ska få överklagas till allmän

förvaltningsdomstol. Prövningstillstånd ska krävas vid överklagande till kammarrätten.

Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna: Flertalet remissinstanser tillstyrker förslaget eller har inget att invända mot det.

Svenska skeppshypotekskassan anser att Finansinspektionens beslut fortsatt bör överklagas till regeringen eller att frågan i vart fall bör utredas på ett djupare plan.

Skälen för regeringens förslag: Bestämmelser om Svenska skeppshypotekskassan finns i lagen (1980:1097) om Svenska skeppshypotekskassan. Svenska skeppshypotekskassan har till ändamål att medverka vid finansiering av rederiverksamhet som bedrivs av svenskt rederi eller av en utländsk juridisk person där svenska fysiska eller juridiska personer har ett betydande inflytande eller intresse (1 §).

Svenska skeppshypotekskassan står under tillsyn av Finansinspektionen. Inspektionen får i samband med tillsynen meddela förelägganden eller förbud. Dessa beslut får enligt lagen överklagas hos regeringen (38 §).

Som Svenska skeppshypotekskassan också framför bedriver den en speciell verksamhet som skiljer sig från andra aktörer på finansmarknaden. Likväl gäller de skäl som anförs i avsnitt 19.2 och 19.3 också för en överprövning av Finansinspektionens beslut som rör tillsynen över skeppshypotekskassan enligt lagen om Svenska skeppshypotekskassan. Detta är också vad som gäller för överklagande av andra beslut som rör tillsynen över skeppshypotekskassan (se 11 kap. 1 § lagen [2014:966] om kapitalbuffertar och 11 kap. 1 § lagen [2014:968] om särskild tillsyn över kreditinstitut och värdepappersbolag). Finansinspektionens beslut enligt lagen om Svenska skeppshypotekskassan bör därmed i fortsättningen överklagas till allmän förvaltningsdomstol. Vid ett överklagande bör, som vanligtvis gäller för Finansinspektionens beslut, prövningstillstånd krävas för överklagande till kammarrätten (jfr t.ex. 21 kap. 3 § andra stycket försäkringsrörelselagen).

20Ikraftträdande- och övergångsbestämmelser

Regeringens förslag: Kompletteringslagen och övriga lagändringar ska träda i kraft den 17 januari 2025.

Äldre föreskrifter ska tillämpas för överklaganden av Finansinspektionens beslut enligt lagen om bank- och finansieringsrörelse om undantag från bosättningskrav, enligt trafikskadelagen om begränsad skyldighet att meddela försäkring och enligt lagen om Svenska skeppshypotekskassan om beslutet har meddelats före ikraftträdandet.

Promemorians förslag överensstämmer med regeringens förslag. Remissinstanserna tillstyrker förslaget eller har inget att invända mot

154det.

Ikraftträdande

DORA-förordningen ska tillämpas från och med den 17 januari 2025 (artikel 64 andra stycket). Även de nationella bestämmelser som genomför de ändringar som görs genom ändringsdirektivet ska tillämpas från och med den 17 januari 2025 (artikel 9.1 andra stycket). Kompletteringslagen och övriga lagändringar som föranleds av DORA-förordningen och ändringsdirektivet bör därför träda i kraft vid denna tidpunkt.

De lagändringar som inte har samband med DORA-förordningen (se avsnitt 19) bör träda i kraft så snart det är möjligt. Detta bedöms också vara den 17 januari 2025.

Övergångsbestämmelser

I och med DORA-förordningen införs det nya bestämmelser om digital operativ motståndskraft på finansmarknadsområdet. I huvudsak rör det sig om tillkommande bestämmelser och inte äldre bestämmelser som ändras. Det finns således inte någon tidigare lagstiftning att förhålla sig till. Inte heller finns det några övergångsbestämmelser i vare sig DORA-förord- ningen eller ändringsdirektivet. Det finns därmed inte något behov av övergångsbestämmelser till de lagändringar som nu föreslås med anledning av dessa EU-rättsakter.

Inte heller finns det skäl för någon övergångsbestämmelse såvitt gäller Finansinspektionens beslut om förordnande av sakkunnig i ärenden om gränsöverskridande fusioner, delningar och ombildningar (se avsnitt 19.1).

Vissa beslut som tidigare har överklagats till regeringen ska i fortsättningen överklagas till allmän förvaltningsdomstol. Detta gäller beslut enligt lagen om bank- och finansieringsrörelse om undantag från bosättningskraven (se avsnitt 19.2), enligt trafikskadelagen om begränsad skyldighet att meddela trafikförsäkring (se avsnitt 19.3) och enligt lagen om Svenska skeppshypotekskassan (se avsnitt 19.4). I dessa fall, när handläggningsordningen ändras, finns det behov av övergångsbestämmelser. Beslut som har meddelats före ikraftträdandet bör därför fortsatt överklagas till regeringen (jfr s. 86–87).

21Konsekvensanalys

Regeringens bedömning: Genom förslagen tillgodoses DORA-förord- ningens krav när det gäller kompletterande reglering i svensk nationell rätt.

Eventuella ökade kostnader för Finansinspektionen, Riksbanken och andra myndigheter bedöms vara begränsade.

De flesta företag som bedriver verksamhet inom finansmarknadsområdet berörs av förslagen. Förslagen innebär i varierande omfattning ökade krav och kostnader för dem.

Enskilda berörs i den mån bestämmelserna leder till minskad risk för avbrott i finansiella tjänster och ökad säkerhet inom tjänsterna.

Promemorians bedömning överensstämmer med regeringens bedömning.

Remissinstanserna: Flertalet remissinstanser tillstyrker bedömningen eller har inget att invända mot den.

Finansinspektionen anser att deras kostnader till följd av DORA-förord- ningen är omfattande då det kommer att krävas betydande informationsinsatser och en betydande ökning av tillsynen. Det kommer även finnas behov av att samla in, upprätthålla och vidarerapportera informationsregister om IKT-tredjepartsleverantörer samt att delta i arbetet med de gemensamma undersökningsgrupperna (JET).

Kungl. Tekniska högskolan anser att myndigheterna bör se över sina föreskrifter.

Regelrådet anser att det finns brister när det gäller beskrivningen av storlekskravet som avgör om vissa företag ska omfattas av förslaget och på vilket sätt proportionalitetsprincipen ska tillämpas. Detta gäller även för bedömningen av särskild hänsyn till små företag. Vidare anser Regelrådet det behövs tydligare beskrivningar av vilken påverkan förslaget och DORA-förordningen kan komma att innebära för berörda företags kostnader, tidsåtgång och verksamhet samt när det gäller påverkan på konkurrensförhållanden för berörda företag. Regelrådet rekommenderar att det görs en nationell konsekvensutredning av DORA-förordningens effekter på svenska företag.

Totalförsvarets forskningsinstitut påpekar att Riksbanken och Finansinspektionen genom förslagen kommer att få del av stora mängder känslig information vilket ökar risken för angrepp mot myndigheterna. Totalförsvarets forskningsinstitut efterfrågar även en mer detaljerad analys av företagens kostnader, särskilt hur de påverkar tredjepartsleverantörer av IKT-tjänster.

Skälen för regeringens bedömning

Ramen för konsekvensanalysen

Regelrådet framför att det bör göras en nationell konsekvensutredning av DORA-förordningens effekter på svenska företag. Förslagen i denna proposition kompletterar DORA-förordningen, som är direkt tillämplig i Sverige. Effekterna av DORA-förordningen har behandlats vid framtagandet av förordningen (se kommissionens konsekvensanalys och sammanfattningen av den SWD[2020] 198 final och SWD[2020] 199 final). Konsekvensanalysen i denna proposition är därför begränsad till de nationella lagförslag som lämnas.

Förslagens syfte och alternativa lösningar

Förslagen har till syfte att komplettera DORA-förordningen. Förordningen förutsätter att det införs vissa nationella bestämmelser, t.ex. om testning av digital operativ motståndskraft (artiklarna 24–27). Enligt förordningen krävs det även nationella bestämmelser som ger den behöriga myndigheten nödvändiga utrednings-, tillsyns- och sanktionsbefogenheter (artikel 50.1). För att förordningen ska få genomslag i svensk rätt krävs således att Sverige inför bestämmelser i dessa avseenden.

får inspektionen inom den nya tillsynen del av känsliga uppgifter, vilket i sig kan öka risken för angrepp mot myndigheten. Finansinspektionen hanterar dock redan mycket känslig information om såväl finansiella entiteter som det finansiella systemet. Den nya tillsynen bör inte ha någon större inverkan på myndighetens pågående säkerhetsarbete.

I nuläget är det svårt att göra en bedömning av de ekonomiska konsekvenserna för Finansinspektionen. Detta har bl.a. att göra med att de tekniska standarderna ännu inte beslutats. Som Finansinspektionen framför omfattas dock ett stort antal företag av de tillkommande kraven och ett antal regelverk behöver ses över och anpassas. Som inspektionen också tar upp ska en stor mängd ny information samlas in och vidarebefordras till bl.a. de europeiska tillsynsmyndigheterna. Finansinspektionen ska även delta i den centraliserade tillsynen.

Finansinspektionens verksamhet avseende bl.a. regelgivning och tillsyn finansieras via anslag i statens budget. Detta gäller även inspektionens avgifter till EU:s tillsynsmyndigheter. Kostnaderna för den verksamheten täcks genom avgifter som tas ut enligt förordningen om årliga avgifter för finansiering av Finansinspektionens verksamhet. Sådana avgifter ska uppgå till ett belopp som motsvarar kostnaden för den verksamhet som ska finansieras. Avgiftsintäkterna ska redovisas mot inkomsttitel på statens budget. Enligt förslagen ska Finansinspektionen få ta ut årliga avgifter av de aktörer som omfattas av det nya regelverket, de finansiella entiteterna, för att finansiera verksamheten med tillsyn enligt de nya reglerna (se avsnitt 16). Ändringar i förordningen om årliga avgifter för finansiering av Finansinspektionens verksamhet är därmed att vänta.

Liksom anges ovan kommer ett stort antal av de företag som i dag står under tillsyn av Finansinspektionen, som finansiella entiteter, att omfattas av kraven enligt DORA-förordningen. Europeiska kommissionen ska fastställa kriterier för bestämmande om ett företag ska omfattas fullt ut eller bara delvis av kraven i förordningen. Då arbetet med dessa kriterier fortfarande pågår är det svårt att avgöra hur många företag som kommer att omfattas av bestämmelserna i förordningen och i vilken mån och i och med det konsekvenserna för Finansinspektionens tillsynsarbete. Det torde inte röra sig om mer än ett 20-tal företag som omfattas fullt ut av förordningen och i och med det ska genomföra hotbildsstyrda penetrationstester. För andra företag innebär det i första hand skärpta krav på deras organisation och riskhantering. Finansinspektionen bör, till följd av den nuvarande tillsynen, ha en förhållandevis god kunskap om dessa företag. Nya krav bör i och för sig ställa högre krav på tillsynen. De flesta större företagen, t.ex. kreditinstitut och försäkringsföretag, omfattas dock redan i dag av bestämmelser med krav på dess organisation och riskhantering, vilket talar för begränsade konsekvenser för Finansinspektionen. Innan de tekniska standarderna har beslutats är det också svårt att göra någon bedömning av vilka tredjepartsleverantörer av IKT-tjänster som kommer att anses som kritiska och därmed påverka inspektionens arbete inom tillsynsramen för sådana tredjepartsleverantörer (se artiklarna 31–44).

Sammantaget bedöms förslagen leda till ökade, om än begränsade, kostnader för Finansinspektionen. Tillkommande kostnader ska hanteras inom befintliga ekonomiska ramar.

ska få överklagas (se avsnitt 19.1) bör inte få annat än ringa påverkan hos domstolarna.

Sammantaget bör det röra sig om ett begränsat antal ärenden som tillkommer för domstolarna. Eventuella ökade kostnader för detta bedöms därför kunna hanteras inom befintliga ekonomiska ramar.

Konsekvenser för Kronofogdemyndigheten

Kronofogdemyndigheten berörs då beslut om viten enligt DORA-förord- ningen ska få verkställas på samma sätt som en svensk dom som har fått laga kraft (se avsnitt 17.3). Det föreslås också att Finansinspektionen och Riksbanken ska få förena vissa beslut med vite (se t.ex. avsnitt 7.3 och 9.2). Kronofogdemyndigheten berörs även genom att obetalda sanktionsavgifter ska lämnas till myndigheten för indrivning (se avsnitt 10.6). Antalet mål om obetalda viten och sanktionsavgifter förväntas bli mycket begränsat. Tillkommande kostnader med anledning av det för Kronofogdemyndigheten ska hanteras inom befintliga ekonomiska ramar.

Konsekvenser för enskilda

De krav som införs genom förordningen och den nya lagen riktar sig till företag, medlemsstateter och tillsynsmyndigheter. Kraven bör i förlängningen kunna komma de enskilda till nytta, eftersom förordningen har till syfte att öka säkerheten för finansiella tjänster genom att minska risken för dels driftsavbrott, dels att känsliga uppgifter kommer i orätta händer.

Inte heller de bestämmelser som i övrigt föreslås riktar sig direkt mot enskilda.

Ikraftträdande och särskilda informationsinsatser

Det föreslås att lagändringarna ska träda i kraft den 17 januari 2025. De övergångsbestämmelser som föreslås rör hanteringen av överklaganden (avsnitt 20). Sammantaget torde det inte finnas något behov av särskilda informationsinsatser med anledning av förslagen.

Övriga konsekvenser

Förslagen får inga konsekvenser för jämställdheten mellan kvinnor och män och har inga sociala konsekvenser. De har inte heller några konsekvenser för miljön.

Förenlighet med EU-rätten

Förslagen bedöms vara förenliga med EU-rätten.

22Författningskommentar

22.1Förslaget till lag med kompletterande bestämmelser till EU:s förordning om digital operativ motståndskraft för finanssektorn

1 kap. Inledande bestämmelser

Lagens syfte

1 § Denna lag kompletterar Europaparlamentets och rådets förordning (EU) 2022/2554 av den 14 december 2022 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011, i denna lag kallad EUförordningen.

Termer och uttryck i denna lag har samma betydelse som i EU-förordningen.

Paragrafen beskriver lagens syfte. Övervägandena finns i avsnitt 5.1 och 5.4.

I första stycket anges den EU-rättsakt som lagen kompletterar och som i lagen benämns EU-förordningen. Av tydlighetsskäl benämns förordningen dock i det följande som DORA-förordningen.

I andra stycket klargörs att termer och uttryck i lagen har samma betydelse som i DORA-förordningen.

Hänvisningen till DORA-förordningen är utformad på så sätt att den avser förordningen i den vid varje tidpunkt gällande lydelsen, s.k. dynamisk hänvisning.

Behörig myndighet

2 § Av artikel 46 i EU-förordningen följer att Finansinspektionen är behörig myndighet enligt förordningen.

Paragrafen innehåller en upplysningsbestämmelse om vilken myndighet som i Sverige är behörig myndighet enligt DORA-förordningen. Övervägandena finns i avsnitt 5.2.

Enligt DORA-förordningen är behörig myndighet den myndighet som har utsetts till behörig myndighet i enlighet med vissa särskilt angivna EUrättsakter. I Sverige är det enligt de angivna EU-rättsakterna Finansinspektionen som är behörig myndighet, förutom i de fall där Europeiska värdepappers- och marknadsmyndigheten (Esma) är behörig myndighet (se t.ex. artikel 46 n om kreditvärderingsinstitut och artikel 46 q om värdepapperiseringsregister).

Avgifter till Finansinspektionen

3 § För att bekosta Finansinspektionens verksamhet enligt EU-förordningen och denna lag ska de finansiella entiteter som står under inspektionens tillsyn betala årliga avgifter.

Regeringen får meddela föreskrifter om avgifterna.

Paragrafen innehåller bestämmelser om avgifter för finansiering av Finansinspektionens verksamhet. Hänvisningen till DORA-förordningen är utformad på så sätt att den avser förordningen i den vid varje tidpunkt gällande lydelsen, s.k. dynamisk hänvisning. Övervägandena finns i avsnitt 16.1.

Finansinspektionen får, med stöd av första stycket, ta ut årliga avgifter av finansiella entiteter under tillsyn och som är finansiella entiteter enligt DORA-förordningen (se artikel 2.1).

I andra stycket finns ett bemyndigande för regeringen att meddela föreskrifter om avgifterna.

Bestämmelser om avgifter för finansiering av Riksbankens verksamhet som rör hotbildsstyrda penetrationstester finns i 2 kap. 6 §.

Information om allvarliga IKT-relaterade incidenter

4 § Finansinspektionen ska i enlighet med artikel 19.6 i EU-förordningen informera Riksbanken om allvarliga IKT-relaterade incidenter hos en finansiell entitet.

Paragrafen innehåller en bestämmelse om en skyldighet för Finansinspektionen att informera om allvarliga IKT-relaterade incidenter. Hänvisningen till DORA-förordningen är utformad på så sätt att den avser förordningen i den vid varje tidpunkt gällande lydelsen, s.k. dynamisk hänvisning. Övervägandena finns i avsnitt 18.

En finansiell entitet, t.ex. ett kreditinstitut, ska enligt DORA-förord- ningen rapportera om allvarliga IKT-relaterade incidenter till den relevanta behöriga myndigheten. I Sverige ska sådana rapporter lämnas till Finansinspektionen (se 2 §). För vad som avses med en finansiell entitet, se artikel 2.1 a–t och 2.2 i DORA-förordningen. Enligt förordningen ska Finansinspektionen skyndsamt lämna närmare uppgifter om den allvarliga IKT-relaterade incidenten till bl.a. EBA, Esma eller Eiopa och andra relevanta offentliga myndigheter enligt nationell rätt (artikel 19.6). Genom bestämmelsen tydliggörs att med andra relevanta offentliga myndigheter enligt nationell rätt avses i vart fall Riksbanken.

När det gäller hanteringen är det upp till den finansiella entiteten att säkerställa att en rapport inte innehåller säkerhetsskyddsklassificerade uppgifter. Finansinspektionen har dock att informera om vilka tekniska förutsättningar som gäller för rapporteringen, t.ex. om rapporteringen ska ske i ett system som är anpassat till att hantera säkerhetsskyddsklassificerade uppgifter. Hos Finansinspektionen gäller bestämmelserna i offentlighets- och sekretesslagen (2009:400).

2 kap. Hotbildsstyrda penetrationstester

Finansinspektionen

1 § Finansinspektionen ska besluta om vilka finansiella entiteter som ska genomföra hotbildsstyrda penetrationstester enligt artikel 26 i EU-förordningen. Finansinspektionen ska också besluta om hur ofta en finansiell entitet ska genomföra sådana tester.

Paragrafen anger de uppgifter som Finansinspektionen ska utföra som rör hotbildsstyrda penetrationstester. Hänvisningen till DORA-förordningen är utformad på så sätt att den avser förordningen i den vid varje tidpunkt gällande lydelsen, s.k. dynamisk hänvisning. Övervägandena finns i avsnitt 7.1.

Enligt DORA-förordningen ska det genomföras hotbildsstyrda penetrationstester. Finansinspektionen ska besluta om vilka finansiella entiteter som ska genomföra dessa tester (jfr artikel 26.10). För vad som avses med en finansiell entitet, se artikel 2.1 a–t och 2.2 i DORA-förordningen. Det kan t.ex. vara ett kreditinstitut eller ett försäkringsföretag. Med hotbildsstyrda penetrationstester avses en ram som efterliknar den taktik, teknik och de förfaranden som används av verkliga fientliga aktörer, som uppfattas som ett genuint cyberhot och som ger ett kontrollerat, skräddarsytt och underrättelsestyrt test av de kritiska produktionssystem som är i drift hos den finansiella entiteten (artikel 3.17). Kriterierna för att identifiera vilka finansiella entiteter som ska genomföra dessa tester finns i artikel 26.8 tredje stycket och i Europeiska kommissionens (nedan kommissionen) tekniska standarder för tillsyn (artikel 26.11).

Finansinspektionen ska också besluta om hur ofta en finansiell entitet ska genomföra hotbildsstyrda penetrationstester. Utgångspunkten är att ett test ska genomföras minst vart tredje år. Baserat på den finansiella entitetens riskprofil och med beaktande av de operativa omständigheterna får Finansinspektionen bestämma att entiteten ska genomföra tester antingen oftare eller mer sällan (jfr artikel 26.1).

För överklagande av Finansinspektionens beslut, se 5 kap. 1 § och författningskommentaren till den paragrafen. Finansinspektionen får bestämma att ett beslut om hotbildsstyrda penetrationstester ska gälla omedelbart (se 5 kap. 3 §).

I 2 § anges uppgifter som rör de hotbildsstyrda penetrationstesterna som ska utföras av Riksbanken.

Riksbanken

2 § Riksbanken ska övervaka och samordna de hotbildsstyrda penetrationstester som ska genomföras enligt artiklarna 26 och 27 i EU-förordningen.

Riksbanken ska utfärda sådana intyg som avses i artikel 26.7 i EU-förordningen.

Paragrafen anger de uppgifter som Riksbanken ska utföra när det gäller hotbildsstyrda penetrationstester. Paragrafen införs till följd av artikel 26.10 i DORA-förordningen. Hänvisningen till DORA-förord- ningen är utformad på så sätt att den avser förordningen i den vid varje tidpunkt gällande lydelsen, s.k. dynamisk hänvisning. Övervägandena finns i avsnitt 7.1.

Enligt DORA-förordningen ska det genomföras hotbildsstyrda penetrationstester. Riksbanken ska enligt första stycket övervaka och samordna dessa tester och inom ramen för detta fatta de beslut som krävs (jfr artikel 26.10). Det är de finansiella entiteterna som ska genomföra själva testerna (se artikel 26.1). Riksbankens roll blir därmed mer övergripande. I detta ingår bl.a. att validera vilka kritiska eller viktiga funktioner som ska omfattas av testningen (artikel 26.2 tredje stycket) och att säkerställa att den testare som anlitas för utförandet av testet uppfyller de krav som ställs

som särskilt reglerar den verksamhet som bedrivs av den finansiella entiteten, t.ex. försäkringsrörelselagen (2010:2043).

Föreläggande om att lämna uppgifter

2 § För tillsynen enligt 1 § får Finansinspektionen besluta att förelägga

1. en fysisk eller juridisk person att tillhandahålla uppgifter, handlingar eller annat, och
2. den som förväntas kunna lämna upplysningar i saken att inställa sig till förhör på tid och plats som inspektionen bestämmer.

Första stycket gäller inte i den utsträckning uppgiftslämnandet skulle strida mot den i lag reglerade tystnadsplikten för advokater.

Paragrafen innehåller bestämmelser om Finansinspektionens befogenhet att begära in uppgifter och kalla till förhör. Paragrafen införs till följd av artikel 50.2 i DORA-förordningen och är utformad efter förebild av bl.a. 23 kap. 3 § lagen (2007:528) om värdepappersmarknaden och 2 kap. 2 § lagen (2021:899) med kompletterande bestämmelser till EU:s förordning om gräsrotsfinansiering. Övervägandena finns i avsnitt 9.2.

Enligt första stycket 1 får Finansinspektionen förelägga både en fysisk och juridisk person att bl.a. ge in handlingar. Med handling avses framställning i skrift eller bild och upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas bara med tekniska hjälpmedel (jfr 2 kap. 3 § första stycket tryckfrihetsförordningen).

Skyldigheten enligt första stycket 2 att inställa sig till förhör innebär inte någon skyldighet att yttra sig vid förhöret (se t.ex.

s.142).

I andra stycket tydliggörs att ett föreläggande inte får beslutas om uppgiftslämnandet skulle strida mot den i lag reglerade tystnadsplikten för advokater (8 kap. 4 § rättegångsbalken). Att ett föreläggande inte heller får beslutas om uppgiftslämnandet skulle strida mot t.ex. anonymitetsskyddet och efterforskningsförbudet i tryckfrihetsförordningen eller yttrandefrihetsgrundlagen följer redan av principen att grundlag har företräde framför vanlig lag. Med begreppet ”uppgiftslämnande” avses samtliga uppgifter som Finansinspektionen får begära att någon lämnar, dvs. såväl uppgifter som handlingar och annat.

Ett föreläggande enligt första stycket får förenas med vite (se 5 kap. 4 § och författningskommentaren till den paragrafen). Om ett föreläggande ändå inte följs har Finansinspektionen möjlighet att ingripa mot den finansiella entiteten (se 4 kap. 1 och 2 §§).

När det gäller Riksbankens verksamhet som rör hotbildsstyrda penetrationstester finns det bestämmelser om uppgiftsskyldighet och förelägganden i 2 kap. 4 och 5 §§.

Platsundersökning

3 § Finansinspektionen får när det är nödvändigt för tillsynen enligt 1 § genomföra en undersökning i verksamhetslokalerna hos en finansiell entitet.

Paragrafen reglerar platsundersökningar i verksamhetslokaler hos finansiella entiteter. Paragrafen införs till följd av artikel 50.2 i DORA-förord- ningen och är utformad efter förebild av bl.a. 2 kap. 3 § lagen med kompletterande bestämmelser till EU:s förordning om gräsrotsfinansiering. Övervägandena finns i avsnitt 9.3.

Finansinspektionen får, när det är nödvändigt för tillsynen, genomföra en undersökning i en finansiell entitets verksamhetslokaler. Undersökningen kan endast avse den fysiska eller juridiska person som utreds och får bara genomföras i den personens verksamhetslokaler. Finansinspektionen får således inte genomföra en undersökning hos uppdragstagare till den finansiella entiteten, t.ex. hos en tredjepartsleverantör av IKT-tjänster. Undersökningen är begränsad till det som omfattas av Finansinspektionens tillsyn (se 1 § och författningskommentaren till den paragrafen). Som regel torde det främst vara fråga om att ta del av handlingar och studera rutiner på plats (se s. 630). Med verksamhetslokal avses utrymmen som huvudsakligen används i verksamhet som medför eller kan antas medföra bokföringsskyldighet enligt bokföringslagen (1999:1078) eller som bedrivs av en annan juridisk person än ett dödsbo (jfr 3 kap. 18 § skatteförfarandelagen [2011:1244]). Att en undersökning endast får genomföras i verksamhetslokaler innebär att en lokal som enbart används som privatbostad inte får undersökas (se samma prop. samma s., jfr även prop. 2004/05:142 s. 118–119). Om verksamhet bedrivs i en privatbostad kan emellertid en undersökning genomföras där under vissa förutsättningar. För att en bostad ska kunna anses vara en verksamhetslokal krävs det att bostaden är den plats från vilken verksamheten i fråga huvudsakligen bedrivs. Att så är fallet kan t.ex. framgå genom att verksamheten är registrerad på samma adress som privatbostaden.

Finansinspektionen har inte någon möjlighet att tillgripa tvångsmedel om den person som är föremål för undersökningen inte medverkar till att undersökningen genomförs. En sådan vägran kan dock ligga till grund för ett ingripande mot den finansiella entiteten (se 4 kap. 1 och 2 §§).

4 kap. Ingripanden

Ingripanden mot finansiella entiteter

1 § Finansinspektionen ska ingripa mot följande finansiella entiteter om de åsidosätter sina skyldigheter enligt EU-förordningen, denna lag eller andra författningar som har meddelats i anslutning till dessa:

1. Svenska skeppshypotekskassan,
2. en leverantör av kryptotillgångstjänster,
3. en emittent av tillgångsanknutna token,
4. en pensionsstiftelse,
5. en administratör av kritiska referensvärden,
6. en leverantör av gräsrotsfinansieringstjänster, och
7. ett transaktionsregister.

författningar som har meddelats i anslutning till dessa. Ett ingripande kan t.ex. ske om en finansiell entitet inte uppfyller kraven på hantering av IKT-risker (se artiklarna 5–14 i DORA-förordningen). Med andra författningar avses dels bestämmelser som kommissionen meddelat med stöd av bemyndigande i DORA-förordningen, dels bestämmelser som regeringen eller den myndighet som regeringen bestämmer har meddelat. Paragrafen gäller bara för ingripanden mot de finansiella entiteter som särskilt anges, vilka som huvudregel inte omfattas av en rörelselag. När det gäller andra finansiella entiteter, som omfattas av en rörelselag, har Finansinspektionen möjlighet att ingripa med stöd av bestämmelserna i den lagen (se t.ex.

15 kap. 1 § första stycket lagen [2004:297] om bank- och finansieringsrörelse för ingripanden mot kreditinstitut; se även 2 § och författningskommentaren till den paragrafen).

2 § Bestämmelser om ingripanden mot andra finansiella entiteter än de som anges i 1 § och som åsidosätter sina skyldigheter enligt EU-förordningen, denna lag eller andra författningar som har meddelats i anslutning till dessa finns i de lagar som reglerar den berörda verksamheten.

om värdepappersfonder (10 kap. 1 §), för försäkringsföretag och återförsäkringsbolag i försäkringsrörelselagen (18 kap. 1 §) och för tjänstepensionsinstitut i lagen (2019:742) om tjänstepensionsföretag (15 kap. 1 §).

3 § Ett ingripande enligt 1 § mot Svenska skeppshypotekskassan sker genom beslut om föreläggande att inom en viss tid vidta en viss åtgärd eller upphöra med ett visst agerande.

Paragrafen reglerar hur Finansinspektionen får ingripa mot Svenska skeppshypotekskassan. Den införs till följd av artikel 50.4 i DORAförordningen. Övervägandena finns i avsnitt 10.2.2.

Ett ingripande mot Svenska skeppshypotekskassan ska ske genom ett föreläggande om att den ska vidta åtgärder för att rätta till något. Detta kan avse att kassan ska upphöra med ett visst agerande. Ett föreläggande kan också avse att kassan ska vidta en positiv åtgärd. Ett ingripande får bara ske om Svenska skeppshypotekskassan inte uppfyller kraven i DORAförordningen, denna lag eller andra författningar som har meddelats i anslutning till dessa (se 1 §). Ett föreläggande kan förenas med vite enligt 5 kap. 4 §. Det är däremot inte möjligt att förena ett föreläggande med en sanktionsavgift (jfr 7 §).

I 4 och 5 §§ finns bestämmelser om ingripandeåtgärder mot andra typer av finansiella entiteter.

4 § Ett ingripande enligt 1 § mot en emittent av tillgångsanknutna token, en pensionsstiftelse eller ett transaktionsregister sker genom beslut om

1. föreläggande att inom en viss tid vidta en viss åtgärd eller upphöra med ett visst agerande, eller
2. anmärkning.

Paragrafen innehåller bestämmelser om hur Finansinspektionen får ingripa mot de uppräknade finansiella entiteterna. Den införs till följd av artikel 50.4 i DORA-förordningen och är utformad efter förebild av bl.a. 3 kap. 1 § lagen med kompletterande bestämmelser till EU:s förordning om värdepapperisering. Övervägandena finns i avsnitt 10.2.2.

Ett ingripande mot en emittent av tillgångsanknutna token, en pensionsstiftelse eller ett transaktionsregister ska ske genom ett föreläggande, punkt 1, eller en anmärkning, punkt 2. Ett ingripande får bara ske om den finansiella entiteten inte uppfyller kraven i DORA-förordningen, denna lag eller andra författningar som meddelats i anslutning till dessa (se 1 §). Vid valet av ingripandeåtgärd bör den åtgärd väljas som bedöms vara mest verkningsfull i det enskilda fallet. De olika åtgärderna bör inte användas vid en och samma överträdelse.

Ett föreläggande kan bara användas när den finansiella entiteten ska vidta en åtgärd för att komma till rätta med något. Detta kan avse dels att upphöra med ett agerande, dels att vidta en positiv åtgärd. Om det inte finns något att åtgärda, men överträdelsen likväl är sådan att den bör medföra en sanktion, kan i stället Finansinspektionen ingripa genom en anmärkning.

Ett föreläggande kan förenas med vite enligt 5 kap. 4 §, men inte med en sanktionsavgift (jfr 7 §). För en anmärkning gäller det motsatta (se samma paragrafer). I de fall en administrativ åtgärd eller sanktion ska påföras en juridisk person saknar det betydelse om verksamheten har överlåtits till någon annan efter det att den aktuella överträdelsen ägde rum (se s. 158–159). I 18 och 19 §§ anges omständigheter som ska beaktas vid valet av ingripande.

I 3 och 5 §§ finns bestämmelser om ingripandeåtgärder mot andra typer av finansiella entiteter.

5 § Ett ingripande enligt 1 § mot en leverantör av kryptotillgångstjänster, en administratör av kritiska referensvärden eller en leverantör av gräsrotsfinansieringstjänster sker genom beslut om

1. föreläggande att inom en viss tid vidta en viss åtgärd eller upphöra med ett visst agerande, eller
2. anmärkning.

Om överträdelsen är allvarlig får den finansiella entitetens auktorisation återkallas eller, om det är tillräckligt, en varning meddelas.

Paragrafen innehåller bestämmelser om hur Finansinspektionen ska ingripa mot vissa finansiella entiteter. Paragrafen införs till följd av artikel 50.4 i DORA-förordningen och är utformad efter förebild av bl.a.

25 kap. 1 § andra stycket lagen om värdepappersmarknaden. Övervägandena finns i avsnitt 10.2.2.

I första stycket anges de ingripandeåtgärder som Finansinspektionen kan använda mot en leverantör av kryptotillgångstjänster, en administratör av kritiska referensvärden eller en leverantör av gräsrotsfinansieringstjänster. Ingripandeåtgärderna bör bara användas vid överträdelser som inte är att anse som allvarliga. För ingripanden vid allvarliga överträdelser, se andra stycket. Ett ingripande får bara ske om den finansiella entiteten inte uppfyller kraven i DORA-förordningen, denna lag eller andra författningar som meddelats i anslutning till dessa (se 1 §). Liksom gäller för ingripanden mot andra finansiella entiteter som inte omfattas av en rörelselag (se 4 §) ska ett ingripande ske genom ett föreläggande att inom en viss tid vidta en viss åtgärd eller upphöra med ett visst agerande, första stycket 1, eller en anmärkning, första stycket 2. För valet av ingripandeåtgärd och hur de förhåller sig till varandra, se författningskommentaren till 4 §. Ett föreläggande kan förenas med vite enligt 5 kap. 4 §, men inte en sanktionsavgift (jfr 7 §). För en anmärkning gäller det motsatta (se samma paragrafer).

Med stöd av andra stycket kan ett ingripande mot en leverantör av kryptotillgångstjänster, en administratör av kritiska referensvärden eller en leverantör av gräsrotsfinansieringstjänster också ske genom en återkallelse av auktorisationen. Ett sådant ingripande får bara ske vid allvarliga överträdelser av DORA-förordningen, denna lag eller andra författningar som meddelats i anslutning till dessa (se 1 §). Bestämmelsen påverkar inte Finansinspektionens möjlighet att ingripa mot en finansiell entitet med stöd av bestämmelser i andra lagar (se t.ex. 3 kap. 1 § lagen med kompletterande bestämmelser till EU:s förordning om gräsrotsfinansiering). Om en finansiell entitet gör sig skyldig till en allvarlig överträdelse, men det utifrån omständigheterna inte bedöms vara nödvändigt att återkalla auktorisationen, kan i stället en varning meddelas. En varning kan förenas med en sanktionsavgift (se 7 §).

I de fall en administrativ åtgärd eller sanktion ska påföras en juridisk person saknar det betydelse om verksamheten har överlåtits till någon annan efter det att den aktuella överträdelsen ägde rum (se prop. 2003/04:121 s. 158–159).

I 18 och 19 §§ anges omständigheter som ska beaktas vid valet av ingripande.

I 3 och 4 §§ finns bestämmelser om ingripandeåtgärder mot andra typer av finansiella entiteter.

6 § Ett ingripande får inte ske om en överträdelse omfattas av ett föreläggande som har förenats med vite och en ansökan om utdömande av vitet har gjorts.

Paragrafen reglerar frågan om ingripande när Finansinspektionen redan har beslutat om ett föreläggande förenat med vite avseende samma överträdelse. Den är utformad efter förebild av bl.a. 3 kap. 2 § andra stycket lagen med kompletterande bestämmelser till EU:s förordning om gräsrotsfinansiering. Övervägandena finns i avsnitt 10.2.2.

Paragrafen syftar till att förhindra att någon prövas två gånger för samma sak på ett sätt som kan strida mot dubbelprövningsförbudet (artikel 4 i sjunde tilläggsprotokollet till den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna [Europakonventionen]). Om ett vitesföreläggande har beslutats och föreläggandet inte följs, kan Finansinspektionen välja att ansöka om att vitet ska dömas ut. Det faktum att ett föreläggande har beslutats utgör inte något hinder mot ett ingripande enligt 3–5 §§. Den avgörande tidpunkten för när hindret uppkommer är tidpunkten då en domstolsprocess inleds om utdömande av vitet (se s. 227–228).

7 § Om ett beslut om anmärkning eller varning enligt 4 eller 5 § har meddelats, får Finansinspektionen besluta att den som har gjort sig skyldig till överträdelsen ska betala en sanktionsavgift.

Paragrafen reglerar förutsättningarna för Finansinspektionen att besluta om sanktionsavgift. Den införs till följd av artikel 50.4 i DORA-förord- ningen och är utformad efter förebild av bl.a. 3 kap. 3 § lagen med kompletterande bestämmelser till EU:s förordning om gräsrotsfinansiering. Övervägandena finns i avsnitt 10.2.2.

Bestämmelsen innebär att Finansinspektionen får besluta om en sanktionsavgift bara om beslut om en anmärkning eller varning enligt 4 eller 5 § har meddelats. Det är därmed inte möjligt att förena förelägganden eller beslut om återkallelse av auktorisation med sanktionsavgift. Inte heller får Finansinspektionen vid ett ingripande mot Svenska skeppshypotekskassan enligt 3 § besluta om en sanktionsavgift.

I 14–16 §§ finns bestämmelser om beräkningen av en sanktionsavgift.

8§ Om en auktorisation återkallas enligt 5 §, får Finansinspektionen bestämma hur verksamheten ska avvecklas.

Ett beslut om återkallelse får förenas med förbud att fortsätta med hela eller delar av verksamheten.

Paragrafen innehåller bestämmelser om ytterligare åtgärder vid åter- kallelse av en auktorisation och är utformad efter förebild av bl.a. 25 kap.

6 § lagen om värdepappersmarknaden. Övervägandena finns i avsnitt 10.2.2.

Enligt första stycket får Finansinspektionen i ett beslut om återkallelse av en auktorisation ge anvisningar om hur verksamheten ska avvecklas. Inspektionen kan därmed ta hänsyn till de enskilda förhållandena hos den finansiella entitet som beslutet avser.

Om Finansinspektionen meddelar ett beslut om återkallelse av en auktorisation får inspektionen enligt andra stycket samtidigt meddela förbud för den finansiella entiteten att fortsätta verksamheten. Ett sådant förbud får förenas med vite enligt 5 kap. 4 §.

Ingripanden mot vissa företrädare för finansiella entiteter

9 § Finansinspektionen ska ingripa mot någon som ingår i styrelsen för en finansiell entitet som anges i 1 § 2–7 eller är dess verkställande direktör, eller ersättare för någon av dem, om den finansiella entiteten har åsidosatt sina skyldigheter enligt någon av artiklarna 5–10, 11.1–11.10, 12–14, 16.1, 16.2, 17, 18.1, 18.2, 19.1, 19.3, 19.4, 23–25, 26.1–26.8, 27, 28.1–28.8, 29, 30.1–30.4, 31.12 eller 45 i EU-förordningen.

Ett ingripande får ske genom en eller båda av följande sanktioner:

1. beslut att den fysiska personen under en viss tid, lägst tre och högst tio år, inte får vara styrelseledamot eller verkställande direktör i en sådan finansiell entitet som avses i första stycket, eller ersättare för någon av dem, eller
2. beslut om sanktionsavgift.

Ett ingripande får ske bara om den finansiella entitetens överträdelse är allvarlig och den fysiska personen i fråga uppsåtligen eller av grov oaktsamhet orsakat överträdelsen.

Paragrafen innehåller bestämmelser om ingripanden mot företrädare för vissa finansiella entiteter. Den införs till följd av artikel 50.5 i DORAförordningen och är utformad efter förebild av bl.a. 9 kap. 7 § lagen (2022:1746) med kompletterande bestämmelser till EU:s förordning om en paneuropeisk privat pensionsprodukt (PEPP-produkt). Övervägandena finns i avsnitt 10.3.

I första stycket anges de grundläggande förutsättningarna för att Finansinspektionen ska få ingripa mot en företrädare för en finansiell entitet. Finansinspektionen får bara ingripa vid en överträdelse av de bestämmelser i DORA-förordningen som särskilt anges. Hänvisningen till DORA-förordningen är utformad på så sätt att den avser förordningen i den vid varje tidpunkt gällande lydelsen, s.k. dynamisk hänvisning. Även personkretsen är begränsad till de företrädare som särskilt anges. Ett ingripande med stöd av bestämmelsen kan t.ex. ske mot en verkställande direktör i en leverantör av kryptotillgångstjänster om leverantören inte har infört en IKT-kontinuitetspolicy i enlighet med artikel 11.1 i DORAförordningen. En ersättare kan bli föremål för ingripande om den inträtt i den ordinarie företrädarens ställe (se s. 641). För ingripanden mot företrädare för andra finansiella entiteter än de som anges i 1 § 2–9 gäller bestämmelserna i entitetens rörelselagstiftning (se 2 § och författningskommentaren till den paragrafen).

I 10 § finns bestämmelser om hur ett ingripande mot företrädare för finansiella entiteter ska beslutas, genom s.k. sanktionsföreläggande (se författningskommentaren till den paragrafen).

Sanktionsföreläggande

10 § Frågor om ingripande mot fysiska personer enligt 9 § tas upp av Finansinspektionen genom ett sanktionsföreläggande.

Ett sanktionsföreläggande innebär att den fysiska personen föreläggs att inom en viss tid godkänna en sanktion som är bestämd till tid eller belopp.

När ett sanktionsföreläggande har godkänts, gäller det som ett domstolsavgörande som fått laga kraft. Ett godkännande som görs efter den tid som angetts i föreläggandet är utan verkan.

Paragrafen reglerar, tillsammans med 11–13 §§, förfarandet för beslut om sanktioner mot en företrädare för en finansiell entitet. Den är utformad efter förebild av bl.a. 9 kap. 8 § lagen med kompletterande bestämmelser till EU:s förordning om en paneuropeisk privat pensionsprodukt (PEPPprodukt). Övervägandena finns i avsnitt 10.3.

Enligt första stycket ska ingripanden mot en företrädare för en finansiell entitet tas upp av Finansinspektionen genom ett sanktionsföreläggande.

I andra stycket anges att ett sanktionsföreläggande innebär att den som bedöms vara ansvarig för en överträdelse föreläggs att inom en viss tid godkänna en sanktion som är bestämd till tid eller belopp. Tidsfristen bör vara så lång att personen i fråga får skäligt rådrum att ta ställning till Finansinspektionens påståenden.

Enligt tredje stycket gäller ett godkänt sanktionsföreläggande som ett domstolsavgörande som fått laga kraft. Ett godkänt sanktionsföreläggande som avser sanktionsavgift kan därmed verkställas enligt utsökningsbalkens bestämmelser (se 3 kap. 1 § första stycket 3 utsökningsbalken). Ett godkännande som görs efter den tid som angetts i sanktionsföreläggandet är utan verkan. I ett sådant fall, eller när företrädaren inte godkänner föreläggandet överhuvudtaget, krävs en domstolsprövning (se 12 § och författningskommentaren till den paragrafen).

11 § Ett sanktionsföreläggande ska innehålla uppgift om

1. den fysiska person som föreläggandet avser,
2. överträdelsen och de omständigheter som behövs för att känneteckna den,
3. de bestämmelser som är tillämpliga på överträdelsen, och
4. den sanktion som föreläggs personen.

Sanktionsföreläggandet ska också innehålla en upplysning om att ansökan om sanktion kan komma att ges in till domstol, om sanktionsföreläggandet inte godkänns inom den tid som Finansinspektionen anger.

Paragrafen anger vad ett sanktionsföreläggande ska innehålla. Den är utformad efter förebild av bl.a. 9 kap. 9 § lagen med kompletterande bestämmelser till EU:s förordning om en paneuropeisk privat pensionsprodukt (PEPP-produkt). Övervägandena finns i avsnitt 10.3.

I första stycket finns en uppräkning av vilka uppgifter som ett sanktionsföreläggande ska innehålla. Dessa uppgifter är nödvändiga för att identifiera och särskilja en enskild överträdelse (jfr 48 kap. 6 § rättegångs-balken och vad som gäller för ett strafföreläggande). Med de omständig-heter som behövs för att känneteckna överträdelsen avses en beskrivning av vad som läggs den berörda fysiska personen till last. Genom Finansinspektionens uppgifter ska mottagaren enkelt kunna förstå vad inspektionen hävdar att han eller hon har gjort sig skyldig till och därigenom kunna bedöma hur det ska bemötas. Av sanktionsföreläggandet bör det framgå under vilken tid och på vilken plats som överträdelsen har ägt rum samt vilken juridisk person som har begått den. Dessutom bör det framgå varför Finansinspektionen anser att den juridiska personens överträdelse är allvarlig och på vilka grunder inspektionen bedömer att den fysiska personen i fråga har orsakat överträdelsen uppsåtligen eller av grov oaktsamhet (se 9 § tredje stycket).

Ett sanktionsföreläggande ska enligt andra stycket även innehålla en upplysning om vad som gäller för det fall föreläggandet inte godkänns inom den tid som anges (se även 12 § och författningskommentaren till den paragrafen).

12 § Om ett sanktionsföreläggande inte har godkänts inom angiven tid, får Finansinspektionen ansöka hos domstol om att en sanktion ska beslutas. En sådan ansökan ska göras hos den förvaltningsrätt som är behörig att pröva ett överklagande av Finansinspektionens beslut om ingripande mot den finansiella entiteten för samma överträdelse.

Prövningstillstånd krävs vid överklagande till kammarrätten.

Paragrafen anger vad som gäller om ett sanktionsföreläggande inte godkänns inom den tid som anges i föreläggandet. Den är utformad efter förebild av bl.a. 9 kap. 10 § lagen med kompletterande bestämmelser till EU:s förordning om en paneuropeisk privat pensionsprodukt (PEPPprodukt). Övervägandena finns i avsnitt 10.3.

Finansinspektionen ska alltid ange inom vilken tid ett sanktionsföreläggande senast ska godkännas (se 10 § tredje stycket och 11 § andra stycket). Om ett föreläggande inte godkänns inom den tiden får Finansinspektionen enligt första stycket ansöka om att en sanktion ska beslutas av domstol. En sådan ansökan ska göras hos den förvaltningsrätt som är behörig att pröva ett överklagande av Finansinspektionens beslut om ingripande mot den finansiella entiteten för samma överträdelse, dvs. Förvaltningsrätten i Stockholm. Huvudregeln bör vara att Finansinspektionen ska ansöka om sanktion om ett sanktionsföreläggande inte godkänns inom den tid som angetts. Finansinspektionen är dock inte bunden av den sanktion som angetts i ett föreläggande som inte har godkänts. Finansinspektionen bör därför innan ansökan sker göra en bedömning av om förutsättningarna för en sanktion fortfarande föreligger och om en lindrigare form av ingripande bör komma i fråga. Inspektionen kan utifrån bedömningen antingen helt avstå från att ge in en ansökan till domstol eller utfärda ett nytt sanktionsföreläggande med en lindrigare sanktion. Utgångspunkten bör dock vara att inspektionen vid tiden för föreläggandet har gjort en noggrann bedömning av vad som är en rimlig sanktion i det aktuella fallet. Den bedömningen bör normalt inte ändras för att föreläggandet inte godkänns och den sanktion som Finansinspektionen ansöker om bör i de allra flesta fallen vara densamma som angetts i föreläggandet (se s. 60).

I andra stycket anges att det krävs prövningstillstånd vid överklagande av förvaltningsrättens beslut. Ett överklagande görs till kammarrätten.

13 § Ett sanktionsföreläggande är utan verkan, om föreläggandet inte har delgetts den som det riktas mot inom två år från den tidpunkt då överträdelsen ägde rum. I ett sådant fall får inte heller någon sanktion enligt 12 § första stycket beslutas.

I paragrafen finns en preskriptionsbestämmelse för sanktioner mot företrädare för finansiella entiteter. Den är utformad efter förebild av bl.a. 9 kap. 11 § lagen med kompletterande bestämmelser till EU:s förordning om en paneuropeisk privat pensionsprodukt (PEPP-produkt). Övervägandena finns i avsnitt 10.3.

För en sanktion mot en företrädare för en finansiell entitet gäller en preskriptionstid om två år. Tiden ska räknas från tidpunkten för överträdelsen till tidpunkten för delgivning av sanktionsföreläggandet (jfr s. 64). För delgivningen gäller bestämmelserna i delgivningslagen (2010:1932). Delgivning får inte ske på ett sätt som är olämpligt med hänsyn till omständigheterna i delgivningsärendet (se 4 § andra stycket den lagen). Vid delgivning av ett sanktionsföreläggande får det i normala fall anses vara olämpligt att använda kungörelsedelgivning och andra delgivningsformer enligt 3 § andra stycket, 34–38 och 47–51 §§ delgivningslagen (jfr t.ex. prop. 2015/16:162 s. 222).

Preskriptionen gäller för förfarandet hos såväl Finansinspektionen som domstol (prop. 2022/23:124 s. 52). Ett sanktionsföreläggande är därmed utan verkan om det inte har delgetts företrädaren inom två år från det att överträdelsen ägde rum. Inte heller får en domstol, efter en ansökan från Finansinspektionen, besluta om en sanktion i ett sådant fall.

Sanktionsavgifter

14 § Sanktionsavgiften för en finansiell entitet som anges i 1 § och som är en juridisk person ska som högst fastställas till det högsta av

1. ett belopp som per den 16 januari 2023 i svenska kronor motsvarade en miljon euro,
2. tio procent av den finansiella entitetens omsättning närmast föregående räkenskapsår eller, i förekommande fall, motsvarande omsättning på koncernnivå, eller
3. tre gånger den vinst som den finansiella entiteten har gjort till följd av regelöverträdelsen, om beloppet går att fastställa.

Sanktionsavgiften får inte bestämmas till ett lägre belopp än 5 000 kronor.

Om en överträdelse har skett under den juridiska personens första verksamhetsår eller om uppgifter om omsättningen annars saknas eller är bristfälliga, får omsättningen uppskattas när den högsta sanktionsavgiften ska beräknas.

Paragrafen innehåller bestämmelser om storleken på en sanktionsavgift för en finansiell entitet som är en juridisk person. Den införs till följd av artikel 50.4 i DORA-förordningen och är utformad efter förebild av bl.a.

25 kap. 9 § lagen om värdepappersmarknaden. Övervägandena finns i avsnitt 10.4.

I första stycket anges alternativa modeller för att beräkna storleken på den högsta sanktionsavgiften som får tas ut av en finansiell entitet som är en juridisk person. En sanktionsavgift får inte överstiga det högsta av dessa tre belopp.

3 kap. 10 § tredje stycket andra meningen). Ingenting hindrar emellertid att inspektionens beslut får till följd att leverantörerna måste göra förändringar av sin verksamhet, t.ex. genom att ändra sin riskprofil (jfr prop. 2006/07:115 s. 641).

16 § Sanktionsavgiften för en fysisk person ska som högst fastställas till det högsta av

1. ett belopp som per den 16 januari 2023 i svenska kronor motsvarade 500 000 euro, eller
2. tre gånger den vinst som den fysiska personen har gjort till följd av regelöverträdelsen, om beloppet går att fastställa.

Paragrafen innehåller bestämmelser om storleken på en sanktionsavgift för en fysisk person. Den införs till följd av artikel 50.4 och 50.5 i DORAförordningen och är utformad efter förebild av bl.a. 25 kap. 9 a § lagen om värdepappersmarknaden. Övervägandena finns i avsnitt 10.4.

För fysiska personer finns det två alternativa beräkningsmodeller för den högsta sanktionsavgiften som får tas ut av en sådan person i de fall som avses i 9 §. Liksom gäller för finansiella entiteter som är juridiska personer (14 §) får en sanktionsavgift inte överstiga det högsta av dessa två belopp.

Liksom för finansiella entiteter som är juridiska personer (14 § första stycket 1) är det första beloppet ett fast belopp. Detta belopp uppgår enligt punkt 1 till ett belopp som per den 16 januari 2023 i svenska kronor motsvarade 500 000 euro. I fråga om vilken valutakurs som bör tillämpas vid omräkning mellan euro och svenska kronor, se författningskommentaren till 14 § första stycket 1 och det som där anges för motsvarande belopp för sanktionsavgifter för finansiella entiteter som också är juridiska personer.

Även för sanktionsavgifter för fysiska personer ska ett av beloppen beräknas utifrån den vinst som den fysiska personen har gjort till följd av överträdelsen (jfr 14 § första stycket 3). För vad som avses med vinst, se författningskommentaren till 14 §. När det gäller fysiska personer torde det i första hand röra sig om ersättning som utgår enligt någon form av incitamentsprogram eller ett innehav som inte minskar i värde. Enligt punkt 2 ska beloppet bestämmas till tre gånger den vinst som den fysiska personen har gjort till följd av överträdelsen, om beloppet går att fastställa. I fråga om termen vinst, se författningskommentaren till 14 § första stycket 3.

I 20 § finns bestämmelser om vilka omständigheter som Finansinspektionen ska beakta när sanktionsavgiftens storlek fastställs.

17 § Sanktionsavgifter tillfaller staten.

Paragrafen innehåller en bestämmelse om att sanktionsavgifter enligt 14 och 16 §§ tillfaller staten. Övervägandena finns i avsnitt 10.4.

Val av ingripande

18 § Vid valet av ingripande ska Finansinspektionen ta hänsyn till hur allvarlig överträdelsen är och hur länge den har pågått. Särskild hänsyn ska tas till överträdelsens art, överträdelsens konkreta och potentiella effekter på det finansiella systemet, skador som uppstått samt graden av ansvar hos den fysiska eller juridiska person som har gjort sig skyldig till överträdelsen.

Paragrafen reglerar, tillsammans med 19–21 §§, vilka omständigheter som ska beaktas vid valet av ingripande. Den införs till följd av artikel 51.2 i DORA-förordningen och är utformad efter förebild av bl.a. 25 kap. 2 § första stycket lagen om värdepappersmarknaden. Övervägandena finns i avsnitt 10.5.

I paragrafen anges vilka omständigheter som är hänförliga till överträdelsen som ska beaktas vid valet av ingripande. Uppräkningen av omständigheter är inte uttömmande, utan en sammanvägd bedömning av alla relevanta omständigheter ska göras.

Sanktionerna ska alltid vara proportionella i förhållande till överträdelsen och ligga på en sådan nivå att de är avskräckande. I fråga om varaktighet gäller att en överträdelse som har pågått under lång tid i allmänhet är mer klandervärd än en som har varat kortare tid. En överträdelse bör dock inte regelmässigt leda till en lindrigare sanktion endast till följd av att den upptäckts tidigt och därmed upphört efter en förhållandevis kort tid (jfr s. 39). Att graden av ansvar hos den som har begått överträdelsen ska beaktas innebär att en överträdelse som begås medvetet typiskt sett bör motivera en strängare sanktion än en överträdelse som begås av oaktsamhet. Att en överträdelse begås i vinningssyfte eller för att vilseleda bör i allmänhet inverka i försvårande riktning.

I 19 § anges ytterligare omständigheter som ska beaktas som försvårande respektive förmildrande. Bestämmelser om att Finansinspektionen i vissa fall får avstå från ingripande finns i 21 §.

Finansinspektionen kan utifrån vad som är motiverat i det enskilda fallet välja att ingripa med en eller flera sanktionsåtgärder. Om flera åtgärder används, måste inspektionen se till att sanktionerna sammantaget är väl avvägda.

19 § Utöver det som anges i 18 § ska det i försvårande riktning beaktas om den som har begått överträdelsen tidigare har begått en överträdelse. Vid denna bedömning ska särskild vikt fästas vid om överträdelserna är likartade och den tid som har gått mellan de olika överträdelserna.

I förmildrande riktning ska det beaktas om den som har begått överträdelsen

1. i väsentlig utsträckning genom ett aktivt samarbete har underlättat Finansinspektionens utredning, och
2. snabbt upphört med överträdelsen eller snabbt verkat för att överträdelsen ska upphöra, sedan den anmälts till eller påtalats av Finansinspektionen.

Paragrafen reglerar, tillsammans med 18, 20 och 21 §§, vilka omständigheter som ska beaktas vid valet av ingripande. Den införs till följd av artikel 51.2 i DORA-förordningen och är utformad efter förebild av bl.a.

25 kap. 2 a § lagen om värdepappersmarknaden. Övervägandena finns i avsnitt 10.5.

Av första stycket följer att det är en försvårande omständighet om den som har begått överträdelsen tidigare har begått en överträdelse. Särskild vikt ska fästas vid om överträdelserna är likartade och den tid som har gått mellan de olika överträdelserna. Vid allvarliga och likartade överträdelser torde även en förhållandevis lång tid mellan överträdelserna kunna beaktas i försvårande riktning.

I andra stycket anges två förmildrande omständigheter vid valet av ingripande.

När det gäller punkt 1 krävs att samarbetet i väsentlig utsträckning har underlättat utredningen. Det kan t.ex. handla om att personen i fråga självmant för fram viktig information som Finansinspektionen inte redan har eller inte utan väsentlig arbetsinsats kan få del av (jfr s. 99). Att en finansiell entitet eller dess företrädare endast medverkar i utredningen på Finansinspektionens begäran och svarar på inspektionens frågor är inte tillräckligt för att detta krav ska anses uppfyllt. Särskilt stort avseende bör fästas vid om det är personen själv som frivilligt anmäler överträdelsen till Finansinspektionen och om det är först genom de uppgifter som personen lämnar som inspektionen får tillräckligt underlag för att kunna ingripa mot överträdelsen (jfr prop. 2013/14:228 s. 241). När det gäller en juridisk person bör det typiskt sett krävas att det är den juridiska personen som genom ställföreträdare eller ombud medverkar i utredningen. Att en enskild befattningshavare vid den juridiska personen anmäler en överträdelse bör alltså inte beaktas i förmildrande riktning enligt denna bestämmelse. Bestämmelsen ska inte tolkas motsatsvis på så sätt att den som förnekar en överträdelse eller försvårar utredningen drabbas av en hårdare sanktion än vad som annars hade blivit fallet.

Enligt punkt 2 ska Finansinspektionen i förmildrande riktning även beakta om den som har begått överträdelsen snabbt upphört med densamma eller snabbt verkat för att överträdelsen ska upphöra, sedan den anmälts till eller påtalats av inspektionen.

20 § När sanktionsavgiftens storlek fastställs ska särskild hänsyn tas till sådana omständigheter som anges i 18 och 19 §§ samt till den berörda fysiska eller juridiska personens finansiella ställning och, om det går att fastställa, den vinst som personen gjort till följd av överträdelsen.

Paragrafen reglerar vilka omständigheter som ska beaktas när sanktionsavgiftens storlek ska fastställas. Den införs till följd av artikel 51.2 c och d i DORA-förordningen och är utformad efter förebild av bl.a. 25 kap. 10 § lagen om värdepappersmarknaden. Övervägandena finns i avsnitt 10.5.

Bestämmelsen innebär att de omständigheter som har påverkat valet av ingripande i skälig utsträckning ska beaktas även när sanktionsavgiftens storlek bestäms. I bestämmelsen anges även andra omständigheter som ska beaktas när sanktionsavgiftens storlek bestäms. Storleken på en sanktionsavgift ska regleras i höjande riktning för att ta hänsyn till om en överträdelse har inneburit en vinst för personen i fråga. För vad som avses med vinst, se författningskommentaren till 14 §. Bestämmelsen kan också medföra att avgiften sänks till följd av personens finansiella ställning. Med finansiell ställning avses t.ex. en juridisk persons årsomsättning. Uppräkningen av omständigheter som ska beaktas är inte uttömmande.

I 14–16 §§ finns bestämmelser om högsta och lägsta belopp för sanktionsavgifter.

21 § Finansinspektionen får avstå från ingripande, om

1. överträdelsen är ringa eller ursäktlig,
2. den fysiska eller juridiska personen i fråga gör rättelse,
3. den fysiska personen har verkat för att den juridiska personen ska göra rättelse, eller
4. någon annan myndighet eller något annat organ har vidtagit åtgärder mot den fysiska eller juridiska personen och dessa åtgärder bedöms tillräckliga.

Paragrafen innehåller bestämmelser om att Finansinspektionen i vissa fall får avstå från ingripande. Paragrafen är utformad efter förebild av bl.a. 25 kap. 2 § andra stycket lagen om värdepappersmarknaden. Övervägandena finns i avsnitt 8.5.

Finansinspektionen får i vissa fall avstå från ingripande. Så kan vara fallet om en överträdelse är ringa eller ursäktlig (punkt 1) eller om det görs en rättelse (punkt 2). Det är också möjligt att avstå från ett ingripande om den fysiska personen har verkat för att den juridiska personen ska göra rättelse (punkt 3) eller om någon annan myndighet eller något annat organ, t.ex. börsens disciplinnämnd, har vidtagit åtgärder mot den juridiska eller fysiska personen och dessa åtgärder bedöms tillräckliga (punkt 4).

Finansinspektionen ska göra en bedömning av samtliga omständigheter i det enskilda fallet. Det bör t.ex. vara överträdelsens allvar som avgör om det faktum att företaget har gjort en rättelse också ska leda till att inspektionen avstår från att ingripa (jfr s. 500–501). Vid en allvarlig överträdelse bör det krävas starka skäl för att Finansinspektionen helt ska avstå från ett ingripande. För vad som kan anses som en allvarlig överträdelse, se författningskommentaren till 9 §.

Verkställighet av beslut om sanktionsavgift

22 § En sanktionsavgift ska betalas till Finansinspektionen inom 30 dagar efter det att ett beslut eller en dom om att ta ut avgiften har fått laga kraft eller ett sanktionsföreläggande har godkänts, eller inom den längre tid som anges i beslutet eller föreläggandet.

23 § Om sanktionsavgiften inte har betalats inom den tid som anges i 22 §, ska Finansinspektionen lämna avgiften för indrivning.

Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m.

24 § En sanktionsavgift faller bort i den utsträckning verkställighet inte har skett inom fem år från det att beslutet eller domen om att ta ut avgiften fick laga kraft eller sanktionsföreläggandet godkändes.

Paragraferna innehåller bestämmelser om verkställighet av ett beslut om sanktionsavgift och är utformade efter förebild av bl.a. 25 kap. 25, 27 och 28 §§ lagen om värdepappersmarknaden. Övervägandena finns i avsnitt 10.6.

I 22 § anges inom vilken tid en sanktionsavgift ska betalas. När beslutet har fått laga kraft får det verkställas som en exekutionstitel (se 3 kap. 1 § första stycket 6 a och 20 § första stycket utsökningsbalken). Det innebär att verkställighet kan ske enligt utsökningsbalken utan att det krävs något domstolsavgörande.

Om en avgift inte betalas i tid ska Finansinspektionen enligt 23 § lämna den för indrivning. För detta gäller vanliga bestämmelser om indrivning av statliga fordringar. Ett mål om sanktionsavgift handläggs som allmänt mål hos Kronofogdemyndigheten (se 1 kap. 6 § och 3 kap. 1 § första stycket 6 utsökningsbalken).

Enligt 24 § faller sanktionsavgiften bort om verkställighet inte har skett inom viss tid. Det som preskriberas är den del av avgiften som inte har drivits in när fem år har gått sedan beslutet eller domen fick laga kraft.

5 kap. Överklagande, beslut som ska gälla omedelbart och vite

Överklagande

1 § Finansinspektionens beslut om sanktionsföreläggande enligt denna lag får inte överklagas.

Andra beslut av Finansinspektionen enligt denna lag och EU-förordningen får överklagas till allmän förvaltningsdomstol.

Prövningstillstånd krävs vid överklagande till kammarrätten.

Paragrafen innehåller bestämmelser om överklagande av Finansinspektionens beslut. Den införs till följd av artikel 50.6 i DORA-förordningen och är utformad efter förebild av bl.a. 4 kap. 1 § lagen med kompletterande bestämmelser till EU:s förordning om värdepapperisering. Övervägandena finns i avsnitt 17.1.

Enligt första stycket gäller ett överklagandeförbud för Finansinspektionens beslut om sanktionsföreläggande. Ett godkänt sanktionsföreläggande, som visar sig vara felaktigt, kan därmed inte angripas med ordinära rättsmedel. I undantagsfall bör ett godkänt sanktionsföreläggande kunna undanröjas genom ett beslut om resning (jfr s. 64–65). Förutsättningarna för att bevilja resning regleras i 37 b § förvaltningsprocesslagen (1971:291).

Enligt andra stycket får Finansinspektionens beslut som inte gäller sanktionsföreläggande överklagas till allmän förvaltningsdomstol. Hänvisningen till DORA-förordningen är utformad på så sätt att den avser förordningen i den vid varje tidpunkt gällande lydelsen, s.k. dynamisk hänvisning. Närmare bestämmelser om överklagande finns i förvaltningslagen (2017:900).

Enligt tredje stycket krävs prövningstillstånd vid överklagande till kammarrätten.

2 § Riksbankens beslut om föreläggande enligt 2 kap. 5 § och beslut om utfärdande av intyg enligt artikel 26.7 i EU-förordningen får överklagas till allmän förvaltningsdomstol.

Andra beslut av Riksbanken enligt denna lag och EU-förordningen får inte överklagas.

Prövningstillstånd krävs vid överklagande till kammarrätten.

Paragrafen innehåller bestämmelser om överklagande av Riksbankens beslut och är utformad efter förebild av 12 kap. 3 § lagen om Sveriges riksbank. Övervägandena finns i avsnitt 17.2.

I första stycket anges de beslut som får överklagas till allmän förvaltningsdomstol. Det gäller dels beslut om föreläggande att inkomma med uppgifter (se 2 kap. 4 och 5 §§ och författningskommentarerna till de paragraferna), dels beslut om intyg om ett hotbildsstyrt penetrationstest. Hänvisningen till DORA-förordningen är utformad på så sätt att den avser förordningen i den vid varje tidpunkt gällande lydelsen, s.k. dynamisk hänvisning.