Nationella kompletterande bestämmelser till DORA
Finansdepartementet har nyligen publicerat en promemoria med förslag till en ny lag med bestämmelser som ska komplettera DORA. Den nya lagen och ändringarna i näringsrättslig reglering föreslås träda i kraft samma datum som DORA, d.v.s. den 17 januari 2025. I det här inlägget redogör vi för de huvudsakliga delarna i förslaget.
IKT-relaterade incidenter och cyberhot
I DORA ges medlemsstater ett utrymme att bestämma vad som ska gälla för rapportering av IKT-relaterade incidenter och frivillig anmälan av cyberhot. Medlemsstater ges även ett utrymme att fastställa om finansiella entiteter som rapporterar frivilligt får vidarebefordra en anmälan till de CSIRT-enheter som utsetts eller inrättats i enlighet med NIS2-direktivet.
I förslaget framhålls att det är av särskild vikt att relevanta myndigheter informeras om allvarliga IKT-relaterade incidenter och betydande cyberhot så snart det är möjligt. För finansiella entiteter är det Finansinspektionen, som tillsynsmyndighet, som ska få informationen. Finansinspektionen ska i sin tur skyndsamt lämna över informationen till den myndighet eller CSIRT-enhet som inrättats enligt NIS2-direktivet. I promemorian föreslås att Sverige inte bör utnyttja mallarna i DORA för att reglera vilken information som ska lämnas till behörig myndighet eller CSIRT-enhet enligt NIS2-direktivet.
Det föreslås även att möjligheten att införa en bestämmelse där finansiella entiteter som frivilligt rapporterar om allvarligt cyberhot dessutom får vidarebefordra anmälan till den enligt NIS2-direktivet utsedda myndigheten inte ska utnyttjas.
Hotbildsstyrda penetrationstester
I promemorian föreslås att Finansinspektionen ska få bestämma vilka finansiella entiteter som ska genomföra hotbildsstyrda penetrationstester och hur ofta dessa tester ska ske. Det är Riksbanken som ska övervaka och samordna de hotbildsstyrda penetrationstesterna. Riksbanken ska även utfärda intyg om att testerna uppfyller de krav som uppställs i DORA.
Finansinspektionen och Riksbanken ska samarbeta bl.a. genom att Riksbanken ska få möjlighet att yttra sig innan Finansinspektionen fattar beslut om vilka finansiella entiteter som ska genomföra hotbildsstyrda penetrationstester. Vice versa bör Finansinspektionen beredas möjlighet att yttra sig innan Riksbanken fattar beslut som påverkar Finansinspektionens tillsynsverksamhet.
Tillsyn
Finansinspektionen ska enligt förslaget ha tillsyn över att finansiella entiteter följer DORA och den föreslagna kompletteringslagen. Tillsynen ska omfatta att Finansinspektionen kan förelägga en fysisk eller juridisk person att tillhandahålla uppgifter, handlingar eller annat. Finansinspektionen föreslås även få rätt att utföra platsundersökningar om det är nödvändigt.
Ingripanden mot finansiella aktörer
I promemorian föreslås inte några bestämmelser innebärande straffansvar för överträdelser av DORA. Däremot föreslås ingripanden mot finansiella aktörer som helhet samt för vissa företrädare av dessa. Förslaget är att den kompletterande lagen till DORA bör inkludera en bestämmelse som informerar om att regler för åtgärder vid överträdelser av DORA återfinns i de lagar som styr finansiella aktörers verksamhet.
Ingripanden mot fysiska personer som företrädare för finansiella entiteter
Även vad gäller ingripande mot vissa företrädare för finansiella aktörer finns idag bestämmelser i rörelselagarna på finansmarknadsområdet. Finansinspektionens möjlighet att ingripa i dessa fall är dock begränsad till överträdelser av lagen (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism eller rörelselagarna.
Finansinspektionen ska få ingripa mot någon i styrelsen eller vd för en finansiell aktör. Det ska även omfatta ersättare för dessa. Ingripandet ska kunna ske om någon av dessa personer har åsidosatt sina skyldigheter enligt DORA. Det ska krävas att den finansiella aktörens överträdelse är allvarlig och att den fysiska personen i fråga uppsåtligen eller av grov oaktsamhet orsakat överträdelsen. Ingripandet kan resultera i två olika administrativa sanktioner, eller de båda i förening. Antingen får den fysiska personen en sanktion som innebär att personen, under lägst tre men högst tio år, inte får vara styrelseledamot, vd eller ersättare för någon av dem. Den andra möjliga sanktionen är en sanktionsavgift.
Har ni frågor är ni välkomna att kontakta Kristina Jonsson eller Johan Grenefalk på Wesslau Söderqvist Advokatbyrå.