Europeiska systemrisknämndens rekommendation av den 2 december 2021 om ett europeisk ramverk för relevanta myndigheters samordning av åtgärder mot systemiska cyberincidenter (ESRB/2021/17) 2022/C 134/01

EUROPEISKA SYSTEMRISKNÄMNDENS STYRELSE HAR ANTAGIT DENNA REKOMMENDATION

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av avtalet om Europeiska ekonomiska samarbetsområdet, särskilt bilaga IX,

med beaktande av Europaparlamentets och rådets förordning (EU) nr 1092/2010 av den 24 november 2010 om makrotillsyn av det finansiella systemet på EU-nivå och om inrättande av en europeisk systemrisknämnd, särskilt artikel 3.2 b och 3.2 d samt artiklarna 16 och 18,

med beaktande av Europeiska systemrisknämndens beslut ESRB/2011/1 av den 20 januari 2011 om arbetsordningen för Europeiska systemrisknämnden, särskilt artiklarna 18–20, och

Enligt vad som framgår av skäl 4 i Europeiska systemrisknämndens rekommendation ESRB/2013/1 är makrotillsynens slutmål att bidra till att värna stabiliteten i det finansiella systemet som helhet, genom att bland annat stärka det finansiella systemets förmåga att återhämta sig efter störningar och minska uppbyggnaden av systemrisker, för att därigenom säkerställa att finanssektorn på ett uthålligt sätt bidrar till den ekonomiska tillväxten. Europeiska systemrisknämnden (ESRB) ansvarar för makrotillsynen över det finansiella systemet inom unionen. ESRB bör därför bidra till att förhindra eller minska systemrisker för den finansiella stabiliteten, inklusive risker som hör samman medcyberincidenter och lämnar förslag på hur dessa risker kan reduceras.

Större cyberincidenter kan utgöra en systemrisk för det finansiella systemet med tanke på deras potential att störa kritiska finansiella tjänster och transaktioner. Den inledande chocken kan förstärkas genom operativa eller finansiella spridningseffekter eller genom att förtroendet för det finansiella systemet urholkas. Om det finansiella systemet inte kan absorbera dessa chocker äventyras den finansiella stabiliteten och situationen kan leda till en systemisk cyberkris.

De ständigt föränderliga cyberhoten och den senaste tidens ökning av större cyberincidenter är indikatorer på större risker för den finansiella stabiliteten i unionen. Covid-19 pandemin har visat vilken betydelse tekniken har för att det finansiella systemet ska fungera. Relevanta myndigheter och institutioner tvingades anpassa sin tekniska infrastruktur och sina ramar för riskhantering till en plötslig ökning av distansarbete, vilket har ökat det finansiella systemets totala exponering för cyberhot och gjort det möjligt för brottslingar att utforma nya metoder och anpassa befintliga metoder för att utnyttja situationen. Mot denna bakgrund ökade antalet cyberincidenter som rapporterades till ECB:s banktillsyn under 2020 med 54 procent jämfört med 2019.

En större cyberincidents potentiellt storskaliga, hastighet och snabba spridningstakt kräver ett effektivt svar från de relevanta myndigheterna för att begränsa de potentiella negativa effekterna för den finansiella stabiliteten. Snabb samordning och kommunikation mellan relevanta myndigheter på unionsnivå kan bidra till en tidig bedömning av större cyberincidenters inverkan på den finansiella stabiliteten, upprätthålla förtroendet för det finansiella systemet och begränsa spridningen till andra finansinstitut och därigenom bidra till att förhindra att en större cyberincident blir en risk för den finansiella stabiliteten.

Den underliggande chocken uppstår på ett nytt sätt jämfört med traditionella finans- och likviditetskriser som de relevanta myndigheterna tidigare ställts inför. Utöver de ekonomiska aspekterna måste den övergripande riskbedömningen omfatta omfattningen och effekterna av driftsstörningar, eftersom dessa kan påverka valet av makrotillsynsverktyg. På samma sätt kan den finansiella stabiliteten också påverka cyberexperternas val av riskreducerande åtgärder. Detta kräver nära och snabb samordning och öppen kommunikation, bl.a. för att skapa en helhetsbild.

Det finns en risk för att myndigheterna misslyckas med samordningen och detta måste åtgärdas. Relevanta myndigheter i unionen måste inrätta en samordning sinsemellan och även med andra myndigheter, t.ex. Europeiska unionens byrå för nät- och informationssäkerhet (Enisa), med vilka de inte har något etablerat samarbete. Eftersom ett betydande antal av unionens finansinstitut är verksamma globalt kommer en större cyberincident sannolikt inte att vara begränsad till unionen, eller kan utlösas utanför unionen, och kan kräva en global samordning av insatserna.

De relevanta myndigheterna måste vara förberedda för sådana kontakter. Annars finns det risk för att de vidtar inkonsekventa åtgärder som strider mot, eller äventyrar, andra myndigheters åtgärder. En misslyckad samordning kan förvärra chocken för det finansiella systemet genom att förtroendet för det finansiella systemets funktion urholkas, vilket i värsta fall kan utgöra en risk för den finansiella stabiliteten. Därför bör man vidta nödvändiga åtgärder för att hantera riskerna för den finansiella stabiliteten som kan uppstå till följd av bristfällig samordning i händelse av en större cyberincident.

I ESRB:s (2021) rapport ”Mitigating systemisk cyberrisk” beskrivs behovet av att inrätta en europeisk ram för samordning av systemiska cyberincidenter (EU-SCICF) för relevanta myndigheter i unionen. Målet för EU-SCICF skulle vara att öka de relevanta myndigheternas beredskap för att underlätta samordnade insatser vid en större cyberincident. Rapporten ”Mitigating systemisk cyberrisk” (2021) innehåller ESRB:s bedömning av de övergripande regelverk som kan behövas för att hantera risken för att en samordning kan misslyckas.

Syftet med denna rekommendation är att vidareutveckla en av de roller som de europeiska tillsynsmyndigheterna föreslås få enligt förslaget till Europaparlamentets och rådets förordning om digital operativ motståndskraft för finanssektorn (nedan kallat Dora) att gradvis möjliggöra en effektiv samordnad reaktion på EU-nivå i händelse av en större gränsöverskridande incident som är relaterad till informations- och kommunikationsteknik (IKT) eller därmed sammanhängande hot som har en systempåverkan på unionens finansiella sektor som helhet. Denna process kommer att leda till att EU-SCICF inrättas för relevanta myndigheter.

EU-SCICF bör inte syfta till att ersätta befintliga ramar utan till att överbrygga eventuella luckor i samordningen och kommunikationen mellan de relevanta myndigheterna och med andra myndigheter i unionen och andra viktiga aktörer på internationell nivå. I detta avseende bör EU-SCICF:s ställning i den befintliga ramen för finanskriser och unionens ramverk för cyberincidenter klargöras. När det gäller samordningen mellan de relevanta myndigheterna bör hänsyn tas till bl.a. den roll och den verksamhet som samarbetsgruppen för nätverks- och informationssystem har för finansiella enheter enligt Europaparlamentets och rådets direktiv (EU) 2016/1148, och de samordningsmekanismer som planeras genom inrättandet av den gemensamma cyberenheten vid sidan av Enisas deltagande.

Förslaget om att inleda förberedelserna av EU-SCICF syftar särskilt till att stödja de europeiska tillsynsmyndigheternas potentiella uppgifter i linje med Dora-förslaget. Av Dora framgår att ”de europeiska tillsynsmyndigheterna får, genom den gemensamma kommittén och i samarbete med behöriga myndigheter, ECB och ESRB, inrätta mekanismer för att möjliggöra utbyte av effektiv praxis mellan olika finansiella sektorer för att öka situationsmedvetenheten och identifiera gemensamma sårbarheter och risker på it-området” och ”de får utveckla krishanterings- och beredskapsövningar som inbegriper it-attacker i syfte att utveckla kommunikationskanaler och gradvis möjliggöra en effektiv samordnad reaktion på EU-nivå i händelse av en större gränsöverskridande IKT-relaterad incident eller därmed sammanhängande hot som har en systempåverkan på unionens finansiella sektor som helhet.” Det finns ännu ingen europeisk ram som EU-SCICF men denna bör inrättas och utvecklas inom ramen för Dora.

Med tanke på den risk som cyberhot utgör för den finansiella stabiliteten, bör förberedelsearbetet för det gradvisa inrättandet av EU-SCICF om möjligt inledas redan innan den rättsliga och politiska ram som krävs för dess inrättande är fullt tillämplig. Denna rättsliga och politiska ram skulle kompletteras och färdigställas när de relevanta bestämmelserna i Dora och dess delegerade akter blir tillämpliga.

Effektiv kommunikation bidrar till att relevanta myndigheter får en god helhetsbild och är därför en grundförutsättning för en samordning i unionen vid större cyberincidenter. För detta ändamål bör man definiera den kommunikationsinfrastruktur som behövs för att samordna insatserna vid större cyberincidenter. Detta innebär att man specificerar vilken typ av information som behöver delas, vilka kanaler som normalt ska användas för att dela sådan information och med vilka kontakter informationen bör delas. Informationsutbytet måste ske i enlighet med gällande rättsregler. Dessutom kan en tydlig handlingsplan och de protokoll som ska följas behöva fastställas av de relevanta myndigheterna för att säkerställa en fullgod samordning mellan de myndigheter som deltar i planeringen av en samordnad reaktion på en större cyberincident.

En systemisk cyberkris kommer att kräva ett fullständigt samarbete på nationell nivå och unionsnivå. Därför bör man överväga att utse kontaktpunkter för de europeiska tillsynsmyndigheterna, ECB och alla medlemsstater hos de relevanta nationella myndigheterna, vilka bör meddelas de europeiska tillsynsmyndigheterna, för att inrätta de viktigaste kontakterna i ett samordnat EU-SCICF som ska informeras om varje större cyberincident. Behovet av att utse kontaktpunkter bör bedömas under utvecklingen av EU-SCICF, med beaktande av den utsedda gemensamma kontaktpunkten enligt direktiv (EU) 2016/1148 som medlemsstaterna har inrättat för säkerhet i nätverks- och informationssystem för att säkerställa gränsöverskridande samarbete med andra medlemsstater och med samarbetsgruppen för nätverks- och informationssäkerhet.

Genomförandet av krishanterings- och beredskapsövningar skulle kunna underlätta genomförandet av EU-SCICF och göra det möjligt för myndigheterna att utvärdera sin beredskap inför en systemisk cyberkris på unionsnivå. Sådana övningar skulle ge myndigheterna nya insikter och möjliggöra en kontinuerlig förbättring och utveckling av EU-SCICF.

För utvecklingen av EU-SCICF är det viktigt att de europeiska tillsynsmyndigheterna gemensamt utför relevant förberedande arbete för att beakta de centrala delarna av ramverket och de resurser som krävs för att denna ska kunna utvecklas. Därefter skulle de europeiska tillsynsmyndigheterna kunna påbörja arbetet med en preliminär analys av eventuella hinder som skulle kunna försvåra de europeiska tillsynsmyndigheternas samt de berörda myndigheternas förmåga att inrätta EU-SCICF och ha ett relevant informationsutbyte via kommunikationskanaler i händelse av en större cyberincident. En sådan analys skulle vara ett viktigt steg för framtida eventuella ytterligare åtgärder, antingen av lagstiftningskaraktär eller andra stödjande initiativ som Europeiska kommissionen kan vidta efter genomförandet av Dora.

HÄRIGENOM REKOMMENDERAS FÖLJANDE.

BILAGA

Rekommendation A – Inrättande av en europeisk ram för samordning av systemiska cyberincidenter (EU-SCICF)

För delrekommendation A.1 ska nedanstående kriterier uppfyllas.

När de förbereder en effektiv samordnad reaktion på unionsnivå som bör inbegripa en gradvis utveckling av EU-SCICF genom att utöva den befogenhet som avses i Europaparlamentets och rådets framtida förordning om digital operativ motståndskraft för finanssektorn (nedan kallad Dora) bör de europeiska tillsynsmyndigheterna, genom den gemensamma kommittén och tillsammans med Europeiska centralbanken (ECB), Europeiska systemrisknämnden (ESRB) och relevanta nationella myndigheter, i samråd med Europeiska unionens byrå för nät- och informationssäkerhet och kommissionen när så anses nödvändigt, överväga att i den planerade förberedelsen för EU och SCICF inkludera åtminstone följande aspekter:

En analys av resursbehoven för en effektiv utveckling av EU-SCICF.

Utveckling av krishanterings- och beredskapsövningar som inbegriper cyberattackscenarier i syfte att utveckla kommunikationskanaler.

Ta fram en gemensam vokabulär.

Utveckla en enhetlig klassificering av cyberincidenter.

Inrätta säkra och tillförlitliga kanaler för informationsutbyte, inbegripet reservsystem.

Inrätta kontaktpunkter.

Granska konfidentialitetsaspekten vid informationsutbyte.

Utveckla initiativ för samarbete och informationsutbyte med finanssektorn om cyberincidenter.

Ta fram effektiva aktiverings- och eskaleringsprocesser genom en god helhetsbild.

Förtydliga vilket ansvar olika deltagare i ramverket har.

Utveckla gränssnitt för sektorsövergripande samordning och, i förekommande fall, samordning med tredjeländer.

Säkerställa att relevanta myndigheter kommunicerar med allmänheten på ett enhetligt sätt för att upprätthålla förtroendet.

Skapa fördefinierade kommunikationsvägar för snabb kommunikation.

Genomföra lämpliga tester inom ramverket, inbegripet tester mellan olika jurisdiktioner och samordning med tredjeländer, och göra utvärderingar av erfarenheterna med målet att vidareutveckla ramverket.

Säkerställa effektiv kommunikation och motåtgärder mot desinformation.

Rekommendation B – Inrättande av kontaktpunkter för EU-SCICF

För rekommendation B ska nedanstående kriterier uppfyllas.

De europeiska tillsynsmyndigheterna, ECB och alla medlemsstaterna (bland sina relevanta nationella myndigheter) bör enas om en gemensam strategi för att dela och uppdatera förteckningen över utsedda kontaktpunkter för EU-SCICF.

När man utser kontaktpunkter bör man beakta den utsedda gemensamma kontaktpunkten enligt direktiv (EU) 2016/1148 som medlemsstaterna har inrättat avseende säkerhet i nätverks- och informationssystem för att säkerställa gränsöverskridande samarbete med andra medlemsstater och med samarbetsgruppen för nätverks- och informationssäkerhet.

Rekommendation C – Ändringar av unionens rättsliga ram

För rekommendation C ska nedanstående kriterium uppfyllas.

Kommissionen bör överväga om det behövs några åtgärder, inbegripet ändringar av relevant unionslagstiftning, till följd av den analys som utförts i enlighet med rekommendation A för att säkerställa att de europeiska tillsynsmyndigheterna, genom den gemensamma kommittén och tillsammans med ECB, ESRB och relevanta nationella myndigheter, kan utveckla EU-SCICF i enlighet med delrekommendation A.1 och för att säkerställa att de europeiska tillsynsmyndigheterna, ECB, ESRB och relevanta nationella myndigheter, samt andra myndigheter, kan delta i samordningsåtgärder och informationsutbyte som är tillräckligt detaljerade och konsekventa för att stödja en effektiv EU-SCICF.