Bakgrund och mål

I propositionen föreslås nationella bestämmelser som kompletterar EU-förordningen om digital operativ motståndskraft för finanssektorn (DORA-förordningen). Genom förslaget genomförs dessutom DORA-ändringsdirektivet, som antogs samtidigt som DORA-förordningen, och utfärdas de bestämmelser som behövs för genomförandet av direktivet om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen (NIS 2-direktivet) och direktivet om kritiska entiteters motståndskraft (CER-direktivet) till den del de gäller bankverksamhet och finansmarknadsinfrastruktur. Syftet med den föreslagna regleringen är att säkerställa dels en hög digital motståndskraft mot störningar i nätverks- och informationssystem som stöder de finansiella entiteternas affärsprocesser, dels att kraven enligt DORA-förordningen uppfylls på nationell nivå. Förordningen är direkt tillämplig rätt i medlemsländerna, och det nationella handlingsutrymmet är mycket begränsat. Bestämmelserna avses träda i kraft den 17 januari 2025. 

DORA-förordningen och DORA-ändringsdirektivet ingår i Europeiska kommissionens åtgärdspaket för att ytterligare förbättra den digitala finanssektorns potential att gynna innovation och konkurrens, skapa nya alternativ jämsides med befintliga finansiella tjänster och betaltjänster och samtidigt minska riskerna. DORA-förordningen fastställer enhetliga säkerhetskrav för finansiella företags och organisationers nätverks- och informationssystem samt för sådana kritiska tredje parters nätverks- och informationssystem som tillhandahåller dem informations- och kommunikationstjänster. Syftet med DORA-ändringsdirektivet är å sin sida att säkerställa att kraven på hantering av IKT-risker i DORA-förordningen och flera andra EU-bestämmelser bildar en konsekvent och fungerande helhet. 

Finansmarknaden är en kritisk sektor med tanke på samhällets funktion och dess handlingsramar påverkas i väsentlig grad av bland annat digitaliseringen, de ökande riskerna till följd av IKT-lösningarna samt förändringarna i Finlands och Europas säkerhetspolitiska miljö. Ekonomiutskottet konstaterar att det på grund av den radikala förändringen i omvärlden är ännu viktigare att säkerställa en hög cybersäkerhet för finansmarknadsaktörerna och andra kritiska entiteter. Utskottet anser också att det är viktigt att åtgärderna för att förbättra finansmarknadens motståndskraft mot störningar genomförs så effektivt och enhetligt som möjligt inom hela EU. 

Ekonomiutskottet noterar att EU utöver DORA-förordningen också har antagit annan lagstiftning som påverkar cybersäkerheten. Det finns särskilt anledning att beakta EU:s förordning om artificiell intelligens, som trädde i kraft i augusti 2024 och som bedömer de risker som är förknippade med olika typer av AI-tillämpningar exempelvis utifrån näringsgren, och entiteter som bedöms ha hög risk åläggs olika skyldigheter i anslutning till riskhanteringen. Kvantberäkningen utvecklas snabbt och de möjligheter detta medför innebär nya utmaningar för cybersäkerheten inom finansmarknaden. Utskottet betonar att det också av dessa orsaker är nödvändigt att inom EU skapa och kontinuerligt utveckla ett effektivt och konsekvent ekosystem för cybersäkerheten. 

DORA-förordningens tillämpningsområde och förhållande till andra bestämmelser om cybersäkerhet

DORA-förordningen har en bred tillämpning på olika finansiella entiteter, nämligen finansiella entiteter enligt definitionen i förordningen och leverantörer av IKT-tjänster, dvs. tredjeparter som tillhandahåller IKT-tjänster. Ekonomiutskottet håller med de sakkunniga om att regleringens till-lämpningsområde i stor utsträckning bör omfatta olika entiteter inom finanssektorn och sådana andra kritiska entiteter vars verksamhet är av central betydelse med tanke på cybersäkerheten på finansmarknaden och säkerställandet av motståndskraft mot störningar. 

Med stöd av artikel 2.4 i DORA-förordningen får medlemsstaterna från tillämpningsområdet utesluta vissa enheter som är belägna inom deras territorium och som omfattas av kreditinstitutsdirektivet. I enlighet med detta föreslår regeringen att Fonden för industriellt samarbete Ab (Finnfund) och Finnvera Abp ställs utanför tillämpningsområdet för DORA-förordningen. Som motivering konstateras det i propositionen att Finansinspektionen, som är behörig myndighet enligt DORA-förordningen, inte utövar tillsyn över Finnfund eller Finnvera. Dessutom anser man att det inte är ändamålsenligt att skapa separata tillsynsarrangemang för genomförandet av DORA-förordningen, utan styrningen och tillsynen bör bedömas som en helhet i samband med att lagstiftningen om dessa bolag revideras. Ekonomiutskottet anser att det tillvägagångssätt som föreslås i propositionen är motiverat. Utskottet konstaterar samtidigt att en totalrevidering av lagstiftningen om såväl Finnvera som Finnfund för närvarande bereds i enlighet med regeringsprogrammet och anser det vara viktigt att man vid beredningen också beaktar DORA-förordningens krav på digital operativ motståndskraft. 

Arbetspensionssektorn omfattas inte av tillämpningsområdet för DORA-förordningen, och propositionen innehåller inga förslag till bestämmelser om den digitala operativa motståndskraften hos aktörerna inom arbetspensionssektorn. I några sakkunnigyttranden konstateras det dock att arbetspensionsförsäkringsbolag samt pensionsstiftelser och pensionskassor som bedriver arbetspensionsförsäkringsverksamhet nationellt bör åläggas sådana krav på digital operativ motståndskraft som motsvarar DORA-förordningen. Enligt uppgift har social- och hälsovårdsministeriet, som ansvarar för arbetspensionssektorn, för avsikt att driva frågan vidare inom den närmaste framtiden. Ekonomiutskottet instämmer i det som framförts i sakkunnigyttrandena och anser det vara viktigt att adekvata och aktuella krav och tillsynsåtgärder också ställs på arbetspensionsförsäkringsbolagens digitala operativa motståndskraft. 

Enligt DORA-förordningen ska förordningen tillämpas på ett sådant sätt att de skyldigheter som följer av den står i proportion till entitetens storlek och allmänna riskprofil samt till karaktären på, omfattningen av och komplexiteten i dess tjänster, verksamhet och insatser. Syftet med bestämmelsen är att undvika onödig administrativ börda. Ekonomiutskottet välkomnar i och för sig detta mål. Samtidigt hänvisar utskottet till sitt utlåtande EkUU 26/2020 rd — U 58/2020 rd, enligt vilket det vid tillämpningen av proportionalitetsprincipen med stöd av DORA-förordningen är väsentligt att uttryckligen bedöma aktörens inverkan på marknaden och inte enbart dess storlek. Det är viktigt eftersom också en liten aktörs försummelse av riskhanteringen kan orsaka vittgående problem som kan ha skadliga konsekvenser exempelvis för försörjningsberedskapen. Utskottet anser att tillsynen bör vara effektiv och rätt riktad, och samtidigt måste man se till att den inte orsakar aktörerna inom finanssektorn onödig administrativ börda. 

DORA-förordningen reglerar finanssektorns digitala operativa motståndskraft på ett mer detaljerat och heltäckande sätt än NIS 2-direktivet och CER-direktivet. Ekonomiutskottet anser i likhet med flera sakkunnigyttranden att propositionens målsättning att skyldigheterna enligt de två direktiven inte ska tillämpas på finansiella entiteter som omfattas av tillämpningsområdet för DORA-förordningen är motiverad. Målsättningen behövs för att undvika överlappande tillämpning av olika bestämmelser och onödig administrativ börda för entiteterna och myndigheterna inom finanssektorn. Utskottet betonar dock att finansiella entiteter som med stöd av NIS 2-direktivet och CER-direktivet har klassificerats som kritiska entiteter, dvs. kreditinstitut, operatörer av handelsplatser och centrala motparter, bör beaktas i de nationella strategier och åtgärder som avses i dessa direktiv samt i samarbetsstrukturerna mellan myndigheterna för att säkerställa att åtgärderna för cybersäkerhet är konsekventa och att informationsflödet mellan myndigheterna löper smidigt. I enlighet med detta innehåller förslaget bestämmelser om genomförande av NIS 2-direktivet och CER-direktivet till den del det är fråga om bankverksamhet och motståndskraften hos finansmarknadens infrastruktur. 

Nationella bestämmelser som kompletterar DORA-förordningen och DORA-ändringsdirektivet

DORA-förordningen är direkt tillämplig rätt i medlemsländerna, så den avgör i stor utsträckning det materiella innehållet i regleringen. I den nationella lagstiftningen föreskrivs det däremot om behörig nationell myndighet och dess befogenheter, administrativa påföljder samt informationsutbyte och samarbete mellan myndigheter. I förslaget föreslås ändringar i lagen om Finansinspektionen, vissa andra lagar om reglering av finansmarknaden och lagarna om aktiebolagen Fonden för industriellt samarbete Ab (Finnfund) och Finnvera Abp. 

Behörig myndighet och dess uppgifter

Enligt förslaget är Finansinspektionen den nationella behöriga myndighet som övervakar efterlevnaden av bestämmelserna i DORA-förordningen. Dessutom ska Finansinspektionen främja cybersäkra tillvägagångssätt hos finansmarknadsaktörer och delta i det myndighetssamarbete som avses i förordningen. Finansinspektionen svarar också för de uppgifter på nationell nivå som hänför sig till hotbildsstyrd penetrationstestning, upprätthåller och delar en lägesbild över informationssäkerhetsincidenter och cyberattacker samt deltar i försörjningsberedskapsorganisationens verksamhet. Dessutom är Finansinspektionen behörig myndighet enligt NIS 2-direktivet och CER-direktivet till den del det är fråga om bankverksamhet eller finansmarknadsinfrastruktur. Utskottet hänvisar till sakkunnigyttrandena och konstaterar att förslagen om den behöriga myndigheten och dess befogenheter enligt förslaget är motiverade som en del av det nationella genomförandet av DORA-förordningen. 

Administrativa påföljder

Det föreslås att bestämmelserna om administrativa påföljder i lagen om Finansinspektionen kompletteras så att Finansinspektionen kan påföra korrigerande åtgärder eller påföljdsavgift för den som försummar eller bryter mot sina skyldigheter enligt DORA-förordningen. Enligt förordningen ska sådana sanktioner och åtgärder vara effektiva, proportionella och avskräckande. 

Ekonomiutskottet anser att de föreslagna bestämmelserna om påföljder är motiverade och proportionerliga. Med tanke på den samhälleliga vikten av regleringen om den digitala operativa motståndskraften i finanssektorn och finansmarknadstillsynens trovärdighet är det viktigt att Finansinspektionen har tillgång till effektiva sanktioner i fall där någon bryter mot eller försummar skyldigheterna enligt DORA-förordningen. Utskottet anser också att det är motiverat att överträdelser av liknande allvarlighetsgrad som grundar sig på olika bestämmelser inom finanssektorn ska regleras och bedömas så enhetligt som möjligt. Dessutom ser utskottet det som ytterst viktigt att man i förslaget på ett sakligt sätt säkerställer att förbudet mot dubbel straffbarhet och EU-domstolarnas rättspraxis i fråga om förbudet iakttas. 

Tillsyn över leverantörer av IKT-tjänster

DORA-förordningen innehåller också skyldigheter för tredjepartsleverantörer av IKT-tjänster. IKT-tjänsterna stöder centrala funktioner hos de finansiella entiteterna och därför har IKT-leverantörerna en avgörande roll för att finansmarknaden ska fungera smidigt. I propositionen föreslås det att dessa aktörer ska omfattas av de allmänna bestämmelserna om Finansinspektionens tillsynsbefogenheter och lagstadgade rätt att få information och utföra inspektioner samt påföra påföljder. 

I några sakkunnigyttranden till utskottet konstateras det att förhållandet mellan å ena sidan DORA-förordningens bestämmelser om IKT-tjänster och å andra sidan EU:s telelagstiftning och direktivet om integritet och elektronisk kommunikation delvis är oklart. Enligt dessa sakkunnigyttranden är det också oklart om DORA-förordningen i fråga om tjänster som tillhandahålls finansiella entiteter innebär ett undantag från bestämmelserna om konfidentialitet vid elektronisk kommunikation. Enligt dem bör man vid beredningen bättre beakta de länge gällande telebestämmelserna, med stöd av vilka Transport- och kommunikationsverket (Traficom) på ett heltäckande sätt övervakar sektorns driftsäkerhet, störningsfrihet och säkerhet samt att skyddet för konfidentiell kommunikation tillgodoses. 

Ekonomiutskottet konstaterar att DORA-förordningen i fråga om tillämpningsområdet och tillsynsramen för de bestämmelser som gäller tredjepartsleverantörer av IKT-tjänster är direkt till-lämplig rätt som inte tillåter något nationellt handlingsutrymme. Utskottet hänvisar också till finansministeriets svar av den 27 juni 2024 enligt vilket Finansinspektionen inte med stöd av den nationella lagstiftningen har rätt att begära telekommunikationsuppgifter som teleoperatörerna innehar. Rätt att få teleövervakningsuppgifter i Finland har under de förutsättningar som anges i tvångsmedelslagen (806/2011) endast polisen, som av domstol kan beviljas tillstånd att få sådana uppgifter, till exempel vid misstanke om grovt missbruk av insiderinformation eller grov marknadsmanipulation. Utskottet instämmer i finansministeriets motivering och ståndpunkt att det aktuella förslaget inte äventyrar tillämpningen av bestämmelserna om konfidentialitet vid elektronisk kommunikation eller uppnåendet av målen för den. 

Cybersäkerhetssamarbete mellan myndigheterna

Enligt den gällande lagen hör det till Finansinspektionens uppgifter att delta i det nationella samarbetet mellan myndigheter både på nationell nivå och inom ramen för det samarbetsarrangemang som inrättats med stöd av EU-rättsakter. I detta sammanhang föreslås det att det till lagen om Finansinspektionen fogas en ny 3 f § med bestämmelser om samarbete mellan Finansinspektionen och andra myndigheter i synnerhet för att främja cybersäkerheten. Syftet med den nya bestämmelsen är närmast att förtydliga organiseringen av samarbetet mellan Finansinspektionen och andra myndigheter samt att betona vikten av aktivt myndighetssamarbete för att säkerställa en hög cybersäkerhetsnivå. Centrala myndigheter i detta arbete är vid sidan av Finansinspektionen och Cybersäkerhetscentret i synnerhet finansministeriet, Verket för finansiell stabilitet, Finlands Bank och Försörjningsberedskapscentralen. 

I sakkunnigyttrandena välkomnas den nya 3 f § i lagen om Finansinspektionen och den kompletterande 71 § 20 punkten, enligt vilken Finansinspektionen under de förutsättningar som anges i DORA-förordningen trots sekretessbestämmelserna har rätt att lämna ut information till Cybersäkerhetscentret vid Transport- och kommunikationsverket. Dessutom anses det vara viktigt att bestämmelsen understryker Finansinspektionens skyldighet att utan obefogat dröjsmål förmedla mottagna incidentanmälningar till Cybersäkerhetscentret. Ekonomiutskottet instämmer i de synpunkter som framförts i sakkunnigyttrandena och betonar den stora betydelsen av ett fungerande myndighetssamarbete för att stärka finanssektorns operativa motståndskraft. Utskottet hänvisar emellertid till propositionsmotiven och betonar att den allmänna samarbetsskyldigheten i sig inte innebär rätt att avvika från bestämmelserna om sekretess för uppgifter, utan utlämnandet av sekretessbelagda uppgifter ska bedömas separat i varje enskilt fall med stöd av tillämpliga bestämmelser. 

DORA-förordningen och den kompletterande nationella regleringen har konsekvenser också för Verket för finansiell stabilitet. Verket är den nationella resolutionsmyndigheten och det ska för skötseln av sina lagstadgade uppgifter ha en heltäckande lägesbild av kreditinstitutens och värdepappersföretagens uppdaterade cybersäkerhetsläge. Enligt några sakkunnigyttranden bör tillämpningsområdet för den föreslagna 3 f § därför utvidgas så att bestämmelsen utöver befogenheterna enligt EU-regleringen också beaktar de nationella myndigheternas befogenheter samt de uppgifter som Verket för finansiell stabilitet har i egenskap av myndighet som administrerar kontosystemet inom försörjningsberedskapen. 

Ekonomiutskottet håller med finansministeriet i dess svar av den 27 juni 2024 om att Verket för finansiell stabilitet enligt den gällande lagen har tillräckliga och heltäckande rättigheter att få de uppgifter som behövs för att sköta sina uppgifter enligt DORA-förordningen. I 7 kap. 2 och 4 § i lagen om myndigheten för finansiell stabilitet (1195/2014) föreskrivs det om verkets rätt att av Finlands Bank, Finansinspektionen och andra myndigheter samt av juridiska personer på finansmarknaden och fysiska personer som är anställda hos dem få den information som verket behöver för att sköta sina uppgifter. Enligt lagen om vissa arrangemang för tryggande av försörjningsberedskapen inom finansbranschen (666/2022) ska kreditinstituten dessutom till Verket för finansiell stabilitet lämna i lagen avsedda nödvändiga och uppdaterade uppgifter i anslutning till ibruktagandet och driften av kontosystemet inom försörjningsberedskapen. 

Finansinspektionens rätt att meddela föreskrifter

Det föreslås inga ändringar i 18 § 2 mom. i lagen om Finansinspektionen, som gäller Finansinspektionens behörighet att meddela föreskrifter. Enligt ett sakkunnigyttrande bör bemyndigandena att meddela föreskrifter kompletteras så att Finansinspektionen kan meddela föreskrifter om skyldigheten för tillsynsobjekt som hör till tillämpningsområdet för DORA-förordningen att rapportera IKT-incidenter också när DORA-förordningen inte kräver rapportering. Dessutom konstateras det i yttrandet att Finansinspektionen bör kunna meddela föreskrifter om rapportering av IKT-incidenter också till de tillsynsobjekt som inte omfattas av tillämpningsområdet för DORA-förordningen. Sådana tillsynsobjekt är till exempel aktörer inom pensionsförsäkringssektorn. 

I finansministeriets svar och i propositionen konstateras det uttryckligen att Finansinspektionens behörighet att meddela föreskrifter inte behöver utvidgas i samband med genomförandet av DORA-förordningen. Det anses inte nödvändigt eftersom finansiella entiteter direkt med stöd av DORA-förordningen är skyldiga att rapportera omfattande IKT-incidenter. Dessutom har Finansinspektionen med stöd av den gällande lagstiftningen meddelat föreskrifter bland annat om lämnande av information om störningar till Finansinspektionen. Ekonomiutskottet instämmer i det som sägs i propositionen och anser det också viktigt att se till att Finansinspektionens föreskrifter inte innehåller skyldigheter som överlappar DORA-förordningen. 

Befogenheter i fråga om hotbildsstyrd penetrationstestning

Enligt förslaget svarar Finansinspektionen också på nationell nivå för uppgifterna i anslutning till hotbildsstyrd penetrationstestning. Vid penetrationstestning angriper man systemet på ett sätt som liknar ett riktigt angrepp mot informationssäkerheten, och syftet med testningen är att identifiera och prioritera riskerna samt förbättra informationssäkerheten i systemet. Några sakkunnigyttranden betonar att man bör sträva efter att uppfylla förordningens skyldigheter som gäller hotbildsstyrd penetrationstestning genom att utnyttja och utveckla den verksamhetsmodellen TIBER-FI som upprätthålls av Finlands Bank. Utskottet instämmer i detta och hänvisar till finansministeriets svar, enligt vilket avsikten är att TIBER-FI-modellen även i fortsättningen ska utnyttjas vid genomförandet av hotbildsstyrd penetrationstestning.