Verifieringsansvar för kryptografiska nycklar i betalinfrastruktur : En rättsdogmatisk fallstudie av kontraktuell riskallokering och DORA-förordningens krav på IKT-riskhantering

Sammanfattning

I uppsatsen undersöks hur avtalsrättslig riskfördelning i svensk betalinfrastruktur förhåller sig till DORA-förordningens krav på IKT-riskhantering. Som fallstudie används Swish Utbetalning, där sex svenska storbanker genom GetSwish AB tillhandahåller infrastruktur för digitalt signerade betalningsinstruktioner. Bankernas avtalsvillkor kräver att företagskunder hanterar sina signeringsnycklar i Hardware Security Module (HSM), men ingen mekanism finns för att verifiera att kravet efterlevs. I uppsatsen tillämpas rättsdogmatisk metod för att konstruera gällande rätt. Det empiriska materialet utgörs av de sex storbankernas avtalsvillkor. För tolkning av DORA-förordningen tillämpas EU-rättslig metod med beaktande av ordalydelse, systematik och ändamål. Av analysen framgår att avtalsrätt och förordning gäller parallellt men reglerar olika förhållanden — partsautonomin tillåter banker att genom avtal placera risken för bristande nyckelhantering på kunden. DORA-förordningen ställer dock krav som går utöver den avtalsrättsliga riskfördelningen. I artikel 6.10 föreskrivs att finansiella entiteter bär det fulla ansvaret för kontrollen av efterlevnad. I artiklarna 5.2 b, 9.3 d och 9.4 d uppställs krav på att ledningsorganet säkerställer äkthet och integritet genom starka äkthetsmekanismer baserade på kontrollsystem, och att uppgifterna skyddas mot risker från bristfällig förvaltning. I artikel 28.1 a föreskrivs att finansiella entiteter alltid har det fulla ansvaret. I skäl 80 och 92 ges stöd för tolkningen att finansiella entiteters ansvar för fortlöpande övervakning kvarstår oavsett tillsynsramens utformning. I uppsatsen prövas den alternativa tolkningen, att formella avtalskrav är tillräckliga, samt invändningar om proportionalitet och avsaknad av uttryckligt krav på verifiering. Proportionalitetsprincipen talar för verifiering snarare än emot, eftersom tjänsten är kritisk, risken hög och verifieringskostnaden försumbar. Finansinspektionen har enligt artikel 46 skyldighet att övervaka efterlevnad, och lojalitetsprincipen i artikel 4.3 FEU förpliktar nationella myndigheter att säkerställa fullgörandet av unionsrättsliga skyldigheter. I artikel 50.2 ges tillsynsmyndigheten befogenhet att kräva åtgärder. En systematisk tolkning av DORA-förordningens ordalydelse, systematik och ändamål ger bäst stöd för slutsatsen att ett avtalsvillkor som uppställer krav på HSM-hantering utan verifieringsmekanism inte uppfyller förordningens krav. Avtalsvillkoret fungerar i praktiken som en ansvarsbegränsning gentemot företagskunden snarare än som den säkerhetsåtgärd förordningen kräver. Med tillämpning av Blacks paradoxanalys framgår att den identifierade verifieringsluckan inte är en tillfällig brist utan ett strukturellt förväntat utfall av principbaserad reglering som saknar substantiella kontrollmekanismer. Frågan har inte prövats i praxis och rättsläget är inte fastställt.