FI-tal: förväntningar på riskhantering vid AI-användning i finanssektorn
Vad har hänt: FI:s talare beskriver i ett tal riktat till fond- och kapitalförvaltare att AI-förordningen kompletterar redan gällande, teknikneutrala regelverk och att ansvar aldrig kan delegeras till AI. FI förväntar sig transparens, god riskbedömning, testning och uppföljning av AI-modeller, samt tillräcklig kompetens hos medarbetare, ledning och granskningsfunktioner; FI planerar en ny enkät och dialogmöten under hösten 2026.
Vad det betyder för er: Talet riktar sig primärt till fond- och kapitalförvaltare, men principerna om att ansvar inte kan delegeras till AI och att befintliga regelverk gäller oavsett teknik bör sannolikt tolkas som vägledande även för sparbanker som använder eller planerar att använda AI, exempelvis i kundtjänst, kreditbedömning eller bedrägeribekämpning. Banken bör själv bedöma om, och i så fall hur, utkontrakteringen till Swedbank påverkar behovet av att kartlägga AI-användning och riskbedömning. Talet innehåller inga bindande krav eller frister specifikt för sparbanker, utan bör ses som en indikation på FI:s tillsynsfokus framöver.
Åtgärder:- • Kartlägg om och var AI används i bankens egna processer (t.ex. kreditbedömning, penningtvättsövervakning, kundtjänst) och dokumentera en översiktlig riskbedömning. (Risk)
- • Begär skriftlig information från Swedbank om i vilken utsträckning AI används i de utkontrakterade IT-tjänsterna och vilka kontroller som finns, och diarieför svaret. (IT/Säkerhet)
- • Följ FI:s kommande enkät och dialogmöten om AI under hösten 2026 för att bedöma om vägledningen medför konkreta förväntningar på sparbanker. (Compliance)
CERT-SE:s veckobrev: kritisk Keycloak-sårbarhet och Teams-nätfiske
Vad har hänt: CERT-SE:s veckobrev för vecka 35 sammanfattar cybersäkerhetshändelser, bland annat en kritisk sårbarhet i Keycloak (CVE-2026-18963, CVSS 9.1) som kan möjliggöra kontokapning, en aktivt utnyttjad sårbarhet i GitLab (CVE-2026-19478, CVSS 9.4), samt en ny nätfiskekampanj via Microsoft Teams (SynkLoader) där angripare utger sig för att vara IT-support. Brevet innehåller även rapportering om DDoS-angrepp mot norska myndighetstjänster, ett iranskt cyberangrepp mot ett brittiskt kraftverk och riktat nätfiske mot EU-tjänstemän via WhatsApp.
Vad det betyder för er: Banken bör klargöra internt hur ansvarsfördelningen mellan banken och Swedbank ser ut avseende patchning och regulatoriskt ansvar enligt DORA och FI:s utkontrakteringsregler. Teams-baserad nätfiske där angripare utger sig för IT-support är dock en risk som träffar bankens egen personal direkt och bör tolkas som ett skäl att påminna medarbetare om vaksamhet, oavsett vem som driftar systemen. Det är oklart utifrån källan om Swedbank använder just dessa specifika produkter, vilket bör klargöras internt innan några slutsatser dras om påverkan på banken.
Åtgärder:- • Skicka en skriftlig förfrågan till Swedbank om huruvida Keycloak-sårbarheten (CVE-2026-18963) och GitLab-sårbarheten (CVE-2026-19478) berör system som används i bankens drift, och diarieför svaret. (IT/Säkerhet)
- • Informera medarbetare om den pågående Teams-nätfiskekampanjen (SynkLoader) där angripare utger sig för IT-support, och påminn om att verifiera identitet vid oväntade IT-supportkontakter. (IT/Säkerhet)
- • Följ upp med Swedbank om rutiner för hantering av administratörsrättigheter i Entra ID/AD, med hänvisning till SANS-artikeln, och begär skriftlig bekräftelse på att regelbunden översyn sker. (IT/Säkerhet)
FI återkallar Infinipis betaltjänsttillstånd efter eget avstående
Vad har hänt: Infinipi AB skickade i juni en skrivelse till FI där bolaget avstod från sitt tillstånd att tillhandahålla betaltjänster. FI har därför återkallat tillståndet och avskrivit ärendet, och Infinipi är inte längre ett betalningsinstitut.
Vad det betyder för er: Detta rör ett enskilt betalningsinstituts frivilliga avstående av tillstånd och innebär ingen sanktion eller anmärkning från FI. Banken bör själv bedöma om Infinipi funnits som motpart eller underleverantör i något betalflöde, vilket källan inte anger.
Åtgärder:- • Notera ärendet och kontrollera om banken har någon direkt eller indirekt affärsrelation med Infinipi AB som påverkas av att bolaget inte längre är betalningsinstitut. (Compliance)
FI: Fondavgifter sjunker men skillnaden mellan fonder är fortsatt stor
Vad har hänt: FI:s sammanställning visar att medianavgiften för globala indexfonder, Sverigeindexfonder och aktivt förvaltade fonder i samma kategorier är lägre nu än 2023. Skillnaden mellan billigaste och dyraste fond inom respektive kategori är dock fortsatt stor, t.ex. 1,45 procentenheter mellan aktivt förvaltade Sverigefonder.
Vad det betyder för er: Nyheten är främst konsumentupplysning från FI och innebär sannolikt ingen ny skyldighet för sparbanken, men den kan användas som underlag i rådgivnings- och informationssamtal om fonder. Kundtjänst och rådgivare bör kunna förklara avgiftsskillnader och hänvisa till FI:s jämförelser om kunder frågar, vilket bör tolkas som ett stöd i befintlig informationsplikt snarare än ett nytt krav.
Åtgärder:- • Informera kundtjänst och rådgivare om FI:s aktuella medianavgifter så att de kan bemöta kundfrågor om fondavgifter korrekt. (Kundtjänst)
- • Kontrollera att bankens fondinformation och rådgivningsunderlag tydligt visar avgifter i linje med FI:s konsumentskyddsfokus. (Compliance)
FI: Storbankerna och Nordea Hypotek kvarstår som systemviktiga 2026
Vad har hänt: FI har i sin årliga bedömning enligt EBA:s O-SII-metod identifierat SEB, Handelsbanken, Swedbank och Nordea Hypotek som övriga systemviktiga institut i Sverige för 2026. Kapitalbuffertkravet i kärnprimärkapital kvarstår på 1 procent, på gruppnivå för de tre storbankerna och på institutnivå för Nordea Hypotek.
Vad det betyder för er: Nyheten gäller enbart de fyra namngivna storbankerna och deras kapitalbuffertkrav, och berör inte en sparbank direkt eftersom sparbanken inte klassas som systemviktig. Det kan dock vara relevant bakgrundsinformation för compliance/risk att känna till strukturen i det svenska banksystemet, särskilt då Swedbank är sparbankens kritiska IKT-leverantör.
Åtgärder:- • Notera informationen som bakgrundskunskap utan vidare åtgärd; ingen operativ konsekvens för banken. (Risk)
EBA konsulterar om regler för omklassificering av stora värdepappersbolag
Vad har hänt: EBA har öppnat en konsultation om tre förslag till tekniska standarder (RTS) som rör hur investeringsföretag ska omklassificeras som kreditinstitut när deras totala tillgångar överstiger 30 miljarder euro. Konsultationen omfattar beräkningsmetod för tröskelvärdet, rapporteringskrav samt villkor för undantag (waiver), och är öppen för kommentarer till den 25 november 2026.
Vad det betyder för er: Detta rör sannolikt inte er bank direkt eftersom det gäller stora värdepappersbolag med tillgångar över 30 miljarder euro, inte sparbanker med bankoktroj. Det kan dock vara relevant bakgrundskunskap för compliance för att förstå gränsdragningen mellan investeringsföretag och kreditinstitut i regelverket.
Åtgärder:- • Notera konsultationen som bakgrundsinformation utan att vidta åtgärd, då den inte berör sparbankens egen verksamhet eller tillsynskategori. (Compliance)
IMY vägleder om GDPR vid streaming av barn- och ungdomsidrott
Vad har hänt: IMY har publicerat en vägledning om vad som gäller enligt GDPR vid streaming av barn- och ungdomsidrott, riktad främst till idrottsklubbar, idrottsförbund och kommuner. Vägledningen tar upp faktorer som barns ålder, spridning, tävlingsnivå och lagring, samt klargör att samtycke ofta inte är giltigt på grund av social press.
Vad det betyder för er: Vägledningen är inte riktad mot sparbanker, men kan bli relevant om banken som sponsor är delaktig i eller finansierar streaming av barn- och ungdomsidrottsevenemang, t.ex. via lokala föreningssamarbeten. Det bör tolkas som en påminnelse om att banken indirekt kan beröras av GDPR-frågor kopplade till sponsrade evenemang, snarare än en regeländring som direkt träffar bankens egen verksamhet.
Åtgärder:- • Bedöm om banken sponsrar eller är involverad i streaming av barn- och ungdomsidrott och stäm i så fall av med berörd förening att GDPR-vägledningen beaktas. (Compliance)
FI efterlyser förslag till sin vägledning via Innovationskompassen
Vad har hänt: FI uppmanar marknadsaktörer att lämna förslag inom områden med särskilt angelägna eller komplexa regulatoriska frågor, kopplat till nya produkter, tjänster eller affärsmodeller. Förslag lämnas via Innovationskompassen enligt information på FI:s webbplats.
Vad det betyder för er: Detta är en frivillig möjlighet snarare än ett krav, och bör tolkas som mest relevant för banker med innovationsprojekt eller nya affärsmodeller under utveckling. Banken bör bedöma om Innovationskompassen är relevant utifrån dess egen produktinnovation och affärsutveckling.
Åtgärder:- • Notera Innovationskompassen som kanal för att lämna regulatoriska frågor till FI, ifall behov uppstår framöver. (Compliance)