CERT-SE:s veckobrev v.36: valbevakning, IT-incident hos Dustin och sårbarheter i GeoNetwork
Vad har hänt: CERT-SE:s veckobrev v.36 rapporterar bland annat om en cybersäkerhetsincident hos IT-leverantören Dustin där interna system stängts ned, samt om två sårbarheter i mjukvaran GeoNetwork som kan möjliggöra fjärrexekvering av skadlig kod. Brevet innehåller även nyheter om ett ransomware-angrepp mot delstatsdepartement i Berlin, en vägledning om kriskommunikation vid driftstörningar, samt rapporter om AI-drivna botnätverk och AI-agenter som legat bakom ett intrång hos Hugging Face.
Vad det betyder för er: Nyheten är i huvudsak allmän lägesinformation utan direkt krav på åtgärd, men incidenten hos Dustin är relevant om sparbanken har Dustin som leverantör i någon del av sin försörjningskedja. Den bifogade vägledningen om kriskommunikation vid driftstörningar kan sannolikt vara användbar underlag för bankens egen kommunikationsberedskap, exempelvis vid en driftstörning hos Swedbank som drabbar banken. Övriga nyheter (Berlin, GeoNetwork, AI-botnät) bedöms inte ha direkt bäring på en enskild sparbanks verksamhet.
Åtgärder:- • Kontrollera om Dustin är leverantör till banken eller till underleverantörer i den kritiska driftkedjan, och om så, begär status från berörd part. (IT/Säkerhet)
- • Ta del av CISA:s vägledning om kommunikation vid driftstörningar och bedöm om den bör inarbetas i bankens kriskommunikationsplan. (IT/Säkerhet)
FI: Boräntorna har planat ut, uppmanar konsumenter att jämföra och förhandla
Vad har hänt: FI konstaterar att den genomsnittliga bolåneräntan efter en kraftig nedgång sedan 2023 nu har planat ut kring 2,3 procent, med en spridning mellan banker på 0,27 procentenheter i juni. FI uppmanar konsumenter att jämföra räntor mellan banker, kolla sin faktiska ränta mot snittet och förhandla med sin bank, samt att vara medveten om riskerna med rörlig ränta som 80 procent av nya låntagare valt.
Vad det betyder för er: Nyheten innebär sannolikt ökat förhandlingstryck från bolånekunder som uppmanas jämföra och byta bank, vilket kan innebära fler samtal till kundtjänst och kreditavdelning med krav på matchning av konkurrenters räntor. Det bör tolkas som ett läge där kredit- och kundtjänstfunktionerna bör vara förberedda på att motivera bankens räntesättning transparent och hantera förhandlingsförfrågningar konsekvent, snarare än att det utlöser någon regulatorisk skyldighet.
Åtgärder:- • Säkerställ att kundtjänst har tydliga och konsekventa svar redo när kunder hör av sig och hänvisar till FI:s uppmaning att jämföra och förhandla räntor. (Kundtjänst)
- • Gå igenom bankens nuvarande ränteprissättning och spridning mot snittet på marknaden, så att kreditfunktionen kan bedöma om förhandlingsutrymme finns för befintliga kunder. (Kredit)
IMY inleder tillsyn mot IT-bolag om kreditupplysning och GDPR
Vad har hänt: IMY inleder tillsyn mot Cogno Scio AB för att utreda om bolaget bedriver tillståndspliktig kreditupplysningsverksamhet och om det behandlar personuppgifter om lagöverträdelser i strid med kreditupplysningslagen och GDPR. I ett första skede har IMY begärt in mer information från bolaget om verksamheten.
Vad det betyder för er: Ärendet rör ett annat bolag och kräver ingen åtgärd från sparbanken, men det belyser sannolikt IMY:s fortsatta fokus på gränsdragningen mellan kreditupplysningsverksamhet och annan databehandling. Det kan tjäna som påminnelse om att banken bör ha tydlig dokumentation för sin egen behandling av kreditupplysningsuppgifter och uppgifter om lagöverträdelser i kreditgivningsprocessen.
Åtgärder:- • Notera ärendet som omvärldsbevakning; ingen direkt åtgärd krävs eftersom tillsynen riktas mot ett annat bolag. (Compliance)
FI kartlägger AI-användning hos finansföretag via enkät
Vad har hänt: FI genomför en fördjupad analys av hur finansföretag använder AI och hur de påverkas av EU:s AI-förordning, som ett urval institut under FI:s tillsyn får svara på via en riktad enkät. Kartläggningen är en uppföljning av en enkät från 2024 med delvis nya frågor som speglar utvecklingen inom AI, särskilt generativa modeller.
Vad det betyder för er: Om sparbanken tillhör urvalet innebär det sannolikt att den mottar en enkät om sin AI-användning och sin hantering av AI-förordningen, utan att någon åtgärd krävs i dagsläget. Det är dock oklart av källan om just mindre sparbanker ingår i urvalet, så det bör tolkas som en möjlig men inte säker beröring för banken.
Åtgärder:- • Bevaka om enkäten från FI inkommer och säkerställ att den besvaras korrekt och i tid om så sker. (Compliance)
- • Sammanställ internt underlag om bankens nuvarande AI-användning (t.ex. i kundtjänst, kreditbedömning eller via Swedbanks system) som stöd inför eventuellt enkätsvar. (Risk)
- • Om AI-funktionalitet tillhandahålls via Swedbanks driftplattform, begär skriftlig information från Swedbank om vilka AI-komponenter som används och hur de förhåller sig till AI-förordningen, för diarieföring. (IT/Säkerhet)
FI: Svenska företag på väg mot T+1-övergången 2027
Vad har hänt: FI har sammanställt en enkät om hur redo svenska värdepappersaktörer är för övergången till T+1-avveckling, som sker den 11 oktober 2027 med vissa anpassningar redan den 7 december 2026. Enkäten visar att 84 procent säger sig redo för decemberkraven och 88 procent för slutövergången, men de flesta företag planerar inte att delta i branschövergripande tester, vilket FI ska undersöka vidare.
Vad det betyder för er: Nyheten rör primärt värdepappersaktörer och avvecklingskedjan, vilket för en sparbank sannolikt är av mindre direkt betydelse om banken inte själv bedriver egen värdepappershandel med avveckling. Om sparbanken förmedlar värdepappersaffärer eller är kund hos en värdepapperscentral bör compliance ändå notera att FI aktivt spårar mindre aktörer i kedjan, vilket innebär att banken kan bli kontaktad av FI eller sin motpart för att bekräfta sin beredskap.
Åtgärder:- • Klargör om och i vilken utsträckning banken bedriver värdepappersaffärer som omfattas av T+1-avvecklingen, och dokumentera slutsatsen. (Compliance)
- • Om banken berörs: stäm av med relevant leverantör/motpart (t.ex. depåbank eller värdepapperscentral) om deras T+1-anpassning och tidsplan, och diarieför svaret. (Risk)
Rättelse till MiFID II publicerad (CELEX 32014L0065R(19))
Vad har hänt: En rättelse (corrigendum) till MiFID II-direktivet (2014/65/EU) har publicerats i EUR-Lex under CELEX-nummer 32014L0065R(19). Källtexten innehåller ingen ytterligare information om vad rättelsen faktiskt ändrar eller vilka artiklar som berörs.
Vad det betyder för er: Rättelser av detta slag rör vanligtvis språkliga eller tekniska korrigeringar i direktivtexten och innebär sannolikt ingen ny materiell skyldighet för sparbanken. Eftersom källan inte anger vad som korrigerats går det dock inte att utesluta att ändringen påverkar tillämpningen av regler som banken (eller Swedbank i utkontrakterade delar) redan följer, varför compliance bör verifiera innehållet innan det avfärdas som obetydligt.
Åtgärder:- • Slå upp den fullständiga rättelsetexten i EUR-Lex för att fastställa vilka artiklar i MiFID II som berörs, och bedöm om det påverkar bankens tillämpning. (Compliance)
- • Dokumentera bedömningen (inklusive om ingen åtgärd krävs) i compliance-loggen för framtida spårbarhet vid FI-tillsyn. (Compliance)
Sanktionsavgift för marknadsmanipulation i Preservium Property AB
Vad har hänt: Stockholms tingsrätt har dömt en fysisk person att betala en sanktionsavgift på 40 000 kronor för överträdelse av förbudet mot marknadsmanipulation i MAR, efter att personen genomfört aktietransaktioner i Preservium Property AB som kunde ge vilseledande signaler om tillgång och efterfrågan. Finansinspektionen hade yrkat samma belopp i tingsrätten.
Vad det betyder för er: Ärendet rör en enskild fysisk persons agerande på aktiemarknaden och har ingen direkt koppling till sparbankens egen verksamhet eller kunder. Det kan dock tjäna som en påminnelse till compliance om att FI aktivt driver sanktionsärenden vid marknadsmanipulation, vilket är relevant om banken bedriver värdepappersrörelse eller handel för kunders räkning.
Åtgärder:- • Notera ärendet som exempel i den interna kunskapsbanken om marknadsmissbruk, om banken har handel med finansiella instrument för kunder. (Compliance)