Katarina Abrahamsson den 19 april :53

Transkript

1 RR HL Ludvig Rådsmöte 9 maj Dnr 18Li195 Från: Skickat: Till: Ämne: Bifogade filer: Katarina Abrahamsson <Katarina.Abrahamsson@lotteriinspektionen.se> den 19 april :53 Regelrådet Remitterad föreskrift Föreskrifter tekniska för värdeautomater(690339) (0)_TMP.docx; Konsekvensutredning tekniska föreskrift och allmänna råd värdeautomater(671244) (0).docx; remissmissiv.pdf Hej, Lotteriinspektionen har idag remitterat förslag till föreskrifter och allmänna råd om tekniska krav för värdeautomater. Dessa bifogas tillsammans med konsekvensutredning. I remissmissivet finns även ytterligare en föreskrift som remitterats till Svenska Spel. Lotteriinspektionen har idag beslutat att undanta Lotteriinspektionens föreskrifter och allmänna råd om spel på kasino och värdeautomatspel från krav på konsekvensutredning enligt 5 förordningen (2007:1244) om konsekvensutredning vid regelgivning. Swedish Gambling Authority Finningevägen 54 B P.O. Box 199 SE Strängnäs Katarina Abrahamsson Jurist Legal Officer phone +46(0) mobile +46(0) telefax +46(0) katarina.abrahamsson@lotteriinspektionen.se

2 Lotteriinspektionen författningssamling Utgivare: Johan Röhr, Lotteriinspektionen, Box 199, Strängnäs. ISSN LIFS 2018:X Lotteriinspektionens tekniska föreskrifter och allmänna råd om värdeautomater och spel på hel- och halvautomatiserade spelbord; beslutade den x x 20xx. Med stöd av 15 kap , 9 och spelförordningen (2018:000) föreskriver 1 Lotteriinspektionen följande och beslutar följande allmänna råd. 1 kap. Tillämpningsområde och uttryck 1 Dessa föreskrifter och allmänna råd gäller den som ansöker om licens att anordna spel på värdeautomater och spel på hel- och halvautomatiserade spelbord enligt 5 kap. 1 spellagen (2018:000) samt den som har licens till sådant spel enligt spellagen. I dessa föreskrifter aves med värdeautomater också spel på hel- och halvautomatiserade spelbord. 2 Om inte annat anges har de uttryck och benämningar som används i föreskriften samma betydelse som i spellagen (2018:000) och spelförordningen (2018:000). I dessa föreskrifter och allmänna råd avses med 1. checksumma: siffror som bifogas tal eller meddelande för att ändringar och fel ska kunna upptäckas och räknas fram genom en bestämd matematisk procedur, 2. insatsmottagare: läsare för sedlar, värdebevis eller för andra typer av betalning för insatser, 3. maximal belastning: definieras av den certifierade licensinnehavaren och avser det tillfälle då spelsystemet automatiskt avvisar insatser från spelare, 4. progressivt spel: spel där utbetalningarna ökar linjärt i förhållande till den insats som gjorts av spelaren, 5. slumptalsgenerator: en algoritm eller fysisk enhet som är avsedd att generera en sekvens av element (ofta tal) som har vissa statistiska egenskaper gemensamma med talföljder, vilka uppstår rent slumpmässigt efter en given sannolikhetsfördelning, 6. UTC: världstid UTC (Coordinated Universal Time). UTC 1 Se Europaparlamentets och rådets direktiv (EU) 2015/1535 av den 9 september 2015 om ett informationsförfarande beträffande tekniska föreskrifter och beträffande föreskrifter för informationssamhällets tjänster.

3 Sverige finns på tidsbyrån BIPM i Paris och hämtas på ett garanterat säkert sätt till RISE, Research Institutes of Sweden Sveriges forsknings- och innovationspartner för näringsliv och samhälle, i Borås och kallas UTC(SP), och 7. vinstpott: alla eller delar av spelarnas insatser i enlighet med den aktuella spelformens spelregler och där licenshavaren behåller på dessa insatser tills dess att hela eller delar av insatserna delas ut, kan t.ex. vara en jackpott, poolspel eller en fördelad jackpott. 2 kap. Kontroll, provning och certifiering 1 Den som ansöker om spellicens för att anordna spel med värdeautomater ska vända sig till ett ackrediterat organ för kontroll, provning och certifiering. Bestämmelser om ackreditering som utförs av Swedac finns i lagen (2011:791) om ackreditering och teknisk kontroll. Är sökanden, eller den som utför tjänster för sökandens räkning, certifierat i förhållande till gällande ISO/IEC 27001:2014 kan kraven i 4 och 5 kap. denna föreskrift vara uppfyllda. Giltigt ISO/IEC 27001:2014 certifikat, uttalande om tillämplighet 2 och dokumenterad riskbedömning ska finnas tillgängliga för det ackrediterade organet att utvärdera. 2 Den som ansöker om spellicens ska skicka underlag för utförd kontroll, provning och certifiering till spelmyndigheten. I rapporten ska det tydligt anges vilka utvärderingsmetoder som använts i kontroll-, provnings- och certifieringsprocesserna. För att säkerställa att det ackrediterade organet uppfyller samtliga krav i 3 kap. ska utfärdade certifikat och övrig dokumentation för verksamheten bifogas. 3 Kontroll-, provnings- och certifieringsprotokoll ska förnyas minst var tolfte månad. Om det ackrediterade organet i det löpande arbetet konstaterar brister eller felaktigheter som är av betydelse för licensen, ska licenshavaren omedelbart underrätta spelmyndigheten. Licenshavaren ska omedelbart meddela som certifieringsorganet återkallar certifikat. 3 kap. Ackrediterade organ Omfattning 1 Den ackrediterade processen ska omfatta informationssäkerhet, kontroll, provning och certifiering samt risk- och sårbarhetsanalys. Behörighetskrav för det ackrediterade organet 2 Den som ansöker om ackreditering ska ha erfarenhet av arbete med ledningssystem för informationssäkerhet, kontroll, provning, certifiering och risk- och sårbarhetsanalys. 2 Statement of Applicability.

4 Med erfarenhet avses minst tre års erfarenhet av att testa och utvärdera ledningssystem för informationssäkerhet, minst två års erfarenhet med risk- och sårbarhetsanalys eller likvärdig erfarenhet. Behörighetskrav för personal hos det ackrediterade organet 3 Kontroll, provning och certifiering ska utföras av personal som har adekvat och dokumenterad utbildning. Det ska finnas personal som har minst fem års erfarenhet av att kontrollera och prova spelsystem, spelverksamhet och värdeautomater eller motsvarande erfarenhet. Det ska finnas personal som har minst fem års erfarenhet av risk- och sårbarhetsarbete eller motsvarande erfarenhet. Åberopad erfarenhet och kompetens ska styrkas genom intyg eller liknande. Adekvat och relevant utbildning kan också vara andra kvalifikationer som gör att personal uppnår tillräcklig kompetens för uppgiften eller uppgifterna. För arbete med slumptalsgeneratorer och annan dragningsutrustning bör ansvarig arbetsledare ha en mastersexamen eller doktorsexamen inom matematik, statistik eller annan för uppdraget relevant utbildning. Sådana kvalifikationer ska på samma sätt som annan utbildning finnas dokumenterade och kan för arbete med informationssäkerhet vara certifieringar i enlighet med: - International Information Systems Security Certification Consortium (ISC)2 Certified Information Systems Security Professional (CISSP), - Payment card industry (PCI) Qualified Security Assessor (QSA), eller - Information Systems Audit and Control Association (ISACA) Certified Information Systems Auditor (CISA). För arbete med risk- och sårbarhetsanalyser kan följande certifieringar vara aktuella: - International Council of E-commerce (EC-Council) Certified Ethical Hacker (CEH), - EC-Council Licensed Penetration Tester (LPT), - Information Assurance Certification Review Board (IACRB) Certified Penetration Tester (CPT), - Global Information assurance Certification (GIAC) Certified Penetration Tester (GPEN), - CESG CHECK Team Leader, - CESG CHECK Team Member, - CREST Infrastructure Certification, - CREST Registered Tester, - Tiger Scheme Senior Security Tester, eller - Tiger Scheme Qualified Security Tester. Kontroll, provning och certifiering kan utföras av personal som sammantaget uppfyller fastställda krav. 4 kap. Licenshavarens informationssäkerhet Skydd av information

5 1 Viktig information ska skyddas både i spelsystemet och i värdeautomaten mot fysiska och logiska intrång och annan yttre påverkan samt trygga att information är tillgänglig då den behövs. Personaladministration 2 Det ska finnas en policy och rutiner som reglerar anställdas behörighet till spelsystemet. Motsvarande policy, upprättande av behörighetsbeskrivning och rutiner enligt första stycket ska finnas för övriga personer som behöver ha behörighet till spelsystemet. Policyer och rutiner ska vara dokumenterade och regelbundet uppdateras. En policy med tillhörande rutiner bör omfatta 1. detaljerade arbetsbeskrivningar för varje anställd, 2. vilken behörighet till information som krävs för arbetsuppgifterna, 3. på vilket sätt förändringar i arbetsbeskrivningen också kan reflekteras i behörighet till vilken information den anställde ska ha tillgång till, 4. beskrivning av vilka steg som tas om en anställning avslutas. Tillträdesbegränsning 3 Spelsystemet ska vara placerat i utrymme som är anpassat för ändamålet. Vid alla passerställen till den plats där spelsystemet hanteras eller förvaras, ska det finnas personell bevakning eller teknisk utrustning för tillträdeskontroll eller båda i kombination. Tillträdeskontrollens omfattning ska vara anpassad till bestämmelserna om risk- och sårbarhetsarbete i 5 kap. Kort, koder och nycklar till utrymmen där spelsystem hanteras eller förvaras ska kontrolleras så att inte obehöriga kan får åtkomst till dessa. Ett utrymme som är anpassat för ändamålet kan vara ett eller flera rum. 4 System för drift och test ska hållas logiskt skilda från varandra. Behörighetskontroll 5 Spelsystemet ska vara försett med tekniska och administrativa åtgärder för identifiering av användaren, användarens behörighet till systemen samt registrering av användarens aktiviteter. All åtkomst till spel- och affärssystemen ska registreras. Kod, lösenord eller motsvarande till spel- och affärssystem är personliga och får inte visas eller lämnas till andra och ska ges ett säkerhetsskydd som är anpassat till informationen. 6 Spelsystemet ska löpande registrera användares identitet, datum och tidpunkt för inloggning och utloggning samt sådana aktiviteter i övrigt som är av betydelse för informationssäkerheten. 7 Händelser utanför den tekniska utrustningen som påverkar spelsystemet ska registreras. Brand, vattenskador kan vara exempel på sådana händelser utanför den tekniska utrustningen som påverkar spelsystemet.

6 Kommunikation- och driftstyrning 8 Spelsystemet ska kunna stängas ned säkert i händelse av störning eller avbrott i elförsörjningen eller i kommunikationen. Det ska finnas reservkraftssystem för att säkerställa dataintegritet, registrering av historik och säkerhetskopiering. 9 Spelsystemet ska registrera alla försök till obehörig åtkomst till spelsystemet, övriga händelser och skapa händelserapporter med tidsregistrering. 10 Spelsystemet ska vara skyddat mot obehörigt intrång och införande av otillåten och skadlig kod. Spelsystemet ska ha en funktion som upptäcker skadlig kod. Det ska finnas dokumenterade rutiner för uppdatering av skydd mot otillåten och skadlig kod. 11 Alla systemändringar i enlighet med 6 kap. och övriga avvikelser i spelsystemet ska övervakas och registreras. 12 Spelsystemet ska säkerhetskopieras minst dagligen. Det ska säkerställas att systemet kan återskapas från tiden för senaste säkerhetskopieringen till tidpunkten för ett eventuellt avbrott. 13 Spelsystemet ska förses med därför avsedd brandvägg. Brandväggar ska inrättas på sådant sätt att inte annan utrustning inom samma nätverk kan skapa alternativa nätverksvägar. Behörighet till brandväggar ska dokumenteras i upprättade arbets- och behörighetsbeskrivningar. Tillträde till en brandvägg ska registreras. Alla incidenter som påverkar eller syftar till att påverka brandväggar ska registreras. 14 Information ska lagras och överföras på ett säkert sätt. Om publika nätverk används för överföring av information ska informationen vara krypterad och de skilda undersystemen ska verifiera sändning och mottagning och vara skyddade mot ofullständig sändning, störning samt kopiering av och utskick av svarsmeddelande som inte är auktoriserade. 15 Det ska finnas dokumenterade rutiner för hantering av flyttbara datamedia. 16 Endast funktioner som är nödvändiga för syftet med installation av ny programvara ska aktiveras. Underhåll och uppdatering av applikationer i ett spel- och affärssystem ska ske på ett säkert och kontrollerat sätt. 17 En programvara ska vara identifierbar med namn och versionsnummer. Spelsystemets programkod ska innehålla kommentarer som förklarar kodens funktion. Lagring av registrerade uppgifter, händelser och loggar 18 Registrerade uppgifter, händelser och loggar ska lagras i enlighet med 16 kap. 5 spellagen och hållas i oförändrat skick och ska skyddas mot olovligt intrång. Registrerade uppgifter enligt 13 tredje stycket ska lagras i minst tre månader.

7 Tidsreferens 19 Spelsystemet ska registrera tid. Alla uppgifter, händelser och loggar ska registreras i realtid. UTC ska användas som system för tidsreferens. 5 kap. Licenshavarens risk- och sårbarhetsarbete 1 Licenshavaren ska göra en risk- och sårbarhetsanalys och på ett systematiskt sätt identifiera och dokumentera spelsystemets informationstillgångar i en förteckning. I arbetet ska även den egna verksamhetens beroenden av andra verksamheter beaktas. Val av metod för risk- och sårbarhetsanalys ska dokumenteras. ISO 31000:2009 är en vägledning som innehåller principer och generella riktlinjer för riskhantering. En risk- och sårbarhetsanalys och en förteckning enligt 1 kan omfatta följande moment: 1. identifiering av informationstillgångar som alltid måste vara skyddade/fungera (Vad ska skyddas?), 2. identifiering av riskkällor som kan påverka/hota identifierade informationstillgångar (Vad kan hända?), 3. riskanalys (Hur sannolikt är det och vilka är konsekvenserna om det inträffar?), 4. riskutvärdering för att bedöma vilka av de identifierade riskkällorna som ska behandlas vidare och vilka åtgärder som ska vidtas för identifierade risker, 5. bedömning av förmågan att motstå och hantera identifierade riskkällor, och 6. riskbehandling genom identifiering och prioritering av åtgärder med anledning av analysens resultat. 2 För varje informationstillgång i förteckningen ska följande information finnas 1. en definition av informationstillgången, 2. unikt identifieringsnummer, 3. versionsnummer, 4. identifierande kännetecken för informationstillgången, 5. beslutsfattare som äger rätt att besluta om förändringar i informationstillgången, 6. intern riskvärdering, 7. checksumma för informationstillgångar klassificerade enligt 3, andra stycket 2 3, och 8. den geografiska placeringen av fysiska informationstillgångar. 3 Varje definierad informationstillgång enligt 2 ska klassificeras enligt följande fyra kriterier: 1. spelarinformation (om sådan finns) skyddsvärd information, 2. spel- och affärssystemens integritet, 3. tillgänglighet av spelarinformation, eller 4. spårbarhet. Varje klassificering ska bedömas enligt följande:

8 1. ingen relevans (informationstillgången har ingen betydelse för kriteriet i respektive punkt 1 4 i första stycket), 2. viss relevans (informationstillgången kan ha betydelse för kriteriet i respektive punkt 1 4 i första stycket), eller 3. hög relevans (kriteriet i respektive punkt 1 4 i första stycket är beroende av informationstillgången). Beroende på om och hur virtualisering, exempelvis så kallade molntjänster, används i spel- och affärssystemet kan redundans av och tillgänglighet till information påverkas. Olika metoder av virtualisering kan medföra förändrad klassificering av en informationstillgång. Licenshavaren bör vara uppmärksam på hur klassificeringen av en hårdvaruinformationstillgång påverkas och kan förändras beroende på val eller utveckling av virtualisering internt eller externt. Används en extern molntjänstleverantör bör det säkerställas att denne lever upp till kraven i föreskriften. 4 Licenshavaren ska utse en ansvarig beslutsfattare för risk- och sårbarhetsanalysarbete och hantering av information och uppkomna incidenter i detta kapitel. Det ska finnas dokumenterade rutiner för övervakning, upptäckt, analys, hantering och rapportering samt registrering av säkerhets- och informationssäkerhetsincidenter. 5 Det ska finnas en funktion och dokumenterade rutiner för hantering av intrång och försök till intrång i spel- och affärssystemen. Alla intrång och försök till intrång i spel- och affärssystemen ska registreras. 6 kap. Licenshavarens systemändringar 1 Det ska finnas en dokumenterad process för versionshantering och ett versionshanteringssystem för uppdateringar eller förändringar av de informationstillgångar som upprättats i en förteckning enligt 5 kap Uppdatering eller förändring av en informationstillgång som klassificerats som kritisk med hög relevans enligt 5 kap. 3 andra stycket 3, ska utan dröjsmål granskas av ackrediterat organ. Uppdatering eller förändring av en informationstillgång som klassificerats med viss relevans enligt 5 kap. 3 andra stycket 2 ska granskas i samband med ordinarie certifieringsprocess enligt 2 kap. 4 första stycket. 3 Finns en intern funktion som hanterar kvalitetssäkring av uppdateringar eller förändringar av informationstillgångar kan det ackrediterade organet godkänna att ändringar görs utan granskning enligt 2 första stycket om 1. funktionen är organisatoriskt separerad från den funktion som implementerar uppdateringar eller förändringar och 2. funktionen har personal med adekvat utbildning och erfarenhet. Uppdatering eller förändring av en informationstillgång enligt första stycket ska granskas i samband med ordinarie certifieringsprocess enligt 2 kap. 4 första stycket.

9 4 Vid uppdatering eller förändring av informationstillgångar enligt 1 ska risk- och sårbarhetsanalys utföras. 5 Det ska finnas en utsedd beslutsfattare som ansvarar för och beslutar om varje uppdatering eller förändring av en informationstillgång. 6 Ett versionshanteringssystem ska innehålla information om begäran om ändringar, godkännande av ändringar och utförda ändringar av informationstillgångar. Tidigare versioner av informationstillgångar ska lagras och hållas tillgängliga för granskning. 7 kap. Värdeautomater Tidigare versioner av informationstillgångar i form av hårdvara kan destrueras. Anslutning, identifiering och placering av en värdeautomat 1 En värdeautomat ska vara ansluten till ett spelsystem. En värdeautomat ska kunna identifieras av spelsystemet. Om identifiering inte kan ske när värdeautomaten kopplas mot spelsystemet ska värdeautomaten försättas i ospelbart skick. 2 En värdeautomat ska ha en unik identitet. En värdeautomat ska bestå av minst följande 1. logikenhet med programvara för kontroller av kommunikation med spelsystemet, 2. programvara för grafik, 3. insatsmottagare eller motsvarande, och 4. en skrivare eller motsvarande. 3 Värdeautomatens olika enheter ska placeras i utrymmen anpassade för ändamålet. Det ska finnas dokumenterade rutiner för vem som har tillträde till värdeautomatens olika utrymmen. Tillträde till värdeautomatens olika utrymmen ska tidsregistreras och skickas till spelsystemet. Skydd av en värdeautomat 4 En värdeautomat ska skyddas mot fysiska och logiska intrång och annan yttre påverkan samt trygga att information är tillgänglig då den behövs. Insatser och utbetalning av pengar 5 En insats ska kunna anges i svenska kronor och spelaren ska aktivt kunna ange sin insats. På en värdeautomat som inte är placerad på ett kasino ska det finnas en funktion där spelaren på ett enkelt sätt kan ange en förlustgräns enligt 14 kap. 7 spellagen. På en värdeautomat som är placerad på ett kasino ska det finnas en funktion där spelaren på ett enkelt sätt kan begränsa sin inloggningstid. 6 En värdeautomat ska uppfylla de krav avseende högsta tillåtna insats som anges 3 kap. 5 andra stycket och 8 9 spelförordningen (2018:000). En värdeautomat ska tydligt visa insättning, insats och vinster.

10 En värdeautomat som inte är placerad på ett kasino ska utöver andra stycket även visa förluster. 7 En spelare ska vid varje given tidpunkt kunna få sina pengar utbetalade. Insatsmottagare 8 En insatsmottagare ska ha en funktion som förhindrar inmatning av insatser när värdeautomaten är ur drift eller inaktiverad. En insatsmottagares funktion ska testas vid start av värdeautomaten samt vid återställning från ett felläge. Om inte insatsmottagaren fungerar ska värdeautomaten försättas i ospelbart skick. Symboler i ett spel 9 En symbol som används i ett spel ska ha samma form och färg i hela det aktuella spelet. Progressivt spel 10 En värdeautomat som används för progressivt spel ska vara kopplad till det spelsystem som beräknar och visar aktuellt utfallande belopp för spelaren. Om flera värdeautomater kopplats samman, ska varje värdeautomat ha samma förutsättningar för progressiv vinstpott. 11 Vid progressivt spel ska 1. all spelutrustning kopplad till styrutrustningen övervakas, 2. alla insatser registreras, 3. alla insatser multipliceras med den förprogrammerade progressionsfaktorn för att fastställa beloppet till den progressiva vinstpotten, och 4. all avstämningsdata överföras till spelsystemet i realtid. Det ska finnas en funktion för att registrera och visa följande händelser i minst 90 dagar 1. antal progressiva vinstpotter på varje vinstnivå, 2. totalt utbetalt belopp på varje vinstnivå, 3. högsta utbetalda progressiva belopp för varje vinstnivå, 4. lägsta belopp eller återställningsbelopp för utbetalning vid progressivt spel för varje vinstnivå, och 5. progressionsfaktorn för varje vinstnivå. Hantering av fel och brister 12 Om maskinvarufel eller programvarufel eller kommunikationsfel uppkommer eller om värdeautomaten inte kan skriva ut ett värdebevis ska värdeautomaten försättas i ospelbart skick. Hantering av värdeautomater 13 En värdeautomat får inte flyttas från en spelplats till en annan spelplats utan att en uppdatering sker i spelsystemet. 14 Samtliga värdeautomater ska registreras. Registret ska innehålla information om tillverkare och identitetsnummer för en värdeautomat samt uppgifter om åtgärder och tidpunkt för åtgärder som utförts i en värdeautomat. Registret ska också innehålla uppgifter om inbrott i värdeautomater och stölder av hela eller delar av värdeautomater.

11 8 kap. Funktioner för licenshavarens administration av värdeautomatspel 1 För en värdeautomat som inte är placerad på ett kasino ska spelsystemet ha en funktion som registrerar en spelare för spel. Verifiering av spelarens behörighet att spela på en värdeautomat som inte är placerad på ett kasino ska ske genom personlig och unik behörighetskod eller på liknande sätt. Efter den initiala registreringen, då spellagen kräver verifiering av spelaren via bank-id eller liknande, kan licenshavarens fortsatt kräva verifiering via bank-id eller liknande. Alternativt kan licenshavaren välja att låta spelaren skapa ett användarnamn med tillhörande behörighetskod eller utfärda ett spelkort eller liknande. 2 Ett spel ska endast kunna startats genom att trycka ner en fysisk eller virtuell startknapp. 9 kap. Återbetalningsprocent 1 Om ett spel med progressiv vinst spelas ska återbetalningsprocentens miniminivå visas för spelaren. 2 Spelsystemet ska ha en funktion för övervakning av återbetalningsprocenten på varje enskilt spel. Den data som genereras i första stycket ska lagras och finnas tillgänglig för granskning. 10 kap. Funktionalitetskrav för slumptalsgenerator 1 Resultat från den slumptalsgenerator som används ska vara slumpmässigt, statistiskt oberoende, ha korrekt standardavvikelse och ska vara korrekt sannolikhetsfördelad. Resultatet ska inte vara förutsägbart utan kännedom om använd algoritm, implementering och initialvärden. Det finns flera statistiska tester som kan användas för att säkerställa resultatet av en slumptalsgenerator. DIEHARD-testpaketet (Marsaglia) och NIST-testpaketet (National Institute of Standards and Technology Statistical Test Suit) är två tester som kan användas. 2 Det ska finnas en dokumenterad referens till etablerad och vedertagen algoritm och eventuell programkod samt omräkningsförfarande. Finns slumptalsgeneratorn inbyggd i programvaran, ska hela denna programkod, tillsammans med kommentarer och dokumentation, kunna redovisas. Den algoritm som slumptalsgeneratorn baseras på bör vara publicerad i någon internationellt erkänd publikation. De utfallstest som kan bli aktuella för genererade slumptal är till exempel X2- test (chi-två-test), autokorrelationstest, runs-test.

12 Licenshavaren kan möjliggöra kontroll av att den fastställda vinstplanen genom att låta den ackrediterade testverksamheten granska program, tryckplåtar, loggar, kontrollistor eller annan dokumentation för vinstplanen. 3 Slumptalsgeneratorn ska kunna klara fastställd maximal belastning. 4 Beräkningar från slumptalsgeneratorn ska ha korrekt standardavvikelse och ska vara korrekt sannolikhetsfördelat. Slumptalgeneratorns utfall av nummer, symboler eller händelser ska korrespondera med de för aktuellt spel fastställda spelreglerna. Utfallet av varje startat spel ska vara statistiskt oberoende av övriga utfall i värdeautomaten, om inte tidigare utfall föranlett att spelaren hamnat i bonusläge. 5 Slumptalsgeneratorns utfall ska verifieras så att utfallet överensstämmer med registrerade händelser i spelsystemet. 6 Om det i spelreglerna krävs att en sekvens av utfall från en slumptalsgenerator bestäms i förväg, är det endast tillåtet att skapa nya sekvenser om det framgår av spelreglerna. 7 Om inget annat framgår av spelreglerna ska utfall av en slumptalsgenerator alltid vara oberoende av händelser i det aktuella spelet eller av tidigare spel. 11 kap. Spelinstruktioner och vinstplan Spelinstruktioner 1 Spelinstruktioner ska vara kompletta, tydliga och inte vilseledande. Spelinstruktioner får översättas till andra språk och ska då ha samma innehåll som de ursprungliga. 2 Spelinstruktioner och spelregler ska finnas tillgängliga utan att en insats måste göras. 3 Spelinstruktioner ska finnas tillgängliga på samma typ av medium som det aktuella spelet. Spelinstruktioner ska finnas tillgängliga under hela spelet. Om ett spel tillfälligt ändrar karaktär, under pågående spel bör spelinstruktionerna per automatik anpassas till ändringen. Vinstplan 4 Licenshavaren ska ha dokumenterade rutiner för att kvalitetssäkra att konfigureringar av vinstplaner är korrekta. Licenshavaren ska ha dokumenterade rutiner för att säkerställa att beräkningarna av vinstplanerna är korrekta. Rutiner kan vara både automatiska och manuella.

13 Vinstpott 5 Det ska finnas spelregler för hur en spelare ska kunna vinna en vinstpott. Det ska tydligt framgå hur en vinstpott är finansierad och fördelad. 6 Det ska tydligt framgå av spelreglerna hur en vinstpott ska fördelas, om den vinns av fler än en spelare. 7 Det ska tydligt framgå av spelreglerna hur en licenshavare kan avbryta eller avsluta en vinstpott. 12 kap. Värdebevis 1 Om ett värdebevis används ska minst följande information framgå 1. värdeautomatens unika identitet, 2. spelplatsens namn, 3. datum och tid för utskrift av värdebevis, 4. värdet i kronor, 5. värdebevisets löpnummer, angivet numeriskt och i streckkod eller annan läsbar kod, och 6. sista giltighetsdag. Om värdeautomaten är placerad på annan plats än på ett kasino ska även namn och födelsedatum på den som registrerat sig för spelet framgå av värdebeviset. 13 kap. Information som ett spelsystem ska kunna generera Information och rapporter 1 En värdeautomat ska registrera och kunna visa följande information för de tio senaste spelade spelen 1. total behållning i början av varje spel, 2. total insats, 3. antal valda linjer och insatsen för varje linje, 4. total vinst, och 5. total behållning i slutet av varje spel, och 6. utfall av bonusläge. Information som enligt första stycket registrerats av en värdeautomat ska skickas till spelsystemet. 2 Information enligt 1 ska kunna visas på det sätt som spelaren ursprungligen såg den. 3 Ett spelsystem ska kunna registrera och generera rapporter om följande information för en värdeautomat 1. totalt värde för insättningar, 2. totalt värde för insättningar i 1 p fördelade på insättningstyp, 3. totalt värde för insatser, 4. totalt antal utbetalningar, 5. totalt antal utbetalningar i 4 p fördelade på utbetalningstyp, 6. totalt värde för utbetalningar, 7. totalt värde för utbetalningar i 6 p fördelade på utbetalningstyp, 8. totalt värde för alla vinster från avslutade spel, och 9. totalt antal genomförda spel.

14 Särskilt om värdeautomater som inte är placerade på ett kasino 4 För en värdeautomat som inte är placerad på ett kasino ska spelsystemet utöver 3 kunna registrera och generera rapporter om följande information 1. datum och tidpunkt för spel, 2. spelar-id, 3. spelare som stängt av sig från spel under viss tid eller stängt av sig från spel tillsvidare i enlighet med 14 kap. 11 spellagen, 4. spelare som begränsat sina förluster i enlighet med 14 kap. 7 spellagen, och 5. avregistrerade spelare i enlighet med 14 kap. 12 spellagen. Särskilt om värdeautomater som är placerade på ett kasino 5 För en värdeautomat som är placerad på ett kasino ska spelsystemet utöver 3 kunna registrera och generera rapporter om följande information 1. genomsnittlig vinståterbetalningsprocent för samtliga 2. värdeautomater per månad och ackumulerat för den tid värdeautomaten varit i drift, 3. vinståterbetalningsprocent per värdeautomat per månad för den tid värdeautomaten varit i drift, 4. antal dagar respektive värdeautomat varit i bruk, 5. antal spelade spel per månad och ackumulerat för den tid värdeautomaten varit i drift, 6. spelets namn, 7. nya spel för den aktuella månaden, 8. utrangerade spelautomater: a. ackumulerad genomsnittlig utbetalningsprocent, och b. antal spelade spel totalt under den tid spelautomaten varit i drift 9. totalt utbetalt belopp fördelat på utbetalning av värdeautomaten respektive av personal manuellt, 10. totalt utbetalad vinst fördelat mellan värdeautomaten respektive personal manuellt, och 11. total andel utbetalad progressiv vinst utbetalad av värdeautomaten respektive av personal manuellt. Ikraftträdande- och övergångsbestämmelser 1. Denna föreskrift träder i kraft den 1 januari Föreskriften får tillämpas före ikraftträdandet på ansökningar om licens som lämnas in till Lotteriinspektionen efter den 1 augusti 2018 och som avser tid efter den 1 januari På Lotteriinspektionens vägnar CAMILLA ROSENBERG Johan Röhr

15 Diarienummer: 18Li195 Konsekvensutredning av föreskrifter för värdeautomater 1. Beskrivning av problemet och vad man vill uppnå Den nu gällande lotterilagen (1994:1000) trädde i kraft redan 1995 och har sitt ursprung i 1939 års lotteriförordning. Lotterier är sådan verksamhet där en eller flera deltagare kan få en vinst till ett högre värde än vad övriga deltagare kan få, däribland lottning, gissning, vadhållning, bingospel, automatspel, kasinospel m.m. Det av staten helägda bolaget AB Svenska Spel (Svenska Spel) är enda aktören som idag har koncession att anordna spel med värdeautomater. Regeringen beviljar koncessioner att anordna spel på värdeautomater och på ett kasino. Svenska Spel har beviljats en koncession att anordna spel på värdeautomater dels på Casino Cosmopol, dels på restauranger och bingohallar och en koncession att anordna spel på ett kasino. Spel på värdeautomater och på ett kasino regleras därefter av villkor som Lotteriinspektionen fastställt. Under 2016 beviljade Lotteriinspektionen 491 ansökningar till värdeautomatspel, totalt hade Svenska Spel ungefär tillstånd till värdeautomater. Runt automater fanns fördelade på restauranger och bingohallar. För att minimera risken för att spel på värdeautomater ger upphov till sociala skadeverkningar tar Lotteriinspektionen vid prövning av tillstånd för spel på värdeautomater särskild hänsyn till automaternas placering ur ett spelberoendeperspektiv. Automaterna ska placeras så att spelaren blir störd av spelplatsens övriga verksamhet, för att spelaren ska få avbrott i sitt spelande. Av villkoren som Lotteriinspektionen fastställt får Svenska Spel maximalt anordna spel på sammanlagt värdeautomater fördelat på fyra olika kasinon. Regeringens ambition är att svensk spelreglering bör anpassas till de stora förändringarna av spelmarknaden som den digitala utvecklingen för med sig och samtidigt leva upp till de skyldigheter som följer av EU-rätten. Av lagrådsremissen som beslutades den 21 december 2017 och som planeras att presenteras för riksdagen under våren 2018 framgår att kraven som ställs på en licenshavare ska framgå av föreskrifter. 1(8)

16 Diarienummer: 18Li195 De nu föreslagna föreskrifterna och allmänna råden avser tekniska krav på licenshavaren för spel på värdeautomater. De delar av koncessionerna som inte regleras i spellagen eller förordningar ska tillsammans med Lotteriinspektionens villkor omvandlas till föreskrifter. Regelverket blir tydligt och likriktad och de föreslagna föreskrifterna och allmänna råden blir som en byggsten tillsammans med övriga föreskrifter som myndigheten hanterar. I föreskrifterna som nu föreslås beskrivs närmare vilka funktionskrav som ska gälla för att få licens att anordna spel på värdeautomater. Föreskriften beskriver kraven för ett spelföretags licens, kontroll, provning och certifiering av ackrediterat organ, licenshavarens informationssäkerhet, risk- och sårbarhetsarbete och systemändringar, vilka krav en värdeautomat minst ska uppfylla, funktioner för licenshavarens administration av värdeautomatspel, funktionalitetskrav för slumptalsgeneratorer, spelinstruktioner, vinstplan och värdebevis samt vilken information som ska lagras och kunna genereras i en eller flera rapporter. Slutligen innehåller föreskriften ikraftträdande regler. 2. Beskrivning av alternativa lösningar för det man vill uppnå och vilka effekterna blir om någon reglering inte kommer till stånd Den föreslagna regleringen och dessa föreskrifter tillsammans med allmänna råd ska säkerställa att de spelföretag som ansöker om licens är lämpliga att anordna spel på värdeautomater samt hur och vilken information rörande de olika spelen som ska registreras, lagras och rapporteras samt vilken information som spelkunden ska ha tillgång till. Föreskrifterna ska leda till ökat skydd för konsumenter och hindra underåriga att spela om pengar, likriktad tillämpning av lagen samt att förenkla arbetet med att motverka penningtvätt och finansiering av terrorism. Oavsett om det beslutas om föreskrifter och allmänna råd för kraven för att anordna spel på värdeautomater eller om myndigheten fortsätter med villkor måste ett spelföretag som vill anordna spel på värdeautomater ansöka om licens i enlighet med den föreslagna spellagen. 2(8)

17 Diarienummer: 18Li195 Alternativa lösningar och effekter om reglering inte kommer till stånd Alternativet till föreskrifter och allmänna råd är att fortsätta med tidigare förfarande och skriva nya villkor och riktlinjevillkor avseende vad som krävs för att ansöka om licens för att anordna spel på värdeautomater. 3. Uppgifter om vilka som berörs av regleringen Den här föreslagna regleringen berör främst Svenska Spel eftersom det är den enda aktören som kan ansöka om licens att anordna spel på värdeautomater. Ytterligare en aktör som kommer att beröras av regleringen är ackrediteringsorganet Swedac och dess motsvarigheter i andra länder eller aktörer med vilka Swedac ingått avtal. För att kunna beviljas en licens ska spelföretaget vara underkastat kontroll, provning och certifiering. Kontroll, provning och certifiering ska utföras av ett eller flera organ som ska vara ackrediterade av Swedac. Slutligen kommer också den nu föreslagna spelmyndigheten att beröras i och med nya och förändrade arbetsuppgifter. 4. Uppgifter om de bemyndiganden som myndigheters beslutanderätt grundar sig på Vare sig spellagen eller spelförordningen är ännu beslutade men 21 kap. 14 spellagen (2018:000) och 15 kap. 9 spelförordningen ger regeringen respektive spelmyndigheten möjlighet att besluta om spelförordning och de föreslagna föreskrifter och allmänna råd. Spelmyndigheten kommer att anmäla dessa föreskrifter till Kommerskollegium i enlighet med Europaparlamentets och rådets direktiv (EU) 2015/1535 av den 9 september 2015 om ett informationsförfarande beträffande tekniska föreskrifter och beträffande föreskrifter för informationssamhällets tjänster. 3(8)

18 Diarienummer: 18Li Uppgifter om vilka kostnadsmässiga och andra konsekvenser regleringen medför och en jämförelse av konsekvenser för de övervägda regleringsalternativen Enligt lagrådsremissens förslag kommer spelmyndigheten att ställa krav på den tekniska utrustning som ska användas vid anordnande av spel på värdeautomater. Däremot föreslår utredningen att det ska vara sökandens skyldighet att införskaffa ett intyg från ett ackrediterat testinstitut som styrker att den utrustning m.m. sökanden vill använda uppfyller de av spelmyndigheten ställda kraven. Kostnaden för kontroll, provning eller certifiering varierar beroende på hur omfattande spelsystem och vilka spelformer man vill ha licens för. Då området är konkurrensutsatt varierar priserna mellan olika testinstitut i Europa. Enligt uppgifter till utredningen kan kostnaden uppskattas till mellan euro beroende på omfattningen av de tester som behöver göras. Ett större företag har en större massa som ska kontrolleras, provas och certifieras men har sannolikt redan en hel del av de ställda kraven på plats. Alternativet är att enligt nuvarande system med villkor godkänna den spelutrustning som används för att anordna spel på värdeautomater. Kostnaderna för en sådan prövning betalas idag av den som vill ha godkännandet. Kostnaden för sökanden, inklusive ansökningsavgift, ligger enligt Lotteriinspektionen på mellan kronor för dessa godkännanden. 6. Bedömning av om regleringen överensstämmer med eller går utöver de skyldigheter som följer av Sveriges anslutning till Europeiska unionen Av EU-domstolens 1 praxis framgår att det i enskilda fall är tillåtet för en medlemsstat att begränsa anordnandet av hasardspel och att förbehålla offentliga organ eller allmännyttiga organisationer anordnandet av sådana spel. Spel på värdeautomater bedöms höra till en av de spelformer som från spelberoendesynpunkt är mest riskabla. Det bakomliggande syftet med 1 EU-domstolen mål C-447/08 och C-448/08, Sjöberg och Gerdin. 4(8)

19 Diarienummer: 18Li195 nuvarande och fortsättningsvis även med den nu föreslagna spelregleringen är bland annat att skapa ett ansvarsfullt spelande, att begränsa de negativa sociala konsekvenserna av spel och att motverka kriminalitet. Detta syfte uppnås med monopolet på spel på värdeautomater. Ensamrätten att anordna spel på värdeautomater grundas på en konsekvent och systematisk strategi för att uppnå blanda annat konsumentskyddets syften och ska åtföljas av en väl uppbyggd statlig kontroll. Regeringen har därför beslutat att spel på värdeautomater fortsättningsvis ska kontrolleras av en statlig aktör. 7. Bedömning av om särskild hänsyn behöver tas när det gäller tidpunkten för ikraftträdande och om det finns behov av speciella informationsinsatser Av föreskrifterna följer vilka krav som ställs på den som ackrediterar en verksamhet, vilken i sin tur ska kontrollera, prova och certifiera ett spelföretag eller en speltillverkare som sedan ansöker om licens. Både de ackrediterande och de ackrediterade organen måste förbereda sina verksamheter. Föreskrifterna bör därför träda i kraft snarast möjligt efter det att spellagen trätt i kraft. För att underlätta för ackrediterande verksamhet, ackrediterade organ och spelföretagen föreligger behov av informationsinsatser till exempel i form av en handbok för ackreditering, kontroll, provning och certifiering samt eventuellt ytterligare kortfattade vägledning om regelverket. 8. Antalet företag som berörs, vilka branscher företagen är verksamma i samt storleken på företagen Det är Svenska Spel som berörs av den föreslagna föreskriften och allmänna råden. Svenska Spel anordnar spel på värdeautomater dels på restaurang (så kallade Vegasautomater, vilka är de enda spelautomater som legalt får finnas i Sverige), dels på Casino Cosmopol. 5(8)

20 Diarienummer: 18Li195 Spelautomaterna som kallas Vegasautomater, finns utställda i särskilt beslutade restauranger med serveringstillstånd och bingohallar med bingotillstånd. En spelplats får ha högst fem Vegasautomater och inkomsterna från dessa får inte dominera verksamheten. Affärsområdet dit Vegasautomater hör stod 2016 för 87 procent av Svenska Spels totala nettospelintäkter. För verksamhetsåret 2016 uppgick nettospelintäkterna för affärsområdet till 7 821miljoner kronor. Affärsområdet Casino Cosmopol driver fyra kasinona med unika lokaler i Stockholm, Göteborg, Malmö och Sundsvall. De spel som erbjuds på kasinona är bordsspel (roulette, tärnings- och kortspel) och värdeautomater. Under 2016 hade Casino Cosmopol besök. Nettospelintäkterna för affärsområde Casino Cosmopol 2016 uppgick till miljoner kronor. 9. Vilken tidsåtgång regleringen kan föra med sig för företagen och vad regleringen innebär för företagens administrativa kostnader Enligt nuvarande regelverk typgodkänner Lotteriinspektionen den spelutrustning som används för att anordna olika lotterier. Detta godkännande kräver kodgranskning och/eller prövning av Nationellt forensiskt centrum. Kostnaderna för sådan prövning betalas idag av den som vill ha typgodkännandet. Kostnaden för sökanden, inklusive ansökningsavgift, ligger enligt Lotteriinspektionen på mellan kronor för dessa typgodkännanden. Spelmyndigheten kommer enligt den föreslagna spellagen att ställa krav på den tekniska utrustning som ska användas vid anordnande av spel på värdeautomater. I lagrådsremissen föreslås att det ska vara sökandens skyldighet att införskaffa ett intyg från ett ackrediterat organ som styrker att sökanden uppfyller de av spelmyndigheten ställda kraven. Kostnaden för kontroll, provning och certifiering varierar beroende på hur omfattande spelsystem och vilka spelformer man vill ha licens för. Då även ackreditering är konkurrensutsatt varierar priserna mellan olika testinstitut i Europa. Enligt uppgifter till utredningen kan kostnaden uppskattas till mellan euro beroende på omfattningen av de tester som behöver göras. Spelföretagen räknar med att kunna ta fram rutiner för den kontroll och administration som det föreslagna systemet för med sig. Därefter räknar de med att kunna digitalisera dessa rutiner, vilket i sin tur beräknas begränsa kostnaderna. Nedan beskrivs aktörernas beräknade tidsåtgång och 6(8)

21 Diarienummer: 18Li195 kostnader för de administrativa delarna, dvs. förutom kostnader och tidsåtgång för licensansökan som finns redovisad ovan. a. Tidsåtgång Svenska Spel har framfört att det kommer att ta mellan två och tre månader att säkerställa de administrativa delarna av de tekniska föreskrifterna. b. Administrativa kostnader Svenska Spel uppskattar kostnaden för att genomföra de administrativa delarna till ca kr. 10. Vilka andra kostnader den föreslagna regleringen medför för företagen och vilka förändringar i verksamheten som företagen kan behöva vidta till följd av den föreslagna regleringen Svenska Spel menar att det inte kommer krävas några omfattande åtgärder för att efterleva de krav som ställs på spelföretagen i föreskrifterna. Initialt kommer det krävas en kartläggning av hur befintlig verksamhet korresponderar med de nya kraven samt visst arbete med vissa av specifika spelarkrav och förändringar i gränsnitt. Beräknad tidsåtgång för detta är ca tre månader och kostnaden uppskattas till cirka en två miljoner kronor. 11. I vilken utsträckning regleringen kan komma att påverka konkurrensförhållandena för företagen Ensamrätten att anordna spel på värdeautomater och på ett kasino grundas på en konsekvent och systematisk strategi för att uppnå blanda annat konsumentskyddets syften och ska åtföljas av en väl uppbyggd statlig kontroll. Regeringen har därför beslutat att spel på värdeautomater och på ett kasino fortsättningsvis ska kontrolleras av en statlig aktör. 7(8)

22 Diarienummer: 18Li Hur regleringen i andra avseenden kan komma att påverka företagen Spellagsförslaget innebär att en ramlag för spel införs, i ramlagen ska allt spel om pengar regleras. Av utredningen framgår att lagförslaget bygger på principen om transparens. Förutsättningarna för licens och de skyldigheter som följer för licens ska vara kända i förväg i lagen eller uttryckta i regeringens och spelmyndighetens regelgivning. I förordnings- eller föreskriftsform ska regler som gäller för t.ex. den tekniska hanteringen av dataservrar, certifiering av spelprodukter, krav på ledning, regelförändringar, verifieringssystem för identitetskontroll eller självavstängningssystem anges. Det faktum att det är en annan part än spelmyndigheten som är ansvarig för kontroll, provning och certifiering och underlaget för spellicens kommer sannolikt ha stor påverkan på aktören. Det ackrediterade organet som ansvarar för kontroll, provning och certifiering och beviljar certifikat kommer inte vara en myndighet utan en privat verksamhet. 13. Om särskilda hänsyn behöver tas till små företag vid reglernas utformning Det föreligger inga skäl för särskild hänsyn avseende övriga mindre spelföretag eftersom endast Svenska Spel berörs. 8(8)

23 Regeringen överlämnade den5 april propositionen, 2017/18z220 En omreglerad spelrnarknad, till riksdagen. Regeringen har också skickat ett förslag till spelförordning till Kommissionen för notifiering enligt Europaparlamentets och rådets direktiv (EU) 2015/1535 av den9 september2015 om ett informations förfarande beträffande tekniska föreskrifter och beträffande föreskiifter informationssamhällets tjänster. Lotteriinspektionen har tagit fram förslag till föreskrifter och allmänna råd för spel på kasinoch värdeautomatspel samt föreskrifter och allmänna råd för tekniska föreskrifter värdeautomater. Dessa två föreskrifter är nya och berör enbart Svenska Spel och Casino Cosmopol och skickas därför endastill Svenska Spel och Casino Cosmopol för synpunkter. För att underlätta det utbyte av värdeautomater som pågår, föreslår Lotteriinspektionen att föreskrifterna och de allmänna råden avseende tekniken träder ikraft först1 januari Föreskrifterna och de allmänna råden får naturligtvis tillämpas på ansökan om licens från1 augusti Skriftliga synpunkter på förslagen lämnas till Lotteiiinspektionen, Box 199, Strängnäs eller via e postill re istrator (blotter-hus ektioncn.se senast den 7 maj Ni får gärna lämna synpunkterna i samma dokument med hänvisning till att föreskrifterna avs er samma område, ange diarienummer 17Li2702 och 18Li195. Vid frågor om remissen kontakta Linda Sandblom lindasandblom (Lilotteriins ektionen.se eller Katarina Abrahamsson katarinaabrahamsson (Ulotteriins ektionense. Med Vänlig hälsnin, _ Lott " pekti Chefsjurist 1(1) Box 199 Telefon: registratorc-jlotteriinspektionen.se Org. nr: Finningevägen 54 B Fax: Strängnäs