När casino måste klara Sveriges tekniska kontroll

I de svenska teknikreglerna för onlinespel är det ändå en tydlig gräns. En spelomgång ska ta minst tre sekunder, även när en autoplay-funktion används. Det är en av många detaljer som programvaran bakom ett casino⁠ måste förhålla sig till innan den används på den svenska licensmarknaden.

Det räcker alltså inte att ett spel startar, tar emot en insats och räknar fram rätt utbetalning. Systemen runt omkring ska också kunna granskas.

Och den granskningen görs inte bara av spelbolaget självt.

Testet sker utanför bolaget

SIFS 2022:3 är namnet på Spelinspektionens föreskrifter om tekniska krav. Där finns regler för allt från informationssäkerhet till själva spelens funktion.

En licenssökande ska vända sig till ett ackrediterat organ som kontrollerar, provar och certifierar bland annat spelsystem och affärssystem. Underlagen skickas sedan vidare till Spelinspektionen.

Kontrollen har dessutom ett bäst före-datum.

För de verksamheter som omfattas av huvudregeln ska protokollen för kontroll, provning och certifiering förnyas minst var tolfte månad. Om delar av systemet ändras kan ytterligare granskning behövas tidigare.

Det gör att ett casino inte bara testas en gång när licensen söks och sedan lämnas ifred.

Tekniken fortsätter att vara en del av tillsynen.

Slumpen måste också gå att testa

Ett tydligt exempel finns i slumptalsgeneratorn, ofta förkortad RNG.

Det är den del av programvaran som används för att skapa slumpmässiga resultat i många digitala spel. Svenska regler nöjer sig inte med att leverantören säger att resultaten är slumpmässiga.

SIFS 2022:3 kräver bland annat att resultat från slumptalsgeneratorn ska vara statistiskt oberoende och korrekt sannolikhetsfördelade. De ska inte heller kunna förutsägas utan kännedom om algoritmen, hur den har implementerats och dess initialvärden.

I vägledningen nämns etablerade statistiska testpaket som NIST och DIEHARD som exempel på verktyg som kan användas vid kontrollen.

Det är ganska långt från det användaren ser på skärmen.

En knapp trycks in. Något händer.

Bakom den sekunden finns kod som måste tåla en betydligt mer teknisk genomgång.

Tresekundersregeln sitter mitt i programvaran

Samma sak gäller speltempot.

Föreskriften säger inte bara att information ska visas tydligt. Den går ner på nivån där en enskild spelomgång på ett casino inte får understiga tre sekunder.

Upprepade val ska heller inte kunna läggas i kö för att sedan utföras efter varandra. Spelaren ska ha skälig tid att överväga konsekvenserna av ett val.

Sådana regler måste byggas in i produkten.

Det går inte att lösa dem med en text längst ner på webbplatsen när spelet redan är färdigt. Om funktionen inte följer kravet behöver själva systemet ändras.

Det är en del av varför cybersäkerhet och teknisk infrastruktur runt den svenska spelmarknaden⁠ går långt utanför lösenord och brandväggar. Även spelets beteende är reglerat på teknisk nivå.

Sedan 2023 granskas även leverantörsledet

Fram till sommaren 2023 låg mycket av fokus på bolaget som hade själva spellicensen.

Den 1 juli det året kom ytterligare ett lager.

Företag som tillverkar, tillhandahåller, installerar eller ändrar viss spelprogramvara som används vid licensierat onlinespel måste sedan dess ha ett eget svenskt tillstånd. Regeln gäller även underleverantörer när deras verksamhet omfattas av kravet.

Det träffar sådant som slumptalsgeneratorer, program för slots, livecasino och system som registrerar speltransaktioner eller räknar fram vinster.

Spelinspektionen hade hunnit utfärda 148 sådana tillstånd när reglerna började gälla den 1 juli 2023.

Plötsligt var det alltså inte bara operatören längst fram som behövde passa in i systemet. Även företaget som skriver eller kontrollerar delar av koden kunde behöva prövas.

BankID ligger i en annan del av kedjan

Sedan finns den svenska infrastrukturen runt själva spelprogramvaran.

När en person registreras för onlinespel ska identiteten kontrolleras på ett tillförlitligt sätt. Spelinspektionen nämner elektronisk identifiering, exempelvis BankID, som ett sätt att göra det och rekommenderar e-legitimation vid identifiering online. BankID är däremot inte ett särskilt krav för varje svenskt casino. Kravet gäller säker identifiering, inte ett visst kommersiellt system.

Skillnaden är viktig.

Sverige har redan en utbredd infrastruktur för digital identifiering. Spelregleringen kan använda den infrastrukturen utan att den behöver byggas av varje enskild operatör.

På andra sidan inloggningen väntar sedan de tekniska spelkraven.

Ett test sker långt innan någon spelar

Det är på det sättet Sverige har blivit en krävande miljö för spelprogramvara.

Inte genom ett särskilt innovationsprogram och inte för att myndigheten försöker göra landet till en testmarknad.

Det kommer ur kraven.

Ett system ska kunna visa hur slumpen fungerar. Ett ackrediterat organ ska kunna kontrollera delar av verksamheten. Certifieringen ska hållas aktuell. Leverantören bakom programvaran kan behöva ett eget tillstånd och även något så litet som längden på en spelomgång finns reglerat.

För användaren syns nästan inget av detta.

Ett casino öppnas i webbläsaren och ett spel laddar.

Tester, intyg och tekniska krav har redan passerat långt tidigare.