CER-direktivet | Risikovurdering og motstandsdyktighet

Ofte stilte spørsmål om CER-direktivet

Hva er CER-direktivet, og hvem gjelder det for?

Direktivet om kritiske enheters motstandsdyktighet (CER-direktivet, (EU) 2022/2557) pålegger EUs medlemsland å identifisere og utpeke «kritiske enheter» – offentlige eller private virksomheter som leverer vesentlige tjenester innen 11 sektorer: energi, transport, bankvirksomhet, finansmarkedsinfrastruktur, helse, drikkevann, avløpsvann, digital infrastruktur, offentlig forvaltning, romvirksomhet og produksjon, foredling og distribusjon av mat. En utpekt kritisk enhet må vurdere og håndtere risikoen for at den ikke kan levere tjenesten sin. For bankvirksomhet, finansmarkedsinfrastruktur og digital infrastruktur gjelder ikke kravene til risikovurdering, motstandsdyktighet og hendelsesrapportering – disse områdene dekkes i stedet av DORA og NIS2.

Hva er forskjellen på CER og NIS2?

NIS2 handler om cybersikkerhet – styring, risikohåndtering og hendelseshåndtering for nettverks- og informasjonssystemer. CER ser på de samme vesentlige tjenestene, men dekker alle typer trusler: naturkatastrofer, sabotasje, terror og ringvirkninger av svikt i andre sektorer – ikke bare dataangrep. De to direktivene ble utarbeidet samtidig og treffer ofte de samme virksomhetene, fordi de i stor grad dekker de samme sektorene. CER omtales derfor ofte som NIS2s «fysiske tvilling».

Når gjelder CER i Norge?

CER-direktivet gjelder ikke i Norge før det er tatt inn i EØS-avtalen og gjennomført i norsk lov. Justis- og beredskapsdepartementet har vurdert direktivet som EØS-relevant og akseptabelt, men det er foreløpig ikke tatt inn i avtalen, og det finnes ennå ingen norsk lov eller høring. Innlemmelsen krever Stortingets samtykke. I EU skulle direktivet vært gjennomført innen 17. oktober 2024, og medlemslandene skulle utpeke kritiske enheter innen 17. juli 2026. En utpekt enhet har ni måneder på seg til å gjennomføre risikovurderingen, og kravene til motstandsdyktighet gjelder etter ti måneder. Norske virksomheter med aktivitet i EU-land kan derfor allerede være omfattet der.

Hva må en CER-risikovurdering dekke?

Etter artikkel 12 skal risikovurderingen dekke alle relevante risikoer som kan ramme den vesentlige tjenesten – naturfarer, menneskeskapte trusler som terror og sabotasje, folkehelsekriser og hybride trusler – og virksomhetens avhengigheter til andre sektorer. Har du allerede gjort relevante risikovurderinger for andre regelverk, for eksempel NIS2 eller digitalsikkerhetsloven, kan deler av arbeidet gjenbrukes. Vurderingen skal oppdateres ved behov og minst hvert fjerde år.

Hva skal en plan for motstandsdyktighet inneholde?

Med utgangspunkt i risikovurderingen krever artikkel 13 at den kritiske enheten innfører forholdsmessige tekniske, sikkerhetsmessige og organisatoriske tiltak og beskriver dem i en plan for motstandsdyktighet eller et tilsvarende dokument. Tiltakene skal dekke forebygging av hendelser, fysisk sikring av lokaler og kritisk infrastruktur, håndtering av og gjenoppretting etter avbrudd, personellsikkerhet – inkludert bakgrunnssjekk der artikkel 14 åpner for det – og opplæring av ansatte gjennom kurs, informasjonsmateriell og øvelser.

Hva er kravene til hendelsesrapportering etter CER?

En kritisk enhet skal uten ugrunnet opphold varsle kompetent myndighet om hendelser som i betydelig grad forstyrrer, eller kan forstyrre, den vesentlige tjenesten. Første varsel skal sendes senest 24 timer etter at enheten ble kjent med hendelsen, og en detaljert rapport skal følge innen én måned.

Hva skjer hvis virksomheten ikke etterlever CER?

I motsetning til NIS2, som fastsetter maksimale bøtenivåer på EU-nivå, overlater CER sanksjonene til nasjonal lovgivning. De skal være «effektive, forholdsmessige og avskrekkende». I Norge blir sanksjonene først fastsatt når direktivet gjennomføres i norsk lov. Myndighetene får også tilsynsmyndighet, blant annet til å gjennomføre stedlige tilsyn og revisjoner.

Hvordan støtter NorthGRC CER-etterlevelse?

NorthGRCs moduler for risiko, eiendeler, hendelser og dokumentasjon – de samme som mange kunder allerede bruker for NIS2 og ISO 27001 – kan støtte kjernearbeidet i CER: kartlegging av vesentlige tjenester og avhengigheter, risikovurderinger på tvers av alle typer trusler, dokumentasjon av tiltak og håndtering av hendelser innenfor fristene på 24 timer og én måned. Fordi CER og NIS2 ofte treffer de samme virksomhetene, kan du bygge videre på det du allerede har og dermed redusere mengden nytt arbeid CER fører med seg.

Gjør de vesentlige tjenestene dine robuste mot alle typer trusler

Motstandsdyktighet handler om mer enn cybersikkerhet

Håndter CER som én sammenhengende prosess

Forenklet NIS2-compliance uten å miste fokus på kjernevirksomheten

ISO 27001-sertifisert på bare 4 måneder

Strukturert ISMS-drift

Fra enkeltstående erklæringer til løpende compliance

1/1

CER i praksis

1. Én risikovurdering – alle typer trusler

Forstå risikoen

2. Tiltak og planlegging

Fra innsikt til handling

3. Hendelseshåndtering og dokumentasjon

Klar til å handle

Nøkkelfunksjoner for CER-Compliance

Styring av compliance

Risikostyring

Eiendelsstyring

Hendelseshåndtering

Leverandørstyring

Dokumentmodul

Dashbord og rapportering

Integrasjoner

Trenger du hjelp til å omsette CER i praksis?

Vær klar før CER kommer til Norge