CER-direktivet | Riskbedömning och motståndskraft

Vanliga frågor om CER-direktivet

Vad är CER-direktivet och vem omfattas?

Direktivet om kritiska entiteters motståndskraft (CER-direktivet, (EU) 2022/2557) ålägger EU:s medlemsstater att identifiera kritiska verksamhetsutövare – offentliga eller privata aktörer som tillhandahåller samhällsviktiga tjänster inom elva sektorer: energi, transporter, bankverksamhet, finansmarknadsinfrastruktur, hälsa, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymden samt produktion, bearbetning och distribution av livsmedel. En kritisk verksamhetsutövare ska bedöma och hantera riskerna för att den inte kan leverera sin tjänst. För bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur gäller inte kraven på riskbedömning, motståndskraft och incidentrapportering – de områdena täcks i stället av DORA och NIS2.

Hur genomförs CER i Sverige?

Regeringen har i propositionen En ny lag för ökad motståndskraft hos kritiska verksamhetsutövare (prop. 2025/26:303) föreslagit en ny lag om motståndskraft hos kritiska verksamhetsutövare. Lagen föreslås träda i kraft den 1 januari 2027 och ska beslutas av riksdagen. Hur identifiering, tillsyn och sanktioner utformas i detalj avgörs av den slutliga lagen och tillhörande föreskrifter.

Vilka tidsfrister gäller?

Enligt CER-direktivet skulle medlemsstaterna identifiera sina kritiska verksamhetsutövare senast den 17 juli 2026. Efter identifieringen har verksamhetsutövaren nio månader på sig att göra sin riskbedömning, och kraven på åtgärder gäller efter tio månader. Riskbedömningen ska uppdateras vid behov och minst vart fjärde år. Vilka exakta datum som gäller i Sverige beror på när den nya lagen träder i kraft.

Vad är skillnaden mellan CER och NIS2?

NIS2 – som i Sverige genomförs genom cybersäkerhetslagen – handlar om cybersäkerhet i nätverks- och informationssystem. CER riktar in sig på samma samhällsviktiga tjänster men omfattar alla typer av hot: naturkatastrofer, sabotage, terrorism och följdeffekter av störningar i andra sektorer – inte bara cyberattacker. Direktiven togs fram samtidigt och träffar ofta samma verksamheter, eftersom de till stor del omfattar samma sektorer. CER beskrivs därför ofta som NIS2:s fysiska motsvarighet.

Vad ska en riskbedömning enligt CER omfatta?

Enligt artikel 12 i CER-direktivet ska riskbedömningen omfatta alla relevanta risker som kan störa den samhällsviktiga tjänsten – naturliga risker, människoskapade hot som terrorism och sabotage, folkhälsokriser och hybridhot – samt verksamhetens beroenden av andra sektorer. Har du redan gjort relevanta riskbedömningar för andra regelverk, till exempel NIS2, kan delar av arbetet återanvändas.

Vilka åtgärder krävs?

Enligt artikel 13 i CER-direktivet ska en kritisk verksamhetsutövare, utifrån riskbedömningen, vidta proportionerliga tekniska, säkerhetsmässiga och organisatoriska åtgärder och beskriva dem i en plan eller ett motsvarande dokument. Åtgärderna ska omfatta att förebygga incidenter, fysiskt skydd av lokaler och kritisk infrastruktur, att hantera och återhämta sig från störningar, säkerhetshantering för personal samt medvetenhet genom utbildning, informationsmaterial och övningar.

Vilka krav gäller för incidentrapportering?

Enligt artikel 15 i CER-direktivet ska en kritisk verksamhetsutövare utan onödigt dröjsmål rapportera incidenter som väsentligt stör, eller kan störa, den samhällsviktiga tjänsten. En första rapport ska lämnas senast 24 timmar efter att verksamheten fått kännedom om incidenten, och vid behov ska en detaljerad rapport följa inom en månad.

Vad händer om verksamheten inte följer CER?

Till skillnad från NIS2, som anger maximala sanktionsnivåer på EU-nivå, överlåter CER-direktivet åt varje medlemsstat att bestämma sanktionerna. De ska vara effektiva, proportionerliga och avskräckande. Hur sanktionerna utformas i Sverige avgörs av den nya lagen.

Hur stöttar NorthGRC CER-efterlevnad?

NorthGRC:s moduler för risk, tillgångar, incidenter och dokumentation – samma moduler som många kunder redan använder för NIS2 och ISO 27001 – kan stötta kärnarbetet i CER: kartläggning av samhällsviktiga tjänster och beroenden, riskbedömningar för alla typer av hot, dokumentation av åtgärder och hantering av incidenter inom fristerna på 24 timmar och en månad. Eftersom CER och NIS2 ofta träffar samma verksamheter kan du bygga vidare på det du redan har och på så sätt minska det nya arbete som CER medför.

Motståndskraft för dina samhällsviktiga tjänster

Motståndskraft handlar om mer än cybersäkerhet

Hantera CER som en sammanhållen process

Förenklad NIS2-efterlevnad utan att tappa fokus på kärnverksamheten

ISO 27001-certifierade på bara 4 månader

Strukturerad ISMS-drift

Från enstaka uttalanden till kontinuerlig efterlevnad

1/1

CER i praktiken

1. En riskbedömning – alla typer av hot

Förstå riskerna

2. Åtgärder och planering

Från insikt till handling

3. Incidenthantering och underlag

Redo att agera

Nyckelfunktioner för CER-Compliance

Efterlevnadshantering

Riskhantering

Tillgångshantering

Incidenthantering

Leverantörshantering

Dokumentmodul

Dashboard & rapportering

Integrationer

Gör CER-kraven till praktiskt arbete

Var redo när den nya lagen träder i kraft