Motståndskraft blir lag. Det här innebär nya CER-lagen

Den 1 januari 2027 träder en ny lag i kraft som gör motståndskraft till ett juridiskt begrepp i Sverige. Regeringens proposition 2025/26:303 genomför EU:s CER-direktiv och kompletterar cybersäkerhetslagen med krav på fysiskt skydd av samhällsviktig verksamhet. Här går vi igenom vad lagen innebär, vem som träffas och vad ni bör göra redan nu.

Från direktiv till svensk lag

CER-direktivet (EU) 2022/2557 antogs samtidigt som NIS2-direktivet, och de två är medvetet konstruerade som ett par. NIS2, i Sverige genomfört genom cybersäkerhetslagen som trädde i kraft i januari 2026, reglerar skyddet av nätverk och informationssystem. CER-direktivet reglerar det som ofta glöms bort i cybersäkerhetsdiskussionen: den fysiska motståndskraften hos de verksamheter som samhället inte klarar sig utan.

Den 14 juli 2026 lämnade regeringen propositionen En ny lag för ökad motståndskraft hos kritiska verksamhetsutövare. Lagen föreslås träda i kraft den 1 januari 2027 och behandlas av riksdagen under hösten.

Logiken bakom uppdelningen är enkel att förklara för en ledningsgrupp. Cybersäkerhetslagen skyddar era system mot digitala angrepp. CER-lagen skyddar er förmåga att leverera tjänsten även när något fysiskt inträffar: ett sabotage mot ett ställverk, en översvämning i ett vattenverk, ett bortfall av nyckelpersoner. Samhällets funktion hänger på båda delarna.

Vem omfattas och hur pekas man ut

En viktig skillnad mot cybersäkerhetslagen är hur verksamheter kommer in under regelverket. Cybersäkerhetslagen bygger på att verksamhetsutövare själva anmäler sig. CER-lagen bygger i stället på identifiering genom myndighetsbeslut. Det är staten som pekar ut vilka verksamheter som är kritiska, och den som pekas ut får besked genom ett formellt beslut.

Sektorerna motsvarar i huvudsak de samhällsviktiga sektorerna i NIS-familjen: energi, transporter, dricksvatten, avlopp, hälso- och sjukvård, livsmedel och offentlig förvaltning med flera. Tre områden undantas dock: bank, finansmarknadsinfrastruktur och digital infrastruktur, eftersom de redan täcks av annan reglering.

För den som identifieras börjar klockan ticka. Skyldigheterna gäller nio respektive tio månader efter identifieringsbeslutet. Det låter som gott om tid, men den som väntar med att bygga förmågan tills beslutet kommer får en mycket brant backe.

Kraven i korthet

Lagens krav är färre och mer fokuserade än cybersäkerhetslagens, men de är konkreta och uppföljningsbara.

• Riskbedömning minst vart fjärde år, som omfattar både antagonistiska hot och andra händelser som kan störa leveransen av den samhällsviktiga tjänsten.
• Åtgärder med fokus på fysiskt skydd, dokumenterade i en skriftlig handlingsplan för motståndskraft. Handlingsplanen är lagens centrala styrdokument och preciseras sannolikt i föreskrifter.
• Bakgrundskontroller för känsliga roller, förnyade minst vartannat år. Det förutsätter en befattningsanalys, alltså en genomgång av vilka roller som faktiskt är känsliga.
• Incidentrapportering inom 24 timmar när en incident väsentligt stör eller kan störa tjänsten, med en fullständig rapport senast en månad efter anmälan.

Kopplingen till cybersäkerhetslagen

Här finns lagens kanske viktigaste mekanism för den som redan arbetar med NIS2-frågor. Den som identifieras som kritisk verksamhetsutövare blir automatiskt väsentlig verksamhetsutövare enligt cybersäkerhetslagen. Det gäller oavsett hur organisationen tidigare klassificerats.

För en verksamhet som i dag är klassad som viktig innebär ett identifieringsbeslut alltså inte bara nya krav på fysiskt skydd, utan också skärpt tillsyn och högre sanktionsnivåer på cybersidan. De två regelverken behöver därför hanteras i ett sammanhållet ledningssystem, inte i två parallella spår.

Sanktioner och en skärpt säkerhetsskyddslag

Sanktionsavgifterna följer samma mönster som i annan modern EU-reglering. För privata verksamhetsutövare är taket det högsta av 2 procent av global omsättning och 10 miljoner euro. För offentliga verksamhetsutövare är taket 10 miljoner kronor.

I samma proposition skärps även säkerhetsskyddslagen. Taket för sanktionsavgifter mot privata aktörer höjs till det högsta av 2 procent av global omsättning och 120 miljoner kronor. Det är en markant höjning som förtjänar egen uppmärksamhet i styrelserummet hos alla som bedriver säkerhetskänslig verksamhet.

Vad bör ni göra nu

Lagen är inte beslutad än, och myndighetsstrukturen pekas ut i förordning senare. Men inriktningen ligger fast, och för energibolag, kommuner med vattenförsörjning, vårdgivare och andra troliga kandidater finns det ingen anledning att vänta.

1. Bedöm sannolikheten att ni identifieras som kritisk verksamhetsutövare. Utgå från er roll i försörjningskedjan, inte från er storlek.
2. Inventera era fysiska beroenden: anläggningar, försörjning av el och vatten, nyckelpersoner och leverantörer som verksamheten inte fungerar utan.
3. Genomför en befattningsanalys och se över rutinerna för bakgrundskontroller.
4. Integrera det fysiska perspektivet i befintlig riskanalys och kontinuitetsplanering i stället för att bygga en separat process.
5. Se över incidentprocessen så att den klarar ännu en rapporteringsväg med 24-timmarsfrist.

Den röda tråden känns igen från vårt övriga arbete med informationssäkerhet. Compliance kan uppfyllas på papper medan den verkliga förmågan är svag. Från 2027 definierar lagstiftaren motståndskraft som något som ska kunna visas i praktiken. Det är en bra måttstock att börja mäta sig mot redan i dag.

Tror ni att ni kan pekas ut som kritisk verksamhetsutövare? Vi på VER&IT hjälper er koppla ihop det fysiska skyddet med NIS2-arbetet i ett sammanhållet ledningssystem, så att motståndskraften håller både på papper och i praktiken. Hör av er, så tar vi ett samtal om ert läge.

Källor

• Prop. 2025/26:303 En ny lag för ökad motståndskraft hos kritiska verksamhetsutövare
• CER-direktivet (EU) 2022/2557
• MCF om informationssäkerhet och cybersäkerhet