CER-direktivet

CER står för Critical Entities Resilience och CER-direktivet kompletterar cybersäkerhetslagen. För att direktivet ska genomföras i svensk rätt har regeringen föreslagit att det ska införas en ny lag om motståndskraft hos kritiska verksamhetsutövare. Den nya lagen föreslås träda i kraft i början av 2027.

Verksamheter som omfattas av CER-direktivet 

Till skillnad från cybersäkerhetslagen finns ingen regel satt utifrån företagets storlek. En verksamhet ska identifieras som kritisk och därmed omfattas av lagen om den: 

• tillhandahåller en samhällsviktig tjänst i eller till Sverige genom att ingå i någon av sektorerna i bilagan till CER-direktivet  
• har kritisk infrastruktur i Sverige  
• riskerar att orsaka betydande störningar vid incident.  

Om en verksamhetsutövare meddelats att de utgör en kritisk verksamhetsutövare enligt CER gäller: 

• 9 månader för att genomföra riskbedömning
• 10 månader för att uppfylla övriga krav. 

Därefter kan tillsynsmyndigheten utöva tillsyn. Utredningen bedömer att Energimyndigheten ska vara tillsynsmyndighet för sektorn energi.

CER- och NIS2-direktivet (cybersäkerhetslagen) kompletterar varandra. Det innebär att om er verksamhet omfattas av CER-direktivet, så omfattas ni även av cybersäkerhetslagen.

Krav som ställs på kritiska verksamhetsutövare

Verksamheter som identifierats som kritiska ska enligt utredningens förslag:

1. Göra en riskbedömning som
   • omfattar alla relevanta risker
   • uppdateras vid behov, minst vart fjärde år.
2. Vidta åtgärder baserat på riskbedömningen för att
   • förhindra incidenter
   • reagera på och begränsa konsekvenserna från incidenter
   • skydda lokaler och kritisk infrastruktur
   • säkerställa ändamålsenlig personalsäkerhet
   • öka kunskapen om motståndskraft inom organisationen.
3. Upprätta och tillämpa en plan för dessa åtgärder.
4. Rapportera incidenter som kan medföra betydande störningar.

Vad händer härnäst?

I juli 2026 överlämnade regeringen propositionen till riksdagen med förslag till en ny lag som ska stärka motståndskraften hos kritiska verksamhetsutövare som tillhandahåller samhällsviktiga tjänster. Ny lag och förordning förväntas träda i kraft i början av 2027. Vi uppdaterar informationen löpande när mer information blir tillgänglig.

På Myndigheten för civilt försvars webbplats kan ni läsa mer om CER-direktivet och tidsplanen för införandet i Sverige.

Tidslinje för införandet av CER-direktivet (mcf.se)