Ökad motståndskraft hos kritiska verksamhetsutövare (CER)
Hotbilden mot samhällsviktiga tjänster har blivit mer komplex och föränderlig. Privata och offentliga aktörer behöver bli bättre rustade för att hantera de risker som finns för deras verksamhet och den viktiga samhällsfunktion de tillhandahåller. CER-direktivet syftar till att stärka motståndskraften för samhällsviktiga tjänster i hela EU.
Vad är CER-direktivet?
CER-direktivet (Directive on the resilience of critical entities) är ett EU-direktiv med syfte att stärka kritiska verksamhetsutövares motståndskraft och förmåga att tillhandahålla samhällsviktiga tjänster på den inre marknaden.
Direktivet innehåller krav på medlemsstaten (Sverige) att bland annat identifiera och underrätta de kritiska verksamhetsutövare som kommer omfattas. För de kritiska verksamhetsutövarna finns det krav på att ta fram en riskbedömning och vidta åtgärder för att stärka sin motståndskraft.
Med motståndskraft avses förmåga att förebygga, skydda mot, reagera på, stå emot, begränsa, absorbera, anpassa sig till och återhämta sig från en incident. CER utgår från ett allriskperspektiv, detta innebär att det inte enbart är avsiktliga hot som man behöver beakta utan även till exempel naturkatastrofer, pandemier eller andra allvarliga händelser.
CER-direktivet är ett komplement till NIS2-direktivet (genomfört i svensk rätt genom cybersäkerhetslagen). Till skillnad från NIS2 som reglerar det systematiska informations- och cybersäkerhetsarbetet så inriktar sig CER-direktivet på fysiskt skydd och personalsäkerhet.
Vilka verksamheter kommer att omfattas?
För att en verksamhet ska identifieras som kritisk ska tre kriterier vara uppfyllda:
- Verksamhetsutövaren ska tillhandahålla en eller flera samhällsviktiga tjänster i eller till Sverige.
- Verksamhetsutövaren ska ha sin kritiska infrastruktur belägen i Sverige.
- En incident skulle få betydande störande effekter för tillhandahållandet av en eller flera samhällsviktiga tjänster.
Den samhällsviktiga tjänsten ska tillhandahållas inom någon av de sektorer som finns i bilagan till direktivet. Transportstyrelsen föreslås i utredningen att vara tillsynsmyndighet för sektor transport, med undersektorerna luftfart, järnväg, vatten, väg och kollektivtrafik.
När träder regleringen i kraft?
Den 14 juli 2026 publicerade regeringen propositionen En ny lag för ökad motståndskraft hos kritiska verksamhetsutövare (prop. 2025/26:304).
I propositionen föreslås en ny lag som innebär att offentliga och enskilda verksamhetsutövare som tillhandahåller samhällsviktiga tjänster inom vissa utpekade sektorer, och som identifieras som kritiska verksamhetsutövare, ska vidta åtgärder för att stärka verksamhetens motståndskraft. De ska även rapportera vissa incidenter.
Den föreslagna lagen innehåller även bestämmelser om tillsyn och ingripanden mot verksamhetsutövare som inte följer lagens krav.
Propositionen innehåller dessutom förslag till ändringar i säkerhetsskyddslagen. Ändringarna innebär bland annat att högre sanktionsavgifter ska kunna beslutas för enskilda verksamhetsutövare som inte följer säkerhetsskyddslagens bestämmelser.
Den nya lagen och de föreslagna ändringarna i säkerhetsskyddslagen föreslås träda i kraft den 1 januari 2027.