CER · EU-direktiv 2022/2557
Hvad er CER-direktivet?
CER-direktivet (EU 2022/2557) stiller krav til kritiske enheders modstandsdygtighed i 11 sektorer. I Danmark er direktivet gennemført ved CER-loven, der trådte i kraft 1. juli 2025. Her får I overblik over kravene, den danske lov, forholdet til NIS2 og betydningen for forsyningssektoren.
Fra kritiske afhængigheder til konkrete foranstaltninger
Hvad er CER-direktivet?
CER-direktivet (EU 2022/2557) blev vedtaget den 14. december 2022 og erstatter det tidligere direktiv 2008/114/EF om kritisk infrastruktur. Direktivet komplementerer NIS2 med fokus på fysisk modstandsdygtighed over for alle typer hændelser for enheder, der leverer væsentlige tjenester i 11 sektorer.
Kernebegrebet “modstandsdygtighed” defineres som evnen til at forebygge, beskytte mod, reagere på, modstå, afbøde, absorbere, tilpasse sig og komme på fode igen efter en hændelse.
Direktivet handler altså ikke kun om at forhindre hændelser, men om at kunne holde væsentlige tjenester kørende, når noget alligevel går galt.
CER-loven i Danmark
I Danmark er CER-direktivet gennemført ved lov om kritiske enheders modstandsdygtighed (CER-loven, lov nr. 433 af 6. maj 2025), der trådte i kraft 1. juli 2025.
Pligterne indtræder ikke automatisk. De følger af den kompetente myndigheds identifikation og underretning af den enkelte enhed, og udpegningen af kritiske enheder sker senest juli 2026. Indtil da er det vigtigste at kende sin sektor og have styr på risikovurdering og beredskab.
Den tværgående myndighed er Styrelsen for Samfundssikkerhed. Bemærk, at enheder i energisektoren i stedet reguleres af den sektorspecifikke Energiberedskabslov.
CER og NIS2: hvad er forskellen?
De to direktiver dækker hver sin side af samme problem. NIS2-direktivet handler om cybersikkerhed: beskyttelse af net- og informationssystemer. CER-direktivet handler om fysisk modstandsdygtighed over for alle typer hændelser: strømafbrydelser, storme, sabotage og andet, der kan stoppe en væsentlig tjeneste.
Samme organisation kan være omfattet af begge: NIS2 for cybersikkerheden og CER for den fysiske modstandsdygtighed. I Danmark trådte begge love i kraft 1. juli 2025.
Processen er forskellig: Under CER-loven indtræder pligterne først, når enheden er identificeret og underrettet af myndigheden. Under NIS 2-loven skal det vurderes konkret, om enheden er omfattet, ud fra lovens sektor-, størrelses- og særregler.
Hvad er kritisk infrastruktur?
Kritisk infrastruktur er i daglig tale de anlæg, systemer og tjenester, som samfundet ikke kan fungere uden, fx elforsyning, drikkevand, sundhedsvæsen, transport og den digitale infrastruktur, som resten afhænger af.
CER-direktivet bruger et andet kernebegreb: den kritiske enhed. Direktivet omfatter enheder, der leverer væsentlige tjenester i 11 sektorer, som er afgørende for opretholdelsen af vitale samfundsfunktioner og økonomiske aktiviteter. Pligterne følger af myndighedernes identifikation og underretning af den enkelte enhed.
I praksis betyder det, at arbejdet ikke stopper ved it-sikkerhed: fysisk sikring, forsyningskæder og genopretning hører med.
- Elforsyning og fjernvarme
- Drikkevand og spildevand
- Sundhedsvæsen og hospitaler
- Transport og logistik
- Bank- og betalingsinfrastruktur
- Digital infrastruktur og datacentre
11 kritiske sektorer
CER-direktivet dækker enheder, der leverer væsentlige tjenester i 11 sektorer, som er afgørende for opretholdelsen af vitale samfundsfunktioner og økonomiske aktiviteter.
Bemærk: Enheder i energisektoren, der allerede er omfattet af Energiberedskabsloven, er undtaget fra den generelle CER-lovs krav, da de i stedet reguleres af den sektorspecifikke lovgivning.
En enheds pligter afhænger af den kompetente myndigheds identifikation og underretning efter loven.
CER i forsyningssektoren
Drikkevand og spildevand er selvstændige sektorer under CER-direktivet. For vandforsyninger er spørgsmålet derfor ikke, om sektoren er omfattet, men om den enkelte forsyning bliver identificeret som kritisk enhed og underrettet af myndigheden.
Vand er samtidig et af de områder, hvor CER og NIS2 mødes: NIS2 stiller krav til cybersikkerheden, CER til den fysiske modstandsdygtighed. Begge dele skal vurderes konkret for den enkelte forsyning.
Lovforslaget L 136 om nye beredskabskrav i vandsektoren bortfaldt. Se den aktuelle status og de praktiske næste skridt på siden om vandsektorberedskab eller hent en beredskabsplan-skabelon til vandværker.
Energisektoren er undtaget fra den generelle CER-lov og reguleres i stedet af Energiberedskabsloven.
9 centrale foranstaltninger
Efter udpegning har kritiske enheder 10 måneder til at implementere passende tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger. Ledelsen skal sikre, at modstandsdygtighedsplanen dækker alle relevante områder.
- Forebyggelse: katastrofeforebyggelse og klimatilpasning
- Beredskabsplanlægning: krisehåndtering, evakuering og forretningskontinuitet
- Uddannelse og øvelser: medarbejdertræning og beredskabstestning
- Fysisk sikring: beskyttelse af kritisk infrastruktur
- Sikkerhedsprocedurer: risiko- og krisestyring, varslingssystemer
- Genopretning: genopretningsplaner og alternative forsyningskæder
- Medarbejdersikkerhed: adgangskontrol og baggrundstjek
- Udpeget kontaktperson: forbindelse til kompetent myndighed
- Indrapporteringspligt: anmeldelse af alvorlige forstyrrelser inden 24 timer
Tidsfrister og proces
De kompetente myndigheder udpeger kritiske enheder senest juli 2026. Herefter har enhederne 9 måneder til at gennemføre en risikovurdering og 10 måneder til at have modstandsdygtighedsforanstaltninger på plads.
Risikovurderingen skal opdateres mindst hvert 4. år og i øvrigt når det er nødvendigt.
Ved alvorlige forstyrrelser skal kritiske enheder underrette den kompetente myndighed inden for 24 timer med en indledende notifikation, efterfulgt af en endelig rapport inden for 1 måned.
Sådan hjælper RiskFinder med CER-compliance
RiskFinder dækker centrale CER-krav, fra risikovurdering til beredskab og øvelser.
Risikovurdering (ROS)
Systematisk risikovurdering der opfylder CER-krav om omfattende analyse af alle relevante trusler.
Beredskabsplaner
Beredskabsplaner og krisestyring der sikrer jeres modstandsdygtighedsplan er klar.
Øvelser
Test jeres beredskab med realistiske scenarier og dokumenter øvelsesresultater.
Relateret lovgivning og moduler
CER-direktivet hænger sammen med NIS2, energiberedskab og jeres beredskabsplaner.
Er I klar til CER?
Kontakt os i dag og hør, hvordan RiskFinder kan hjælpe jer med CER-compliance, modstandsdygtighed og beredskab.
Tak! Vi kontakter dig om gennemgangen.
Du hører fra os inden for én hverdag.
Tak! Vi ringer dig op.
Du hører fra os inden for én hverdag på det oplyste nummer.
Eller ring til os på +45 42 40 40 70 · emil@riskfinder.dk