CER
Samhällsviktiga tjänster ska stå emot störningar
EU:s direktiv om kritiska entiteters motståndskraft kallas CER. Det handlar om skydd mot allt som kan stoppa en samhällsviktig tjänst, inte bara cyberangrepp. I Sverige föreslås en ny lag från 1 januari 2027.
Direktivet
Vad CER är
CER är direktiv (EU) 2022/2557. Länderna skulle ha infört det senast 17 oktober 2024. De skulle peka ut sina kritiska verksamheter senast 17 juli 2026.
Många länder har redan infört direktivet, bland annat Danmark, Finland, Italien, Belgien och Österrike. Sverige, Frankrike och Nederländerna har inte gjort det än. EU-kommissionen har därför fört dem till EU-domstolen.
CER
Handlar om motståndskraft i stort. Det gäller till exempel naturkatastrofer, sabotage, terrorism och cyberangrepp.
NIS2
Handlar om cybersäkerhet. En verksamhet som pekas ut som kritisk enligt CER räknas också som väsentlig enligt NIS2.
I Sverige
En ny lag om motståndskraft hos kritiska verksamhetsutövare
Regeringen lämnade proposition 2025/26:303 till riksdagen i juli 2026. Lagen föreslås gälla från 1 januari 2027. Kontrollera om riksdagen har beslutat om lagen innan du planerar.
Lagen gäller elva sektorer, bland annat energi, transport, hälso- och sjukvård, dricksvatten och livsmedel. En myndighet beslutar vilka verksamheter som är kritiska. Verksamheten får beslutet skriftligt.
| Krav | När kravet börjar gälla |
|---|---|
| Göra en riskbedömning | Nio månader efter beslutet |
| Vidta åtgärder och följa en plan för motståndskraft | Tio månader efter beslutet |
| Kontrollera bakgrunden hos personal i vissa befattningar | Tio månader efter beslutet |
| Anmäla incidenter inom 24 timmar och lämna en rapport inom en månad | Tio månader efter beslutet |
| Utse en kontaktpunkt för tillsynsmyndigheten | Tio månader efter beslutet |
Åtgärderna ska vara lämpliga och proportionella. De kan vara tekniska, säkerhetsmässiga och organisatoriska. Den som inte följer lagen kan få en sanktionsavgift. För företag kan den bli 2 procent av den globala omsättningen eller 10 miljoner euro, det som är högst.
Genomgången
Det här hjälper XoT till med
Tabellen visar vad lagen kräver och vad XoT gör. Raderna där XoT hjälper till är markerade med grönt.
| Behov | Så gör XoT | XoT |
|---|---|---|
| Tekniskt skydd mot obehörig åtkomst till system | Ett lås framför utrustningen. Den syns inte för obehöriga. | Ja |
| Styra vem som når de viktigaste systemen | Åtkomst per person, enhet och tid. Varje begäran kan godkännas. | Ja |
| Begränsa följderna av en incident | Nätverket delas upp i mindre delar. Ett angrepp sprids inte mellan dem. | Ja |
| Säker fjärråtkomst för leverantörer | Tidsbegränsad åtkomst via XoT-Bridge, utan öppna portar. | Ja |
| Underlag när en incident ska anmälas | XMS loggar anslutningar och ändringar. Loggarna kan skickas till ert SIEM. | Delvis |
| Riskbedömning och plan för motståndskraft | Det gör verksamheten själv. | Nej |
| Fysiskt skydd, reservkraft och bakgrundskontroller | Det ligger utanför XoT. | Nej |
SIEM är ett system som samlar och analyserar loggar.
Sektorerna
Exempel från de sektorer vi arbetar med
Energi
Ställverk, kraftverk och fjärrvärme har styrsystem som ofta är gamla och svåra att uppdatera.
Livsmedel
CER gäller produktion, bearbetning och distribution av livsmedel. Vår bedömning är att enskilda butiker sällan pekas ut. Lager, distribution och stor livsmedelsindustri kan pekas ut.
Vanliga frågor
Omfattas vi av lagen?
Det avgör en myndighet genom ett beslut. Är ni viktiga för energi, vatten, livsmedel eller vård kan ni bli utpekade. Om ni redan omfattas av NIS2 är det värt att förbereda er.
Gäller CER redan i andra länder?
Ja, i de flesta EU-länder. Har ni verksamhet i till exempel Finland eller Danmark kan lagen redan gälla där.
Räcker XoT för att följa lagen?
Nej. XoT hjälper till med skyddet av system och åtkomsten till dem. Riskbedömningen, planen och det fysiska skyddet gör ni själva.
Hur hänger CER ihop med NIS2?
NIS2 ställer krav på cybersäkerhet. CER ställer krav på motståndskraft i stort. En verksamhet som är kritisk enligt CER omfattas också av cybersäkerhetslagen som väsentlig verksamhetsutövare.
Det vi skriver här är vår tolkning av lagförslaget och direktivet. Det är inte juridisk rådgivning.
Har ni fått, eller väntar ni på, ett beslut?
Vi visar gärna hur XoT kan ingå i era åtgärder för motståndskraft.