Den 1 januari 2027 föreslås en ny lag träda i kraft som gör motståndskraft till ett juridiskt begrepp i Sverige. Regeringens proposition 2025/26:303 genomför EU:s CER-direktiv och kompletterar cybersäkerhetslagen med krav på fysiskt skydd av samhällsviktig verksamhet. Här går vi igenom vad lagen innebär, vem som träffas och vad ni bör göra redan nu.
Från direktiv till svensk lag
CER-direktivet (EU) 2022/2557 antogs samtidigt som NIS2-direktivet, och de två är medvetet konstruerade som ett par. NIS2, i Sverige genomfört genom cybersäkerhetslagen som trädde i kraft i januari 2026, reglerar skyddet av nätverk och informationssystem. CER-direktivet reglerar det som ofta glöms bort i cybersäkerhetsdiskussionen: den fysiska motståndskraften hos de verksamheter som samhället inte klarar sig utan.
Den 14 juli 2026 lämnade regeringen propositionen En ny lag för ökad motståndskraft hos kritiska verksamhetsutövare. Lagen föreslås träda i kraft den 1 januari 2027. Propositionen är hänvisad till försvarsutskottet och motionstiden går ut den 13 oktober 2026, så riksdagens beslut väntas senare under hösten.
Logiken bakom uppdelningen är enkel att förklara för en ledningsgrupp. Cybersäkerhetslagen skyddar era system mot digitala angrepp. CER-lagen skyddar er förmåga att leverera tjänsten även när något fysiskt inträffar: ett sabotage mot ett ställverk, en översvämning i ett vattenverk, ett bortfall av nyckelpersoner. Samhällets funktion hänger på båda delarna.
Vem omfattas och hur pekas man ut
En viktig skillnad mot cybersäkerhetslagen är hur verksamheter kommer in under regelverket. Cybersäkerhetslagen bygger på att verksamhetsutövare själva anmäler sig. CER-lagen bygger i stället på identifiering genom myndighetsbeslut. Det är staten som pekar ut vilka verksamheter som är kritiska, och den som pekas ut får besked genom ett formellt beslut.
Lagen bygger på CER-direktivets bilaga, som räknar upp elva sektorer: energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymden samt produktion, bearbetning och distribution av livsmedel.
Tre av dem har en särställning, men inte på det sätt som ofta sammanfattas. Bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur kan fortfarande pekas ut som kritiska verksamhetsutövare. Det är skyldigheterna som undantas, inte sektorerna, och bara för den delen av verksamheten. Skälet är att DORA och annan sektorsreglering redan ställer heltäckande krav. Den som är verksam i både en undantagen och en icke-undantagen sektor omfattas alltså fullt ut för den senare delen. Och själva identifieringsbeslutet biter även på en undantagen aktör, eftersom det utlöser skyldigheterna enligt cybersäkerhetslagen.
För den som identifieras börjar klockan ticka. Skyldigheterna gäller nio respektive tio månader efter identifieringsbeslutet. Det låter som gott om tid, men den som väntar med att bygga förmågan tills beslutet kommer får en mycket brant backe.
Kraven i korthet
Lagens krav är färre och mer fokuserade än cybersäkerhetslagens, men de är konkreta och uppföljningsbara.
- Riskbedömning inom nio månader från identifieringsbeslutet, därefter uppdaterad vid behov och minst vart fjärde år. Den ska omfatta alla relevanta risker som kan leda till en incident, både antagonistiska hot och andra händelser.
- Tekniska, säkerhetsmässiga och organisatoriska åtgärder som ska förhindra incidenter, ge ett tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur, begränsa konsekvenser, säkra återhämtning och hantera personalsäkerheten. Åtgärderna dokumenteras i en plan för motståndskraft, lagens centrala styrdokument, som preciseras vidare i föreskrifter.
- Bakgrundskontroller för känsliga befattningar, förnyade när det finns skäl och senast vartannat år. Kontrollen innebär att personen styrker sin identitet och visar upp ett utdrag ur belastningsregistret som inte får vara äldre än sex månader. Vilka befattningar som omfattas styrs av en befattningsanalys som ska uppdateras minst en gång om året.
- Incidentrapportering inom 24 timmar när en incident väsentligt stör eller kan störa tjänsten, med en fullständig rapport senast en månad efter anmälan.
Kopplingen till cybersäkerhetslagen
Här finns lagens kanske viktigaste mekanism för den som redan arbetar med NIS2-frågor. Den som identifieras som kritisk verksamhetsutövare blir automatiskt väsentlig verksamhetsutövare enligt cybersäkerhetslagen. Det gäller oavsett hur organisationen tidigare klassificerats.
För en verksamhet som i dag är klassad som viktig innebär ett identifieringsbeslut alltså inte bara nya krav på fysiskt skydd, utan också skärpt tillsyn och högre sanktionsnivåer på cybersidan. De två regelverken behöver därför hanteras i ett sammanhållet ledningssystem, inte i två parallella spår.
Sanktioner och en skärpt säkerhetsskyddslag
Sanktionsavgifterna följer samma mönster som i annan modern EU-reglering. För privata verksamhetsutövare är taket det högsta av 2 procent av global omsättning och 10 miljoner euro. För offentliga verksamhetsutövare är taket 10 miljoner kronor.
I samma proposition skärps även säkerhetsskyddslagen. Taket för sanktionsavgifter mot privata aktörer höjs till det högsta av 2 procent av global omsättning och 120 miljoner kronor. Det är en markant höjning som förtjänar egen uppmärksamhet i styrelserummet hos alla som bedriver säkerhetskänslig verksamhet.
Vad bör ni göra nu
Lagen är inte beslutad än, och myndighetsstrukturen pekas ut i förordning senare. Men inriktningen ligger fast, och för energibolag, kommuner med vattenförsörjning, vårdgivare och andra troliga kandidater finns det ingen anledning att vänta.
- Bedöm sannolikheten att ni identifieras som kritisk verksamhetsutövare. Utgå från er roll i försörjningskedjan, inte från er storlek.
- Inventera era fysiska beroenden: anläggningar, försörjning av el och vatten, nyckelpersoner och leverantörer som verksamheten inte fungerar utan.
- Genomför en befattningsanalys och se över rutinerna för bakgrundskontroller.
- Integrera det fysiska perspektivet i befintlig riskanalys och kontinuitetsplanering i stället för att bygga en separat process.
- Se över incidentprocessen så att den klarar ännu en rapporteringsväg med 24-timmarsfrist.
Den röda tråden känns igen från vårt övriga arbete med informationssäkerhet. Compliance kan uppfyllas på papper medan den verkliga förmågan är svag. Om riksdagen säger ja definierar lagstiftaren från 2027 motståndskraft som något som ska kunna visas i praktiken. Det är en bra måttstock att börja mäta sig mot redan i dag.
Tror ni att ni kan pekas ut som kritisk verksamhetsutövare? Vi på VER&IT hjälper er koppla ihop det fysiska skyddet med NIS2-arbetet i ett sammanhållet ledningssystem, så att motståndskraften håller både på papper och i praktiken. Hör av er, så tar vi ett samtal om ert läge.
Källor
Fler insikter
Relaterade artiklar
Civil cyberresiliens är en del av totalförsvaret
Den dagen Swish och BankID ligger nere i tre timmar märker vi hur tunt det digitala är. Varför styrning, inte teknik, avgör om Sverige står pall.
Ert leverantörsregister är inte en krisplan
När larmet går räcker det inte att veta vilka leverantörer ni har. Ni behöver veta vad som faktiskt slutar fungera — och vem som ska besluta vad. Från lista till beroendekarta.
Proportionalitet är färskvara
Varför en korrekt riskbedömning ändå kan bli er största sårbarhet i en AI-driven verksamhet. Bedömningen var sann den dag den skrevs — frågan är hur länge den förblir det.