CER-direktivet er EU’s nye krav til fysisk sikkerhed i kritisk infrastruktur.
Fra juli 2025 gælder loven i Danmark, og op mod 4.000 virksomheder inden for energi, sundhed, transport og finans kan blive direkte omfattet. Er din virksomhed klar?
Hvad er CER-direktivet?
CER-direktivet er EU’s nye lovgivning, der stiller skærpede krav til fysisk sikkerhed og modstandsdygtighed hos virksomheder, der leverer samfundskritiske tjenester. Direktivet, hvis fulde navn er Critical Entities Resilience Directive (direktiv 2022/2557), blev vedtaget i december 2022 og trådte i kraft i EU den 16. januar 2023. Fristen for medlemsstaternes nationale implementering var sat til den 17. oktober 2024. I Danmark er direktivet implementeret ved lov nr. 433 af 6. maj 2025 om kritiske enheders modstandsdygtighed, og den danske implementeringsfrist er sat til 1. juli 2025.
Formålet med CER er at sikre, at de virksomheder og organisationer, som samfundet er afhængigt af, kan modstå, tilpasse sig og genoprette sig efter alvorlige hændelser – hvad enten der er tale om naturkatastrofer, terrorangreb, sabotage eller forstyrrelser i forsyningskæder.
Hvad betyder CER for din virksomhed?
CER-direktivet pålægger kritiske enheder en række konkrete forpligtelser. Virksomheder, der udpeges som kritiske enheder, skal gennemføre en dybdegående risikovurdering, udarbejde en resiliensplan og sikre, at de kan opretholde leveringen af essentielle tjenester selv under alvorlige driftsforstyrrelser. Derudover skal de udpege en forbindelsesofficer, gennemføre medarbejderuddannelse og implementere procedurer for risiko- og krisestyring.
Det er de nationale myndigheder – i Danmark de sektorkompetente myndigheder under koordinering af Styrelsen for Samfundssikkerhed – der konkret udpeger, hvilke virksomheder der klassificeres som kritiske enheder. Fristen for udpegning af kritiske enheder er sat til juli 2026, og herefter har de udpegede enheder 9 måneder til at gennemføre en risikovurdering og 10 måneder til at have modstandsdygtighedsforanstaltningerne på plads.
Hvilke sektorer er omfattet af CER-direktivet?
CER-direktivet dækker 10 sektorer i dansk ret, som EU har vurderet som afgørende for samfundets funktion. Energisektoren reguleres i Danmark særskilt af Energiberedskabsloven og er ikke omfattet af den generelle CER-lov. Nedenstående tabel giver et overblik over de primære sektorer og eksempler på aktører inden for hver:
Opererer din virksomhed inden for en af disse sektorer, er der en reel sandsynlighed for, at I vil blive udpeget som kritisk enhed og dermed blive direkte omfattet af loven.
Hvor mange virksomheder berøres af CER?
Estimaterne for antallet af berørte virksomheder varierer. Uafhængige advokatfirmaer vurderer, at 100–150 virksomheder kan blive direkte udpeget som kritiske enheder, men et langt større antal underleverandører og samarbejdspartnere kan blive indirekte berørt. Det betyder, at selv virksomheder, der ikke selv udpeges som kritiske enheder, kan blive stillet over for krav om dokumentation og sikkerhedsstandarder fra deres samarbejdspartnere.
Hvad er forskellen på CER og NIS2?
CER og NIS2 er to direktiver, der supplerer hinanden. NIS2-direktivet fokuserer på cybersikkerhed og digital robusthed, mens CER-direktivet handler om fysisk sikkerhed og den overordnede modstandsdygtighed i kritisk infrastruktur. Begge direktiver blev vedtaget i december 2022 og implementeres parallelt i dansk ret. En virksomhed kan godt være omfattet af begge direktiver samtidig, hvis den leverer digitale tjenester og samtidig driver kritisk fysisk infrastruktur.
Hvad kræver CER-direktivet i praksis?
Kravene til kritiske enheder under CER-direktivet kan sammenfattes i ni centrale forpligtelser:
- Risikovurdering: Virksomheden skal identificere og vurdere alle relevante trusler mod dens evne til at levere essentielle tjenester, herunder fysiske trusler, naturhændelser og menneskeskabte risici.
- Forebyggende foranstaltninger: Der skal iværksættes konkrete tiltag for at forhindre hændelser, herunder klimatilpasning og katastrofereduktion.
- Resiliensplan: Virksomheden skal udarbejde en dokumenteret plan for, hvordan den opretholder og genopretter sine tjenester ved alvorlige hændelser.
- Fysisk sikring: Lokaler og infrastruktur skal beskyttes mod uautoriseret adgang, sabotage og andre fysiske trusler.
- Medarbejdersikkerhed: Der skal gennemføres baggrundskontrol, adgangsstyring og løbende uddannelse af medarbejdere.
- Kontinuitetsforanstaltninger: Virksomheden skal sikre alternative forsyningskæder og genopretningskapacitet.
- Hændelsesrapportering: Alvorlige hændelser skal indberettes til de kompetente myndigheder inden for fastsatte tidsfrister.
- Forbindelsesofficer: Der skal udpeges en person, der fungerer som kontaktpunkt over for myndighederne.
- Løbende opdatering: Risikovurderinger og resiliensplaner skal opdateres regelmæssigt i takt med, at trusselsbilledet udvikler sig.
Hvornår gælder CER-direktivet i Danmark?
Den danske tidsplan for CER-direktivet ser ud som følger:
Det er værd at bemærke, at Danmark overskred EU’s implementeringsfrist på 17. oktober 2024 med knap ni måneder. Virksomheder, der forventer at blive udpeget, bør derfor ikke afvente den formelle udpegning, men allerede nu begynde at kortlægge deres risici og styrke deres beredskab.
Sådan forbereder du din virksomhed på CER
Forberedelsen til CER-direktivet starter med en systematisk risikovurdering. Virksomheden skal danne sig et klart billede af, hvilke trusler der er relevante for dens drift, og hvilke konsekvenser en driftsstop vil have for leveringen af essentielle tjenester. Dernæst handler det om at prioritere de foranstaltninger, der reducerer de mest kritiske risici, og at dokumentere dette arbejde i en resiliensplan.
Securitas tilbyder rådgivning og konkrete sikkerhedsløsninger til virksomheder, der skal efterleve CER-direktivets krav. På Securitas’ videnside om CER kan du downloade et gratis whitepaper om de nye direktiver, få adgang til en risikovurderingsskabelon og holde dig opdateret på den seneste udvikling i lovgivningen.
