CER-lagen och den fysiska motståndskraften

Vattenverket i en mellanstor kommun har en driftcentral. Där finns skärmar som visar tryck, flöden och nivåer, och styrsystem som öppnar och stänger ventiler. Frågar man om säkerheten får man ofta höra om nätverkssegmentering, om att styrsystemet är avskilt från kontorsnätet och om vem som har fjärråtkomst. Allt det är riktiga svar på en riktig fråga.

Men bakom skärmarna finns en byggnad. Den har en dörr, ett lås, ett staket och en reservkraft som ska starta när elen försvinner. Den har personal, och några av dem har nycklar till allt. Ingen brandvägg i världen hindrar någon från att köra in genom grinden.

Det är den halvan av motståndskraften som svensk rätt hittills reglerat svagast utanför säkerhetsskyddet. Och det är den halvan som nu är på väg att få en egen lag.

Den 14 juli 2026 lämnade regeringen propositionen En ny lag för ökad motståndskraft hos kritiska verksamhetsutövare. Den genomför CER-direktivet, alltså EU-direktivet 2022/2557 om kritiska entiteters motståndskraft. Riksdagen behandlar förslaget under hösten 2026 och lagen föreslås träda i kraft den 1 januari 2027. Ingenting av det jag beskriver nedan gäller alltså ännu. Jag skriver om ett förslag, inte om gällande rätt, och den skillnaden är värd att hålla kvar hela vägen genom texten.

Kartan ritades innan CER kom

En av bokens mest använda sidor är regelverkskartan. Den finns för att den vanligaste frågan jag får inte är hur man bygger säkerhet, utan vad som faktiskt gäller för just den här verksamheten. Kartan ritar grundskiktet, alltså dataskyddsförordningen, säkerhetsskyddslagen, cybersäkerhetslagen, DORA för finanssektorn och myndighetsföreskrifterna för statliga myndigheter. Kapitlet efter lägger till produktregleringen och AI-förordningen.

CER står inte där. Det finns en enkel förklaring. När kartan ritades fanns direktivet, men ingen svensk lag och ingen proposition. Att rita in en kommande reglering utan att veta hur den skulle utformas hade varit att gissa, och en karta som gissar är sämre än en karta som är ärlig med sina kanter.

Det här är också själva poängen med att en bok får en artikelsektion. En karta över regelverk är alltid en ögonblicksbild. Kapitelsidan svarar på vad och varför i den form som håller över år. Den här texten lägger till biten som tillkommit sedan dess.

Två direktiv, en rörelse

CER-direktivet antogs tillsammans med NIS2. Samma dag, samma paket, samma politiska beslut. NIS2 blev cybersäkerhetslagen som trädde i kraft i januari 2026 och som skyddar nätverk och informationssystem. CER handlar om verksamheternas fysiska motståndskraft, alltså anläggningarna, försörjningen och personalen bakom tjänsterna.

Att de två kom samtidigt är ingen slump. Lagstiftaren har sett samma sak som den som arbetar med OT-säkerhet ser varje dag, nämligen att gränsen mellan det digitala och det fysiska har slutat vara meningsfull i praktiken. Ett angrepp mot ett styrsystem får fysiska konsekvenser. Ett avbrott i elförsörjningen får digitala. Den som skyddar det ena men inte det andra har inte byggt motståndskraft, bara flyttat sårbarheten till andra sidan väggen.

I bokens språk är det här samma resonemang som löper genom hela texten. Motståndskraft är inte en egenskap hos ett system utan hos en verksamhet, och en verksamhet består av teknik, processer, byggnader och människor på samma gång.

Staten pekar ut i stället för att du anmäler dig

Den mest intressanta skillnaden mot cybersäkerhetslagen ligger inte i kraven utan i hur man hamnar under dem.

Cybersäkerhetslagen bygger på att verksamhetsutövaren själv gör bedömningen. Sektor och storlek avgör, man drar slutsatsen och registrerar sig. CER-lagen föreslås fungera tvärtom. Staten pekar ut vilka verksamheter som är kritiska genom formella identifieringsbeslut. Man blir alltså inte omfattad genom att räkna på det själv, utan genom att få ett beslut.

Elva sektorer omfattas enligt förslaget, alltså energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymd och livsmedelsproduktion. Tre av dem har ett eget undantag. Den som identifieras som kritisk inom bankverksamhet, finansmarknadsinfrastruktur eller digital infrastruktur omfattas av lagen, men skyldigheterna enligt den gäller inte för just den delen av verksamheten. Efter ett identifieringsbeslut föreslås riskbedömningen börja gälla efter nio månader och övriga skyldigheter efter tio.

Den ordningen är rimlig, men den skapar en planeringsfråga som är värd att tänka på redan nu. Man kan inte veta i förväg om beslutet kommer. Man kan däremot bedöma sannolikheten, och den bedömningen handlar mindre om den egna storleken än om vilken roll verksamheten spelar i någon annans försörjningskedja. Ett litet bolag som är ensam leverantör av en komponent till ett vattenverk kan vara mer kritiskt för samhället än en stor arbetsgivare i en annan bransch.

Det finns också en andra sida av att staten pekar ut. Ett identifieringsbeslut är ett myndighetsbeslut, alltså något konkret att förhålla sig till och förbereda sig inför. Det är en annan sak än att själv tolka en tröskel och sedan leva med osäkerheten om man tolkat den rätt. För en del verksamheter kommer det att upplevas som en lättnad. Frågan om man omfattas eller inte har varit en av de mest tidskrävande i arbetet med cybersäkerhetslagen, och här besvaras den av någon annan.

Vad som föreslås krävas

Kraven i förslaget är fyra, och de är påfallande igenkännbara för den som redan arbetar systematiskt.

• Riskbedömning minst vart fjärde år, som ska omfatta både antagonistiska hot och andra störningshändelser
• Åtgärder för fysiskt skydd, dokumenterade i en skriftlig handlingsplan för motståndskraft
• Bakgrundskontroller för känsliga roller, förnyade minst vartannat år och föregångna av en analys av vilka befattningar som är känsliga
• Incidentrapportering inom 24 timmar vid en väsentlig störning, med en fullständig rapport senast en månad senare

Den sista punkten är värd en jämförelse. Cybersäkerhetslagen har också en första frist på 24 timmar, men följs av en fullständig incidentanmälan inom 72 timmar för de flesta verksamhetsutövare. CER-förslaget ger en månad för den fullständiga rapporten. Skillnaden speglar vad som ska utredas. En cyberincident behöver stoppas och beskrivas snabbt medan spåren är färska. En fysisk störning kan kräva att man först får igång verksamheten igen.

För den som vill ha den operativa genomgången med tidslinje och checklista har jag skrivit en sådan hos VER&IT. Den här texten handlar om något annat, nämligen vad förslaget betyder för hur vi tänker om motståndskraft.

Och det som slår mig när jag läser kraven är hur lite av dem som är nytt arbete för den som redan gör rätt. En riskbedömning som täcker antagonistiska hot är samma sak som en riskanalys värd namnet, bara med en bredare hotkatalog. En handlingsplan för motståndskraft är en kontinuitetsplan med tydligare adressat. Bakgrundskontroller är personalsäkerhet, ett område som redan finns i ledningssystemet. Det som tillkommer är inte metoden utan skyldigheten att göra det, och att kunna visa att det gjorts.

Ett exempel gör skillnaden konkret. En handlingsplan för motståndskraft och en kontinuitetsplan är inte samma dokument, men de svarar mot samma verklighet. Kontinuitetsplanen frågar hur verksamheten fortsätter när något har hänt. Handlingsplanen frågar vad som gjorts för att det inte ska hända, och vad som gjorts för att konsekvensen ska bli mindre om det ändå gör det. Skriver man den ena har man större delen av underlaget till den andra. Skriver man ingen av dem har man två uppgifter framför sig i stället för en.

Den som pekas ut blir också väsentlig

En detalj i förslaget förtjänar mer uppmärksamhet än den brukar få. En verksamhet som identifieras enligt CER-lagen bör enligt förslaget räknas som väsentlig verksamhetsutövare enligt cybersäkerhetslagen, en koppling som genomförs genom ändringar i cybersäkerhetslagen.

Det betyder att ett identifieringsbeslut inte bara lägger på ett nytt regelverk. Det flyttar också verksamheten uppåt i det befintliga, till den strängare tillsynen och de högre sanktionsnivåerna. För privata verksamhetsutövare föreslås sanktionsavgiften kunna uppgå till det högsta av två procent av den globala omsättningen eller motsvarande 10 miljoner euro, och för offentliga till högst 10 miljoner kronor. Parallellt föreslås säkerhetsskyddslagen skärpas, med ett tak för privata aktörer på det högsta av två procent av den globala omsättningen eller 120 miljoner kronor.

Jag skriver inte ut siffrorna för att skrämma. Jag skriver ut dem för att de säger något om hur lagstiftaren ser på frågan. Sanktionsavgifter i den storleksordningen är inte tänkta att betalas. De är tänkta att göra frågan omöjlig att skjuta nedåt i organisationen, och de riktar sig mot samma personer som cybersäkerhetslagen redan riktar sig mot.

Vad kartan säger nu

Om riksdagen antar förslaget får den svenska regelverkskartan en bit som pekar åt ett håll den tidigare inte pekade. Digital motståndskraft har haft en egen lag sedan januari 2026. Fysisk motståndskraft har haft säkerhetsskyddslagen för det som rör Sveriges säkerhet, men inte något generellt krav för samhällsviktig verksamhet i övrigt. Nu föreslås de två sitta bredvid varandra och peka på samma verksamheter.

För den som bygger systematiskt förändrar det mindre än det låter. Ett ledningssystem som täcker riskanalys, kontinuitetsplanering, incidenthantering och personalsäkerhet svarar redan mot det mesta. Det som behöver göras är att låta det fysiska perspektivet flytta in i analyser som i dag ofta stannar vid det digitala. Vilka anläggningar bär verksamheten? Vad händer när elen eller vattnet försvinner? Vilka personer finns det bara en av?

Det arbetet går att börja med i morgon, oavsett vad riksdagen beslutar i höst. En genomgång av vilka fysiska platser en tjänst faktiskt är beroende av tar en eftermiddag i en mindre verksamhet. Den ger dessutom svar som är användbara långt utanför regelefterlevnaden, eftersom samma beroenden avgör vad som händer vid ett strömavbrott, en översvämning eller en sjukskrivning i fel vecka.

Och för den som väntar på att lagen ska bli klar innan arbetet börjar vill jag upprepa något jag skrivit förut. Lagen är ett golv, inte ett mål. Ett identifieringsbeslut som kommer 2027 ger nio månader att ordna något som borde ha funnits ändå. Den som redan vet var sina fysiska beroenden finns kommer att uppleva beslutet som en formalisering. Den som inte vet kommer att uppleva det som en kris.

Kartan blir mer komplett. Terrängen har hela tiden sett ut så här.