CER-loven gælder kun de virksomheder og myndigheder, som en minister har truffet afgørelse om at identificere som kritiske enheder. Bliver jeres virksomhed udpeget, skal den inden for faste frister lave en risikovurdering, træffe foranstaltninger for modstandsdygtighed, have en plan for dem, udpege en kontaktperson og underrette myndigheden om alvorlige forstyrrelser senest 24 timer efter, at I er blevet opmærksomme på dem. Samtidig bliver virksomheden væsentlig enhed efter NIS2-loven. For ledelsen betyder det to regelsæt, der skal hænge sammen: CER om modstandsdygtighed over for alle slags hændelser og NIS2 om cybersikkerheden.
Artiklen bygger på lov nr. 433 af 6. maj 2025 om kritiske enheders modstandsdygtighed. Lovens bilag 1 om sektorer og enhedskategorier er siden affattet på ny ved lov nr. 135 af 27. januar 2026, så bilaget bør læses i den gældende udgave på retsinformation.dk.
Hvem loven gælder for
Loven omfatter enheder i de kategorier, bilaget nævner, fx inden for energi, transport, sundhed, drikkevand, spildevand, offentlig forvaltning og fødevarer. At høre til en kategori er dog ikke nok. Efter § 3 er det vedkommende minister, der identificerer de kritiske enheder og fører en liste over dem. Der lægges blandt andet vægt på, om enheden leverer en væsentlig tjeneste, og om en hændelse vil have betydelig forstyrrende virkning. Ministeren kan kræve materiale fra en enhed for at tage stilling, og den kritiske enhed orienteres om sine forpligtelser senest en måned efter identifikationen.
Der er undtagelser. Efter § 1, stk. 2, gælder loven ikke for forhold, der er omfattet af NIS2-loven. Efter stk. 6 gælder de centrale pligter ikke for kritiske enheder inden for bank, finansiel markedsinfrastruktur og digital infrastruktur.
Fristerne efter orienteringen
Orienteringen fra ministeren sætter uret i gang:
- Risikovurderingen skal efter § 5, stk. 3, være lavet senest 9 måneder efter orienteringen og opdateres, når det er nødvendigt, og mindst hvert fjerde år.
- Foranstaltningerne, kontaktpersonen og underretningspligten i §§ 6 til 9 gælder 10 måneder efter orienteringen, jf. § 3, stk. 5.
Ledelsen bør derfor lægge en tidsplan med det samme. De to frister ligger tæt, og foranstaltningerne skal bygge på risikovurderingen.
Risikovurderingen og foranstaltningerne
Risikovurderingen efter § 5 skal dække alle relevante naturlige og menneskeskabte risici, der kan forstyrre jeres væsentlige tjenester. Den skal bygge på den nationale risikovurdering og tage højde for, hvor meget andre sektorer afhænger af jer, og hvor meget I afhænger af andre.
§ 6 kræver passende og forholdsmæssige tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger. De skal blandt andet forhindre hændelser, give fysisk beskyttelse af lokaler og kritisk infrastruktur, gøre det muligt at reagere og modstå, sikre genopretning, styre medarbejdersikkerhed og øge bevidstheden hos personalet. Efter § 6, stk. 2, skal enheden have og bruge en plan for modstandsdygtighed, der beskriver foranstaltningerne.
Mange af emnerne findes også i NIS2-lovens § 6, fx kontinuitet og personalesikkerhed. Det er en fordel at bygge på samme risikobillede, så de to regelsæt ikke ender med hver sin plan.
Kontaktperson og underretning
Efter § 7 skal en kritisk enhed udpege en kontaktperson og give den kompetente myndighed kontaktoplysningerne. Ændringer skal meldes.
§ 8 handler om hændelser, der i betydelig grad forstyrrer eller kan forstyrre leveringen af enhedens væsentlige tjenester. Ved vurderingen indgår især antallet af berørte brugere, varigheden og det berørte geografiske område. Underretningen skal ske uden unødigt ophold og, medmindre det operationelt ikke er muligt, senest 24 timer efter, at enheden er blevet opmærksom på hændelsen. På myndighedens anmodning skal der komme en detaljeret rapport senest en måned efter. Fristerne er samlet under frister i sikkerhedsarbejdet.
En cyberhændelse hos en kritisk enhed vil også skulle vurderes efter NIS2-lovens regler om underretning. Beredskabsplanen bør derfor have én vurdering, der dækker begge regelsæt, og den kan bygge på ledelsens beredskabsplan.
Tilsyn, påbud og straf
Den kompetente myndighed fører tilsyn efter § 14 og kan inspicere den kritiske infrastruktur og de lokaler, enheden bruger, kræve audit og kræve oplysninger og dokumentation for foranstaltningerne. Efter § 15 kan den påbyde enheden at rette en konstateret overtrædelse. § 17 gør bestemte overtrædelser strafbare med bøde, og selskaber kan straffes. Som på NIS2-området er der ingen beløb i lovteksten. Hvordan NIS2-tilsynet virker, står i tilsyn efter NIS2.
Ledelsens rolle
CER-loven indeholder ingen bestemmelse svarende til NIS2-lovens § 7 om ledelsesorganets godkendelse. Pligterne ligger hos enheden. Det ændrer ikke, at plan, risikovurdering og kontaktperson er beslutninger, som direktionen bør træffe og bestyrelsen bør kende. Og fordi kritiske enheder efter NIS2-lovens § 4, stk. 3, nr. 3, er væsentlige enheder, gælder ledelsesorganets pligter efter NIS2 for cybersikkerheden under alle omstændigheder. Hvad de pligter er, står under NIS2 og ledelsens ansvar.
Tænk på et mellemstort vandselskab, der får orienteringen. Direktøren udpeger en ansvarlig for den samlede tidsplan, driftschefen bliver kontaktperson, og bestyrelsen godkender en plan, hvor NIS2-risikovurderingen udvides med fysiske og naturlige farer. Leverandører, der passer anlæggene, kan få nye krav. Leverandørens side af sagen er beskrevet under CER-loven og leverandøren.
Det skal I lade være med
- At vente på detaljerede regler · fristerne løber fra orienteringen.
- At lave to adskilte risikovurderinger · byg CER og NIS2 på samme risikobillede, og hold forskellene tydelige.
- At udpege en kontaktperson uden stedfortræder · myndigheden skal kunne nå jer.
- At lade planen for modstandsdygtighed blive et skrivebordsdokument · den skal bruges og øves.
Det skal I kræve af den eksterne
- ☐ En tidsplan, der regner baglæns fra orienteringens dato.
- ☐ En risikovurdering, der dækker både naturlige og menneskeskabte risici og afhængigheder.
- ☐ Et udkast til plan for modstandsdygtighed, som direktionen kan godkende.
- ☐ Én procedure for at vurdere hændelser efter både CER og NIS2.
- ☐ En liste over leverandører, der skal have nye krav.
Næste skridt for direktionen
Har I fået en orientering, så notér datoen, og regn de to frister ud. Har I ikke, er det tilstrækkeligt at vide, at loven findes, og at orienteringen kommer fra ministeren.
Kilder
- CER-loven, lov nr. 433 af 6. maj 2025 (retsinformation.dk): § 1 om anvendelsesområde og undtagelser, § 3 om identifikation og frister, §§ 5 til 8 om risikovurdering, foranstaltninger, kontaktperson og underretning, §§ 14, 15 og 17 om tilsyn, påbud og straf.
- Lov nr. 135 af 27. januar 2026 (retsinformation.dk): ny affattelse af CER-lovens bilag 1.
- NIS2-loven, lov nr. 434 af 6. maj 2025 (retsinformation.dk): § 4, stk. 3, nr. 3, om kritiske enheder som væsentlige enheder.
Senest gennemgået: november 2026.
Næste skridt
Læs også: NIS2 i koncernen · Driftskontinuitet og krisestyring
→ Kontakt · Tlf. 70 13 63 23 · CISO as a Service hos Nielco IT
