CER-loven stiller krav om fysisk modstandsdygtighed, mens NIS2 dækker det digitale. Den gælder kun, hvis I bliver udpeget som kritisk enhed i en af 10 samfundsvigtige sektorer. Sker det, skal I lave en risikovurdering, en modstandsdygtighedsplan og sikre jer mod alt fra ekstremvejr til sabotage.
Enheden skal vurdere alle relevante risici for sine væsentlige tjenester - naturskabte som menneskeskabte: ekstremvejr, ulykker, sabotage og afhængigheder af andre sektorer. Vurderingen skal foreligge senest 9 måneder efter underretningen om udpegning og opdateres mindst hvert 4. år.
§ 5Enheden skal træffe passende og forholdsmæssige tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger - blandt andet fysisk sikring, krisestyring, genopretning og personalesikkerhed. De trufne foranstaltninger skal beskrives i en modstandsdygtighedsplan.
§ 6Enheden skal underrette den kompetente myndighed om hændelser, der i betydelig grad forstyrrer eller kan forstyrre leveringen af en væsentlig tjeneste. Det skal ske uden unødigt ophold og som udgangspunkt senest 24 timer efter kendskab til hændelsen. En opfølgende rapport skal sendes senest en måned efter. Underretningen sker digitalt via Virk.dk.
§ 8Enheden skal udpege en kontaktperson og give den kompetente myndighed dennes kontaktoplysninger.
§ 7CER-loven gælder ikke for alle. Den omfatter kun virksomheder og myndigheder, som den kompetente myndighed udpeger som kritiske enheder inden for 10 samfundsvigtige sektorer - fx transport, sundhed og drikkevand. Udpegningen sker ud fra jeres betydning for samfundet, ikke jeres størrelse. Pligterne gælder først, når I er udpeget og underrettet.
Krav efter CER-loven
Udpegede kritiske enheder skal foretage en risikovurdering, der kortlægger alle relevante risici for deres væsentlige tjenester.
Enheden skal træffe passende tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger og have en modstandsdygtighedsplan.
Enheden skal underrette den kompetente myndighed om hændelser, der i betydelig grad forstyrrer en væsentlig tjeneste.
Den konkrete tilpasning løser vi med rådgivning. Kontakt os →
Tilsynet er ikke samlet ét sted. Hver sektor har sin egen sektoransvarlige myndighed (kaldet kompetent myndighed), der identificerer kritiske enheder og fører tilsyn på sit område. Selve afgørelsen om udpegning træffes af vedkommende minister. Styrelsen for Samfundssikkerhed (SAMSIK) koordinerer på tværs.
En kritisk enhed er en virksomhed eller offentlig myndighed, der leverer en væsentlig tjeneste og er udpeget som kritisk efter loven. Pligterne indtræder først, når enheden er udpeget og underrettet. Listen over kritiske enheder gennemgås mindst hvert 4. år.
Der er ikke én samlet tilsynsmyndighed. Hver sektors kompetente myndighed fører tilsyn og kan udstede påbud (§ 15) - typisk en styrelse som Trafikstyrelsen, Miljøstyrelsen eller Fødevarestyrelsen. Overtrædelse af de centrale pligter kan straffes med bøde, også for virksomheder (§ 17).
SAMSIK under Ministeriet for Samfundssikkerhed og Beredskab er koordinerende myndighed. Styrelsen vejleder og understøtter samarbejdet mellem de sektoransvarlige myndigheder. SAMSIK er samtidig selv kompetent myndighed for enkelte enhedskategorier - blandt andet skibstrafiktjenester og statslige forvaltningsenheder - og fører tilsyn der.
CER dækker fysisk modstandsdygtighed, NIS2 cybersikkerhed - de to følges typisk ad. Energisektoren reguleres som udgangspunkt af energiberedskabsloven med Energistyrelsen som myndighed; CER gælder kun, hvor energienheder ikke er dækket der. For bankvirksomhed, finansiel markedsinfrastruktur og digital infrastruktur viger CER for DORA (EU-regler for finanssektorens digitale modstandsdygtighed) og NIS2. Virksomheder med farlige stoffer suppleres af Seveso-reglerne. ISO 22301 er en frivillig metode til risikovurdering og modstandsdygtighedsplan.
CER-loven trådte i kraft 1. juli 2025. Lovens pligter gælder dog først for en enhed, når den er blevet udpeget som kritisk enhed og underrettet om det. Kritiske enheder skal efter direktivet være udpeget senest 17. juli 2026.
Kun hvis I bliver udpeget som kritisk enhed inden for en af de 10 sektorer. Udpegningen træffes af vedkommende minister (i praksis den kompetente myndighed i sektoren) og sker ud fra jeres betydning for samfundet, ikke jeres størrelse. Bliver I udpeget, modtager I en underretning, og pligterne om risikovurdering, modstandsdygtighedsplan med videre indtræder herefter. Energisektoren reguleres som udgangspunkt via energiberedskabsloven; CER-loven gælder kun for energienheder i det omfang, de ikke er omfattet af energiberedskabsloven.
CER-loven handler om fysisk modstandsdygtighed - sikring mod fysiske trusler, ulykker, ekstremvejr og sabotage. NIS2 handler om cybersikkerhed. Bliver din enhed udpeget som kritisk efter CER, er den som udgangspunkt også omfattet af NIS2-kravene. De to regelsæt supplerer hinanden.
Få en uforpligtende gennemgang af, hvad der gælder for jer, og hvordan I dokumenterer beredskabet.
Kontakt for en gennemgangSkal I omsætte kravene til en konkret beredskabsplan?