CER-lagen och kravet på fysiskt skydd
Lagen om motståndskraft hos kritiska verksamhetsutövare träder i kraft 1 januari 2027. Den kräver i 3 kap. 3 § att utpekade verksamhetsutövare ska säkerställa ett tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur. Kravet omfattar elva samhällssektorer och saknar storlekströskel. Sanktionsavgiften för privata aktörer kan uppgå till två procent av global omsättning eller tio miljoner euro.
1. Vad CER-lagen är
CER-lagen är den svenska lagen om motståndskraft hos kritiska verksamhetsutövare. Den bygger på EU-direktiv 2022/2557, det så kallade CER-direktivet, och har behandlats i proposition 2025/26:303. Lagen träder i kraft 1 januari 2027.
- Lagen om motståndskraft hos kritiska verksamhetsutövare
- Bygger på EU-direktiv 2022/2557 (CER-direktivet)
- Proposition 2025/26:303
- Träder i kraft 1 januari 2027
2. Vad 3 kap. 3 § faktiskt kräver
"säkerställa ett tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur"
Formuleringen står som punkt 2 bland de åtgärder kritiska verksamhetsutövare ska vidta. Lagen formulerar kravet som "lämpliga och proportionella tekniska, säkerhetsmässiga och organisatoriska åtgärder". Det innebär att lagtexten inte pekar ut specifik teknik, utan lägger ansvaret på verksamheten att välja åtgärder som står i proportion till riskerna och att kunna visa hur skyddet är utformat.
3. Vilka elva sektorer som omfattas
Lagen omfattar elva samhällssektorer: energi (el, fjärrvärme och fjärrkyla, olja, gas, vätgas), transport (luftfart, järnväg, sjöfart, väg, kollektivtrafik), bankverksamhet, finansiell marknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymd, samt produktion, bearbetning och distribution av livsmedel.
För dricksvatten och avloppsvatten finns en egen genomgång av vad kravet innebär i praktiken, se fysiskt skydd av VA-anläggningar.
Lagen har ingen storlekströskel. Det avgörande är om verksamheten tillhandahåller en samhällsviktig tjänst, inte hur många anställda eller hur stor omsättning verksamheten har.
4. Tidslinjen och vad som händer nu
- 17 juli 2026: medlemsstaternas deadline för att peka ut kritiska verksamhetsutövare enligt CER-direktivets artikel 6.1
- 1 augusti 2026: MSB och MCF ska redovisa förberedande föreskriftsarbete till regeringen
- 1 januari 2027: lagen träder i kraft
- Skyldigheterna aktiveras tio månader efter formell underrättelse om utpekande
Sammantaget betyder det att köpfönstret för åtgärder löper från hösten 2026 genom 2028. Verksamheter som väntar med analys och upphandling till efter en formell underrättelse har tio månader på sig att både besluta och genomföra.
5. Sanktioner
- Privata verksamhetsutövare: lägst 5 000 kronor, högst två procent av global årsomsättning eller tio miljoner euro
- Offentliga verksamhetsutövare: högst tio miljoner kronor
6. Så hänger CER ihop med NIS2 och kamerabevakningslagen
Cybersäkerhetslagen, som genomför NIS2, är i kraft sedan 15 januari 2026 med Myndigheten för civilt försvar som tillsynsmyndighet. Den omfattar 18 sektorer, däribland avfallshantering, dricksvatten, avloppsvatten, energi, transport, livsmedel och tillverkning. NIS2 kräver dokumenterad riskanalys men mandaterar inte kameror. CER är den lag som adresserar det fysiska skyddet. Läs mer om cybersäkerhetslagen och NIS2.
I kamerabevakningslagen slopades tillståndsplikten 1 april 2025 och ersattes av krav på dokumenterad intresseavvägning samt en förteckning över bevakningen. Underlaget ska bevaras minst fem år efter att bevakningen upphört. Läs mer i vår guide till kamerabevakningslagen.
7. Vad ett tillfredsställande fysiskt skydd innebär i praktiken
Lagen definierar inte vilka tekniska lösningar som krävs, så det följande är vår tolkning av kravet och inte en myndighetsutsaga. Utgångspunkten i arbetet brukar vara samma kedja som i annan risk- och sårbarhetsanalys: vilka objekt och funktioner är kritiska, vilka vägar in finns till dem, hur upptäcks ett avsteg och hur kan det verifieras och dokumenteras i efterhand.
I den kedjan hamnar skalskydd och perimeterdetektering först. Det handlar om att avvikelser vid staket, grindar, portar och tekniska utrymmen upptäcks tidigt, inte först vid en efterhandsgranskning. Därefter kommer åtkomstkontroll: vem som får passera var, när, och med vilken behörighet, samt möjligheten att dra tillbaka en behörighet omedelbart.
Loggning och händelseverifiering är den del som gör skyddet möjligt att visa upp. En larmhändelse som kan kopplas till ett tidsstämplat underlag, med spårbar åtkomst till materialet, är både snabbare att bedöma operativt och enklare att redovisa vid tillsyn. Driftövervakning hör ihop med detta: för obemannade anläggningar är kunskap om att kameror, sensorer och kommunikationsvägar faktiskt fungerar en förutsättning för att skyddet ska vara verkligt och inte bara dokumenterat.
Sitewatch roll i detta är plattformen som samlar perimeterskydd, accesskontroll och driftövervakning i en gemensam händelse- och loggvy, med data lagrad i Sverige. Vi gör ingen juridisk bedömning av om er verksamhet omfattas eller om ert skydd är tillfredsställande. Det avgör ni tillsammans med er tillsynsmyndighet och era juridiska rådgivare.
Begreppen i det här avsnittet är definierade i vår ordlista: fysiskt skydd, skalskydd, perimeterdetektering och kritisk verksamhetsutövare.
Vår guide om NIS2 och CER för fysisk säkerhet är fritt nedladdningsbar, utan formulär.
Ladda ner guiden (PDF)8. Vanliga frågor
När träder CER-lagen i kraft?
Lagen om motståndskraft hos kritiska verksamhetsutövare träder i kraft 1 januari 2027. Skyldigheterna för en enskild verksamhetsutövare aktiveras tio månader efter formell underrättelse om utpekande.
Vad betyder "tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur"?
Det är formuleringen i 3 kap. 3 § och står som punkt 2 bland de åtgärder kritiska verksamhetsutövare ska vidta. Lagen formulerar kravet som lämpliga och proportionella tekniska, säkerhetsmässiga och organisatoriska åtgärder, alltså utan att räkna upp specifik teknik. Vad som är tillfredsställande avgörs av verksamhetens egen risk- och sårbarhetsbild.
Vilka omfattas av CER-lagen?
Utpekade kritiska verksamhetsutövare inom elva samhällssektorer: energi, transport, bankverksamhet, finansiell marknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymd samt produktion, bearbetning och distribution av livsmedel. Lagen har ingen storlekströskel. Det avgörande är om verksamheten tillhandahåller en samhällsviktig tjänst.
Vad är skillnaden mellan NIS2 och CER?
NIS2 genomförs i Sverige genom cybersäkerhetslagen, som gäller sedan 15 januari 2026 och omfattar 18 sektorer. NIS2 kräver dokumenterad riskanalys men mandaterar inte kameror. CER är den lag som adresserar det fysiska skyddet av lokaler och kritisk infrastruktur.
Vad blir sanktionen om kravet inte uppfylls?
För privata verksamhetsutövare är sanktionsavgiften lägst 5 000 kronor och högst två procent av global årsomsättning eller tio miljoner euro. För offentliga verksamhetsutövare är den högst tio miljoner kronor.
Måste vi ha kamerabevakning för att uppfylla CER-lagen?
Nej. Lagen pekar inte ut någon specifik teknik utan kräver lämpliga och proportionella åtgärder. Kamerabevakning, perimeterdetektering och åtkomstkontroll är vanliga sätt att uppnå och kunna visa ett fysiskt skydd, men valet av åtgärder följer av er egen riskbedömning. Använder ni kameror gäller dessutom kamerabevakningslagen och GDPR parallellt.
9. Källor
Vill ni gå igenom det fysiska skyddet inför 2027?
Boka en genomgång så tittar vi på perimeter, åtkomst, loggning och driftövervakning i er miljö.