CER-lagen och kravet på fysiskt skydd

1. Vad förslaget till CER-lag är

Förslaget till CER-lag gäller en svensk lag om motståndskraft hos kritiska verksamhetsutövare. Den bygger på EU-direktiv 2022/2557, det så kallade CER-direktivet, och har behandlats i proposition 2025/26:303. Lagen föreslås träda i kraft 1 januari 2027. Riksdagen har ännu inte beslutat.

• Föreslagen lag om motståndskraft hos kritiska verksamhetsutövare
• Bygger på EU-direktiv 2022/2557 (CER-direktivet)
• Proposition 2025/26:303
• Föreslås träda i kraft 1 januari 2027

2. Vad förslaget i 3 kap. 3 § kräver

"säkerställa ett tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur"

Formuleringen står i lagförslagets 3 kap. 3 § som punkt 2 bland de åtgärder kritiska verksamhetsutövare ska vidta. Lagförslaget formulerar kravet som "lämpliga och proportionella tekniska, säkerhetsmässiga och organisatoriska åtgärder". Det innebär att lagtexten inte pekar ut specifik teknik, utan lägger ansvaret på verksamheten att välja åtgärder som står i proportion till riskerna och att kunna visa hur skyddet är utformat.

3. Vilka elva sektorer som omfattas

Lagförslaget omfattar elva samhällssektorer: energi (el, fjärrvärme och fjärrkyla, olja, gas, vätgas), transport (luftfart, järnväg, sjöfart, väg, kollektivtrafik), bankverksamhet, finansiell marknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymd, samt produktion, bearbetning och distribution av livsmedel.

För dricksvatten och avloppsvatten finns en egen genomgång av vad kravet innebär i praktiken, se fysiskt skydd av VA-anläggningar.

Lagförslaget har ingen storlekströskel. Det avgörande är om verksamheten tillhandahåller en samhällsviktig tjänst, inte hur många anställda eller hur stor omsättning verksamheten har.

4. Tidslinjen och vad som händer nu

• 17 juli 2026: medlemsstaternas deadline för att peka ut kritiska verksamhetsutövare enligt CER-direktivets artikel 6.1
• 1 augusti 2026: MSB och MCF ska redovisa förberedande föreskriftsarbete till regeringen
• 1 januari 2027: lagen föreslås träda i kraft
• Skyldigheterna föreslås aktiveras tio månader efter formell underrättelse om utpekande

Sammantaget betyder det att köpfönstret för åtgärder löper från hösten 2026 genom 2028. Verksamheter som väntar med analys och upphandling till efter en formell underrättelse föreslås ha tio månader på sig att både besluta och genomföra.

5. Sanktioner

• Föreslagen sanktionsavgift för privata verksamhetsutövare: lägst 5 000 kronor, högst två procent av global årsomsättning eller tio miljoner euro
• Föreslagen sanktionsavgift för offentliga verksamhetsutövare: högst tio miljoner kronor

6. Så hänger CER ihop med NIS2 och kamerabevakningslagen

Cybersäkerhetslagen, som genomför NIS2, är i kraft sedan 15 januari 2026 med Myndigheten för civilt försvar som tillsynsmyndighet. Den omfattar 18 sektorer, däribland avfallshantering, dricksvatten, avloppsvatten, energi, transport, livsmedel och tillverkning. NIS2 kräver dokumenterad riskanalys men mandaterar inte kameror. Förslaget till CER-lag adresserar det fysiska skyddet. Läs mer om cybersäkerhetslagen och NIS2.

I kamerabevakningslagen upphörde tillståndsplikten den 31 mars 2025. Den som kamerabevakar när den utför en uppgift av allmänt intresse ska sedan 1 april 2025 dokumentera intresseavvägningen och föra en förteckning, som även omfattar bevakning som upphört de senaste fem åren. Läs mer i vår guide till kamerabevakningslagen.

7. Vad ett tillfredsställande fysiskt skydd innebär i praktiken

Lagförslaget definierar inte vilka tekniska lösningar som krävs, så det följande är vår tolkning av kravet och inte en myndighetsutsaga. Utgångspunkten i arbetet brukar vara samma kedja som i annan risk- och sårbarhetsanalys: vilka objekt och funktioner är kritiska, vilka vägar in finns till dem, hur upptäcks ett avsteg och hur kan det verifieras och dokumenteras i efterhand.

I den kedjan hamnar skalskydd och perimeterdetektering först. Det handlar om att avvikelser vid staket, grindar, portar och tekniska utrymmen upptäcks tidigt, inte först vid en efterhandsgranskning. Därefter kommer åtkomstkontroll: vem som får passera var, när, och med vilken behörighet, samt möjligheten att dra tillbaka en behörighet omedelbart.

Loggning och händelseverifiering är den del som gör skyddet möjligt att visa upp. En larmhändelse som kan kopplas till ett tidsstämplat underlag, med spårbar åtkomst till materialet, är både snabbare att bedöma operativt och enklare att redovisa vid tillsyn. Driftövervakning hör ihop med detta: för obemannade anläggningar är kunskap om att kameror, sensorer och kommunikationsvägar faktiskt fungerar en förutsättning för att skyddet ska vara verkligt och inte bara dokumenterat.

Sitewatch roll i detta är plattformen som samlar perimeterskydd, accesskontroll och driftövervakning i en gemensam händelse- och loggvy, där ingen säkerhetsdata lämnar EU och drift och lagring sker hos svensk hostingleverantör. Vi gör ingen juridisk bedömning av om er verksamhet omfattas eller om ert skydd är tillfredsställande. Det avgör ni tillsammans med er tillsynsmyndighet och era juridiska rådgivare.

Begreppen i det här avsnittet är definierade i vår ordlista: fysiskt skydd, skalskydd, perimeterdetektering och kritisk verksamhetsutövare.

8. Vanliga frågor