Bankverksamhet
Banker kan identifieras som kritiska enligt CER-lagen, men lagförslagets skyldigheter gäller inte för bankverksamheten. Skälet är att EU:s finansregler, bland annat DORA, redan ställer heltäckande krav på hantering av operativa risker.
Vilka kan omfattas i sektorn
- Kreditinstitut, det vill säga företag som tar emot inlåning eller andra återbetalningspliktiga medel från allmänheten och lämnar krediter för egen räkning
Att verksamheten finns i sektorn räcker inte. Enligt lagförslaget krävs ett beslut om identifiering, och det fattas bara om verksamhetsutövaren tillhandahåller en samhällsviktig tjänst, har kritisk infrastruktur i Sverige och om en incident skulle få en betydande störande effekt (2 kap. 2 §).
Lagens skyldigheter gäller inte för sektorn
För en verksamhetsutövare som har identifierats som kritisk inom bankverksamhet gäller inte lagens skyldigheter att göra riskbedömning, vidta åtgärder för motståndskraft, göra befattningsanalys och bakgrundskontroller eller rapportera incidenter, för den delen av verksamheten. Enligt CER-direktivet finns redan heltäckande EU-krav på finansiella entiteter för att hantera operativa risker och säkerställa driftskontinuitet, bland annat i DORA-förordningen. Regeringen konstaterar att identifieringen i sig inte får några konsekvenser för verksamhetsutövaren.
Undantaget följer av 1 kap. 4 § i lagförslaget och artikel 8 i CER-direktivet. Verksamheten kan ändå identifieras som kritisk och ingå i den nationella riskbedömningen. Har samma verksamhetsutövare identifierats som kritisk även inom en annan sektor gäller lagen fullt ut för den delen av verksamheten.
Typiska anläggningar
- Kontor och kundmottagningar
- Kontanthanteringsutrymmen och valv
- Egna datorhallar och kommunikationsrum
Risker som är typiska för sektorn
- Fysisk åtkomst till datorhallar. Den som når serverrum eller nätutrustning kan orsaka avbrott som påverkar betalningar och kundernas tillgång till sina pengar.
- Larm utanför kontorstid. Kontor och tekniska utrymmen står tomma stora delar av dygnet. Ett larm som ingen verifierar blir antingen en onödig utryckning eller en missad händelse.
- Externa servicepartner. Service på kyla, kraft och fastighet görs ofta av externa. Behörigheter som inte återkallas i tid blir en lucka i skyddet.
Vad som väger tyngst i det fysiska skyddet
- Skalskydd och tydliga zoner. Dokumenterat skalskydd och zoner inne i lokalerna gör det möjligt att visa vem som kan nå vad.
- Passerloggning med identitet. Varje passage till tekniska utrymmen loggas, vilket underlättar uppföljning och revision.
- Kamerabevakning med dokumenterad avvägning. Bevakningen bygger på en dokumenterad avvägning mellan skyddsbehov och integritet.
- Larmrutin dygnet runt. Det är känt vem som tar emot larm, hur det verifieras och vem som beslutar om åtgärd.
Tillsyn
Eftersom lagens skyldigheter inte gäller för sektorn blir det ingen tillsyn enligt CER-lagen över den delen av verksamheten. Tillsynsmyndighet för sektorn enligt cybersäkerhetslagen är i dag: Finansinspektionen (cybersäkerhetsförordningen 2025:1507, 7 §).
Så stödjer Sitewatch ert arbete
Även när CER-lagens skyldigheter inte gäller behöver en bank ett fysiskt skydd som går att visa upp. Sitewatch samlar passersystem, kameror och driftlarm för datorhallar och tekniska utrymmen i ett gränssnitt, med logg över varje händelse. Ingen säkerhetsdata lämnar EU. Drift och lagring sker hos svensk hostingleverantör.
Vanliga frågor
Omfattas banker av CER-lagen?
Banker kan identifieras som kritiska, men lagförslagets skyldigheter gäller inte för bankverksamheten (1 kap. 4 §). Regeringen konstaterar att identifieringen i sig inte får några konsekvenser för verksamhetsutövaren.
Varför identifieras banker om skyldigheterna inte gäller?
Andra sektorer är beroende av finanssektorns tjänster. Därför ska banker kunna identifieras och ingå i den nationella riskbedömningen och strategin, även om direktivets skyldigheter för kritiska entiteter inte gäller dem.
Vad gäller om banken också har annan verksamhet?
Om samma verksamhetsutövare har identifierats som kritisk även inom en annan sektor gäller lagen fullt ut för den delen av verksamheten.
Gör självskattningen
Tolv frågor ger dig en gapanalys, en prioriterad åtgärdslista och en PDF att ta med till nästa möte. Starta verktyget.
Andra sektorer
Läget i oktober 2026: Regeringen lämnade prop. 2025/26:303 till riksdagen i juli 2026 och försvarsutskottet bereder ärendet (betänkande 2026/27:FöU4). Lagen föreslås träda i kraft den 1 januari 2027. Sidan är ett underlag för eget arbete och utgör inte juridisk rådgivning.