Sektor

Dricksvatten

Dricksvattenförsörjningen bygger på många obemannade anläggningar spridda över stora ytor. Obehörigt tillträde till en vattentäkt eller reservoar kan få omedelbara konsekvenser för många människor.

Vilka kan omfattas i sektorn

Leverantörer och distributörer av dricksvatten, i praktiken kommuner och kommunala bolag som driver vattenverk och ledningsnät
Undantag gäller för distributörer där dricksvatten bara är en mindre del av en verksamhet som distribuerar andra varor

Att verksamheten finns i sektorn räcker inte. Enligt lagförslaget krävs ett beslut om identifiering, och det fattas bara om verksamhetsutövaren tillhandahåller en samhällsviktig tjänst, har kritisk infrastruktur i Sverige och om en incident skulle få en betydande störande effekt (2 kap. 2 §).

Vad lagförslaget kräver

Riskbedömning som dokumenteras och uppdateras vid behov och minst vart fjärde år (3 kap. 2 §).
Åtgärder för motståndskraft, bland annat ett tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur, och en plan för motståndskraft (3 kap. 3 §).
Befattningsanalys som uppdateras minst en gång om året, och bakgrundskontroll av de befattningar som analysen pekar ut, förnyad senast efter två år (3 kap. 4-7 §§).
En kontaktpunkt för tillsynsmyndigheten (3 kap. 8 §).
Incidentanmälan senast 24 timmar efter att verksamhetsutövaren fått kännedom om incidenten, och en rapport inom en månad (3 kap. 9 §).

Skyldigheten att göra riskbedömning börjar gälla nio månader, och övriga skyldigheter tio månader, efter att verksamhetsutövaren fått del av beslutet om identifiering (3 kap. 10 §).

Läs mer om lagförslaget

Typiska anläggningar

Vattenverk och råvattenintag
Reservoarer och tryckstegringsstationer
Brunnsområden och vattenskyddsområden

Risker som är typiska för sektorn

Sabotage vid vattentäkt och reservoar. Den som tar sig in på ett vattenverk eller vid en reservoar kan påverka vattnet för en hel kommun. Intrånget måste upptäckas när det sker.
Obemannade stationer. Tryckstegringsstationer och brunnsområden besöks sällan. Utan detektering kan ett intrång pågå länge.
Avvikelser som ser ut som tekniska fel. Ett tryckfall eller en nivåavvikelse kan vara ett tekniskt fel men också följden av ett ingrepp. Därför behöver drift- och säkerhetslarm hänga ihop.

Vad som väger tyngst i det fysiska skyddet

Automatisk detektering vid obemannade anläggningar. Detektering vid grind, dörr och lucka ger larm med video innan någon hunnit fram till vattnet.
Dokumenterat skalskydd. Staket, grindar och luckor dokumenteras per anläggning i en förteckning som kan visas vid tillsyn.
Larmverifiering innan utryckning. Med långa avstånd mellan anläggningarna är obefogade utryckningar dyra. Video på larmet gör att rätt larm prioriteras.
Driftövervakning av nivå, temperatur och läckage. Driftlarm och säkerhetslarm i samma larmkedja gör att avvikelser bedöms i sitt sammanhang.

Tillsyn

Vilken myndighet som får tillsyn enligt CER-lagen bestäms i en förordning som ännu inte är beslutad. Utredningen (SOU 2024:64) föreslog samma tillsynsmyndigheter som för cybersäkerhetslagen. Tillsynsmyndighet för sektorn enligt cybersäkerhetslagen är i dag: Livsmedelsverket (cybersäkerhetsförordningen 2025:1507, 7 §). Enligt förslaget blir Myndigheten för civilt försvar gemensam kontaktpunkt för CER i Sverige.

Så stödjer Sitewatch ert arbete

Sitewatch kopplar ihop detektering, kameror, passersystem och driftgivare på vattenverk, reservoarer och stationer, så att alla larm hamnar i samma gränssnitt. Larm skickas med video och kan ses live. Plattformen levereras och installeras av certifierade partner.

Vanliga frågor

Omfattas kommunala VA-bolag av CER-lagen?

De kan identifieras som kritiska. Ett kommunalt bolag räknas då som enskild verksamhetsutövare, med samma sanktionsnivåer som privata företag. Driver kommunen verksamheten i egen regi räknas den som offentlig verksamhetsutövare.

Vem har tillsyn över dricksvatten?

Tillsynsmyndighet enligt CER-lagen bestäms i en förordning som ännu inte är beslutad. Enligt cybersäkerhetsförordningen är Livsmedelsverket tillsynsmyndighet för dricksvatten enligt cybersäkerhetslagen.

Räcker det med kameror vid vattenverket?

Kameror visar vad som har hänt, men lagförslaget kräver också förmåga att förhindra incidenter och att reagera på dem. Det förutsätter detektering, verifiering och en känd larmrutin, inte bara inspelning.

Gör självskattningen

Tolv frågor ger dig en gapanalys, en prioriterad åtgärdslista och en PDF att ta med till nästa möte. Starta verktyget.

Andra sektorer

Läget i oktober 2026: Regeringen lämnade prop. 2025/26:303 till riksdagen i juli 2026 och försvarsutskottet bereder ärendet (betänkande 2026/27:FöU4). Lagen föreslås träda i kraft den 1 januari 2027. Sidan är ett underlag för eget arbete och utgör inte juridisk rådgivning.