Finansiell marknadsinfrastruktur
Handelsplatser och centrala motparter kan identifieras som kritiska enligt CER-lagen, men lagförslagets skyldigheter gäller inte för den verksamheten. Motståndskraften styrs i stället av EU:s finansregler, bland annat DORA.
Vilka kan omfattas i sektorn
- Operatörer av handelsplatser, det vill säga reglerade marknader och andra handelsplattformar
- Centrala motparter (CCP) som clearar transaktioner
Att verksamheten finns i sektorn räcker inte. Enligt lagförslaget krävs ett beslut om identifiering, och det fattas bara om verksamhetsutövaren tillhandahåller en samhällsviktig tjänst, har kritisk infrastruktur i Sverige och om en incident skulle få en betydande störande effekt (2 kap. 2 §).
Lagens skyldigheter gäller inte för sektorn
För en verksamhetsutövare som har identifierats som kritisk inom finansmarknadsinfrastruktur gäller inte lagens skyldigheter att göra riskbedömning, vidta åtgärder för motståndskraft, göra befattningsanalys och bakgrundskontroller eller rapportera incidenter, för den delen av verksamheten. Enligt CER-direktivet finns redan heltäckande EU-krav på finansiella entiteter för att hantera operativa risker och säkerställa driftskontinuitet, bland annat i DORA-förordningen.
Undantaget följer av 1 kap. 4 § i lagförslaget och artikel 8 i CER-direktivet. Verksamheten kan ändå identifieras som kritisk och ingå i den nationella riskbedömningen. Har samma verksamhetsutövare identifierats som kritisk även inom en annan sektor gäller lagen fullt ut för den delen av verksamheten.
Typiska anläggningar
- Primära och sekundära datorhallar
- Nätnoder och kommunikationsrum
- Driftcentraler
Risker som är typiska för sektorn
- Avbrott i datorhallar. Handel och clearing är beroende av att tekniska anläggningar fungerar. Ett intrång eller en vattenläcka i en datorhall kan stoppa en marknad.
- Ojämn skyddsnivå mellan anläggningar. Primär och sekundär anläggning behöver samma skyddsnivå. Annars blir reservanläggningen den svaga länken.
- Insiderrisk. Personer med åtkomst till kritiska utrymmen kan orsaka stor skada. Därför behöver åtkomsten begränsas och loggas.
- Beroende av kraft och kyla. Datorhallar kräver stabil kraft och kyla. Ett avbrott i reservkraft eller kylning som inte larmar i tid kan få samma följder som ett angrepp.
Vad som väger tyngst i det fysiska skyddet
- Skalskydd i flera lager kring datorhallar. Varje lager fördröjer och larmar, så att ett intrång upptäcks innan det når utrustningen.
- Driftövervakning av temperatur, fukt och vattenläckage. Klimatlarm i samma larmkedja som säkerhetslarm ger en samlad bild av läget.
- Central behörighetsåterkallelse. Behörigheter tas bort direkt vid personalförändringar och avslutade uppdrag.
- Bevarat underlag. Loggar och underlag för bevakningen bevaras så att händelser kan utredas i efterhand.
Tillsyn
Eftersom lagens skyldigheter inte gäller för sektorn blir det ingen tillsyn enligt CER-lagen över den delen av verksamheten. Tillsynsmyndighet för sektorn enligt cybersäkerhetslagen är i dag: Finansinspektionen (cybersäkerhetsförordningen 2025:1507, 7 §).
Så stödjer Sitewatch ert arbete
Sitewatch övervakar datorhallar och kommunikationsrum med passerloggning, kameror och driftlarm för temperatur, fukt och vattenläckage i samma gränssnitt, och larm skickas med video. Ingen säkerhetsdata lämnar EU. Drift och lagring sker hos svensk hostingleverantör.
Vanliga frågor
Gäller CER-lagen för börser och clearingorganisationer?
Operatörer av handelsplatser och centrala motparter kan identifieras som kritiska, men lagförslagets skyldigheter gäller inte för den verksamheten (1 kap. 4 §).
Vilka krav gäller i stället?
Enligt CER-direktivet finns redan heltäckande EU-krav på finansiella entiteter för att hantera operativa risker, bland annat i DORA-förordningen. Finansinspektionen är tillsynsmyndighet för sektorn enligt cybersäkerhetslagen.
Behöver reservanläggningen samma fysiska skydd?
CER-lagen ställer inte det kravet för sektorn. Men om reservanläggningen har svagare skydd än den primära blir den i praktiken den svaga länken i driftskontinuiteten.
Ska handelsplatser och centrala motparter anmäla incidenter enligt CER-lagen?
Nej. Lagförslagets skyldighet att anmäla incidenter gäller inte för den delen av verksamheten (1 kap. 4 §). För allvarliga it-relaterade incidenter har finansiella entiteter i stället rapporteringsskyldighet enligt DORA-förordningen.
Vad är skillnaden mot sektorn bankverksamhet?
Bankverksamhet avser kreditinstitut. Finansmarknadsinfrastruktur avser operatörer av handelsplatser och centrala motparter. Båda sektorerna är undantagna från lagens skyldigheter av samma skäl (1 kap. 4 §).
Gör självskattningen
Tolv frågor ger dig en gapanalys, en prioriterad åtgärdslista och en PDF att ta med till nästa möte. Starta verktyget.
Andra sektorer
Läget i oktober 2026: Regeringen lämnade prop. 2025/26:303 till riksdagen i juli 2026 och försvarsutskottet bereder ärendet (betänkande 2026/27:FöU4). Lagen föreslås träda i kraft den 1 januari 2027. Sidan är ett underlag för eget arbete och utgör inte juridisk rådgivning.