Sektor

Hälso- och sjukvård

Hälso- och sjukvården ska vara öppen och tillgänglig samtidigt som läkemedelsförråd, teknikutrymmen och vissa avdelningar kräver strikt tillträdeskontroll. Samtliga regioner och de flesta kommuner kan omfattas.

Vilka kan omfattas i sektorn

Vårdgivare, där samtliga regioner ingår och de flesta kommuner genom hemsjukvården
EU:s referenslaboratorier
Verksamheter som bedriver forskning och utveckling av läkemedel
Tillverkare av farmaceutiska basprodukter och läkemedel
Tillverkare av medicintekniska produkter som anses kritiska vid ett hot mot folkhälsan
Innehavare av tillstånd för partihandel med läkemedel

Att verksamheten finns i sektorn räcker inte. Enligt lagförslaget krävs ett beslut om identifiering, och det fattas bara om verksamhetsutövaren tillhandahåller en samhällsviktig tjänst, har kritisk infrastruktur i Sverige och om en incident skulle få en betydande störande effekt (2 kap. 2 §).

Vad lagförslaget kräver

Riskbedömning som dokumenteras och uppdateras vid behov och minst vart fjärde år (3 kap. 2 §).
Åtgärder för motståndskraft, bland annat ett tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur, och en plan för motståndskraft (3 kap. 3 §).
Befattningsanalys som uppdateras minst en gång om året, och bakgrundskontroll av de befattningar som analysen pekar ut, förnyad senast efter två år (3 kap. 4-7 §§).
En kontaktpunkt för tillsynsmyndigheten (3 kap. 8 §).
Incidentanmälan senast 24 timmar efter att verksamhetsutövaren fått kännedom om incidenten, och en rapport inom en månad (3 kap. 9 §).

Skyldigheten att göra riskbedömning börjar gälla nio månader, och övriga skyldigheter tio månader, efter att verksamhetsutövaren fått del av beslutet om identifiering (3 kap. 10 §).

Läs mer om lagförslaget

Typiska anläggningar

Sjukhus och vårdcentraler
Läkemedelsförråd och laboratorier
Reservkraft, kyla och medicinska gascentraler

Risker som är typiska för sektorn

Öppna miljöer. Sjukhus är öppna dygnet runt med stora flöden av patienter, besökare och leverantörer. Det gör det lätt att röra sig in i delar som borde vara stängda.
Stöld och manipulation i läkemedelsförråd. Läkemedel med högt värde eller missbrukspotential kräver kontroll av vem som har åtkomst och när.
Avbrott i kraft, kyla och medicinska gaser. Reservkraft, kylanläggningar och gascentraler är förutsättningen för vården. De står ofta i teknikutrymmen som sällan besöks.
Hot och våld mot personal. Hot och våld mot vårdpersonal förekommer, särskilt på akutmottagningar, och behöver finnas med i riskbedömningen.

Vad som väger tyngst i det fysiska skyddet

Zonindelning mellan publika och slutna delar. Entréer och väntrum är öppna, medan förråd, teknikutrymmen och slutna avdelningar har passerkontroll och larm.
Behörighet som kan återkallas centralt. Personal, studenter och inhyrda byts ofta. Behörigheten ska kunna tas bort direkt och varje passage loggas.
Driftlarm för förråd och kylkedja. Läkemedel och prover kräver rätt temperatur. Driftlarmet går till samma larmkedja som övriga larm.
Dokumenterad intresseavvägning. Regioner och kommuner som bedriver kamerabevakning när de utför en uppgift av allmänt intresse ska dokumentera intresseavvägningen och föra förteckning över bevakningen.

Tillsyn

Vilken myndighet som får tillsyn enligt CER-lagen bestäms i en förordning som ännu inte är beslutad. Utredningen (SOU 2024:64) föreslog samma tillsynsmyndigheter som för cybersäkerhetslagen. Tillsynsmyndighet för sektorn enligt cybersäkerhetslagen är i dag: Inspektionen för vård och omsorg (vårdgivare) och Läkemedelsverket (övriga verksamheter i sektorn) (cybersäkerhetsförordningen 2025:1507, 7 §). Enligt förslaget blir Myndigheten för civilt försvar gemensam kontaktpunkt för CER i Sverige.

Så stödjer Sitewatch ert arbete

Sitewatch samlar passersystem, kameror, driftlarm och larmhantering för vårdens tekniska utrymmen och förråd i ett gränssnitt. Behörigheter hanteras centralt och varje händelse loggas, vilket gör det enklare att visa hur skyddet fungerar. Ingen säkerhetsdata lämnar EU. Drift och lagring sker hos svensk hostingleverantör.

Vanliga frågor

Kan en kommun omfattas av CER-lagen genom hemsjukvården?

Ja. Regeringen konstaterar att de flesta kommuner bedriver hemsjukvård och därmed verksamhet inom hälso- och sjukvård. Kommunen kan alltså identifieras som kritisk och räknas då som offentlig verksamhetsutövare.

Vilken sanktionsavgift kan en region få?

För offentliga verksamhetsutövare föreslås sanktionsavgiften vara lägst 5 000 kronor och högst tio miljoner kronor (5 kap. 4 §).

Omfattas läkemedelsföretag?

Tillverkare av läkemedel och farmaceutiska basprodukter, verksamheter som forskar fram läkemedel och innehavare av partihandelstillstånd finns i bilagan till CER-direktivet. De kan identifieras som kritiska om övriga krav är uppfyllda.

Gör självskattningen

Tolv frågor ger dig en gapanalys, en prioriterad åtgärdslista och en PDF att ta med till nästa möte. Starta verktyget.

Andra sektorer

Läget i oktober 2026: Regeringen lämnade prop. 2025/26:303 till riksdagen i juli 2026 och försvarsutskottet bereder ärendet (betänkande 2026/27:FöU4). Lagen föreslås träda i kraft den 1 januari 2027. Sidan är ett underlag för eget arbete och utgör inte juridisk rådgivning.