CER krav til virksomheder
Bliv klogere på hvordan din virksomhed bedst forbereder sig på det vi ved - og det vi fortsat mangler svar på - om CER.
CER og sikring af kritisk infrastruktur
CER (Critical Entities Resilience) er et nyt EU-direktiv, der stiller skærpede krav til virksomheder inden for kritisk infrastruktur. Direktivet træder i kraft i Danmark den 1. juli 2025 og påvirker en lang række virksomheder og deres leverandører.
Hvad er CER?
Med CER-direktivet skærpes fokus på samfundets fysiske modstandsdygtighed. For virksomheder betyder det, at krav til risikovurderinger, adgangskontrol, beredskabsplaner og leverandørstyring bliver centrale for at leve op til lovgivningen. Men CER handler ikke kun om compliance – det er også en direkte læring fra coronakrisen og skal gøre os bedre forberedt på fremtidens kriser.
På denne side får du:
- Et klart overblik over, hvilke virksomheder og sektorer der bliver omfattet
- Indsigt i de vigtigste krav i CER-direktivet
- Konkrete råd til, hvordan du forbereder din virksomhed – også hvis du “kun” er leverandør
De vigtigste datoer for CER
December 2022
CER vedtages, sammen med NIS2-direktivet, i EU.
Oktober 2024
CER træder i kraft i EU. I Danmark er man dog ikke på plads med rammeværket, og fristen for implementering bliver udskudt til juli 2025.
Juli 2025
1. juli 2025 er den nye dato for implementeringen af CER i Danmark.
Juli 2026
Deadline for udpegning af kritiske enheder. Senest 10 måneder efter udpegningen skal enhederne efterleve direktivet.
Hvilke sektorer er omfattet af CER?
Data- og telekommunikationssektoren
I denne sektor leverer operatører tjenester, der spiller en central rolle for offentlighedens adgang til telefoni, internet og datalagring. Informationsudveksling er blevet en vigtig økonomisk drivkraft og en uundværlig del af hverdagen. Det er bl.a. tjenester og udbydere, der omfatter:Internetudvekslingspunkter og DNS-løsninger
Cloud computing-leverandører
Datacenterudbydere og registratorer for topdomænenavne
Offentlige elektroniske kommunikationstjenester
Fødevare- og vandsektoren
Vand- og fødevaresektoren spiller en vigtig rolle for befolkningens sundhed og ernæringsforsyning. Sektorerne dækker:Fødevareforsyningskæden, herunder: Produktion, forarbejdning, transport, distribution og opbevaring
Drikkevandsforsyning, herunder: Indvinding, behandling, opbevaring og distribution af drikkevand
Håndtering og behandling af spildevand
Energisektoren
Energisektoren er rygraden i vores infrastruktur og spiller en central rolle for det moderne liv og samfundets økonomiske stabilitet. Uden en stabil energiforsyning kan tjenester i andre vigtige sektorer bryde sammen, hvilket kan få alvorlige konsekvenser. Sektoren omfatter:Producenter, udpegede operatører og operatører af ladestationer
Operatører af fjernvarme eller fjernkøling
Raffinaderier og behandlingsanlæg, olielagre og olietransmission
Forsynings- og naturgasvirksomheder, naturgasoperatører og behandlingsanlæg
Operatører inden for brintproduktion, -lagring og –transmission.
Transportsektoren
Transportsektoren er afgørende for mobiliteten af både mennesker og varer. Den omfatter en bred vifte af transportmidler og infrastrukturer, herunder:Logistikvirksomheder
Vejtrafik
Jernbaner
Lufttrafik
Skibsfart
Sundhedssektoren
Sundhedssektoren sikrer befolkningens sundhed, styrker social tryghed og er en del af samfundets kritiske infrastruktur. Den bidrager med innovation, forskning og jobskabelse, håndterer kriser og reducerer ulighed. Sektoren dækker:Hospitaler, klinikker, lægepraksisser og apoteker
Produktion af medicin og medicinsk udstyr
Laboratorier
Finanssektoren
CER fokuserer på at sikre finanssektoren mod fysiske trusler, som naturkatastrofer, terrorangreb eller andre hændelser, der kan forstyrre deres evne til at levere essentielle tjenester. Dermed supplerer CER den digitale sikkerhed, som reguleres gennem DORA.Banker og forsikringsselskaber
Finansielle markedsinfrastrukturer
Investeringsselskaber, kapitalforvaltere samt kreditinstitutter
Så mange virksomheder kan blive omfattet af CER
Der hersker stadig en vis usikkerhed om præcis hvor mange og hvilke virksomheder, der vil blive påvirket af CER-direktivet. Dog begynder forskellige estimater at tegne et klarere billede.
Er din virksomhed forberedt?
Estimat af antallet af berørte virksomheder
-
4000
Direkte omfattet
-
25000
Indirekte omfattet
Hvad betyder forebyggelse i CER-direktivet?
"Virksomheder inden for kritisk infrastruktur har et ansvar for at forebygge hændelser, der kan true deres evne til at levere samfundsvigtige tjenester. Arbejdet med risikovurderinger hos den enkelte virksomhed er derfor kernen i EU’s CER-direktiv."
"De seneste år har tydeligt vist, hvor sårbare Europas kritiske systemer er over for målrettede angreb. Nord Stream-sabotagen, angreb på datakabler i Nordsøen og sabotage mod vandværker i blandt andet Sverige er blot nogle eksempler på, hvordan forsyningsnetværk er mål for både statslige og ikke-statslige aktører,” forklarer Eddie Christoffersen, sikkerhedsrådgiver hos Securitas.
Få vores gratis CER guide og skabelon til risikovurdering
Forebyggelse af driftstop og kriser handler i bund og grund om at forstå, hvor sårbar din virksomhed er – og hvordan du bedst reducerer de risici, der truer jeres daglige drift og medarbejdere.
Men selvom det måske lyder besværligt, behøver I ikke nødvendigvis at bruge konsulenttimer på at komme i gang. Med den rigtige hjælp, kan I nemlig nå rigtig langt selv.
Hos Securitas har vi derfor udviklet en gratis skabelon og en trin-for-trin-guide, som hjælper jer med at danne et overblik over risici – uanset virksomhedens størrelse og branche.
Få de gode råd og download skabelonen
Fysisk sikring af NIS2-omfattede virksomheder
For virksomheder under NIS2 er den fysiske sikkerhed en integreret del af deres samlede cybersikkerhedsstrategi, så både digitale og fysiske risici håndteres effektivt. Virksomheder, der er direkte omfattet af NIS2-direktivet, skal implementere robuste fysiske sikkerhedsforanstaltninger for at beskytte kritiske systemer og data mod uautoriseret adgang, sabotage og andre trusler.
Læs mere om NIS2
Download vores white paper om NIS2- og CER-direktiverne
Få et klart overblik over, hvilke krav de nye direktiver stiller til din sikkerhed. Vi har samlet de vigtigste krav og løsninger, så du nemt kan forstå, hvad der kræves – og hvordan du lever op til dem.
* = obligatoriske felter
Fysisk sikring af it-leverandører til NIS2-omfattede virksomheder
Er du leverandør til kritisk infrastruktur, der er omfattet af NIS2, kan du også være forpligtet til at sikre den fysiske beskyttelse af din it-infrastruktur – herunder serverrum, systemer og data. Afhængigt af din risikoprofil stilles der differentierede krav til sikkerhedsforanstaltninger, hvor virksomheder i risikoprofil 2 eller højere skal sikre, at deres fysiske sikring er proportionel med den risiko, de udgør for kundernes sikkerhed.
Dette kan omfatte:
- Adgangskontrol til serverrum
- Overvågnings- og alarmsystemer
- Sikrede netværksmiljøer, hvor kritiske systemer opbevares.
Hvordan kan Securitas hjælpe dig?
Hos Securitas hjælper vi dig med forstå de komplekse krav, som CER-direktivet stiller, og vi er klar til at hjælpe din virksomhed med at leve op til dem. Vores løsninger og services kan integreres og kombineres, så du får dækket hele dit samlede sikkerhedsbehov.
Vi tilbyder:
- Gratis og uforpligtende rådgivning og analyse: Vores eksperter udfører grundige risikoanalyser, der giver dig et klart billede af, hvor din virksomhed står.
- Tilpassede sikkerhedsløsninger: Vi udvikler og implementerer skræddersyede sikkerhedsløsninger, der adresserer netop din virksomheds behov, så du forbliver compliant.
Er du leverandør til kritisk infrastruktur? Så gælder CER-direktivet også for dig.
Er du leverandør til en virksomhed, der er direkte omfattet af CER, er der en stor sandsynlighed for, at du bliver indirekte omfattet af direktiverne. Det forklarer Morten Regnersgaard, procesudviklingschef i Securitas:
"For de berørte virksomheder bliver det vigtigt at sikre, at alle led i forsyningskæden er ordentligt forberedte og i stand til at opretholde driften i tilfælde af nødsituationer. I fremtiden vil leverandører på tværs af værdikæden derfor skulle leve op til strengere sikkerhedskrav for at kunne fortsætte deres samarbejde med virksomheder inden for kritisk infrastruktur," forklarer Morten og fremhæver, at flere virksomheder allerede nu stiller større krav til sikkerheden hos sine leverandører.
Læs interviewetRelateret indhold
-
Oftest stillede spørgsmål
-
Den 29. april 2025 vedtog Folketinget den danske implementering af EU’s direktiv om kritiske enheders modstandsdygtighed. Loven træder i kraft den 1. juli 2025.
Vedtagelsen markerer dermed startskuddet på den nationale implementering, som ellers blev udskudt i forhold til EU-fristen i oktober 2024.
-
CER pålægger to niveauer af ansvar:
1. Medlemslandene
- Skal lave en national strategi.
- Udpege relevante myndigheder.
- Føre tilsyn og udstede sanktioner ved manglende overholdelse.
2. De udpegede kritiske virksomheder
- Skal lave egne risikovurderinger mindst hvert fjerde år.
- Implementere passende sikkerheds- og beredskabsforanstaltninger.
- Underrette myndigheder om alvorlige hændelser inden for 24 timer.
Særligt vigtige virksomheder, der leverer tjenester til over en tredjedel af EU-landene, vil få EU-koordinering og rådgivning.
-
Først et år senere – i juli 2026 – skal de relevante myndigheder have udpeget de kritiske enheder. Herefter har de udpegede enheder op til 10 måneder til at leve op til kravene i direktivet.
-
Ved at udføre risikoanalyser, implementere beredskabsplaner og fysiske sikkerhedsforanstaltninger samt sikre kontinuerlig træning af dine medarbejdere.
-
Mens direkte omfattede virksomheder er juridisk forpligtede til at efterleve CER-direktivet, afhænger kravene til indirekte omfattede virksomheder ofte af kontraktlige forhold og samarbejde med kritiske enheder.
Begge typer af virksomheder spiller dog en afgørende rolle i at sikre robustheden af samfundets vigtigste funktioner.
-
Virksomheder, der er direkte omfattet, er defineret som kritiske enheder inden for de sektorer og tjenester, som direktivet fokuserer på. Disse sektorer omfatter bl.a. energi, transport, sundhed, vandforsyning, digital infrastruktur og finansielle tjenester. For kritiske enheder gælder følgende:
- De skal leve op til specifikke krav om risikostyring og modstandsdygtighed. Er man direkte omfattet af CER skal virksomheder foretage løbende risikovurderinger for at afdække fysiske sikkerhedsrisici.
- Kritiske enheder er forpligtet til at foretage risikovurderinger og implementere tiltag, der sikrer kontinuitet i deres tjenester. Man kan derfor ikke udlede specifikke fysiske foranstaltninger ud fra en generel vurdering. Risikovurderingen er individuel og danner grundlag for yderligere tiltag, men der vil sandsynligvis være tale om:
- Strengere krav til adgangskontrol for at begrænse og dokumentere adgang til kritiske områder.
- Installation af kameraer og andre relevante sensorer for at sikre løbende overvågning.
- Udarbejdelse af sikkerhedsplaner, herunder bl.a. nødberedskabs- og genopretningsprocedurer.
- Regelmæssige sikkerhedsaudits samt udvikling af en stærk sikkerhedskultur i virksomhederne.
- Krav om leverandørstyring, således at leverandører og samarbejdspartnere til kritiske enheder også opfylder bestemte sikkerhedsstandarder for at beskytte værdikæden.
- Strengere krav til adgangskontrol for at begrænse og dokumentere adgang til kritiske områder.
- De bliver underlagt nationale tilsynsmyndigheders kontrol og sanktioner ved manglende efterlevelse.
- De skal leve op til specifikke krav om risikostyring og modstandsdygtighed. Er man direkte omfattet af CER skal virksomheder foretage løbende risikovurderinger for at afdække fysiske sikkerhedsrisici.
-
For virksomheder, der betragtes som kritisk infrastruktur, vil der være krav om dokumentation af sikkerhedsforanstaltninger, implementering af beredskabsplaner og en aktiv indsats inden for risikostyring. Dette betyder, at ansvaret for virksomhederne udvides væsentligt og at CER både omfatter tekniske og organisatoriske foranstaltninger.
Der er lagt op til, at overtrædelser medfører økonomiske sanktioner mod virksomheden. Derudover kan både bestyrelse og ledelse drages personligt til ansvar, hvis manglende overholdelse medfører skade på samfundet eller tredjepart.
-
NIS2 er et EU-direktiv, der har til formål at sikre et højt fælles cybersikkerhedsniveau i hele Unionen. Det erstatter det tidligere NIS1-direktiv og udvider anvendelsesområdet til flere sektorer og virksomheder.
-
Mens NIS2-direktivet fokuserer på cybersikkerhed og beskyttelse af netværks- og informationssystemer, adresserer CER-direktivet både fysiske og digitale trusler mod kritiske enheder.
-
