CER-direktivet och den nya lagen om motståndskraft
CER-direktivet handlar om fysisk och organisatorisk motståndskraft — inte om cybersäkerhet. Det svenska genomförandet ligger i proposition 2025/26:303 och föreslås träda i kraft den 1 januari 2027. Kravet gäller förmåga, och lagen säger inte hur förmågan ska bevisas.
Var lagstiftningen står nu
En ny lag för ökad motståndskraft hos kritiska verksamhetsutövare, lämnad 14 juli 2026.
Enligt propositionen.
Betydligt bredare än vad många räknar med.
De elva sektorerna är energi, transport, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymden samt produktion, bearbetning och distribution av livsmedel.
Skillnaden mot cybersäkerhetslagen
De två regelverken förväxlas ofta, och en organisation kan omfattas av båda samtidigt utan att det innebär dubbelarbete — om arbetet läggs upp rätt från början.
| Cybersäkerhetslagen | Nya lagen om motståndskraft | |
|---|---|---|
| Bakgrund | NIS2-direktivet | CER-direktivet |
| Handlar om | Nätverk och informationssystem | Verksamhetens motståndskraft i stort |
| Hot som avses | I huvudsak cyberhot | Alla slags störningar, även fysiska |
| Status | I kraft sedan 15 januari 2026 | Föreslagen från 1 januari 2027 |
Kravet gäller förmåga, inte dokumentation
Kritiska verksamhetsutövare ska enligt propositionen stärka sin förmåga att förebygga, stå emot och begränsa konsekvenserna av störningar i leveransen av samhällsviktiga tjänster. De ska också rapportera incidenter som påverkar eller kan påverka leveransen, och omfattas av tillsyn.
Det är en annan sorts krav än ett dokumentationskrav. En pärm med planer uppfyller det inte. Det som prövas är om verksamheten faktiskt fortsätter leverera när något går sönder — och det går bara att visa genom att ha prövat det.
ISO 22301 säger vad lagen inte säger: hur förmågan ska byggas och bevisas. Standarden kräver ett övningsprogram, inte enstaka övningstillfällen, och en utvärdering av dokumentation och förmåga. Den är ett rimligt riktmärke även för den som inte tänker certifiera sig.
Vad som är rimligt att göra före årsskiftet
Avgör om ni omfattas
Sektortillhörighet och om ni levererar en samhällsviktig tjänst. Många offentliga verksamheter omfattas utan att ha räknat med det.
Identifiera tjänsterna
Vilka leveranser är det som inte får utebli, och vad hänger de på i flera led?
Mät hur länge ni håller
Konsekvensanalys per tjänst. Tiderna sätts av verksamheten, inte av it.
Pröva en gång
Ett funktionstest eller en övning ger mer än ytterligare ett dokument.
Underlaget ni tar fram för CER är i huvudsak samma underlag som kontinuitetsplanering kräver. Görs det en gång, görs det för båda.
Lagen är föreslagen, inte beslutad. Kontrollera det slutliga innehållet mot riksdagens beslut innan ni bygger rutiner på enskilda formuleringar. Riktningen — krav på förmåga, incidentrapportering och tillsyn — är däremot fastlagd i direktivet och kommer inte att ändras.
Omfattas ni — och vad krävs i så fall?
Lagen är inte i kraft än. Det är den bästa tiden att ta reda på var ni står. Ett första samtal tar trettio minuter och kostar ingenting.
Boka ett kostnadsfritt samtal