CER-loven: fysisk sikring af kritiske enheder

Vedkommende minister træffer afgørelse om identifikation efter § 3 ud fra den nationale strategi og risikovurdering, og listen gennemgås mindst hvert fjerde år. EU-fristen for identifikation er 17. juli 2026, og Styrelsen for Samfundssikkerhed placerer de danske udpegninger i 2. halvår 2026. Enheden orienteres inden for en måned (§ 3, stk. 5).

En tjeneste, der er afgørende for opretholdelsen af vitale samfundsmæssige funktioner, økonomiske aktiviteter, folkesundhed, offentlig sikkerhed eller miljøet (§ 2, nr. 8). Kritisk infrastruktur er de aktiver, faciliteter, udstyr, netværk og systemer, der er nødvendige for at levere den (§ 2, nr. 4).

Enheden skal sikre tilstrækkelig fysisk beskyttelse af sine lokaler og sin kritiske infrastruktur under behørig hensyntagen til f.eks. hegn, barrierer, værktøjer og rutiner til overvågning af perimetre, detektionsudstyr og adgangskontrol (§ 6, stk. 1, nr. 2). Foranstaltningerne skal være passende og forholdsmæssige i forhold til risikovurderingen og beskrives i planen for modstandsdygtighed (§ 6, stk. 2).

Loven nævner hegn, barrierer, perimeterovervågning, detektionsudstyr og adgangskontrol som eksempler og kræver, at foranstaltningerne svarer til risikoen. På ubemandede kildepladser, oplagspladser og kajarealer vil et hegn uden detektion sjældent kunne forsvares i risikovurderingen, fordi ingen opdager, at det brydes. Detektion med verificeret alarm og reaktion er det, der gør foranstaltningen dokumenterbar.

Ni måneder efter orienteringen om udpegningen (§ 5, stk. 3). Den skal bygge på den nationale risikovurdering, dække naturlige og menneskeskabte risici og afhængigheder til og fra andre sektorer, og den skal opdateres mindst hvert fjerde år.

Hændelser, der i betydelig grad forstyrrer eller kan forstyrre leveringen af den væsentlige tjeneste (§ 8). Underretningen skal ske uden unødigt ophold og senest 24 timer efter, at I er blevet opmærksomme på hændelsen, og myndigheden kan bede om en detaljeret rapport inden en måned. En log med tidspunkt, billeder og handling fra alarmcenteret gør underretningen konkret.

Ministeren fastsætter regler for, hvornår kritiske enheder kan få foretaget baggrundskontrol af personer, der varetager følsomme opgaver, har adgang til lokaler, oplysninger eller kontrolsystemer, eller overvejes ansat i sådanne stillinger (§ 9). Procedurerne skal indgå i medarbejdersikkerhedsstyringen efter § 6, stk. 1, nr. 5.

Nej, ikke i det omfang anlægget er omfattet af lov om styrket beredskab i energisektoren (§ 1, stk. 5). Energianlæg følger i stedet energibekendtgørelsen med fristen 1. marts 2027 for perimetersikring, detektion og alarm. Læs § 38-guiden.

CER-loven gælder ikke forhold, der er omfattet af NIS 2-loven (§ 1, stk. 2). NIS2 handler om cybersikkerhed i net- og informationssystemer, CER om hele enhedens modstandsdygtighed, herunder den fysiske beskyttelse af lokaler og anlæg. Bankvæsen, finansiel markedsinfrastruktur og digital infrastruktur er undtaget fra §§ 4 til 9 (§ 1, stk. 6).

Myndigheden fører tilsyn og kan give påbud. Overtrædelse af pligterne til risikovurdering, foranstaltninger, kontaktperson og underretning straffes med bøde, også for selskaber (§ 17). Den største risiko er dog driften: en forstyrrelse af tjenesten rammer brugere, forsyning og omdømme.