Hvem er myndighed for hvad

Styrelsen for Samfundssikkerhed (SAMSIK) koordinerer CER- og NIS2-lovene og udpeger sammen med sektormyndighederne de kritiske enheder. Bekendtgørelse 1679/2025 fordeler ansvaret: Energistyrelsen for energi, Trafikstyrelsen for transport og havne, Søfartsstyrelsen for søfart, Miljøstyrelsen for drikkevand og spildevand, Digitaliseringsstyrelsen for datacentre og cloud, og SAMSIK selv for tele.

Kort fortalt: energianlæg følger energibekendtgørelsen med Energistyrelsen som tilsyn, og alle andre sektorer følger CER-loven med hver sin sektormyndighed. Det er sektormyndigheden, der underretter jer, hvis I udpeges, og som fører tilsyn med, at kravene opfyldes.

De fire regelsæt, der stiller krav

Siden 2025 er kravene til fysisk sikring af kritisk infrastruktur skrevet ind i dansk lov med datoer. Fire regelsæt bærer det meste af ansvaret.

Læs § 38-guiden Læs CER-guiden
Ikon med flueben, der symboliserer CER-loven.

CER-loven

Lov 433/2025 for havne, vand, transport, sundhed og fødevarer. Udpegning i 2026 og fysisk beskyttelse ti måneder efter underretning.

Ikon, der symboliserer energibekendtgørelsen.

Energibekendtgørelsen

BEK 260/2025 for energianlæg i klasse 2 til 5: adgangskontrol fra 1. marts 2026, perimetersikring og detektion fra 1. marts 2027.

Ikon, der symboliserer NIS2-loven.

NIS2-loven

Lov 434/2025 om cybersikkerhed i 18 sektorer. Fysisk sikkerhed gælder serverrum og styresystemer, ikke hele anlæggets perimeter.

Ikon med ur, der symboliserer de supplerende regelsæt.

Telelov, ISPS og droner

Telelovens sikringsplaner for kritiske netkomponenter, ISPS-koden for havnefaciliteter og droneloven fra 2026 supplerer de to hovedlove.

Læs § 38-guiden Læs CER-guiden

De 11 sektorer i CER-direktivet

CER-direktivet (EU 2022/2557) nævner 11 sektorer. I Danmark reguleres energi gennem sin egen beredskabslov, mens de øvrige sektorer følger CER-loven med hver sin sektormyndighed.

Mobil Kooi-kameraenhed på en plads i energiinfrastrukturen hos EQOS Energie

Definitionen

CER-direktivet (EU 2022/2557) og den danske CER-lov beskriver kritisk infrastruktur som et aktiv, en facilitet, udstyr, et netværk eller et system, der er nødvendigt for at levere en væsentlig tjeneste: en tjeneste, som er afgørende for vitale samfundsfunktioner, økonomisk aktivitet, folkesundhed, offentlig sikkerhed eller miljøet (CER-loven § 2). Det afgørende er ikke anlæggets størrelse, men hvad der sker, hvis det falder ud.

En kritisk enhed er den organisation, der driver infrastrukturen og leverer tjenesten: et netselskab, en havn, et vandselskab. Det er enheden, myndighederne identificerer efter lovens § 3, og som får pligterne til risikovurdering, fysisk beskyttelse og hændelsesrapportering.

Eksempler i Danmark

Transformerstationer og 400 kV-ledninger hos Energinet og netselskaberne, gasledninger og gaslagre, vindmølleparker, solcelleparker og batterianlæg over klassegrænserne, vandværker, kildepladser og renseanlæg, havne med ISPS-arealer, jernbane, lufthavne og broer, sygehuse og datacentre. Fælles for dem: et udfald rammer mange, og de fleste af dem bygges, udvides eller sikres lige nu.

Kritisk eller samfundskritisk?

I dansk sprogbrug bruges „samfundskritisk infrastruktur“ og „kritisk infrastruktur“ i flæng. Lovene bruger „kritisk infrastruktur“ og „kritiske enheder“ (CER-loven) og „anlæg i klasse 1 til 5“ (energibekendtgørelsen). Begge dele handler om det samme: anlæg, hvis udfald rammer mange, og som derfor skal kunne modstå sabotage, indbrud, hærværk og ulykker.

Sådan sikrer vi kritiske anlæg Læs § 38-guiden

Hvad kravene betyder for jer, der ejer et anlæg

Tre ting har ændret sig siden 2025: truslen er vurderet højere, staten og de store ejere bruger milliarder på fysisk sikring, og ansvaret har fået navne og frister.

Operatør i Kooi Alarm Center følger overvågningen.

Truslen

PET vurderer den russiske sabotagetrussel som høj og ser konkret planlægning i Danmark (september 2026). Dronebølgen i september 2025 lukkede Københavns Lufthavn i fire timer.

Sådan sikrer vi anlæg
Lithium-ion battery storage

Pengene

Energinet bruger op mod 2 mia. kr. på fysisk sikring af omkring 360 lokationer, og forsvarsaftalen afsætter 2,1 mia. kr. til droner og overvågning af kritisk infrastruktur.

Se energianlæg
A Kooi employee pointing out a security-related feature on a construction site while another employee observes attentively.

Ansvaret

Energianlæg i klasse 4 og 5 skal have en sikringskoordinator, CER-enheder skal have en plan for modstandsdygtighed (§ 6, stk. 2), og myndighederne fører tilsyn med bøde som sanktion (§ 17).

Læs CER-guiden
Book en pladsgennemgang

Ofte stillede spørgsmål om kritisk infrastruktur

Korte svar på de spørgsmål, vi oftest får om begrebet, lovene og ansvaret.

Book en pladsgennemgang

Infrastrukturen er anlægget: stationen, kildepladsen, kajen. Enheden er organisationen, der driver den og leverer tjenesten. CER-loven retter pligterne mod enheden, mens energibekendtgørelsen klassificerer selve anlæggene i klasse 1 til 5 efter effekt og antal kunder.

Ja, når de ligger over klassegrænserne. Energibekendtgørelsen placerer produktionsanlæg i klasse 2 fra 25 MW, og fra klasse 2 gælder kravene om perimetersikring, detektion og alarm senest 1. marts 2027. Energistyrelsen har i 2026 præciseret, at inverterhuse, styring og transformere i solcelleparker skal sikres med industrihegn og detektion på den ydre perimeter.

CER-direktivet (EU 2022/2557) er EU's regler om kritiske enheders modstandsdygtighed. CER-loven (lov nr. 433 af 6. maj 2025) gennemfører direktivet i Danmark og trådte i kraft 1. juli 2025 (§ 18). Den kræver risikovurdering (§ 5), modstandsdygtighedsforanstaltninger med fysisk beskyttelse (§ 6), underretning om hændelser inden 24 timer (§ 8) og regler om baggrundskontrol (§ 9). Læs mere i CER-guiden.

NIS2 handler om cybersikkerhed i net- og informationssystemer og om den fysiske sikkerhed omkring dem, fx serverrum og styresystemer. CER handler om hele enhedens modstandsdygtighed, herunder fysisk beskyttelse af lokaler og anlæg med hegn, perimeterovervågning, detektionsudstyr og adgangskontrol. Mange organisationer er omfattet af begge love.

Vedkommende minister og sektormyndigheden identificerer de kritiske enheder i hver sektor (§ 3) og orienterer dem inden for en måned. Fra orienteringen løber fristerne: ni måneder til risikovurderingen (§ 5, stk. 3) og ti måneder til foranstaltningerne (§ 3, stk. 5). Udpegningerne ventes i 2. halvår 2026.

Sektormyndigheden fører tilsyn og kan give påbud. Overtrædelse af pligterne til risikovurdering, foranstaltninger og underretning straffes med bøde efter CER-lovens § 17, og energibekendtgørelsen kræver dokumenterede kontroller hvert kvartal eller hver måned afhængigt af klassen. Det største tab er dog driften: et anlæg, der falder ud, rammer kunder, forsyning og omdømme.

Book en pladsgennemgang
Overvågningskamera på en solcellepark i skumringen.

Er jeres anlæg omfattet?

Book en pladsgennemgang, så vurderer vi klassen, kravene og perimeteren sammen med jer og sender et risikonotat.

Book en pladsgennemgang