CER-direktivet

CER-direktivet (EU 2022/2557) skal gøre kritiske enheder modstandsdygtige over for fysiske hændelser som sabotage, naturkatastrofer og nedbrud. I Danmark er det gennemført i CER-loven, der trådte i kraft 1. juli 2025. Her er sektorerne, kravene, fristerne og forholdet til NIS2.

Tilbage til ordbog

Hvad er CER-direktivet?

CER-direktivet (Critical Entities Resilience, direktiv (EU) 2022/2557) er EU's regler om kritiske enheders modstandsdygtighed. Det pålægger offentlige og private virksomheder, som myndighederne har identificeret som kritiske enheder, at forebygge, modstå og komme sig efter hændelser, der kan forstyrre en væsentlig tjeneste, for eksempel el, drikkevand, sundhed eller transport. I Danmark er direktivet gennemført i CER-loven (lov nr. 433 af 6. maj 2025 om kritiske enheders modstandsdygtighed), som trådte i kraft 1. juli 2025.

Hvor NIS2 handler om cybersikkerhed i net- og informationssystemer, handler CER om den fysiske og organisatoriske side: hegn og adgangskontrol, krisestyring, forretningskontinuitet, personalesikkerhed og alternative forsyningskæder. Direktivet erstattede det tidligere direktiv 2008/114/EF om europæisk kritisk infrastruktur.

CER adskiller sig fra de fleste compliance-regler ved, at I ikke selv kan vurdere jer ind under loven. Det er vedkommende minister, der træffer afgørelse om, hvilke enheder der er kritiske (CER-loven § 3). Indtil I har modtaget en sådan afgørelse, gælder kravene ikke for jer.

Hvem er omfattet af CER-loven?

Loven gælder for enheder i de sektorer og enhedskategorier, der står i lovens bilag. Ved identifikationen lægger myndigheden vægt på, om enheden leverer en væsentlig tjeneste, om den har sin kritiske infrastruktur i Danmark, og om en hændelse hos den vil have betydelig forstyrrende virkning. Det vurderes blandt andet ud fra antal brugere, andre sektorers afhængighed, markedsandel, geografisk udbredelse og om der findes alternativer. Læs mere om, hvad der gør en virksomhed til en kritisk enhed.

CER-direktivet dækker 11 sektorer. Hver sektor har en kompetent myndighed, der identificerer enhederne og fører tilsyn, jf. bekendtgørelse nr. 1679 af 15. december 2025:

Sektor	Eksempler på enheder	Kompetent myndighed
1. Energi	El, fjernvarme og fjernkøling, olie, gas, brint	Energistyrelsen (sektoren er primært gennemført i lov om styrket beredskab i energisektoren)
2. Transport	Luftfart, jernbane, havne, rederier, vejtransport, offentlig transport	Trafikstyrelsen, Søfartsstyrelsen og Styrelsen for Samfundssikkerhed
3. Bankvirksomhed	Kreditinstitutter	Finanstilsynet
4. Finansiel markedsinfrastruktur	Markedspladser, centrale modparter	Finanstilsynet
5. Sundhed	Sundhedstjenesteydere, EU-referencelaboratorier, lægemiddelforskning	Sundhedsstyrelsen og Lægemiddelstyrelsen
6. Drikkevand	Leverandører og distributører af drikkevand	Miljøstyrelsen
7. Spildevand	Indsamling og behandling af spildevand	Miljøstyrelsen
8. Digital infrastruktur	Cloud, datacentre, DNS, telenet, tillidstjenester	Digitaliseringsstyrelsen, Styrelsen for Samfundssikkerhed og Finanstilsynet
9. Offentlig forvaltning	Enheder under den centrale forvaltning	Styrelsen for Samfundssikkerhed
10. Rummet	Jordbaseret infrastruktur for rumbaserede tjenester	Uddannelses- og Forskningsstyrelsen samt Klima-, Energi- og Forsyningsministeriet
11. Fødevarer	Logistik, engrosdistribution og industriel produktion i stor skala	Fødevarestyrelsen

To danske særregler er værd at kende. For det første gælder lovens krav i §§ 4-9 og 14-16 ikke for kritiske enheder inden for bankvirksomhed, finansiel markedsinfrastruktur og digital infrastruktur (CER-loven § 1, stk. 6, der svarer til direktivets artikel 8). De sektorer er dækket af andre regler, herunder NIS2. For det andet er energisektoren i praksis reguleret af en særskilt lov, lov om styrket beredskab i energisektoren, og CER-loven gælder ikke, i det omfang enheder er omfattet af den.

Hvad kræver CER-loven af kritiske enheder?

Når en enhed er identificeret som kritisk, får den inden for en måned besked fra myndigheden. Derfra løber fristerne for seks krav.

Risikovurdering (§ 5). Senest 9 måneder efter underretningen skal enheden have vurderet alle relevante naturlige og menneskeskabte risici, der kan forstyrre dens væsentlige tjenester. Vurderingen bygger på den nationale risikovurdering og skal tage højde for afhængigheder til og fra andre sektorer. Den opdateres efter behov og mindst hvert fjerde år. Se mere under risikovurdering efter CER.
Modstandsdygtighedsforanstaltninger (§ 6). Passende og forholdsmæssige tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger, der skal forebygge hændelser, give fysisk beskyttelse af lokaler og kritisk infrastruktur, sikre reaktion og krisestyring, sikre genopretning og forretningskontinuitet, styre medarbejdersikkerheden og øge bevidstheden hos personalet gennem kurser og øvelser.
Plan for modstandsdygtighed (§ 6, stk. 2). Foranstaltningerne skal beskrives i en plan, som enheden har og anvender.
Kontaktperson (§ 7). Enheden udpeger en kontaktperson og giver myndigheden besked, hvis kontaktoplysningerne ændres.
Hændelsesunderretning (§ 8). Hændelser, der i betydelig grad forstyrrer eller kan forstyrre leveringen af væsentlige tjenester, skal anmeldes uden unødigt ophold og senest 24 timer efter, at enheden er blevet opmærksom på dem, medmindre det operationelt ikke er muligt. På anmodning skal en detaljeret rapport følge senest en måned efter hændelsen. Underretningen sker digitalt via Virk.dk. Læs mere om notifikationspligten under CER.
Baggrundskontrol (§ 9). Kritiske enheder kan i begrundede tilfælde få myndigheden til at baggrundskontrollere personer med følsomme opgaver eller adgang til lokaler, oplysninger og kontrolsystemer. De nærmere regler fastsættes ved bekendtgørelse.

Kravene i §§ 6-9 gælder fra 10 måneder efter underretningen. Den kompetente myndighed kan foretage inspektioner på stedet uden retskendelse, kræve audit og dokumentation og udstede påbud. Overtrædelser straffes med bøde, og virksomheder kan ifalde strafansvar som juridiske personer (CER-loven §§ 14-17).

Leverer en kritisk enhed væsentlige tjenester til eller i seks eller flere EU-lande, skal den give myndigheden besked. Kommissionen kan så anse den som en kritisk enhed af særlig europæisk betydning, og den skal give rådgivende EU-delegationer adgang til oplysninger, systemer og faciliteter (§§ 4 og 16).

Tidsplan for CER-direktivet og CER-loven

Dato	Hvad sker der
14. december 2022	CER-direktivet vedtages i EU
17. oktober 2024	Frist for at gennemføre direktivet i national ret. Reglerne skal anvendes fra 18. oktober 2024, hvor direktiv 2008/114/EF ophæves
6. maj 2025	CER-loven (lov nr. 433) udstedes efter vedtagelse i Folketinget 29. april 2025
1. juli 2025	CER-loven træder i kraft
19. december 2025	Bekendtgørelsen om udpegning af kompetente myndigheder træder i kraft
17. januar 2026	Frist for national CER-strategi og medlemsstatsrisikovurdering
17. juli 2026	EU-frist for, at medlemsstaterne identificerer de kritiske enheder
Andet halvår 2026	De danske kompetente myndigheder identificerer og partshører potentielle kritiske enheder (Styrelsen for Samfundssikkerheds tidsplan)
Senest 1 måned efter afgørelsen	Enheden underrettes om identifikationen og sine forpligtelser
9 måneder efter underretningen	Enhedens egen risikovurdering skal være færdig
10 måneder efter underretningen	Kravene om foranstaltninger, plan, kontaktperson, baggrundskontrol og hændelsesunderretning gælder

CER og NIS2: hvad er forskellen?

De to direktiver hænger tæt sammen og skal gennemføres koordineret. CER-direktivet gælder ikke for forhold, der er dækket af NIS2 (artikel 1, stk. 2), og den danske CER-lov siger det samme i § 1, stk. 2. Koblingen går også den anden vej. Enheder, der er identificeret som kritiske efter CER-loven, anses uanset størrelse for væsentlige enheder efter NIS 2-loven § 4, stk. 3. Bliver I udpeget under CER, skal I altså også leve op til NIS2's krav til cybersikkerhed, ledelsesansvar og hændelsesrapportering.

	CER	NIS2
Fokus	Fysisk og organisatorisk modstandsdygtighed over for alle typer hændelser	Cybersikkerhed i net- og informationssystemer
Dansk lov	CER-loven, lov nr. 433 af 6. maj 2025	NIS 2-loven, lov nr. 434 af 6. maj 2025
Hvem er omfattet	Kun enheder, som myndighederne har identificeret som kritiske	Enheder i bestemte sektorer over en vis størrelse, som selv skal vurdere, om de er omfattet
Hændelsesunderretning	Senest 24 timer, detaljeret rapport på anmodning inden for en måned	Tidlig varsling inden for 24 timer, hændelsesunderretning inden for 72 timer, endelig rapport inden for en måned
Sammenhæng	Gælder ikke forhold, der er dækket af NIS2	CER-kritiske enheder er altid væsentlige enheder

Har en kritisk enhed allerede foranstaltninger efter NIS 2-loven for sine net- og informationssystemer, skal den ikke lave dem igen under CER. Den skal stadig opfylde de CER-krav, der rækker ud over NIS2, typisk fysisk sikring, personalesikkerhed og kontinuitet. Vil I vide mere om cybersikkerhedsdelen, så læs vores NIS2-vejledning.

Sådan forbereder I jer på CER

Find ud af, om I kan være i spil. Hold jeres aktiviteter op mod sektorerne og enhedskategorierne i lovens bilag. Leverer I en tjeneste, som mange brugere eller andre sektorer afhænger af, og findes der få alternativer, bør I forvente kontakt fra den kompetente myndighed.
Kortlæg jeres væsentlige tjenester og afhængigheder. Hvilke tjenester leverer I, hvilke anlæg, systemer og leverandører afhænger de af, og hvem afhænger af jer?
Begynd på risikovurderingen. Ni måneder går hurtigt. Brug en metode, der dækker både naturlige og menneskeskabte risici, og som kan bygge videre på den nationale risikovurdering, når I modtager den fra myndigheden.
Saml foranstaltningerne i én plan. Fysisk sikring, krisestyring, beredskabsplan, kontinuitet og personalesikkerhed bør hænge sammen i den plan for modstandsdygtighed, som loven kræver.
Byg hændelsesprocessen nu. Fastlæg, hvem der vurderer en hændelse, hvem der anmelder den via Virk.dk, og hvordan I når fristen på 24 timer. Gør processen fælles med NIS2-rapporteringen, så I ikke har to spor.
Udpeg en kontaktperson og et ejerskab i ledelsen. Myndigheden skal have én indgang, og ledelsen skal kunne dokumentere, at kravene er fulgt.

Med .legals Enterprise Risk Management kan I samle risikovurderinger, foranstaltninger og handlingsplaner på tværs af CER, NIS2 og andre regelsæt ét sted, så dokumentationen er klar, når myndigheden spørger.

Ofte stillede spørgsmål om CER-direktivet

Hvad er CER-direktivet?

CER-direktivet er EU's direktiv 2022/2557 om kritiske enheders modstandsdygtighed. Det kræver, at virksomheder og myndigheder, der er identificeret som kritiske enheder, kan forebygge, modstå og komme sig efter hændelser, der forstyrrer en væsentlig tjeneste. I Danmark er direktivet gennemført i CER-loven, som trådte i kraft 1. juli 2025.

Hvad hedder den danske CER-lov?

Den hedder lov om kritiske enheders modstandsdygtighed, i daglig tale CER-loven. Det er lov nr. 433 af 6. maj 2025, og den hører under Ministeriet for Samfundssikkerhed og Beredskab. Energisektoren er dog primært reguleret i en særskilt lov om styrket beredskab i energisektoren.

Hvordan ved vi, om vi er omfattet af CER-loven?

I er kun omfattet, hvis den kompetente myndighed for jeres sektor har truffet afgørelse om, at I er en kritisk enhed. Afgørelsen bygger på blandt andet antallet af brugere, andre sektorers afhængighed af jeres tjeneste, markedsandel og om der findes alternativer. I får besked senest en måned efter afgørelsen, og indtil da gælder kravene ikke.

Hvornår skal kritiske enheder være klar?

EU-fristen for at identificere kritiske enheder var 17. juli 2026, og ifølge Styrelsen for Samfundssikkerhed sker de danske identifikationer i andet halvår 2026. Fra underretningen har enheden 9 måneder til at lave sin risikovurdering og 10 måneder, før kravene om foranstaltninger, kontaktperson, baggrundskontrol og hændelsesunderretning gælder.

Hvor hurtigt skal en hændelse anmeldes under CER?

Uden unødigt ophold og senest 24 timer efter, at enheden er blevet opmærksom på hændelsen, medmindre det operationelt ikke er muligt. Myndigheden kan bede om en detaljeret rapport senest en måned efter hændelsen. Anmeldelsen sker digitalt via Virk.dk.

Hvad er forskellen på CER og NIS2?

NIS2 handler om cybersikkerhed i net- og informationssystemer, mens CER handler om fysisk og organisatorisk modstandsdygtighed over for alle typer hændelser. Under NIS2 skal virksomheder selv vurdere, om de er omfattet, mens CER kun gælder enheder, som myndighederne har udpeget. En enhed, der er identificeret som kritisk under CER-loven, er altid en væsentlig enhed efter NIS 2-loven.

Gælder CER-loven for banker og digital infrastruktur?

Enheder i bankvirksomhed, finansiel markedsinfrastruktur og digital infrastruktur kan godt blive identificeret som kritiske. Men lovens krav om risikovurdering, foranstaltninger, hændelsesunderretning og tilsyn gælder ikke for dem, fordi de er dækket af andre regler, herunder NIS2.

Hvad sker der, hvis en kritisk enhed ikke overholder CER-loven?

Den kompetente myndighed kan foretage inspektioner uden retskendelse, kræve audit og dokumentation og udstede påbud om at rette op. Overtrædelse af kravene straffes med bøde, og virksomheder kan straffes som juridiske personer.

Har du fortsat spørgsmål?

Spørg Johannes direkte, han giver de fleste af vores demoer personligt

Book ham her

+400 virksomheder bruger .legal

CER-direktivet

Indholdsfortegnelse

Hvad er CER-direktivet?

Hvem er omfattet af CER-loven?

Hvad kræver CER-loven af kritiske enheder?

Tidsplan for CER-direktivet og CER-loven

CER og NIS2: hvad er forskellen?

Sådan forbereder I jer på CER