Lovforslaget om kritiske enheders modstandsdygtighed (CER-loven) har til formål at implementere Europa-Parlamentets og Rådets direktiv (EU) 2022/5557 af 14. december 2022 (CER-direktivet) i dansk ret. Formålet er at styrke modstandsdygtigheden hos en bred vifte af kritiske enheder mod alle relevante risici, der kan forstyrre leveringen af væsentlige tjenester. Loven dækker sektorer som transport, bankvirksomhed, finansiel markedsinfrastruktur, sundhed, drikkevand, spildevand, digital infrastruktur, offentlig forvaltning, rummet og produktion, tilvirkning og distribution af fødevarer. Energisektoren er undtaget, da den reguleres særskilt.
Loven finder anvendelse på enheder, der er omfattet af de specificerede enhedskategorier i lovens bilag. Der er dog flere vigtige undtagelser:
Loven definerer centrale begreber som kritisk enhed (en offentlig eller privat enhed identificeret efter loven), væsentlig tjeneste (afgørende for vitale samfundsmæssige funktioner, økonomiske aktiviteter, folkesundhed, offentlig sikkerhed eller miljøet), hændelse (begivenhed der forstyrrer eller potentielt forstyrrer en væsentlig tjeneste), modstandsdygtighed (en enheds evne til at forebygge, beskytte mod, reagere på, modstå, afbøde, absorbere, tilpasse sig og genoprette efter en hændelse), risiko og risikovurdering.
Den relevante minister træffer afgørelse om identifikation og afidentifikation af kritiske enheder og opstiller en liste, der skal gennemgås og ajourføres mindst hvert fjerde år. Ved identifikation lægges vægt på den nationale strategi og risikovurdering, om enheden leverer væsentlige tjenester, opererer på dansk territorium, og om en hændelse vil have en betydelig forstyrrende virkning. Kriterier for betydelig forstyrrende virkning inkluderer antal brugere, afhængighed fra andre sektorer, økonomisk/samfundsmæssig indvirkning, markedsandel og geografisk område. Kritiske enheder orienteres om deres forpligtelser inden for én måned efter identifikation, og de fleste forpligtelser træder i kraft ti måneder herefter.
Enheder betragtes som kritiske enheder af særlig europæisk betydning, hvis de er identificeret som kritiske i Danmark, leverer samme eller lignende væsentlige tjenester til eller i seks eller flere EU-medlemsstater, og har modtaget en underretning fra Europa-Kommissionen herom. Disse enheder har særlige forpligtelser, herunder at give rådgivende EU-delegationer adgang til relevante oplysninger, systemer og faciliteter.
Kritiske enheder skal foretage en risikovurdering baseret på den nationale risikovurdering og andre relevante informationskilder. Denne vurdering skal dække alle relevante naturlige og menneskeskabte risici, herunder tværsektorielle og grænseoverskridende afhængigheder. Risikovurderingen skal være foretaget ni måneder efter identifikation og opdateres mindst hvert fjerde år.
Enhederne skal træffe passende og forholdsmæssige tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger for at sikre deres modstandsdygtighed. Dette omfatter foranstaltninger til at forhindre hændelser, sikre fysisk beskyttelse, reagere på og afbøde følgerne af hændelser, sikre genopretning (f.eks. forretningskontinuitet og alternative forsyningskæder), samt passende medarbejdersikkerhedsstyring og bevidstgørelse. Kritiske enheder skal have og anvende en plan for modstandsdygtighed.
Kritiske enheder skal udpege en kontaktperson og meddele dennes kontaktoplysninger til den relevante kompetente myndighed. De skal også underrette den kompetente myndighed om hændelser, der i betydelig grad forstyrrer eller potentielt forstyrrer leveringen af deres væsentlige tjenester. Underretningen skal ske uden unødigt ophold, og medmindre det operationelt ikke er muligt, senest 24 timer efter, at enheden er blevet opmærksom på hændelsen, efterfulgt af en detaljeret rapport inden for en måned. Myndigheden kan orientere offentligheden om en hændelse, hvis det er i offentlighedens interesse.
Loven giver hjemmel til, at vedkommende minister, efter forhandling med justitsministeren, kan fastsætte regler om, på hvilke betingelser kritiske enheder kan få foretaget baggrundskontrol af personer. Dette gælder for personer, der varetager følsomme opgaver, har direkte eller fjernadgang til kritiske lokaler/systemer, eller overvejes ansat i sådanne stillinger. Baggrundskontrollen skal være forholdsmæssig og begrænset til at vurdere en potentiel sikkerhedsrisiko.
Ministeren for samfundssikkerhed og beredskab udpeger de kompetente myndigheder for hver sektor. Disse myndigheder fører tilsyn med kritiske enheders overholdelse af loven. Tilsynsbeføjelser inkluderer at foretage inspektioner på stedet uden retskendelse (mod behørig legitimation), foretage eller kræve audits, samt kræve udlevering af nødvendige oplysninger, data og dokumentation. Den kompetente myndighed kan påbyde en kritisk enhed at træffe nødvendige foranstaltninger for at afhjælpe konstaterede overtrædelser.
Overtrædelse af lovens bestemmelser, herunder manglende underretning, manglende risikovurdering eller modstandsdygtighedsforanstaltninger, manglende udpegning af kontaktperson, manglende hændelsesunderretning, manglende adgang for EU-delegationer, manglende efterkommelse af krav om oplysninger eller påbud, samt hindring af tilsyn, straffes med bøde. Selskaber m.v. (juridiske personer) kan pålægges strafansvar.
Loven træder i kraft den 1. juli 2025. Loven gælder ikke for Færøerne og Grønland, men kan ved kongelig anordning helt eller delvist sættes i kraft for disse områder med de nødvendige tilpasninger.
