2026-11-03 09:00News
Ny lag för kritiska samhällsfunktioner till årsskiftet
Om tidplanen håller kommer en ny lag börja gälla vid årsskiftet som ska öka motståndskraften hos kritiska verksamhetsutövare.
Den nya lagen inför EUs CER (Critical Entities Resilience)-direktiv 2022/2557/EU som kräver att medlemsstaterna ska vidta åtgärder för att säkerställa sådana tjänster som är nödvändiga för att upprätthålla viktiga samhällsfunktioner eller central ekonomisk verksamhet.
Vem berörs?
Lagen berör de som utövar kritiska verksamheter. Det är operatörer och systemansvariga företag och myndigheter i sektorerna energi, vatten och avlopp, kommunikation (flyg, sjöfart, väg och järnväg samt digital infrastruktur), kreditinstitut (banker) och operatörer på finans-marknads-infrastruktur samt vårdgivare, laboratorier och andra kritiska leverantörer inom hälso- och sjukvårdssektorn och de som levererar IT-tjänster. Det är alltså samma verksamhetsutövare som finns med på den första listan i EU-direktivet NIS 2 om cybersäkerhet. Det direktivet infördes i Sverige genom cybersäkerhetslagen (2025:1506), som trädde i kraft den 15 januari 2026. Läs mer om den här.
Vad handlar det om?
Det gäller att ha förmåga att förebygga, skydda mot, reagera på, stå emot, begränsa, absorbera, anpassa sig till och återhämta sig från händelser som medför eller kan medföra en betydande störning. Oavsett om störningen eller avbrottet har föranletts av till exempel naturhändelser, terroristattacker eller pandemier, eller av något annat allvarligt.
Riskbedömning spelar en central roll. Det gäller för medlemsstaterna att bedöma vilka verksamheter som är kritiska och det gäller såklart också för de utpekade kritiska verksamheterna att ta fram underlag för sin planering och för sina egna åtgärder. Sådana riskbedömningar ska göras regelbundet, för att få med ändringar i verksamhet och hotbild. Den nya lagen innehåller krav på incidentrapportering och ett liknande krav finns också med i cybersäkerhetslagen.
Standarder uppmuntras
Både NIS 2 och CER anger att medlemsstaterna, utan att föreskriva eller gynna användning av en viss typ av teknik, ska uppmuntra användningen av europeiska och internationella standarder och tekniska specifikationer. Med CER gäller det standarder som är relevanta för åtgärder för säkerhet och motståndskraft som är tillämpliga på kritiska verksamheter och med NIS 2 standarder av relevans för säkerheten i nätverks- och informationssystem. Det gäller både tekniska och administrativa åtgärder. Med europeiska standarder menas sådana som antagits av CEN, CENELEC eller ETSI och med internationella standarder sådana som antagits av IEC eller ISO.
Flera standarder som är relevanta för CER har tagits fram i samarbeten inom IEC, med svenskt deltagande genom SEK Svensk Elstandard. En av dem är SS-EN IEC 31010. Den ansluter till standarden SS-ISO 31000 för riskhantering och beskriver hur man planerar och väljer metod för riskbedömning, hur man leder en riskbedömning och hur man går vidare och tillämpar resultatet. Dessutom innehåller den en genomgång, nästan som en recension, av olika metoder för att bedöma risker.
Motståndskraft och återhämtning
En annan användbar standard är SS-EN IEC 62853 som kan användas för att öka motståndskraften – hos system och organisationer som är öppna för påverkan utifrån, eller som ändrar sina egenskaper med tiden. Den bygger på fyra infallsvinklar: hur man hanterar förändringar, hur man skapar ansvarstagande, hur man svarar på feltillstånd och hur man bygger konsensus.
För en kritisk samhällsfunktion är det också värt att diskutera vilken återhämtningstid som faktiskt är acceptabel. Därför är det viktigt att överväga både skydd och reparationsbarhet i ett tidigt skede och där spelar standarder en viktig roll, eftersom de utgör en gemensam grund för planering, konstruktion, installation och drift av infrastrukturen. Genom standardiserade principer för dokumentation, kabelförläggning och installationer kan man åstadkomma lösningar som är lättare att förstå, underhålla och reparera.
Riktlinjer för hur man bygger upp och hanterar IT-säkerheten i ett system för industriell processtyrning eller teknisk infrastruktur – eller, om man så vill, ett SCADA-system – finns en serie standarder och rapporter i serien IEC 62443. De delar av IEC 62443 som är standarder har också antagits som europeisk och svensk standard och i IEC TC 65 pågår fortlöpande arbete med att skriva nya delar och att revidera de gamla.
About SEK Svensk Elstandard
SEK Svensk Elstandard är en ideell organisation som drivs utan vinstintresse och som är utsedd av regeringen att ansvara för all standardisering inom det elektrotekniska området i Sverige. Alla svenska företag, myndigheter, organisationer, högskolor och universitet kan delta i standardiseringsarbetet som till största del bedrivs genom internationella och europeiska samarbeten. SEK är svensk nationalkommitté i IEC, International Electrotechnical Commission. IEC och det internationella standardiseringsarbetet är stommen i SEKs verksamhet och standarder från IEC ligger till grund för de flesta europeiska och svenska standarder inom det elektrotekniska området.
Contacts
SEK Svensk Elstandard
- press@elstandard.se
- 08-444 14 00
