Regulatorisk kontext
CER-direktivet
CER står för Critical Entities Resilience. EU antog direktivet 2022. I Sverige har regeringen lagt fram ett förslag till lag om motståndskraft hos kritiska verksamhetsutövare. Riksdagen behandlar fortfarande förslaget, som har den 1 januari 2027 som föreslaget ikraftträdandedatum. För aktörer som senare identifieras som kritiska kan regleringen medföra direkta skyldigheter. För andra är CER en referens för arbetet med beredskap, beroenden och kontinuitet.
Vad CER faktiskt handlar om
CER-direktivet kräver att medlemsstaterna identifierar kritiska verksamhetsutövare bland offentliga och privata aktörer som tillhandahåller samhällsviktiga tjänster. De identifierade aktörerna ska arbeta med åtgärder som stärker deras förmåga att förebygga, motstå, hantera och återhämta sig från störningar som annars kan få betydande effekt på samhället.
I Sverige används ofta begreppen samhällsviktig verksamhet och kritiska verksamhetsutövare i stället för enbart EU:s originalterminologi. Det gör frågan mer praktiskt relevant för svenska verksamheter som behöver förstå både sin samhällsroll och sina mest kritiska beroenden.
Utgår från samhällsviktig verksamhet
I svensk kontext beskrivs CER utifrån samhällsviktig verksamhet: verksamhet, tjänster eller infrastruktur som behövs för samhällets grundläggande behov, värden eller säkerhet.
Svensk reglering bygger på utpekande
Alla samhällsviktiga aktörer omfattas inte automatiskt. Enligt regeringens lagförslag ska tillsynsmyndigheter identifiera vilka verksamhetsutövare som blir kritiska verksamhetsutövare.
Fokus på kontinuitet och motståndskraft
Tyngdpunkten ligger på risker, beroenden, kontinuitet, incidenthantering och åtgärder som gör att viktiga tjänster kan fungera även vid större störningar.
Sektorer som omfattas av CER
I svensk myndighetsinformation lyfts särskilt dessa områden fram. Samtidigt är CER ett minimidirektiv, vilket innebär att nationell reglering och identifiering avgör exakt vilka verksamheter som omfattas.
Hälso- och sjukvård
Sjukhus, vårdcentraler, äldreboenden och privata vårdgivare – verksamheter där driftstörningar snabbt påverkar människors hälsa och trygghet.
Energi
Elproduktion, elnät, fjärrvärme och andra energirelaterade verksamheter med höga krav på kontinuitet och tillgänglighet.
Transport
Kollektivtrafik, hamnar, flygplatser, logistik och annan transportinfrastruktur som samhället är beroende av i vardagen.
Bank- och finans
Banker, betalningslösningar och finansiell infrastruktur där tillgänglighet och förtroende är avgörande – även vid störning.
Digital infrastruktur
Datacenter, kommunikationsnät, molntjänster och andra digitala funktioner som utgör grunden för dagens samhälle.
Vatten och avlopp
Dricksvattenförsörjning, avloppsrening och VA-verksamheter där avbrott snabbt får stora konsekvenser.
Offentlig förvaltning
Kommuner, regioner och myndigheter med ansvar för samhällsviktig service och samordning vid kris och störning.
Livsmedelsförsörjning
Produktion, lager, distribution och handel med livsmedel – från grossister till dagligvaruhandel.
Andra verksamheter
Andra aktörer med samhällsviktiga funktioner och särskilda krav på robusthet, kontinuitet och beredskap.
Vad direktivet innebär i praktiken
Enligt regeringens förslag ska tillsynsmyndigheter identifiera vilka verksamhetsutövare som är kritiska. För en identifierad aktör ska riskbedömningen vara klar inom nio månader från beslutet. Övriga skyldigheter börjar gälla efter tio månader. Detta förutsätter att riksdagen antar lagen.
Identifiering av kritiska verksamhetsutövare
Enligt regeringens lagförslag ska ansvariga tillsynsmyndigheter besluta vilka verksamhetsutövare som är kritiska. Att finnas inom en berörd sektor räcker alltså inte i sig för att omfattas av de direkta skyldigheterna.
Bedömning av beroenden och störningseffekter
En kritisk verksamhetsutövare ska enligt lagförslaget bedöma vilka risker och beroenden som kan störa den samhällsviktiga tjänsten. Riskbedömningen ska sedan ligga till grund för proportionerliga åtgärder för motståndskraft.
Stärka kontinuitet och återhämtningsförmåga
Åtgärderna behöver vara praktiska och verksamhetsnära: reservrutiner, alternativa arbetssätt, prioriteringar, ansvar och resurser som går att använda under belastning.
Samordna med övrigt säkerhetsarbete
Beredskapsarbetet sker inte isolerat i en verksamhet. För många företag behöver arbetet hänga ihop med informationssäkerhet, cybersäkerhet, övning, incidentrapportering och uppföljning.
CER som referens för mätning av beredskap
Även om inte alla företag ska behandlas som en samhällskritisk verksamhetsutövare, så ger CER-direktivet en viktig referensram för hur beredskap bör bedömas.
När beredskapsförmåga mäts och bedöms blir den mer relevant när den utgår från en samhällsviktig kontext snarare än allmänna policyformuleringar.
Mätningen bör utgå från vilka tjänster som måste fungera, inte bara vilka dokument som finns.
Resultat blir mer användbara när beroenden, konsekvenser och prioriteringar synliggörs.
Genom att mäta enligt samma struktur kan både direkt berörda aktörer och andra som vill arbeta mer systematiskt med kontinuitet och robusthet få ett gemensamt ramverk.
En viktig precisering
CER är relevant för många verksamheter, men inte för alla. Den här sidan är informativ och ska inte tolkas som ett ställningstagande om att en viss aktör omfattas av lagkrav. Det avgörs i svensk reglering, tillsyn och identifiering.
Läs mer om modellenTidslinje för CER-direktivet i Sverige
Beslutade milstolpar, pågående behandling och prognoser visas med olika status. Föreslagna och preliminära datum kan ändras.
Senast faktagranskad: .
14 december 2022
CER-direktivet antas
Europaparlamentet och rådet antar CER-direktivet. Direktivet träder i kraft den 16 januari 2023.
27 februari 2026
Nationell strategi publiceras
Regeringen publicerar den nationella strategin för motståndskraft i samhällsviktig verksamhet 2026–2030 med en tillhörande handlingsplan.
12 mars 2026
MCF får ett förberedande uppdrag
Regeringen ger Myndigheten för civilt försvar i uppdrag att förbereda föreskrifter om bland annat riskbedömning, motståndskraft och incidentrapportering.
14 juli 2026
Riksdagen behandlar lagförslaget
Proposition 2025/26:303 har lämnats till riksdagen och bereds i försvarsutskottet. Motionstiden löper till den 13 oktober 2026. Något riksdagsbeslut är ännu inte fattat.
1 januari 2027
Föreslaget ikraftträdande
Regeringen föreslår att den nya lagen och övriga lagändringar ska träda i kraft detta datum. Datumet är inte beslutat så länge riksdagens behandling pågår.
Kvartal 1 2027
Föreskrifter väntas
MCF:s aktuella prognos är att föreskrifter om riskbedömning, åtgärder för motståndskraft, bakgrundskontroller och incidentanmälan kommer under årets första kvartal.
Sommaren eller hösten 2027
Rapporteringstjänst väntas öppna
MCF bedömer preliminärt att en incidentrapporteringstjänst för kritiska verksamhetsutövare öppnar under denna period.
9–10 månader efter beslutet
Skyldigheter börjar gälla för den utpekade aktören
Enligt propositionen ska riskbedömningen vara klar efter nio månader. Övriga skyldigheter, bland annat åtgärder för motståndskraft och incidentrapportering, börjar gälla efter tio månader.
Vanliga frågor
Svenska resurser och vidare läsning
Sidan faktagranskades den 2 september 2026 mot dessa svenska och europeiska primärkällor.
Riksdagen: Proposition 2025/26:303
Aktuell ärendestatus och regeringens förslag till svensk lag om motståndskraft hos kritiska verksamhetsutövare.
Regeringen: Nationell strategi 2026–2030
Regeringens inriktning och handlingsplan för motståndskraft i samhällsviktig verksamhet.
Regeringsbeslut Fö2026/00501
MCF:s uppdrag att förbereda föreskrifter om riskbedömning, motståndskraft och incidentrapportering.
MCF: Tidslinje för införandet
Myndighetens uppdaterade prognos för föreskrifter och incidentrapporteringstjänst.
EUR-Lex: CER-direktivet
Den officiella svenska texten till direktiv (EU) 2022/2557 med beslutade tidsfrister och skyldigheter.
SFS 2025:1506: Cybersäkerhetslag
Den svenska lag som genomför NIS2 och som gäller parallellt med CER för vissa verksamheter.