Ny lag om motståndskraft för kritiska verksamhetsutövare

Regeringen har i en lagrådsremiss, som överlämnades den 21 maj 2026, föreslagit en ny lag om motståndskraft hos kritiska verksamhetsutövare. Förslaget är ett led i genomförandet av CER-direktivet och innebär att både offentliga och privata aktörer som tillhandahåller samhällsviktiga tjänster kan omfattas av nya krav på riskhantering, incidentrapportering, personalsäkerhet och tillsyn. Lagändringarna föreslås träda i kraft den 1 januari 2027.

Vilka kan omfattas av den nya lagen?

Den föreslagna lagen gäller för verksamhetsutövare som identifieras som kritiska av behöriga myndigheter. Till skillnad från cybersäkerhetslagen (som implementerar NIS 2) ska verksamhetsutövaren alltså inte själv bedöma om den omfattas av lagen och om anmälning krävs. Myndigheten ska i sin bedömning utgå från följande kriterier:

• att verksamhetsutövaren tillhandahåller en samhällsviktig tjänst (d.v.s. en tjänst som är avgörande för att upprätthålla centrala samhällsfunktioner, ekonomisk verksamhet, folkhälsa, allmän säkerhet eller miljön och som omfattas av bilagan till CER-direktivet),
• att verksamhetsutövaren bedriver verksamhet i Sverige och har kritisk infrastruktur här, och
• att en incident skulle kunna få en betydande störande effekt för den egna tjänsten eller för andra samhällsviktiga tjänster som är beroende av verksamheten.

De sektorer som omfattas är energi, transporter, bankverksamhet, finansmarknadsinfrastruktur, hälso- och sjukvård, dricksvatten, avloppsvatten, digital infrastruktur, offentlig förvaltning, rymden samt produktion, bearbetning och distribution av livsmedel. CER-direktivet har därmed ett något snävare sektorsomfång än NIS 2.

Tillämpningsområdet avgränsas även på andra sätt. Om det i lag eller annan författning finns bestämmelser som innehåller krav på åtgärder för motståndskraft med jämförbar verkan, tillsyn och sanktioner, ska de bestämmelserna gälla. I förhållande till exempelvis cybersäkerhetslagen skulle dess bestämmelser om säkerhetsåtgärder för att skydda nätverks- och informationssystem ha företräde framför den nya föreslagna lagen i den mån regleringarna överlappar varandra. Övriga krav i den nya lagen om motståndskraft för kritiska verksamhetsutövare som avser annat än det som regleras i cybersäkerhetslagen, såsom skydd för lokaler, bakgrundskontroller och författningsanalys, kommer alltså fortsatt att behöva efterlevas.

Det föreslås även ett undantag från samtliga skyldigheter i lagen för delar av en verksamhet som identifierats som kritisk inom sektorerna bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur. Motivering är att dessa sektorer redan är tillräckligt reglerade i annan lagstiftning, t.ex. DORA. Detta innebär inte att sådana verksamheter helt faller utanför den nya lagen, men för att undvika dubbelarbete och administration omfattas inte verksamheterna av några skyldigheter i den nya lagen. Med hänsyn till hur viktiga de tjänster är som tillhandahålls av entiteter inom sektorerna föreslås dock att dessa ändå ska identifieras som kritiska entiteter. Medlemsstaternas riskbedömningar och de stödåtgärder som anges i CER-direktivet ska därmed även omfatta dessa sektorer. Motsvarande undantag gäller även för viss säkerhetskänslig verksamhet.

Vad innebär regleringen i praktiken?

En verksamhetsutövare som har identifierats som kritisk (och som inte är undantagen kraven enligt ovan) ska göra en dokumenterad riskbedömning senast nio månader efter att den har fått del av beslutet. Riskbedömningen ska omfatta alla relevanta risker som skulle kunna leda till en incident och därefter uppdateras vid behov och minst vart fjärde år.

Därutöver ska verksamhetsutövaren vidta lämpliga och proportionella tekniska, säkerhetsmässiga och organisatoriska åtgärder för att stärka sin motståndskraft. Det handlar bland annat om att förebygga incidenter, säkerställa ett tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur, kunna reagera på och återhämta sig från incidenter samt höja kunskapen hos berörd personal. Verksamhetsutövaren ska också upprätta en plan för motståndskraft och utse en kontaktpunkt för tillsynsmyndigheten.

Förslaget innehåller även krav kopplade till personalsäkerhet. Kritiska verksamhetsutövare ska analysera vilka befattningar som kan orsaka mer än ringa störning i verksamheten och, för sådana befattningar, säkerställa att berörda personer genomgår bakgrundskontroll. Detta omfattar identitetskontroll och registerkontroll, och förnyad kontroll ska göras när det finns skäl för det och senast inom två år.

Incidentrapportering blir också en central del av regelverket. Incidenter som medför eller kan medföra en betydande störning i tillhandahållandet av en samhällsviktig tjänst ska anmälas så snart det kan ske och senast inom 24 timmar från det att verksamhetsutövaren fått kännedom om incidenten. Senast en månad därefter ska en mer fullständig incidentrapport lämnas in.

Tillsyn, ingripanden och sanktionsavgifter

Förslaget innebär att utpekade tillsynsmyndigheter ska få långtgående befogenheter att granska efterlevnaden, inklusive att få tillträde till lokaler. Om en verksamhetsutövare åsidosätter sina skyldigheter ska tillsynsmyndigheten kunna ingripa genom föreläggande, anmärkning eller sanktionsavgift.

Sanktionsavgifterna kan bli kännbara. För enskilda verksamhetsutövare föreslås avgiften kunna uppgå till det högsta av 2 procent av den globala årsomsättningen under närmast föregående räkenskapsår eller ett belopp i kronor motsvarande 10 000 000 euro. För offentliga verksamhetsutövare föreslås ett tak om 10 000 000 kronor.

Särskilt om förhållandet till cybersäkerhetslagen (NIS 2)

En viktig del av lagrådsremissen är den nya lagens kopplingen till cybersäkerhetslagen. Lagrådsremissen innehåller ett förslag på ändring i cybersäkerhetslagen som innebär att den lagen även ska gälla för en verksamhetsutövare som har identifierats som kritisk enligt den nya lagen om motståndskraft för kritiska verksamhetsutövare. Den som identifieras som kritisk verksamhetsutövare enligt den nya lagen ska därmed också räknas som väsentlig verksamhetsutövare enligt cybersäkerhetslagen och omfattas därför av båda lagstiftningarna. Samtidigt gäller, som vi tidigare beskrivit i den här artikeln, att de krav i cybersäkerhetslagen som överlappar med skyldigheter enligt den nya lagen om motståndskraft hos kritiska verksamhetsutövare har företräde.   

I praktiken krävs ett samordnat arbete med fysisk säkerhet, kontinuitet, incidenthantering och cybersäkerhet där den nya lagen reglerar verksamhetens förmåga att på ett bredare plan upprätthålla samhällsviktiga tjänster vid störningar och kräver därför en riskbedömning som fångar fler typer av hot och beroenden än rena cyberrisker, till exempel fysisk säkerhet, kontinuitet, personalsäkerhet (såsom bakgrundskontroller), naturhändelser, antagonistiska hot och beroenden av andra sektorer. I praktiken kompletterar cybersäkerhetslagen och dess föreskrifter de delar i arbetet med motståndskraft som gäller säkerheten i nätverks- och informationssystem och de processer som behövs för att hantera cyberincidenter.

Vad bör verksamheter göra nu?

Även om det återstår att se vilka verksamhetsutövare som faktiskt kommer att identifieras som kritiska finns det anledning att redan nu börja förbereda sig. Verksamheter inom berörda sektorer bör se över om de tillhandahåller samhällsviktiga tjänster och i övrigt kan komma att omfattas av den nya lagen. I så fall är det en god idé att som en förberedande åtgärd också se över hur befintliga riskanalyser och kontinuitetsplaner ser ut, om incidenthanteringen kan möta de föreslagna tidsfristerna och om nuvarande processer för personalsäkerhet är tillräckliga.