CER-loven træder i kraft 1. juli 2025 og omsætter EU’s regler om robusthed hos kritiske enheder til dansk ret. Offentlige og private aktører, der leverer samfundsvigtige tjenester i bl.a. energi, vand, transport, fødevarer og digital infrastruktur, pålægges at styrke fysisk og driftsmæssig modstandsdygtighed for at forebygge afbrydelser og sikre kontinuitet. Kravene anvendes proportionelt efter risiko og betydning.

Krav og håndhævelse

Kritiske enheder skal udføre risikoanalyse, udarbejde en robusthedsplan og etablere procedurer for hændelser og driftsforstyrrelser. Der stilles krav om fysisk beskyttelse af anlæg, krisestyring, forretningskontinuitet og relevant medarbejderscreening. Enhederne skal udpege en forbindelsesofficer til myndighederne og anmelde væsentlige hændelser, der forstyrrer eller kan forstyrre tjenester, som udgangspunkt inden for 24 timer.

Manglende efterlevelse kan føre til administrativ håndhævelse, bindende påbud og bøder, og juridiske personer kan ifalde straffeansvar. Solid dokumentation og ledelsesforankret compliance er derfor afgørende.

Udpegning og proces

Ressortministrene udpeger kritiske enheder ud fra bl.a. levering af essentielle tjenester, infrastrukturens placering i Danmark og den potentielle forstyrrelsesvirkning målt på berørte brugere, sektorafhængigheder og tilgængelige alternativer. Enheder med tjenester i flere medlemsstater kan få status som af særlig europæisk betydning med skærpet tilsyn. Loven gælder ikke for energivirksomheder, der er omfattet af lov om styrket beredskab i energisektoren.

Udpegede enheder forventes varslet senest juli 2026. Inden ni måneder efter meddelelse skal der foreligge en fuld risikovurdering, og inden ti måneder skal proportionelle tekniske, sikkerhedsmæssige og organisatoriske tiltag være implementeret og beskrevet i en robusthedsplan. Sektorspecifik regulering kan følge. Tidlig planlægning anbefales.