Generellt om den nya lagen
Regeringen överlämnade i juli 2026 en proposition med förslag till hur det så kallade CER-direktivet (”Critical Entities Resilience Directive”) ska genomföras i svensk rätt. Det föreslås att CER införlivas genom en ny lag, lagen om motståndskraft hos kritiska verksamhetsutövare. Lagen föreslås träda i kraft den 1 januari 2027.
Den nya lagen ska tillämpas på verksamhetsutövare som tillhandahåller samhällsviktiga tjänster inom vissa utpekade sektorer och som identifierats som kritiska av relevanta tillsynsmyndigheter. För att en verksamhetsutövare ska identifieras som kritisk ska tre kriterier vara uppfyllda:
- verksamhetsutövaren ska tillhandahålla en eller flera samhällsviktiga tjänster inom någon av sektorerna som finns i bilagan till CER (där hälso- och sjukvård är en av de uppräknade sektorerna, mer information nedan).
- verksamhetsutövaren ska bedriva verksamhet i och ha en kritisk infrastruktur belägen i Sverige och
- en incident skulle få en betydande störande effekt för verksamhetsutövarens tillhandahållande av samhällsviktig tjänst.
EU-kommissionen har antagit en icke-uttömmande förteckning över samhällsviktiga tjänster inom alla sektorer som omfattas av direktivet.
Av CER följer att behörig myndighet i varje medlemsstat ska göra en nationell riskbedömning där det redogörs för relevanta risker för naturolyckor och risker orsakade av människan, olyckor, naturkatastrofer, hot mot folkhälsan och hybridhot eller andra antagonistiska hot. I Sverige är behörig myndighet för genomförande av riskbedömningen Myndigheten för civilt försvar (MCF). Därtill ställer CER krav på att varje medlemsstat ska anta en nationell strategi för att stärka kritiska entiteters motståndskraft. Sveriges strategi för 2026–2030 med tillhörande handlingsplan publicerades av regeringen i februari 2026, Nationell strategi för motståndskraft i samhällsviktig verksamhet 2026–2030 – Regeringen.se. MCF har inte publicerat den nationella riskbedömningen ännu. Den nationella riskbedömningen och strategin ska tillsammans ligga till grund för tillsynsmyndigheternas arbete med att identifiera kritiska verksamhetsutövare.
Kritisk verksamhetsutövare
Tillsynsmyndigheterna kommer att identifiera och upprätta en förteckning över de kritiska verksamhetsutövare som verkar inom de utpekade sektorerna. Till skillnad från cybersäkerhetslagen där verksamhetsutövare i stor utsträckning själva bedömer om de omfattas och registrerar sig är identifiering enligt CER alltså en myndighetsstyrd process. Den relevanta tillsynsmyndigheten avgör i det enskilda fallet om en verksamhetsutövare ska identifieras som kritisk (men det kan noteras att beslutet går att överklaga till allmän förvaltningsdomstol). Inom en månad efter identifiering av en kritisk verksamhetsutövare ska tillsynsmyndigheten säkerställa att verksamhetsutövarna underrättas om att de har identifierats.
Tillsynsansvaret inom sektorn hälso- och sjukvård är uppdelat. Inspektionen för vård och omsorg (IVO) är tillsynsmyndighet för vårdgivare, medan Läkemedelsverket är tillsynsmyndighet för hälso- och sjukvårdssektorn i övrigt. Inom hälso- och sjukvårdssektorn ska följande typer av kritiska verksamhetsutövare omfattas:
- vårdgivare;
- EU-referenslaboratorier;
- entiteter som bedriver forskning och utveckling avseende läkemedel;
- entiteter som tillverkar farmaceutiska basprodukter och läkemedel;
- entiteter som tillverkar medicintekniska produkter som betraktas som kritiska vid ett hot mot folkhälsan; samt
- entiteter med tillstånd att bedriva partihandel med läkemedel.
Det innebär att läkemedelstillverkare, kontraktstillverkare, medicinteknikbolag, läkemedelsdistributörer och liknande verksamheter sannolikt kan komma att omfattas av den nya lagen, givet att verksamheten även uppfyller ovannämnda nödvändiga kriterier (dvs. att verksamheten bedrivs i Sverige och att verksamhetsutövaren har kritisk infrastruktur belägen i Sverige samt att en incident skulle få en betydande störande effekt för verksamhetsutövarens tillhandahållande av samhällsviktig tjänst).
Den som identifierats som kritisk verksamhetsutövare av relevant tillsynsmyndighet ska bl.a. nio månader efter att den fått del av beslutet om identifiering göra en riskbedömning och tio månader efter den fått del av beslutet om identifiering vidta tekniska, säkerhetsmässiga och organisatoriska åtgärder för att säkerställa sin motståndskraft samt rapportera eventuella incidenter som medför eller kan medföra en betydande störning i tillhandahållandet av den samhällsviktiga tjänsten till den behöriga myndigheten (en första rapport ska lämnas inom 24 timmar).
En kritisk verksamhetsutövare omfattas också per automatik av kraven i cybersäkerhetslagen. För en kritisk verksamhetsutövare som tillhandahåller en samhällsviktig tjänst till eller i minst sex medlemsstater inom EU föreslås särskilda krav.
Texten är sammanställd av advokatbyrån Mannheimer Swartling.
