CER 2027 – kritisk verksamhet, 9-månadersriskbedömning och 24h-incident | Word/PDF/Excel

Kan er verksamhet identifieras som kritisk enligt CER-direktivet – och behöver ni dokumentera fysisk motståndskraft, en riskbedömning och beredskap för incidentanmälan? Detta specialistpaket hjälper kommunala bolag, samhällsviktiga verksamheter, infrastrukturägare och större privata leverantörer att förbereda en strukturerad CER-process med identifieringsbevis, tidslinje, tvärsektoriella risker, skyddsåtgärder och incidentrapportering.

Rättslig status 13 november 2026: Sveriges proposition 2025/26:303 föreslår en ny lag om motståndskraft hos kritiska verksamhetsutövare med planerat ikraftträdande 1 januari 2027. Riksdagens betänkande 2026/27:FöU4 är ännu under beredning. Produkten är därför ett förberedelsepaket, inte en blankett enligt redan beslutad svensk CER-lag eller ett myndighetsgodkännande.

För vilka verksamheter?

Förberedelseunderlag för verksamheter inom exempelvis energi, transport, hälso- och sjukvård, dricksvatten, avloppsvatten, livsmedel, digital infrastruktur, bank och finansmarknadsinfrastruktur samt berörda offentliga verksamheter. Det är inte verksamhetens storlek eller enbart att den omfattas av NIS2 som avgör CER-skyldigheten. **Det krävs en formell identifiering och underrättelse enligt den tillämpliga nationella ordningen.** Alla sektorer och delsektorer har inte identiska rättsliga skyldigheter; kontrollera aktuella undantag och sektorsregler.

De åtta filtyperna – konkret arbetsnytta

Excel – nio flikar och åtta avvikelseindikatorer

Översikt, Identifiering, Risker, Beroenden, Åtgärder, Incidenter, Rapportering, Rättsstatus och Läs mig. Kontrollera registrerade verksamheter, ej verifierad CER-identifiering, öppna riskbedömningar, saknade beroendebevis, blockerade skyddsåtgärder, potentiellt betydande incidenter, rapporter utan kvittens och oklart svenskt rättsläge. Statuslistor är förberedda och åtta syntetiska testfall har verifierats. Kundversionen är tömd på alla testärenden.

OBS: Noll i den tomma översikten betyder bara att inga ärenden registrerats. Det betyder inte att organisationen är säker, juridiskt identifierad, tillsynsgodkänd eller klar med CER. Excel skickar inga myndighetsrapporter.

Rättskällor och centrala tidsfrister

CER-direktivet (EU) 2022/2557, artikel 6: medlemsstaterna ska identifiera kritiska entiteter enligt direktivets kriterier och underrätta dem. En verksamhet ska inte behandla sig själv som formellt identifierad enbart därför att den bedriver samhällsviktig verksamhet eller omfattas av cybersäkerhetslagen. Läs EU-direktivet.

Artikel 12 – riskbedömning inom nio månader: en identifierad kritisk entitet ska enligt direktivet göra riskbedömning inom nio månader efter mottagen underrättelse, därefter vid behov och minst vart fjärde år. Riskbedömningen ska omfatta naturliga och av människan orsakade risker, olyckor, extrema händelser, folkhälsokriser, antagonistiska hot och tvärsektoriella eller gränsöverskridande beroenden.

Artikel 13 – åtgärder för motståndskraft: lämpliga och proportionerliga skyddsåtgärder, återhämtning, fysisk säkerhet, personal och kontinuitet. Direktivet använder även ett tiomånadersförlopp efter underrättelse för berörda skyldigheter. Den faktiska svenska tidsfristen måste verifieras mot antagen lag och myndighetsföreskrifter.

Artikel 15 – incidenter: kritiska entiteter ska enligt direktivet rapportera incidenter som betydligt stör eller kan betydligt störa samhällsviktiga tjänster utan onödigt dröjsmål. Första anmälan lämnas normalt senast 24 timmar efter att incidenten blivit känd, om det inte är operativt omöjligt. En detaljerad rapport följer vid behov normalt inom en månad. Bedöm bland annat antal påverkade användare, störningens varaktighet och geografisk omfattning. Kontakta rätt behörig myndighet genom dess verifierade kanal – paketet hittar inte på någon portaladress.

Artikel 14 – personalsäkerhet: där bakgrundskontroller är relevanta måste nationell rätt, nödvändighet, proportionalitet och integritetsskydd kontrolleras. Blanketter i paketet lagrar inga personuppgifter om individer.

Svensk status 13 november 2026: Prop. 2025/26:303 innehåller förslag till ny svensk CER-lag med ikraftträdande 1 januari 2027. Riksdagens ärende 2026/27:FöU4 anger den 25 november 2026 som planerat beslutsdatum. Myndighetens tidslinje visar även att föreskrifter och nationell incidentrapporteringstjänst ska utvecklas under 2027. Inga föreslagna bestämmelser presenteras som redan beslutade.

Praktisk arbetsgång

1. Verifiera nationell lag, föreskrifter, sektor och den formella identifieringsunderrättelsen innan någon CER-frist börjar beräknas.
2. Registrera organisations-ID och mottagningsdatum i skyddad akt; registrera bara ärende-ID och status i Excel.
3. Gör verklig riskbedömning av den samhällsviktiga tjänsten och alla betydande beroenden.
4. Dokumentera lämpliga fysiska, organisatoriska och personella motståndskraftsåtgärder samt övningar.
5. Gör en självständig incidenttriage och bedöm betydande eller potentiellt betydande störning.
6. Vid relevant anmälan: prioritera incidenthantering, rapportera utan onödigt dröjsmål via verifierad myndighetskanal och dokumentera kvittens samt eventuell komplettering.
7. Samla öppna avvikelser och behöriga ledningsbeslut, följ upp åtgärder och kontrollera lagstatus fortlöpande.

Vanliga frågor

Gäller CER automatiskt alla företag som omfattas av NIS2?

Nej. CER kräver särskild identifiering av kritiska verksamhetsutövare enligt nationell ordning. Direktiven kompletterar varandra men har olika tillämpnings- och rapporteringskrav.

När börjar nio månader för riskbedömning löpa?

Enligt CER artikel 12 från det att den berörda entiteten får den formella underrättelsen om identifiering, inte från 1 januari 2027 eller från dagen då den köper ett mallpaket.

Måste alla incidenter rapporteras inom 24 timmar?

Nej. Artikel 15 gäller incidenter som betydligt stör eller kan betydligt störa tillhandahållandet av en samhällsviktig tjänst. Första anmälan görs utan onödigt dröjsmål, som huvudregel senast 24 timmar efter kännedom när det är operativt möjligt.

Är CER-incidentrapport samma sak som NIS2-cyberanmälan?

Nej. De kan inträffa samtidigt men ska bedömas separat utifrån rättslig grund, myndighet, tidsfrist och händelsens art.

Kan jag lagra säkerhetsritningar och skyddsobjektsdetaljer i Excel?

Nej. Registret ska bara innehålla kodade ärenden, säkra statusar och referenser till behörighetsskyddat bevismaterial.

Är svensk CER-lag beslutad och gäller från 1 januari 2027?

Den 13 november 2026 är det ett regeringsförslag. Planerat riksdagsbeslut ligger senare i november. Kontrollera slutlig SFS, ikraftträdande och föreskrifter innan bindande företagskrav fastställs.

Ingår ifyllningsbara PDF och engelska arbetsmallar?

PDF-filerna är sökbara och utskrivbara, inte interaktiva. Word och Excel är redigerbara. En English User Guide ingår, men de fem arbetsmallarna är svenska.

Relaterade produkter

Kontinuitetsplan och BIA för bred återstartsplanering och konsekvensanalys. NIS2 Mallpaket gäller särskilt cybersäkerhetslagen. Det här paketet är särskilt avgränsat till CER:s formella identifiering, fysisk resiliens, sektorsberoenden och incidentanmälan enligt artikel 15.

Version och juridisk transparens

Version 1.0 · 13 november 2026 · Sverige/EU. AI-assisterad källgranskning mot direktiv (EU) 2022/2557, regeringens proposition 2025/26:303, riksdagens ärende 2026/27:FöU4 och Myndigheten för civilt försvars tidslinje. Ingen extern juristgranskning, verklig säkerhets- eller riskrevision, formell identifieringsprövning, personalsäkerhetskontroll, faktisk CER-myndighetsrapportering eller myndighetscertifiering har genomförts. Mallarna är beredskapsunderlag och måste kompletteras av behöriga juridiska, beredskaps- och säkerhetsfunktioner. Shopify-produkten skapas som opublicerad DRAFT utan koppling till Digital Products.