Bakgrund till den nya lagen
Regeringen har lagt fram ett förslag om en ny lag som ska göra samhällets viktigaste tjänster mer tåliga mot störningar. Idén kommer från EU:s så kallade CER‑direktiv (Critical Entities Resilience), som vill att alla medlemsländer stärker sina kritiska verksamheter så att de klarar av allt från naturkatastrofer till cyberattacker. I praktiken handlar det om att se till att el, vatten, sjukvård, transporter och livsmedel fortsätter att fungera även när något oväntat händer. Förslaget är en del av ett större arbete där Sverige ska leva upp till EU‑kraven samtidigt som man skyddar invånarnas vardag.
Vad är CER‑direktivet?
CER står för Critical Entities Resilience och är ett direktiv som antogs av EU‑parlamentet och rådet 2022. Direktivet säger att varje medlemsland måste identifiera vilka verksamheter som är absolut nödvändiga för samhället och ställa krav på hur de ska arbeta för att förebygga, stå emot och återhämta sig efter störningar. Det omfattar både offentliga aktörer (t.ex. kommunala vattenverk) och privata företag (t.ex. elbolag). Direktivet lämnar viss flexibilitet till länderna att anpassa kraven efter sina egna förhållanden, men målet är detsamma: ett starkare och mer pålitligt samhälle.
Elva utpekade sektorer
Den föreslagna lagen ska täcka elva sektorer som anses vara särskilt viktiga för att samhället ska fungera. Dessa är:
- Energi – elproduktion, distribution och gasförsörjning.
- Transport – väg, järnväg, flyg och sjöfart som håller varor och människor i rörelse.
- Hälso- och sjukvård – sjukhus, vårdcentraler, ambulanser och läkemedelsförsörjning.
- Dricksvatten – rening och distribution av dricksvatten till hushåll och företag.
- Livsmedel – produktion, bearbetning och distribution av mat.
- Finansiella tjänster – banker och betalningssystem som möjliggör ekonomiska transaktioner.
- Digital infrastruktur – datacenter, kommunikationsnät och molntjänster.
- Rymdteknik – satelliter och markstationer som stödjer navigation och kommunikation.
- Kemi och kärnteknik – anläggningar som hanterar farliga ämnen eller producerar kärnkraft.
- Avfallshantering – insamling, behandling och återvinning av avfall.
- Offentlig förvaltning – grundläggande samhällstjänster som räddningstjänst och polis.
Genom att peka ut dessa sektorer får både myndigheter och företag en tydlig bild av var fokus bör läggas när det gäller motståndskraftsarbete.
Vad innebär lagen för verksamhetsutövarna?
För de företag och organisationer som räknas som kritiska innebär lagen flera konkreta skyldigheter:
- Riskanalys – De måste regelbundet undersöka vilka hot som kan påverka deras verksamhet, exempelvis extremväder, IT‑angrepp eller leveransstörningar.
- Förebyggande åtgärder – Baserat på riskanalysen ska de vidta åtgärder för att minska sannolikheten för störningar, som att förstärka fysiska skydd, uppdatera mjukvara eller ha reservkraft.
- Krishanteringsplaner – Det ska finnas tydliga planer för hur man ska agera när något går fel, inklusive kommunikation med anställda, kunder och myndigheter.
- Träning och övningar – Personal ska utbildas och delta i övningar så att alla vet vad de ska göra i en krissituation.
- Rapportering av incidenter – Alla händelser som påverkar eller kan påverka samhällsviktiga tjänster måste rapporteras till tillsynsmyndigheten inom en viss tid, ofta inom 24 timmar efter att man upptäckt problemet.
- Dokumentation – Alla åtgärder, analyser och rapporter ska sparas och vara tillgängliga för inspektion.
Genom dessa krav får verksamheterna ett strukturerat sätt att arbeta med sin egen robusthet, vilket också gör det lättare för samhället att lita på att tjänsterna finns när de behövs som mest.
Rapportering och tillsyn
Lagen inför ett system för tillsyn där en myndighet (t.ex. Myndigheten för samhällsskydd och beredskap, MSB) får ansvar för att kontrollera att kraven efterlevs. Tillsynen kan ske på olika sätt:
- Regelbundna inspektioner – Tillsynsmannen kan besöka anläggningar för att kontrollera att säkerhetsåtgärder finns på plats.
- Granskning av rapporter – Alla incidentrapporter och riskanalyser granskas för att se om de är tillräckliga och om verksamheten har lärt sig av tidigare händelser.
- Ärendebaserad tillsyn – Om någon rapporterar en allvarlig störning eller om det finns indikationer på att ett företag inte följer reglerna, kan tillsynsmyndigheten inleda en särskild utredning.
- Vägledning och stöd – Förutom att kontrollera får myndigheten också ge råd och stöd om hur man kan förbättra sin motståndskraft, särskilt för mindre företag som kanske saknar resurser för omfattande säkerhetsarbete.
Om en verksamhet upprepade gånger inte uppfyller kraven kan tillsynsmyndigheten besluta om åtgärder som varningar, förelägganden eller, i värsta fall, att begränsa eller stoppa vissa delar av verksamheten tills bristerna är åtgärdade.
Högre sanktionsavgifter
För att göra reglerna mer verkningsfulla föreslås också ändringar i säkerhetsskyddslagen som gör det möjligt att utdöma högre sanktionsavgifter när ett företag bryter mot kraven. Avgifterna kan sättas utifrån:
- Allvarligheten av överträdelsen – En mindre förseelse kan leda till en måttlig avgift, medan en upprepad eller medveten försummelse som riskerar samhällets säkerhet kan resultera i betydligt högre belopp.
- Företagets storlek och omsättning – För stora företag kan avgifterna bli stora för att ha en avskräckande effekt, medan mindre företag kan få proportionellt
