CER-direktivet: systerregleringen som ofta glöms bort

CER står för Critical Entities Resilience. Direktivet riktar sig mot kritiska entiteter och kräver att de kan upprätthålla sin samhällsviktiga tjänst vid störningar av annat slag än cyberangrepp.

Det handlar alltså om sådant som fysiskt skydd, personalsäkerhet, beroenden av underleverantörer, kontinuitetsplanering och förmågan att återhämta sig. En verksamhet kan ha ett välfungerande cyberförsvar och ändå sakna det CER efterfrågar.

Skillnaden syns i sanktionerna. NIS2 sätter tak på 2 procent respektive 1,4 procent av global omsättning genom artikel 34, medan CER överlåter påföljderna till medlemsstaterna utan motsvarande harmoniserade nivåer. Det säger något om vilket av regelverken som fått mest uppmärksamhet, och därmed var luckorna brukar finnas.

Direktiven antogs samma dag, i december 2022, och sektorslistorna är medvetet samordnade. Energi, transport, hälso- och sjukvård, dricksvatten, digital infrastruktur och offentlig förvaltning återkommer i båda.

Det gör att en verksamhet som gjort sin NIS2-bedömning ofta antar att CER är avklarat på köpet. Det är det inte. Kraven riktar sig mot olika förmågor, och en riskbedömning som bara täcker informationssystem svarar inte på CER-frågorna.

I detta direktiv fastställs skyldigheter för medlemsstaterna att vidta särskilda åtgärder som syftar till att säkerställa att tjänster som är nödvändiga för att upprätthålla viktiga samhällsfunktioner eller central ekonomisk verksamhet inom tillämpningsområdet för artikel 114 i EUF-fördraget tillhandahålls på ett obehindrat sätt på den inre marknaden.

Behandla CER som en egen bedömning med samma disciplin som NIS2-bedömningen, och dokumentera den separat.

1. 01Slå upp er sektor i CER-direktivets bilagaÖverlappet med NIS2 är stort men inte fullständigt, och beskrivningarna skiljer sig.
2. 02Fråga vad som händer utan ITCER handlar om att tjänsten fortsätter levereras. Ett scenario utan fungerande system är en rimlig utgångspunkt.
3. 03Kontrollera vem som har tillsynenCyberfrågorna och den civila beredskapen ligger inte nödvändigtvis hos samma myndighet.
4. 04Håll bedömningarna åtskildaEn sammanslagen riskanalys som ska svara på båda regelverken tenderar att svara ordentligt på inget av dem.