CER skärper kraven på motståndskraft – vad betyder det för säkerhetssektorn?
CER-direktivet ska stärka motståndskraften i samhällsviktiga verksamheter. För säkerhetsföretag är utvecklingen särskilt viktig. Våra medlemsföretag skyddar människor, verksamheter och kritisk infrastruktur. De levererar också säkerhetstjänster till många verksamheter som kan komma att omfattas av de nya kraven. Men vad innebär CER-direktivet – och vad behöver företag börja tänka på redan nu?
Samhället är beroende av att viktiga verksamheter fungerar även när något oväntat händer. Störningar i personalförsörjning, lokaler eller tekniska system kan snabbt få stora konsekvenser. Detsamma gäller andra kritiska beroenden.
Det är en av utgångspunkterna för EU:s CER-direktiv, Critical Entities Resilience Directive. Syftet är att stärka motståndskraften hos verksamheter som tillhandahåller samhällsviktiga tjänster.
Regeringen lade i juli fram propositionen En ny lag för ökad motståndskraft hos kritiska verksamhetsutövare. Förslaget bereds nu av riksdagen. Motionstiden löper till den 13 oktober och lagen föreslås träda i kraft den 1 januari 2027.
Den föreslagna lagen ska gälla verksamhetsutövare som identifieras som kritiska.
För att identifieras krävs bland annat att verksamheten tillhandahåller en samhällsviktig tjänst inom en utpekad sektor. Den ska också ha kritisk infrastruktur i Sverige. Dessutom ska en incident kunna orsaka en betydande störning i den samhällsviktiga tjänsten.
CER-regelverket omfattar bland annat energi, transport, bankverksamhet, hälso- och sjukvård, digital infrastruktur, offentlig förvaltning och livsmedelsförsörjning. Alla företag inom dessa sektorer omfattas alltså inte automatiskt.
Däremot finns det goda skäl att förbereda sig. Det gäller inte minst företag som är viktiga leverantörer till samhällsviktiga verksamheter.
Säkerhetssektorn är inte en egen utpekad sektor i CER-direktivet. Flera av de åtgärder som kritiska verksamheter ska vidta ligger däremot nära säkerhetsföretagens kärnkompetens.
Lagförslaget ställer bland annat krav på ett tillfredsställande fysiskt skydd av lokaler och kritisk infrastruktur. Det kan exempelvis handla om övervakning, detektionsutrustning, barriärer och åtkomstkontroll.
Även personalsäkerhet och bakgrundskontroller får en tydlig roll. Kritiska verksamhetsutövare ska dessutom öka personalens kunskap om de åtgärder som stärker verksamhetens motståndskraft.
För säkerhetsbranschen är kopplingen tydlig. Bevakning, larm, tillträdeskontroll och säkerhetsteknik är redan viktiga delar av skyddet för många samhällsviktiga verksamheter. Detsamma gäller tjänster inom identitets- och bakgrundskontroller, som får en tydlig roll i det föreslagna regelverket. Kritiska verksamhetsutövare ska bland annat analysera vilka befattningar som kräver bakgrundskontroll och säkerställa identiteten hos personer i sådana roller.
Kontantförsörjningen är ett annat tydligt exempel på hur säkerhetsföretag bidrar till samhällets motståndskraft. Aktörer i säkerhetssektorn ansvarar för funktioner som kontanthantering, värdetransporter och annan säkerhetskritisk logistik kopplad till banker, handel och betalningsflöden. Om sådana funktioner störs kan det få konsekvenser långt utanför det enskilda företaget. Det visar varför säkerhetsleverantörer och andra kritiska beroenden behöver finnas med när samhällsviktiga verksamheter planerar för kontinuitet och motståndskraft.
Men CER handlar inte bara om att skydda en byggnad eller anläggning. Säkerhetsfunktionerna behöver också fungera när något allvarligt händer. Därför blir kontinuitet, personalförsörjning och förmågan att hantera incidenter allt viktigare.
Professionell säkerhet blir därmed en viktig del av den motståndskraft som CER-direktivet ska stärka.
Det ligger också i linje med Säkerhetsföretagens syn på branschens roll. Professionell säkerhet är en del av Sveriges trygghets- och beredskapsinfrastruktur. Läs mer om Civilplikten här.
CER-direktivet handlar om förmågan att förebygga, stå emot, hantera och återhämta sig från allvarliga störningar.
Kritiska verksamhetsutövare ska därför göra en riskbedömning. De ska också vidta tekniska, säkerhetsmässiga och organisatoriska åtgärder. Dessutom ska de ha en plan för sin motståndskraft.
Det gör beredskap till en tydlig ledningsfråga.
För säkerhetsföretag finns dessutom två perspektiv. Den egna verksamheten måste vara robust. Samtidigt behöver företaget kunna möta högre krav från kunder som omfattas av CER.
Det kan exempelvis handla om bemanning, kontinuitetsplanering och personalsäkerhet. Det kan också handla om fysisk säkerhet, tillträdeskontroll och förmågan att upprätthålla leveransen under en kris.
När en verksamhet har identifierats som kritisk börjar tiden löpa.
Riskbedömningen ska enligt lagförslaget vara genomförd senast nio månader efter beslutet. Övriga skyldigheter börjar gälla efter tio månader.
Den föreslagna lagen innehåller också tillsyn och sanktioner. För enskilda kritiska verksamhetsutövare kan sanktionsavgiften bli betydande.
Det finns därför anledning att börja arbetet innan ett eventuellt beslut om identifiering kommer.
Ett bra första steg är att skapa en bild av nuläget.
Hur ser företagets beredskap ut i dag? Vilka människor, system, lokaler och leverantörer är verksamheten beroende av? Och vad händer om någon viktig funktion plötsligt inte fungerar?
Almega erbjuder tillsammans med beredskapsföretaget Preppoint webbverktyget Beredskapsindex.
Verktyget kartlägger fem områden: styrdokument och planer, personalförsörjning, utbildning och övning, lokaler och stödsystem samt incidenthantering, ledning och samverkan.
Efter testet får företaget en samlad bild av sin beredskapsförmåga. Företaget får också rekommendationer om vilka områden som bör prioriteras. Testet är anonymt och kostnadsfritt för Almegas medlemmar.
”Många företagsledningar vi pratar med vill börja bygga beredskap, men de vet inte riktigt hur. Genom att göra en mätning får organisationen svart på vitt hur det ser ut, vilket gör det lättare prioritera rätt insatser.”
– Heikki Syrjäpalo, vd Preppoint
Den 2 oktober kl. 11.00 bjuder Säkerhetsföretagen och Almega tillsammans med Preppoint in till ett webbinarium om de nya kraven på företagens motståndskraft.
Vi går igenom vad förslaget innebär och vilka verksamheter som kan omfattas. Du får också veta hur företaget kan börja stärka sin motståndskraft redan nu.