Vanliga frågor om kritiska aktörers motståndskraft

CER UKK teksti

Nedan finns vanliga frågor om Lag om skydd av samhällets kritiska infrastruktur och om stärkande av samhällets motståndskraft (310/2025).

CER och NIS2

Ja. En aktör som utsetts till CER‑kritisk aktör omfattas också av skyldigheterna för en väsentliga aktör enligt Cybersäkerhetslag. Dessa omfattar till exempel registrering i Fimeas NIS2‑aktörsregister, rapportering av incidenter samt krav på riskhantering.

16.7.2026
En aktör som utsetts till kritisk aktör enligt CER‑direktivet betraktas också som en väsentliga aktör enligt NIS2. Organisationen ska granska uppgifterna i NIS2‑aktörsregistret och uppdatera dem vid behov. Dessutom ska aktören ange som grund för sin status att den har utsetts till kritisk aktör enligt CER‑lagstiftningen. Ändringar ska anmälas utan onödigt dröjsmål och senast inom två veckor.

16.7.2026

CER-incidenter

En kritisk aktör ska utan onödigt dröjsmål anmäla en betydande incident som stör eller kan störa tillhandahållandet av en väsentlig tjänst.

16.7.2026
En betydande incident är en händelse som stör eller kan störa tillhandahållandet av en väsentlig tjänst. Incidentens betydelse bedöms utifrån dess påverkan på tjänsteproduktionen, säkerheten och samhällsfunktionerna. Särskilt beaktas antalet och andelen berörda användare, störningens varaktighet samt det geografiska området.

16.7.2026
Anmälan görs via ett webbaserat formulär från inrikesministeriet. Formuläret skickas vidare till rätt myndighet baserat på användarens val.

16.7.2026
Nej. Om incidenten omfattas av båda regelverken måste anmälan göras separat enligt båda.

16.7.2026
Ja. Först skickas en initial anmälan och senare en mer detaljerad rapport. Den första ska lämnas utan dröjsmål och senast inom 24 timmar. Den detaljerade rapporten ska lämnas senast inom en månad.

16.7.2026

Kontaktpunkt

Som CER‑kontaktpunkt kan man ange antingen en enskild persons kontaktuppgifter eller till exempel en gemensam e‑postadress och organisationens telefonnummer. Det är också möjligt att ange flera personers kontaktuppgifter om det stöder informationsflödet och kommunikationen mellan organisationen och Fimea.

17.6.2026
Ja. Organisationen kan ange kontaktuppgifter till flera personer i anslutning till kontaktpunkten om detta underlättar kommunikationen och säkerställer informationsflödet även vid frånvaro.

17.6.2026
Nej. NIS2‑ och CER‑kontaktpunkten kan vara samma person eller samma kontaktuppgifter. Organisationen kan dock välja att använda olika kontaktpersoner eller olika kontaktuppgifter för NIS2‑ och CER‑ärenden.

17.6.2026

Riskhantering och säkerställande av motståndskraft

Kritiska aktörer ska identifiera risker som påverkar deras verksamhet, bedöma deras konsekvenser samt genomföra ändamålsenliga tekniska, organisatoriska och säkerhetsrelaterade åtgärder för att förbättra motståndskraften och säkerställa verksamhetens kontinuitet.

17.6.2026
En kritisk aktör ska utarbeta en riskbedömning och uppdatera den regelbundet samt alltid vid väsentliga förändringar, dock minst vart fjärde år. Den första riskbedömningen ska göras inom nio månader från det att aktören fått beslutet om att den har utsetts till kritisk aktör.

17.6.2026
Den kritiska aktören ska bedöma riskerna för sin verksamhet på ett heltäckande sätt. I riskbedömningen ska åtminstone väsentliga tjänster, leveranskedjor, beroenden samt fysiska och cyberhot beaktas. Utifrån riskbedömningen ska aktören vidta lämpliga riskhanteringsåtgärder.

17.6.2026
Syftet med planen är att beskriva hur organisationen förebygger störningar, förbereder sig för och reagerar på dem samt återhämtar sig från dem. Planen ska omfatta både förebyggande åtgärder och handlingsmodeller för störningssituationer.

17.6.2026
Ja. I riskbedömningen ska även leveranskedjor som är kopplade till tjänsteproduktionen samt beroenden till andra aktörer och tjänster beaktas.

17.6.2026

Skriv ut