Har I nøgler, adgangskort eller faste opgaver i en kundes lokaler, kan et brev om CER-loven lande hos jer sammen med brevet om NIS2. CER-loven handler om kundens samlede modstandsdygtighed, også over for fysiske trusler, og den rammer jer gennem kundens regler for adgang, personale og øvelser, ikke gennem et krav om at teste jeres IT. Kravet om teknisk test kommer fortsat fra NIS2-delen af kundens forpligtelser.
Svaret til kunden bliver klarere, når tre ting holdes adskilt: det, en leverandør med fysisk adgang kan blive mødt med, det, der er test, og det, der hører til kundens egen sikring. Teksten er ikke juridisk rådgivning.
Hvornår loven rammer kunden
Lov om kritiske enheders modstandsdygtighed, lov nr. 433 af 6. maj 2025, trådte i kraft 1. juli 2025 og gennemfører CER-direktivet (EU) 2022/2557. Loven gælder kun for enheder, som vedkommende minister har identificeret som kritiske efter § 3, inden for sektorerne i lovens bilag, fx transport, sundhed, drikkevand og spildevand.
Det sker ikke på én gang. Efter Styrelsen for Samfundssikkerheds tidsplan identificerer de kompetente myndigheder kritiske enheder i andet halvår 2026. Efter lovens § 3, stk. 5, gælder §§ 6 til 9 først 10 måneder efter, at enheden er orienteret. Energisektoren er gennemført i en særskilt lov, og § 1, stk. 6, holder kritiske enheder inden for bankvirksomhed, finansiel markedsinfrastruktur og digital infrastruktur uden for blandt andet §§ 6 til 9.
En kritisk enhed er efter NIS 2-lovens § 4, stk. 3, nr. 3, samtidig væsentlig enhed. Derfor følges de to breve ad. → Væsentlige og vigtige enheder
Det, kunden skal efter § 6
CER-lovens § 6, stk. 1, kræver passende og forholdsmæssige foranstaltninger for kundens modstandsdygtighed. Tre af punkterne angår leverandører med adgang:
- Nr. 2, fysisk beskyttelse · lokaler og kritisk infrastruktur med fx hegn, barrierer, overvågning af perimetre, detektionsudstyr og adgangskontrol.
- Nr. 5, medarbejdersikkerhed · kategorier af eget og eksternt personale, der udøver kritiske funktioner, adgangsrettigheder til lokaler, kritisk infrastruktur og følsomme oplysninger, procedurer for baggrundskontrol og krav til uddannelse og kvalifikationer.
- Nr. 6, bevidsthed · det relevante personale skal kende foranstaltningerne, fx gennem kurser, informationsmateriale og øvelser.
Direktivets artikel 13, stk. 1, siger udtrykkeligt, at kritiske enheder skal tage hensyn til eksterne tjenesteudbyderes personale, når de fastsætter kategorier af personale med kritiske funktioner. Foranstaltningerne skal beskrives i en plan for modstandsdygtighed efter § 6, stk. 2. Det er kundens plan, og I er en del af den, når jeres folk har adgang.
Det, I kan møde som leverandør
Hvordan kunden omsætter § 6 til krav, er kundens valg. Det kan fx være:
- En liste over personer · hvem hos jer der har nøgler, kort eller koder, og til hvilke områder.
- Adgangsrettigheder med grænser · adgang kun til de rum og tidsrum, opgaven kræver.
- Instruktion og øvelser · jeres medarbejdere deltager i kundens introduktion eller øvelser.
- Regler for besøg · registrering, ledsagelse og aflevering af kort ved opgavens slutning.
- Baggrundskontrol · at bestemte personer skal kunne gennemgå en kontrol, når reglerne foreligger.
Kravene kan komme ind i aftalen. Gennemførelsesforordning (EU) 2024/2690 nævner i bilagets punkt 5.1.4, litra c, krav til baggrundskontrol af leverandørers ansatte som et kontraktpunkt, men forordningen gælder kun for bestemte digitale udbydere. → Forordningens kontraktpunkter
Baggrundskontrol: hvad der står, og hvad der mangler
CER-lovens § 9 giver ikke kunden ret til selv at undersøge jeres medarbejdere. Paragraffen siger, at vedkommende minister fastsætter regler om, på hvilke betingelser kritiske enheder i behørigt begrundede tilfælde kan få foretaget baggrundskontrol hos den kompetente myndighed. Det gælder blandt andet personer, der er bemyndiget til direkte adgang eller fjernadgang til enhedens lokaler, oplysninger eller kontrolsystemer.
Efter direktivets artikel 14 skal kontrollen være forholdsmæssig og strengt begrænset til det nødvendige, og den skal mindst bekræfte identiteten og omfatte relevante oplysninger fra strafferegistre. Styrelsen for Samfundssikkerhed skriver, at afgørelsen træffes af den kompetente myndighed, og at de nærmere regler er under udarbejdelse.
Beder kunden om oplysninger om jeres medarbejdere, så spørg, hvilket grundlag kunden bruger. Hvad I må videregive, og hvad der gælder over for medarbejderne, er spørgsmål til jeres egen rådgiver.
Hvad der er test, og hvad der ikke er
Krav efter CER-loven er i sig selv ikke krav om en penetrationstest. Kunden kan afprøve sin egen fysiske sikring, fx om jeres teknikere bliver registreret og ført som andre besøgende. Det er kundens test af kundens lokaler, bestilt og godkendt af kunden. Kombinerede øvelser med fysisk adgang og social engineering er beskrevet på red-teaming.dk.
CER-lovens § 1, stk. 2, siger, at loven ikke gælder for forhold omfattet af NIS 2-loven. Kundens krav om test af jeres fjernadgang, servicecomputere og systemer bygger derfor på NIS2. Vil kunden have testet jeres egne lokaler, er det et tredje spørgsmål. → Test af fysisk adgang hos leverandøren
Et tænkt eksempel
En installatør servicerer pumpestationer for et spildevandsselskab, der er blevet identificeret som kritisk enhed. Selskabet beder om en liste over teknikere med nøgler, om deltagelse i en introduktion og om accept af, at teknikere kan blive bedt om baggrundskontrol, når reglerne er fastsat. I samme brev spørger selskabet efter NIS 2-loven, om fjernadgangen til styringerne er testet.
Installatøren svarer i to spor. Listen og accepten afklares med egen rådgiver og sendes særskilt. Testen af fjernadgangen og servicecomputerne dokumenteres med et resumé. Selskabets egen adgangskontrol til stationerne indgår ikke i installatørens test. → Serviceteknikere og arbejde på stedet
Det skal I lade være med
- At svare på et CER-brev med en testrapport · krav til personale og adgang besvares med andre oplysninger.
- At indsamle oplysninger om medarbejdere uden grundlag · afklar først, hvad kunden beder om og hvorfor.
- At antage, at kunden allerede er kritisk enhed · spørg, om identifikationen er sket.
- At teste kundens lokaler under jeres egen aftale · det kræver kundens egen bestilling.
- At love, at kunden dermed lever op til CER-loven · det vurderer kunden og myndigheden.
Hvad kan og ikke kan konkluderes
CER-loven viser, at en kritisk enhed skal styre adgang og personale, også hos leverandører. Den viser ikke, at I skal teste noget, og reglerne om baggrundskontrol er ikke fastsat endnu. En test af jeres leverance besvarer NIS2-delen, ikke CER-delen.
Tjekliste, når kunden er kritisk enhed
- ☐ Har kunden bekræftet, at den er identificeret som kritisk enhed?
- ☐ Ved I, hvem hos jer der har nøgler, kort eller koder hos kunden?
- ☐ Er det afklaret, hvilke oplysninger om medarbejdere kunden beder om, og på hvilket grundlag?
- ☐ Er CER-krav og NIS2-krav om test holdt adskilt i jeres svar?
- ☐ Har jeres egen rådgiver set de punkter, der angår medarbejderne?
Kilder
- CER-loven, lov nr. 433 af 6. maj 2025: § 1, stk. 2 og 6, § 3, stk. 5, § 6, stk. 1, nr. 2, 5 og 6, og stk. 2, § 9 og § 18.
- CER-direktivet (EU) 2022/2557: artikel 13, stk. 1, og artikel 14.
- NIS 2-loven, lov nr. 434 af 6. maj 2025: § 4, stk. 3, nr. 3.
- Gennemførelsesforordning (EU) 2024/2690: bilagets punkt 5.1.4, litra c.
- Styrelsen for Samfundssikkerhed, Hvornår træder CER-loven i kraft?: tidsplan for identifikation og for §§ 6 til 9.
- Styrelsen for Samfundssikkerhed, Hvad er CER?: baggrundskontrol afgøres af den kompetente myndighed, og reglerne er under udarbejdelse.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler om NIS2 og penetrationstest
Læs også: Test af fysisk adgang hos leverandøren · Leverandør af sikringsanlæg
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
