Når ministeren har identificeret jeres virksomhed som kritisk enhed efter CER-loven, får I inden for en måned besked om jeres forpligtelser. Risikovurderingen skal være foretaget 9 måneder efter beskeden, og de øvrige pligter gælder 10 måneder efter. Efter NIS 2-loven rykker virksomheden samtidig op som væsentlig enhed, uden hensyn til dens størrelse.
Perioden mellem beskeden og fristerne er det tidspunkt, hvor en audit kan gøre mest gavn. Artiklen beskriver fristerne og en rækkefølge, der passer til dem.
Den gældende tekst
CER-loven er lov nr. 433 af 6. maj 2025. Den er ændret ved lov nr. 135 af 27. januar 2026, som affattede lovens bilag 1 om sektorer, delsektorer og enhedskategorier på ny. Bestemmelserne om identifikation, risikovurdering, foranstaltninger og underretning, som artiklen bygger på, er ikke ændret ved den lov. Vi har læst begge tekster på Retsinformation den 12. november 2026. Om identifikationerne er gennemført i jeres sektor, har vi ikke undersøgt.
Fristerne i CER-loven
- Orientering. Den ansvarlige minister orienterer inden for 1 måned efter identifikationen den kritiske enhed om dens forpligtelser og fra hvilken dato de gælder (§ 3, stk. 5).
- Risikovurdering. Den skal være foretaget 9 måneder efter orienteringen og opdateres, når det er nødvendigt, og mindst hvert fjerde år (§ 5, stk. 3).
- Foranstaltninger m.m. §§ 6-9 gælder 10 måneder efter orienteringen (§ 3, stk. 5).
§ 6 handler om modstandsdygtighedsforanstaltninger: forebyggelse, fysisk beskyttelse, reaktion, genopretning, medarbejdersikkerhed og bevidsthed, samlet i en plan for modstandsdygtighed. Efter § 8 underretter den kritiske enhed om hændelser uden unødigt ophold. Fristen er 24 timer fra det tidspunkt, hvor enheden blev opmærksom på hændelsen, med mindre det operationelt ikke kan lade sig gøre. På anmodning sendes en detaljeret rapport senest 1 måned efter.
Hvad der sker samtidig efter NIS 2
En CER-identificeret enhed er væsentlig efter NIS 2-loven, uanset hvor stor den er. Det følger af § 4, stk. 3, nr. 3. Var virksomheden vigtig eller slet ikke omfattet før, ændrer det billedet. Tilsynet bliver løbende efter § 21 i stedet for reaktivt.
Trafikstyrelsen skriver for transportsektoren, at risikovurderingen af net- og informationssystemer da skal ske med vægt på de funktioner, som identifikationen efter CER-loven er begrundet i. Hvordan de to love fordeler opgaverne, er gennemgået i både NIS 2 og CER.
En rækkefølge inden for fristerne
Det følgende er praksis og ikke lovkrav.
Måned 1 og 2: kortlægning. Hvilke væsentlige tjenester begrunder identifikationen? Hvilke systemer, lokationer, leverandører og personer bærer dem? En audit i denne fase er en afgrænsning: hvad er med, og hvad er ikke.
Måned 2 til 6: gap-gennemgang. Gå §§ 6 og 8 i CER-loven og § 6 i NIS 2-loven igennem for de tjenester, der er kortlagt. Hvad findes allerede, hvad mangler, og hvad kræver tid at bygge, fx fysisk beskyttelse eller en ny underretningsproces? Forskellen på en gap-analyse og en audit står i NIS2-audit eller gap-analyse.
Måned 6 til 9: risikovurderingen. Risikovurderingen efter CER-lovens § 5 skal være foretaget ved måned 9. Den kan med fordel ses igennem af en, der ikke har skrevet den, før fristen. Hvordan den efter NIS 2 auditeres, står i audit af risikovurderingen.
Måned 9 til 10: klar til at gælde. Er planen for modstandsdygtighed godkendt? Kan I underrette inden for 24 timer efter CER-loven og efter fristerne i NIS 2-loven? Er medarbejdersikkerheden på plads? En kort gennemgang i denne fase viser, hvad der står åbent, når forpligtelserne begynder at gælde.
To underretningsspor
CER-loven og NIS 2-loven har hver deres regler om underretning. Begge har en frist på 24 timer. NIS 2-loven regner fra, at enheden har fået kendskab til hændelsen, CER-loven fra, at den er blevet opmærksom på den, og efter vores læsning handler de om forskellige slags hændelser. En audit kan se, om proceduren beskriver begge spor, og hvem der afgør, hvilket spor en hændelse hører til. Se audit af varsling og rapportering.
Hvad det kræver, og hvad det koster at lade være
Perioden kræver en projektleder med mandat, en ledelse, der prioriterer arbejdet, og tid fra de personer, der kender de væsentlige tjenester. Arbejdet med fysisk sikring og baggrundskontrol kan tage længere tid end det rent dokumentariske.
Bruges de første måneder ikke, bliver risikovurderingen skrevet under tidspres, og planen bygger på en vurdering, der ikke er færdig. Fristerne ligger fast fra orienteringen.
Det skal I lade være med
- At vente med at begynde, til fristen nærmer sig · fristerne regnes fra orienteringen.
- At glemme, at NIS 2-status ændres samtidig · virksomheden bliver væsentlig enhed.
- At bruge en ældre udgave af CER-loven uden at tjekke ændringer · bilaget er affattet på ny.
Det skal auditten kunne vise
- ☐ Orienteringen fra ministeren med dato og de forpligtelser, den nævner.
- ☐ En kortlægning af de væsentlige tjenester og de systemer, der bærer dem.
- ☐ En risikovurdering foretaget inden 9 måneder efter orienteringen.
- ☐ En underretningsprocedure, der dækker både CER-loven og NIS 2-loven.
Kilder
- Lov nr. 433 af 6. maj 2025 (CER-loven), §§ 3, 5, 6 og 8, https://www.retsinformation.dk/eli/lta/2025/433, læst 12. november 2026.
- Lov nr. 135 af 27. januar 2026 om ændring af lov om beskyttelsesrum og CER-loven, § 2, https://www.retsinformation.dk/eli/lta/2026/135, læst 12. november 2026.
- Lov nr. 434 af 6. maj 2025 (NIS 2-loven), §§ 4, 6 og 21, https://www.retsinformation.dk/eli/lta/2025/434, læst 12. november 2026.
- Trafikstyrelsen, NIS 2 for transportsektoren, https://www.trafikstyrelsen.dk/cyber/nis-2-for-transportsektoren, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Baggrundskontrol efter tre regelsæt · Fysisk adgang i NIS2-auditten
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
