Regeringen föreslår ny lag för kritiska verksamheter

Regeringen har lämnat en proposition till riksdagen med förslag om en ny lag som ska stärka motståndskraften hos verksamheter som tillhandahåller samhällsviktiga tjänster. Förslaget genomför EU:s CER-direktiv (Critical Entities Resilience) i svensk lagstiftning och innebär nya krav för både offentliga och privata aktörer.

Den föreslagna lagen om motståndskraft hos kritiska verksamhetsutövare omfattar elva samhällsviktiga sektorer, bland annat energi, transporter, hälso- och sjukvård, dricksvatten och livsmedelsförsörjning.

Verksamheter som bedöms vara kritiska ska arbeta mer systematiskt med att förebygga störningar, stärka sin motståndskraft och begränsa konsekvenserna om samhällsviktiga tjänster påverkas.

En viktig nyhet är att kritiska verksamhetsutövare blir skyldiga att rapportera incidenter som påverkar eller riskerar att påverka leveransen av samhällsviktiga tjänster. Propositionen innehåller också regler om tillsyn och ger tillsynsmyndigheterna möjlighet att ingripa mot verksamheter som inte uppfyller lagens krav.

Samtidigt föreslår regeringen ändringar i säkerhetsskyddslagen. Bland annat ska högre sanktionsavgifter kunna beslutas mot verksamhetsutövare som brister i sitt säkerhetsskyddsarbete.

Högre krav på offentlig sektor

För kommuner, regioner och statliga myndigheter som klassas som kritiska verksamhetsutövare innebär förslaget ett utökat ansvar för riskhantering, kontinuitetsplanering och incidentrapportering.

Många offentliga organisationer bedriver redan ett omfattande beredskapsarbete. Den nya lagen väntas dock ställa högre krav på dokumenterade riskanalyser, uppföljning och ett långsiktigt arbete för att säkerställa att samhällsviktiga tjänster kan upprätthållas även vid allvarliga störningar.

För offentlig sektor innebär förslaget också ett ökat fokus på beroenden i leverantörskedjan och samverkan med andra aktörer som är viktiga för att verksamheten ska fungera.

Leverantörer kan få nya krav i upphandlingar

Även privata företag påverkas. Leverantörer inom exempelvis energi, transporter, IT, vatten, livsmedel samt hälso- och sjukvård kan omfattas direkt av den nya lagen om de bedöms vara kritiska verksamhetsutövare.

Företag som inte omfattas direkt kan ändå påverkas indirekt genom att offentliga kunder ställer högre krav i upphandlingar och avtal.

Det kan exempelvis handla om krav på kontinuitetsplanering, riskanalyser, informationssäkerhet, incidentrapportering och förmåga att upprätthålla leveranser under kriser och andra allvarliga händelser.

För många leverantörer kan det därför bli nödvändigt att stärka sitt arbete med resiliens och beredskap för att även fortsättningsvis vara konkurrenskraftiga på den offentliga marknaden.

Enligt regeringen är syftet med lagstiftningen att stärka Sveriges samlade motståndskraft mot störningar, kriser och andra händelser som kan påverka samhällsviktiga funktioner. Genom tydligare krav på riskhantering, incidentrapportering och tillsyn ska skyddet för kritisk infrastruktur och samhällsviktiga tjänster förbättras.

Om riksdagen antar propositionen föreslås den nya lagen och övriga lagändringar träda i kraft den 1 januari 2027.

Källa: Regeringen.se