CER - fra QMS til Compliance

# CER-loven

CER-loven er den danske gennemførelse af EU's CER-direktiv (Critical Entities Resilience). Direktivet handler om modstandsdygtigheden hos kritiske enheder, altså de virksomheder og organisationer, der leverer tjenester, som samfundet er afhængigt af.

Hvor meget af den øvrige regulering på området fokuserer på cybersikkerhed, retter CER-loven sig mod den fysiske og organisatoriske modstandsdygtighed. Det dækker blandt andet beskyttelse mod fysiske angreb, naturkatastrofer, forsyningssvigt og andre hændelser, der kan afbryde leveringen af kritiske tjenester.

## Hvem er omfattet

CER-loven retter sig mod kritiske enheder i en række sektorer. Det drejer sig typisk om enheder inden for områder som energi, transport, bankvæsen, finansielle markeder, sundhed, drikkevand, spildevand, digital infrastruktur, offentlig forvaltning og rummet.

En enhed bliver omfattet, når den leverer en tjeneste, der er væsentlig for opretholdelsen af kritiske samfundsmæssige eller økonomiske funktioner, og når en afbrydelse af tjenesten ville have betydelige konsekvenser.

## Centrale krav

CER-loven stiller en række krav til de omfattede enheder. De centrale elementer er:

- **Risikovurdering.** Enheden skal vurdere de relevante risici, der kan påvirke dens drift, herunder fysiske trusler, naturhændelser og afhængigheder af andre leverandører.
- **Modstandsdygtighedsforanstaltninger.** Enheden skal indføre passende tekniske, sikkerhedsmæssige og organisatoriske foranstaltninger, der sikrer, at den kan fortsætte med at levere sine kritiske tjenester.
- **Hændelsesrapportering.** Enheden skal underrette de kompetente myndigheder om hændelser, der væsentligt forstyrrer eller kan forstyrre leveringen af kritiske tjenester.
- **Baggrundskontrol.** Enheden kan være forpligtet til at gennemføre baggrundskontrol af personale i visse følsomme funktioner.

## Sammenhæng med anden regulering

CER-loven skal ses i sammenhæng med den øvrige regulering af kritiske enheder og cybersikkerhed. Hvor CER-loven dækker den fysiske og organisatoriske modstandsdygtighed, dækker NIS2-reguleringen cybersikkerheden. Mange enheder vil være omfattet af begge regelsæt samtidig og skal derfor håndtere kravene parallelt.

## Sådan kan ComplyTrain hjælpe

ComplyTrain understøtter arbejdet med at dokumentere og styre de krav, der følger af CER-loven.

Platformen giver struktur til risikovurderinger, modstandsdygtighedsforanstaltninger og den dokumentation, der skal kunne fremvises over for myndighederne. Dokumentationen samles ét sted, så den er klar, når en myndighed beder om den.

ComplyTrain hostes i EU på AWS i eu-central-1 (Frankfurt). Hver kunde ligger i sit eget isolerede silo, med eget schema, egen bucket og egen Cognito-pool. Forlader en kunde platformen, understøttes fuld eksport af data, inden de slettes, og sletningen er derefter fuldstændig.

For enheder, der både er omfattet af CER-loven og af cybersikkerhedsregulering, kan den samme platform bruges til at holde styr på dokumentationen på tværs af begge områder.

Vil du vide mere om, hvordan ComplyTrain kan understøtte jeres arbejde med CER-loven, så tag fat i os.