CER-direktivet vs. NIS2-direktivet

Hvorfor de er forskellige

Vedtaget samme dag som tvillinger - NIS2 beskytter net- og informationssystemer, CER beskytter kritiske enheders fysiske evne til at holde driften i gang. Enheder udpeget efter CER regnes som væsentlige efter NIS2.

CER-direktivet

Compliance, styring og lovgivning

EU-direktivet, der skal gøre dem, der driver vitale tjenester som strøm og vand, modstandsdygtige over for sabotage, storm og oversvømmelse.

Formelt

Direktiv (EU) 2022/2557, hvorefter hvert medlemsland senest 17. juli 2026 udpeger de kritiske enheder i 11 sektorer; enhederne skal vurdere deres risici, træffe fysiske og organisatoriske tiltag og indberette alvorlige forstyrrelser inden for 24 timer. Medlemslandene skulle skrive det ind i national lov senest 17. oktober 2024; den danske lov gælder fra 1. juli 2025.

Forklaret enkelt

At beskytte en dæmning handler ikke kun om, hvem der kender koden til kontrolrummet - det handler også om hegnet, nødgeneratoren og planen for den dag, åen stiger.

I praksis

Et dansk energiselskab, der er udpeget som kritisk enhed, kortlægger risici som storm og sabotage, sætter hegn, kameraer og nødstrøm op ved sine transformerstationer, baggrundstjekker medarbejdere i følsomme stillinger og øver, hvordan strømmen kommer tilbage, hvis et anlæg rammes.

Hvorfor det betyder noget

Samfundet går i stå, når strøm, vand, transport eller hospitaler svigter, og et overskåret kabel eller en oversvømmet pumpestation gør lige så stor skade som en hacker; cyberregler alene dækker ikke den side.

NIS2-direktivet

Compliance, styring og lovgivning

EU's cybersikkerhedslov, der stiller fælles sikkerhedskrav til organisationer i vigtige og kritiske sektorer.

Formelt

Direktiv (EU) 2022/2555, som skulle være skrevet ind i national lovgivning senest 17. oktober 2024, og som forpligter væsentlige og vigtige enheder i 18 sektorer til at styre cyberrisici, indberette væsentlige hændelser i trin og gøre ledelsesorganet ansvarligt.

Forklaret enkelt

Som fælles byggeregler for hele EU - hvert land skal skrive dem ind i sin egen lov, og de, der holder samfundet kørende, skal bygge efter dem.

I praksis

Bestyrelsen i et mellemstort dansk rederi finder ud af, at rederiet hører under NIS2, og godkender derfor en risikoanalyse, en procedure for at indberette hændelser inden for 24 timer og sikkerhedskrav til leverandørerne.

Hvorfor det betyder noget

De første NIS-regler dækkede for få sektorer og blev anvendt ujævnt; NIS2 omfatter tusindvis flere organisationer og indfører bøder på op til 10 mio. euro eller 2 % af omsætningen samt personligt ansvar for ledelsen.

Fælles forbindelser

EU-direktiv Hændelsesrapportering