Danmark har meldt EU's direktiv om kritisk infrastruktur fuldt gennemført – men de kritiske enheder er stadig ikke udpeget

Danmark meddelte 1. oktober Europa-Kommissionen, at EU's direktiv om kritiske enheders modstandsdygtighed, CER-direktivet, nu er fuldt gennemført i dansk ret. Men de virksomheder og myndigheder, der skal leve op til kravene, er endnu ikke udpeget. Arbejdet med at identificere de kritiske enheder efter CER-loven er »fortsat i gang«, oplyser Styrelsen for Samfundssikkerhed i et svar fra ministeren for samfundssikkerhed og beredskab, Lisbeth Bech-Nielsen (SF), til Folketingets Udenrigs- og Forsvarsudvalg.

Ifølge direktivets artikel 6 skulle medlemslandene have identificeret de kritiske enheder senest 17. juli 2026. Ministerens svar kommer knap fire måneder senere, og to dage før Europa-Parlamentet onsdag debatterer cybersikkerhed og beskyttelse af kritisk infrastruktur.

Spørgsmålene er stillet efter ønske fra Peter Juel-Jensen (V), og ministeren besvarede fire af dem 5. november.

Først udpegning, så krav

CER-direktivet dækker 11 sektorer, blandt andre energi, transport, sundhed, drikkevand, spildevand, offentlig forvaltning og fødevarer. De kritiske enheder skal kunne modstå og komme sig over alt fra naturkatastrofer til sabotage og terror. For bankvirksomhed, finansiel markedsinfrastruktur og digital infrastruktur gælder direktivets krav om modstandsdygtighed dog ikke, fordi de er dækket af andre EU-regler.

Udpegningen er det, der sætter uret i gang. Når et land har identificeret en kritisk enhed, skal enheden have besked inden for en måned. Derefter har den ni måneder til at lave en risikovurdering, og ti måneder efter underretningen gælder direktivets kapitel om kritiske enheders modstandsdygtighed, herunder kravet om sikringsforanstaltninger. Uden udpegning gælder kravene altså ikke for den enkelte virksomhed.

Herhjemme har hver sektormyndighed ansvaret for at udpege, regulere og føre tilsyn med de kritiske enheder på sit område, mens Styrelsen for Samfundssikkerhed koordinerer. Styrelsen er selv myndighed for tre områder: Teleområdet, hvor den »netop« har sendt partshøringer til de relevante selskaber. Den centrale statsforvaltning, hvor der arbejdes på at identificere de kritiske enheder »hurtigst muligt«. Og operatører af skibstrafiktjenester, hvor styrelsen ikke venter at udpege nogen.

Energisektoren er længere. Her er de omfattede enheder identificeret efter loven om styrket beredskab i energisektoren fra 6. marts 2025, skriver ministeren i svaret på spørgsmål 14.

Sent fra start

Danmark var også sent ude med selve loven. Direktivet skulle være gennemført senest 17. oktober 2024. Den danske CER-lov er fra 6. maj 2025, trådte ifølge ministeriet i kraft 1. juli 2025 og blev ændret i januar 2026. Først 1. oktober 2026 meldte Danmark direktivet fuldt gennemført.

For det beslægtede NIS 2-direktiv om cybersikkerhed meldte Danmark fuld gennemførelse i juli 2025. Det skete, efter at Kommissionen havde sendt Danmark en begrundet udtalelse for manglende meddelelse om gennemførelse – et af de formelle trin i en traktatbrudssag. Den nationale cyberstrategi for 2026–2029, som direktivet kræver, blev sendt til Kommissionen 28. april 2026, skriver ministeren.

Vejledningen er på vej

Peter Juel-Jensen spurgte også, hvordan regeringen vil sikre, at de kritiske enheder får vejledning, når Styrelsen for Samfundssikkerhed efter hans oplysninger har opgivet at lave konkret vejledning ud over Kommissionens retningslinjer fra 13. juli 2026.

Det afviser styrelsen i svaret på spørgsmål 13. Den forventer »snarest« at udgive en vejledning om kritiske enheders risikovurdering og en om deres modstandsdygtighedsforanstaltninger. En vejledning til myndighederne om, hvordan de identificerer kritiske enheder, er allerede sendt ud. Kommissionens retningslinjer kalder styrelsen »et idekatalog« uden bindende virkning.

Det ligger mig meget på sinde, at relevante myndigheder, herunder Styrelsen for Samfundssikkerhed, prioriterer at bistå myndigheder og virksomheder med implementeringen af kravene i CER-loven.

Juel-Jensen spurgte desuden, om regeringen finder det realistisk, at kritiske enheder ifølge Kommissionens retningslinjer skal have gennemført de nødvendige sikringsforanstaltninger én måned efter risikovurderingen. Det spørgsmål besvarer ministeren ikke direkte. Hun henviser til svaret om vejledningen.

Næste skridt

Europa-Parlamentet debatterer onsdag 11. november cybersikkerhed og beskyttelse af kritisk infrastruktur og forsyningskæder med Rådet og Kommissionen, viser Parlamentets dagsorden. Det er en debat uden afstemning. Herhjemme skal sektormyndighederne nå at udpege resten af de kritiske enheder, før virksomhederne kan begynde på risikovurderingerne.