Proposition 2025/26:303 · Försvarsdepartementet
En ny lag för ökad motståndskraft hos kritiska verksamhetsutövare
Vad betyder förslaget?
Ny lag ska göra samhällsviktiga verksamheter mer motståndskraftiga.
Regeringen vill införa en ny lag som genomför EU:s CER-direktiv i Sverige. Företag och offentliga verksamheter som pekas ut som kritiska verksamhetsutövare ska göra riskbedömningar, vidta skyddsåtgärder och rapportera incidenter. Regeringen menar att det stärker motståndskraften i samhällsviktiga tjänster som energi, transporter, sjukvård och dricksvatten. Dessutom föreslås högre sanktionsavgifter enligt säkerhetsskyddslagen.
Det här ändras
En ny lag införs för offentliga och enskilda verksamheter som identifieras som kritiska verksamhetsutövare. De ska arbeta för ökad motståndskraft och rapportera vissa incidenter.
Visa vad propositionen säger
”offentliga och enskilda verksamhetsutövare som tillhandahåller samhällsviktiga tjänster inom vissa utpekade sektorer och som identifieras som kritiska verksamhetsutövare ska vidta åtgärder för ökad motståndskraft samt rapportera vissa incidenter”
Ordagrant ur propositionen.
Den som identifieras som kritisk verksamhetsutövare ska göra en dokumenterad riskbedömning inom nio månader.
Visa vad propositionen säger
”En kritisk verksamhetsutövare ska göra en riskbedömning senast nio månader efter det att verksamhetsutövaren har fått del av beslutet om att denne har identifierats som kritisk verksamhetsutövare.”
Ordagrant ur propositionen.
Incidenter som medför eller kan medföra en betydande störning i en samhällsviktig tjänst ska anmälas till den myndighet som regeringen bestämmer.
Visa vad propositionen säger
”anmäla sådana incidenter som medför eller kan medföra en betydande störning i den kritiska verksamhetsutövarens tillhandahållande av en samhällsviktig tjänst”
Ordagrant ur propositionen.
En incidentanmälan ska lämnas senast 24 timmar efter att verksamheten har fått kännedom om incidenten.
Visa vad propositionen säger
”En incidentanmälan ska lämnas så snart det kan ske, dock senast 24 timmar efter det att verksamhetsutövaren har fått kännedom om incidenten.”
Ordagrant ur propositionen.
En myndighet ska utöva tillsyn och kunna kräva sanktionsavgift av den som bryter mot lagen.
Visa vad propositionen säger
”En tillsynsmyndighet ska utöva tillsyn över att lagen och föreskrifter som har meddelats i anslutning till lagen följs.”
Ordagrant ur propositionen.
Sanktionsavgiften för enskilda verksamhetsutövare ska vara lägst 5 000 kronor och högst 2 procent av den globala årsomsättningen, eller motsvarande 10 miljoner euro.
Visa vad propositionen säger
”För enskilda verksamhetsutövare ska sanktionsavgiften bestämmas till lägst 5 000 kronor och till högst det högsta av 2 procent av verksamhetsutövarens totala globala årsomsättning under närmast före- gående räkenskapsår, och ett belopp i kronor motsvarande 10 000 000 euro.”
Ordagrant ur propositionen.
Personer som deltar i verksamheten ska kunna behöva genomgå en bakgrundskontroll, som består av identitetskontroll och registerkontroll.
Visa vad propositionen säger
”En kritisk verksamhetsutövare ska säkerställa att en person som deltar i eller ska delta i verksamheten, i den mån det följer av verksamhets- utövarens befattningsanalys, har genomgått en bakgrundskontroll.”
Ordagrant ur propositionen.
Sanktionsavgifterna enligt säkerhetsskyddslagen höjs för enskilda verksamhetsutövare, med ett minimibelopp på 25 000 kronor.
Visa vad propositionen säger
”Sanktionsavgiften för en verksamhetsutövare som inte är en statlig myndighet, en kommun eller en region ska bestämmas till lägst 25 000 kronor”
Ordagrant ur propositionen.
Vem påverkas?
- Kritiska verksamhetsutövare i sektorer som energi, transport, bank, sjukvård, dricksvatten, digital infrastruktur och livsmedel: De måste göra riskbedömningar, vidta skyddsåtgärder och rapportera incidenter enligt den nya lagen.
- Enskilda företag som är kritiska verksamhetsutövare: De kan få betala en sanktionsavgift på högst det högsta av 2 procent av sin globala årsomsättning och ett belopp motsvarande 10 miljoner euro om de bryter mot lagen.
- Kommuner och regioner: De räknas som offentliga verksamhetsutövare och får ökade kostnader till följd av förslagen.
- Anställda och arbetssökande hos kritiska verksamhetsutövare: De kan behöva genomgå bakgrundskontroll, vilket kan påverka deras personliga integritet.
- Statliga myndigheter: De kan omfattas av lagen om regeringen bestämmer det, utom myndigheter som till övervägande del bedriver säkerhetskänslig eller brottsbekämpande verksamhet.
- Börjar gälla
- 1 januari 2027
- Kostnader
- Regeringen bedömer att förslagen ger ökade kostnader för tillsynsmyndigheterna och Myndigheten för civilt försvar, men att kostnaderna ryms inom befintliga anslagsramar. Ökade kostnader för kommuner och regioner finansierades i budgetpropositionen för 2026, och förslagen kan också innebära ökade kostnader och administrativa bördor för enskilda verksamhetsutövare.
Ord att känna till
- CER-direktivet:
- Ett EU-direktiv med regler för att stärka motståndskraften hos verksamheter som tillhandahåller samhällsviktiga tjänster.
- Samhällsviktig tjänst:
- En tjänst som är avgörande för centrala samhällsfunktioner, ekonomisk verksamhet, folkhälsa, allmän säkerhet eller miljö.
- Kritisk infrastruktur:
- En tillgång, anläggning, utrustning, nätverk eller system som behövs för att kunna leverera en samhällsviktig tjänst.
- Incident:
- En händelse som medför eller kan medföra en betydande störning i en samhällsviktig tjänst.
- Sanktionsavgift:
- En avgift som en myndighet kan besluta att en verksamhet ska betala när den har brutit mot reglerna.
Sammanfattningen är skriven av AI utifrån propositionen. Varje påstående har kontrollerats mot propositionen i en separat automatisk granskning, och citaten är ordagranna. Den har inte granskats av en människa. Den kan innehålla fel. Det är alltid propositionen själv som gäller.
Var är förslaget nu?
- InlämnadRegeringen har lämnat förslaget till riksdagen.
- I utskottEtt utskott granskar förslaget och partierna kan lämna motioner.
- Betänkande klartUtskottet har skrivit sitt förslag till beslut.
- DebattFörslaget debatteras i kammaren.
- BeslutadRiksdagen har fattat beslut.
- 14 juli 2026Inlämnad
- 21 juli 2026Bordlagd
- 22 juli 2026Hänvisad
- 13 oktober 2026Motionstid slutar
- 20 oktober 2026Beredning
Vem står bakom?
Förslaget kommer från regeringen och har tagits fram av Försvarsdepartementet. Det behandlas av riksdagens utskott FöU.
- Pål Jonson (M), skrev under för regeringen
- Carl-Oskar Bohlin (M), ansvarigt statsråd (Försvarsdepartementet)
Regeringen föreslår att riksdagen…
- antar regeringens förslag till lag om motståndskraft hos kritiska verksamhetsutövare.
- antar regeringens förslag till lag om ändring i lagen (1998:620) om belastningsregister.
- antar regeringens förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400).
- antar regeringens förslag till lag om ändring i säkerhetsskyddslagen (2018:585).
- antar regeringens förslag till lag om ändring i cybersäkerhetslagen (2025:1506).