Kritiske enheder under CER: øvelser, der omfatter både fysisk og digital sikkerhed

En virksomhed, der bliver identificeret som kritisk enhed, får krav om at beskytte både bygninger, mennesker og drift mod alle relevante risici. Det rejser et spørgsmål hos CISO’en: Hvordan afprøver vi, at det fysiske og det digitale forsvar hænger sammen, når en modstander ikke respekterer grænsen mellem dem? CER-loven kræver ikke red teaming. Men en øvelse, der kombinerer fysisk adgang og et digitalt angreb, kan være en måde at afprøve de foranstaltninger, loven kræver, og at vise, om de virker sammen.

Gengivelsen er forenklet. Den bygger på loven, som den står på retsinformation.dk i oktober 2026, og er ikke juridisk rådgivning.

Hvad CER-loven kræver

Lov nr. 433 af 6. maj 2025 om kritiske enheders modstandsdygtighed, CER-loven, gennemfører direktiv (EU) 2022/2557 og trådte i kraft den 1. juli 2025. Lovens bilag blev erstattet ved lov nr. 135 af 27. januar 2026. Den vedkommende minister identificerer kritiske enheder efter § 3, og enheden får besked om, fra hvilken dato pligterne gælder.

Den kritiske enhed skal efter § 5 lave en risikovurdering og efter § 6 træffe passende og forholdsmæssige foranstaltninger. Foranstaltningerne skal bl.a. sikre tilstrækkelig fysisk beskyttelse af lokaler og kritisk infrastruktur, evnen til at reagere på og afbøde hændelser, passende medarbejdersikkerhed og bevidsthed hos personalet, hvor loven nævner kurser, informationsmateriale og øvelser. Efter § 6, stk. 2, skal enheden have og anvende en plan for modstandsdygtighed.

Fysisk under CER, digitalt under NIS2

CER-loven gælder efter § 1, stk. 2, ikke for forhold, der er omfattet af NIS 2-loven. Samtidig er enheder, der er identificeret som kritiske efter CER-loven, efter NIS 2-lovens § 4, stk. 3, nr. 3, væsentlige enheder uanset størrelse. Cybersikkerheden hører altså under NIS2, mens den fysiske og organisatoriske modstandsdygtighed hører under CER.

Direktivet erkender selv, at grænsen er kunstig. Artikel 1, stk. 2, kræver en koordineret gennemførelse af de to direktiver i lyset af forbindelsen mellem fysisk sikkerhed og cybersikkerhed, og NIS2-direktivets artikel 21, stk. 2, taler om at beskytte net- og informationssystemer og deres fysiske miljø. En øvelse, der går på tværs, rammer netop det sted, hvor to regelsæt og måske to afdelinger mødes. → NIS2-omfattet virksomhed

Der er undtagelser. CER-loven gælder ikke for enheder i det omfang, de er omfattet af lov om styrket beredskab i energisektoren, og en række af pligterne gælder ikke for banker, finansiel markedsinfrastruktur og digital infrastruktur. → Red teaming i energi og forsyning

Hvor en kombineret øvelse passer ind

Hvert af punkterne i § 6 kan afprøves i en øvelse, hvis det er det, I vil:

Fysisk beskyttelse · loven nævner hegn, barrierer, overvågning af perimetre, detektionsudstyr og adgangskontrol. En øvelse kan vise, om de virker mod en person, der vil ind.
Reaktion · kommer en alarm fra vagten frem til den, der kan handle, og taler vagt og sikkerhedsfunktion sammen?
Medarbejdersikkerhed · loven nævner adgangsrettigheder til lokaler, kritisk infrastruktur og følsomme oplysninger. Øvelsen kan vise, om rettighederne holder i praksis. Loven nævner både eget og eksternt personale, der udøver kritiske funktioner, og direktivets artikel 13 kræver, at eksterne tjenesteudbyderes personale tages i betragtning. Rengøring, vagter og serviceteknikere hører derfor med i overvejelserne.
Bevidsthed · reagerer medarbejdere og eksterne på en fremmed, en usædvanlig henvendelse eller et skilt, der ikke passer?

Det er jeres valg, hvilke punkter øvelsen skal belyse. Loven kræver øvelser som en del af bevidstheden, ikke en bestemt slags øvelse. → Fysisk adgang i red teaming

Scenarier, der krydser grænsen

Det særlige ved en kombineret øvelse er, at den kan følge en modstander, der skifter mellem det fysiske og det digitale. Eksempler på scenarier:

Fra bygning til net · holdet kommer ind i et teknikrum og viser, at det derfra kunne nå et internt netværk.
Fra net til bygning · holdet får digital adgang til et system, der styrer adgangskort eller kameraer, og viser, hvad det kunne bruges til.
Den eksterne medarbejder · holdet optræder som servicetekniker og afprøver, om besøgsprocessen og ledsagelsen virker. → Besøgende, leverandører og håndværkere

Fælles for dem er, at forsvaret skal genkende sammenhængen. Bemærker vagten en fremmed, og ser SOC’en samtidig en ny enhed på nettet, er spørgsmålet, om nogen lægger de to observationer sammen. → Scenarievalg

White team på tværs af afdelinger

En kombineret øvelse kræver et white team, der dækker begge sider. Det kan være den sikringsansvarlige, en fra sikkerhedsfunktionen og den kontaktperson, som enheden efter § 7 skal udpege over for myndigheden. Vagtselskab og kontrolcentral skal være omfattet af en aftale om, hvordan øvelsen stoppes, hvis holdet bliver standset. → Vagtselskab og alarmcentral

Husk også, at en kritisk enhed efter § 8 skal underrette myndigheden om hændelser, der i betydelig grad forstyrrer eller kan forstyrre leveringen af væsentlige tjenester. White team skal kunne bekræfte hurtigt, at en mistænkelig hændelse er øvelsen, så der ikke sendes en underretning om noget, der ikke er sket.

Øvelsen som dokumentation

Den kompetente myndighed kan efter § 14 bl.a. foretage inspektioner, kræve en audit og kræve dokumentation for, at modstandsdygtighedsforanstaltningerne faktisk er gennemført. En rapport fra en kombineret øvelse kan være en del af den dokumentation, fordi den viser, hvordan foranstaltningerne virkede over for en realistisk modstander. Om myndigheden tillægger den vægt, er myndighedens vurdering. Rapporten kan også bruges, når planen for modstandsdygtighed skal opdateres. → Beviser fra fysisk adgang

Det skal I lade være med

At præsentere red teaming som et krav i CER-loven · loven kræver foranstaltninger og øvelser, ikke en bestemt test.
At planlægge den fysiske og digitale del hver for sig · så måles sammenhængen ikke.
At glemme vagtselskabet · en standset tekniker kan ende som en politisag.
At lade en opdaget øvelse blive til en underretning · white team skal kunne bekræfte hurtigt.
At overse undtagelserne · energi og finans har deres egne regler.

Hvad kan og ikke kan konkluderes

En kombineret øvelse kan vise, om de fysiske og digitale foranstaltninger hænger sammen, og om de virker mod en bestemt type modstander på et bestemt tidspunkt. Den kan ikke vise, at enheden overholder CER-loven eller NIS 2-loven, og den dækker ikke de naturskabte risici og andre farer, som risikovurderingen også skal omfatte.

Tjekliste før en kombineret øvelse

☐ Er det afklaret, om og fra hvilken dato enheden er omfattet af CER-loven?
☐ Er det besluttet, hvilke punkter i § 6 øvelsen skal belyse?
☐ Dækker white team både fysisk sikring og sikkerhedsfunktion?
☐ Er vagtselskab og kontrolcentral omfattet af en aftale?
☐ Kan white team hurtigt bekræfte over for egne folk, at en mistænkelig hændelse er øvelsen?
☐ Er det planlagt, hvordan resultatet indgår i planen for modstandsdygtighed?