Vilka sektorer omfattas av lagens skyldigheter?

Energi, transport, hälso- och sjukvård, dricksvatten, avloppsvatten, livsmedel, offentlig förvaltning och rymden. Verksamheter inom bankverksamhet, finansmarknadsinfrastruktur och digital infrastruktur kan identifieras, men enligt propositionen gäller inte lagens skyldigheter, inklusive bakgrundskontroll, för den delen av verksamheten.

Vad ingår i en bakgrundskontroll enligt lagen?

Styrkt identitet och registerkontroll. Personen visar på begäran upp ett utdrag ur belastningsregistret som inte får vara äldre än sex månader. Arbetsgivaren antecknar att identiteten styrkts och att utdraget visats upp, och sparar anteckningen i två år.

När ska kontrollerna vara på plats?

Lagen föreslås träda i kraft den 1 januari 2027. Riskbedömningen ska vara gjord inom nio månader och åtgärderna för motståndskraft, inklusive befattningsanalys och bakgrundskontroller, inom tio månader från tillsynsmyndighetens beslut om identifiering. Kontrollen förnyas när det finns skäl och senast två år efter den senaste.

Vilka sanktioner föreslås?

För företag högst det högre av 2 procent av den globala årsomsättningen och 10 miljoner euro, lägst 5 000 kronor. För offentliga verksamhetsutövare högst 10 miljoner kronor.

Checklista för bakgrundskontroller enligt LOM (CER)

Q: Vad får sparas efter en bakgrundskontroll?

Bara en anteckning om att personen har styrkt sin identitet och att utdraget ur belastningsregistret har visats upp. Anteckningen behöver kunna knytas till rätt person och datum för uppföljning och gallring. Kopia av registerutdraget, uppgifter ur utdraget och annan dokumentation av kontrollen än anteckningen får inte sparas.

Lagen i korthet

En svensk lag för ett EU-direktiv

Lagen om motståndskraft hos kritiska verksamhetsutövare genomför EU:s CER-direktiv (2022/2557). Den gäller fysisk och organisatorisk motståndskraft ur ett allriskperspektiv – och kompletterar cybersäkerhetslagen, som reglerar nätverk och informationssystem.

Vem kan identifieras som kritisk?

Samhällsviktig tjänstVerksamheten tillhandahåller en eller flera samhällsviktiga tjänster.
Utpekad sektorDen omfattas av en kategori i direktivets bilaga – eller är en myndighet som regeringen pekar ut.
Infrastruktur i SverigeDen bedriver verksamhet och har kritisk infrastruktur här.
Betydande störningEn incident skulle få betydande störande effekt på tjänsten eller på tjänster som är beroende av den.

Tillsynsmyndigheten beslutar om identifiering i varje enskilt fall. Den som identifieras blir också väsentlig verksamhetsutövare enligt cybersäkerhetslagen.

Tidsplan

Tidslinje

14 juli 2026Regeringen lämnar proposition 2025/26:303 till riksdagen.
13 oktober 2026Motionstiden i riksdagen löper ut.
1 januari 2027Lagen föreslås träda i kraft.
Beslut om identifieringTillsynsmyndigheten beslutar att verksamheten är kritisk. Härifrån räknas fristerna.
+ 9 månaderRiskbedömningen ska vara gjord och dokumenterad.
+ 10 månaderÅtgärder för motståndskraft ska vara på plats – inklusive befattningsanalys och bakgrundskontroller.

Riksdagen har ännu inte fattat beslut. Datum och detaljer kan ändras, och myndigheterna väntas meddela föreskrifter som preciserar kraven.

Omfattning

Sektorer, tillsyn och sanktioner

Här gäller lagens skyldigheter

Energiel, fjärrvärme och fjärrkyla, olja, gas, vätgas
Transportluftfart, järnväg, sjöfart, väg, kollektivtrafik
Hälso- och sjukvård
Dricksvatten
Avloppsvatten
Livsmedelproduktion, bearbetning, distribution
Offentlig förvaltning
Rymden

Identifieras – men utan skyldigheter

Bankverksamhet
Finansmarknadsinfrastruktur
Digital infrastruktur

Enligt propositionen gäller inte lagens skyldigheter, inklusive bakgrundskontroll, för den del av verksamheten som identifieras inom dessa sektorer (1 kap. 4 §) – till exempel verksamhet som avser datacentertjänster. Identifiering i fler sektorer, säkerhetsskyddslagen eller kundkrav kan ändå ställa krav.

Andra undantag

Säkerhetskänslig verksamhet

Undantas helt eller delvis, beroende på hur stor del som är säkerhetskänslig (1 kap. 5 §).

Motsvarande krav i andra regler

Ställer andra regler minst lika långtgående krav, till exempel för hamnskydd, gäller de.

Tillsyn

Myndigheten för civilt försvar (MCF) föreslås bli gemensam kontaktpunkt. Regeringen pekar ut tillsynsmyndigheter per sektor. De får begära uppgifter, göra platsbesök och förelägga vid vite.

Föreslagna sanktionsavgifter

2 % eller 10 MEUR

Högst det högre av 2 procent av den globala årsomsättningen och 10 miljoner euro för företag. Lägst 5 000 kronor. Offentliga verksamhetsutövare: högst 10 miljoner kronor.

Europeisk betydelse: Tillhandahåller ni en samhällsviktig tjänst i minst sex EU-länder ska det anmälas till myndigheten.

Personalsäkerhet

Vad lagen kräver

Personalsäkerhet är en av de åtgärder för motståndskraft som lagen kräver (3 kap. 3 §). Kärnan är fyra steg – och en tydlig gräns för vad som får dokumenteras.

Befattningsanalys3 kap. 4 §
Analysera och dokumentera vilka befattningar där deltagandet i verksamheten innebär möjlighet att orsaka mer än ringa störning i den samhällsviktiga tjänsten. Uppdatera vid behov och minst en gång om året.
Bakgrundskontroll3 kap. 5 §
Säkerställ att den som deltar eller ska delta i verksamheten i en sådan befattning har genomgått en bakgrundskontroll: styrkt identitet och registerkontroll.
Registerkontroll3 kap. 6 §
Personen visar på begäran upp ett utdrag ur belastningsregistret. Utdraget får inte vara äldre än sex månader. Regeringen bestämmer vilka uppgifter det innehåller.
Anteckning3 kap. 7 §
Anteckna att identiteten styrkts och att utdraget visats upp. Anteckningen sparas i två år.

24 mån

Förnyad kontroll

När det finns skäl för det, och senast två år efter den senaste kontrollen (3 kap. 5 §).

Kunskap och medvetenhet3 kap. 3 §

Berörd personal ska få kunskap om verksamhetens åtgärder för motståndskraft.

Kontaktpunkt3 kap. 8 §

Verksamheten ska utse en kontaktpunkt för tillsynsmyndigheten.

Omfattning och dokumentation

Vem ska kontrolleras – och vad får sparas?

Inte bara anställda

Lagen talar om personer som deltar i eller ska delta i verksamheten. CER-direktivet anger dessutom att externa tjänsteleverantörers personal ska beaktas. Konsulter, entreprenörer och underleverantörers personal kan därför omfattas när de deltar i en befattning som pekats ut i befattningsanalysen. Kravets exakta räckvidd kan preciseras genom föreskrifter och tillsynspraxis.

Sistecs exempel på befattningar som kan pekas ut:

Driftchefer
Kontrollrumspersonal
Systemadministratörer
Säkerhetsansvariga
Underhållstekniker
Entreprenörer med tillträde till kritisk infrastruktur

Dokumentationsförbudet

Ska antecknas

Att personen har styrkt sin identitet
Att utdraget ur belastningsregistret har visats upp

Anteckningen behöver kunna knytas till rätt person och datum för uppföljning och gallring.

Får inte sparas

Kopia av registerutdraget
Uppgifter ur utdraget, till exempel domar
Annan dokumentation av kontrollen än anteckningen

2 år

Anteckningen bevaras i två år från den dag kontrollen avslutades (3 kap. 7 §) och gallras sedan. Id-handlingar som arbetsgivaren sparar av andra skäl, till exempel enligt utlänningsförordningen, påverkas inte.

Identitetskontroll

Identiteten är grunden

Lagen kräver att personen styrker sin identitet och visar upp ett utdrag ur belastningsregistret – men anger inte hur identiteten ska kontrolleras. Samtidigt förekommer falska och förfalskade id-handlingar på arbetsmarknaden.

Ett registerutdrag säger bara något om personen framför er – om identiteten är rätt.

Så gör ni kontrollen säker

Rekommendation

Lagtexten anger ingen särskild metod för identitetskontrollen – den kräver bara att identiteten styrks. Punkterna nedan är Sistecs råd för att kontrollen ska bli tillförlitlig.

Kontrollera id-handlingen vid ett fysiskt möte.
Låt utbildad personal göra en äkthetsanalys – enbart visuell granskning ger större risk att förfalskningar missas.
Godkänn som huvudregel endast giltiga id-handlingar.
Stäm av att registerutdraget gäller samma person som id-handlingen.

Det här står på spel

Sabotage
Spionage
Infiltration av kriminella
Penningmålvakter som anställda
Möjliggörare
Arbetslivskriminalitet

Implementering

Steg för steg

Lagkravföljer direkt av lagtextenRekommendationSistecs råd för en fungerande process

Steg 1 – Förbered organisationen

Ta reda på om ni kan omfattasGå igenom sektorerna och kriterierna. Följ tillsynsmyndighetens besked och kommande föreskrifter.
Rekommendation
Utse ansvarig och kontaktpunktEn ansvarig för personalsäkerheten, gärna samma person som är kontaktpunkt mot tillsynsmyndigheten.
Lagkrav3 kap. 8 §
Planera mot tidsfristernaRiskbedömning inom 9 månader och bakgrundskontroller inom 10 månader från beslutet om identifiering.
Rekommendation
Gör riskbedömningenDokumentera alla relevanta risker. Uppdatera vid behov och minst vart fjärde år. Den är grunden för befattningsanalysen.
Lagkrav3 kap. 2 §
Upprätta en plan för motståndskraftBeskriv vidtagna och planerade åtgärder, inklusive personalsäkerhet – och följ planen.
Lagkrav3 kap. 3 §
Skriv interna rutinerVem gör kontrollerna, hur ofta, hur anteckningar förs och när de gallras.
Rekommendation
Utbilda berörd personalGe kunskap om åtgärderna för motståndskraft, och lär chefer och HR rutinerna.
Lagkrav3 kap. 3 §

Steg 2 – Genomför och följ upp

Gör befattningsanalysenPeka ut befattningar som kan orsaka mer än ringa störning, även externa. Uppdatera minst en gång om året.
Lagkrav3 kap. 4 §
Ställ krav på leverantörerÖverväg att i leverantörsavtal reglera att externa personer i utpekade befattningar kontrolleras innan de börjar.
Rekommendation
Kontrollera före tillträdeDen som ska delta i en utpekad befattning ska vara kontrollerad. I praktiken: vid nyanställning, vid omplacering och innan en extern person börjar.
Lagkrav3 kap. 5 §
Styrk identiteten, ta emot utdragetKontrollera id-handlingen. Utdraget ur belastningsregistret får vara högst sex månader gammalt.
Lagkrav3 kap. 5–6 §§
Anteckna – inget merAnteckna att identiteten styrkts och att utdraget visats upp. Spara anteckningen i två år.
Lagkrav3 kap. 7 §
Förnya i tidSenast 24 månader efter förra kontrollen, tidigare om det finns skäl. Sätt påminnelser i god tid.
Lagkrav3 kap. 5 §
Följ upp interntKontrollera att ingen missas. Tillsynsmyndigheten kan begära uppgifter och göra platsbesök.
Rekommendation

Att bocka av

Checklista