Kunde under CER? Det betyder det for dig som installatør
Når en kunde udpeges som kritisk enhed under CER, fremstår det umiddelbart som kundens anliggende, men en betydelig del af kravene forplanter sig til de leverandører, der leverer og servicerer den fysiske sikkerhed, og dermed også til installatøren.
Universitetshospitaler, vandværker og jernbaneoperatører er eksempler på kunder, der kan være udpeget som kritiske enheder, og når udpegningen er en realitet, ændrer samarbejdsrelationen sig markant, også for installatøren som leverandør.
Hvad ændrer sig i udbudsmateriale og kontrakter?
Kritiske enheder skal kunne dokumentere, at deres leverandører ikke udgør det svage led i forsyningskæden, og derfor indeholder udbudsmateriale og kontrakter typisk flere og væsentligt skarpere krav:
- Dokumentation: skal foreligge og være opdateret, både ved idriftsættelse af anlægget og ved samtlige efterfølgende ændringer, udvidelser og udskiftninger.
- Faste responstider: kombineret med en dokumenteret procedure for forebyggende service, fejlretning og håndtering af kritiske nedbrud.
- Godkendte teknikere: således at kunden til enhver tid kender identiteten på de medarbejdere, der arbejder på anlægget.
Bliver dine teknikere en del af sikkerhedsvurderingen?
Utvivlsomt, for CER lægger betydelig vægt på personalesikkerhed, og kundens vurdering af insidertrusler omfatter også medarbejdere hos eksterne leverandører og underleverandører.
I praksis kan det eksempelvis indebære baggrundstjek af installatørens teknikere, faste navngivne medarbejdere på opgaven og fuldstændig kontrol med, hvem der råder over nøgler, adgangskort og administratorkoder til kundens anlæg.
Hvorfor bliver dokumentationen så afgørende?
Myndighederne kan gennemføre uanmeldte inspektioner og audits og kræve adgang til dokumentation i et nærmere specificeret format, og når kunden skal påvise, at den fysiske sikkerhed matcher risikovurderingen, er det installatørens materiale, der danner grundlaget:
- As-built tegninger og installationsbeskrivelser
- Brugergrupper, rettighedsstruktur og adgangsprofiler
- Firmwareversioner og opdateringshistorik
- Servicerapporter, fejllog og hændelsesregistreringer
Hvad sker der ved en alvorlig hændelse?
Ved en alvorlig hændelse skal kunden underrette myndigheden inden for 24 timer, hvilket forudsætter, at hændelseslogs fra adgangskontrollen og optagelser fra de relevante kameraer kan fremskaffes øjeblikkeligt.
Ansvarsfordelingen bør derfor aftales på forhånd, herunder hvem der udtrækker data, hvordan udtrækket dokumenteres, og hvor hurtigt materialet skal kunne leveres, fordi en efterfølgende afklaring sjældent er tilstrækkelig, når myndighedernes tidsfrister allerede løber.
Rummer udviklingen også forretningsmuligheder?
Afgjort, for kunden har behov for væsentligt mere end en montør, nemlig en samarbejdspartner, der kan redegøre for, hvorfor løsningen matcher risikobilledet, og som kan dokumentere det over for en auditor.
Et oplagt udgangspunkt er driftsovervågning, hvor anlægget overvåges løbende, så et kamera, der er faldet ud, en harddisk, der er ved at fejle, PIR-detektorer i sabotage eller et dørmiljø uden forbindelse opdages, før kunden selv konstaterer det, hvilket giver kunden løbende dokumentation for anlæggets driftssikkerhed og installatøren en fast, tilbagevendende indtægt.
Der findes etablerede overvågningssystemer, der kan håndtere størstedelen af opgaven automatisk, eksempelvis disse tre, der som udgangspunkt kan løse opgaven:
- LibreNMS: open source netværksovervågning, der løbende kontrollerer enhedernes driftstilstand via blandt andet SNMP-protokollen.
- Zabbix: open source overvågningsplatform, der kan skaleres til mange anlæg og geografisk spredte lokationer med central administration.
- PRTG: kommerciel overvågningssoftware med færdigkonfigurerede sensorer, automatiserede notifikationer og overskuelige dashboards.
Mange VMS-platforme har desuden indbygget overvågning af kameraer, optagelser og lagerkapacitet, hvilket kan udgøre et naturligt første skridt (listen er udarbejdet [DATO] med henvisning til producenternes egen dokumentation).
Vær opmærksom
De konkrete krav til kunden fastsættes af den kompetente myndighed i den pågældende sektor, og det, der gælder for dig som leverandør, er det, kunden indskriver i udbudsmateriale og kontrakt.
Hvad gør du nu?
- Spørg dine største kunder, om de er udpeget, og hvem der er deres ansvarlige kontaktperson vedrørende CER-implementeringen.
- Gennemgå jeres servicekontrakter med særligt fokus på responstider, ændringshåndtering og dokumentationskrav.
- Udarbejd en standardiseret dokumentationspakke for hvert enkelt anlæg, som kan udleveres med kort varsel ved inspektioner og audits.
- Afklar med dine teknikere, hvordan I håndterer baggrundstjek, sikkerhedsgodkendelser og adgangsrettigheder hos kritiske kunder.
CER er formelt kundens lovgivning, men det er ofte installatøren, der i praksis gør det muligt at efterleve den.
Kilder Styrelsen for Samfundssikkerhed · Lov om kritiske enheders modstandsdygtighed (lov nr. 433 af 6. maj 2025) · PwC · KPMG · DLA Piper