NIS2, CER, CRA og alle de andre: hvilke regler rammer egentlig sikringsbranchen?
Der vedtages i disse år en lang række EU-regelsæt, hvis forkortelser minder påfaldende meget om hinanden, men reglerne retter sig mod to fundamentalt forskellige parter: kunden, der ejer og driver anlægget, og producenten, der udvikler og fremstiller produkterne.
Sidder du også med en fornemmelse af, at der introduceres en ny forkortelse hver eneste måned, er du langt fra alene, for NIS2, CER, CRA, RED og AI-forordningen er alle kommet til inden for få år, og udtrykkene blandes ofte sammen til diverse møder, hvor ingen deltagere nødvendigvis forstår præcist, hvad der refereres til.
Hvorfor opstår forvirringen?
Forvirringen opstår, fordi regelsættene lyder påfaldende ens, men reelt regulerer to fundamentalt forskellige forhold, og groft sagt kan de inddeles i to kategorier:
- Regler for kunden: altså virksomheden, der ejer, anvender og driver sikringsanlægget i dagligdagen og bærer det organisatoriske ansvar.
- Regler for produktet: altså producenten, der udvikler, fremstiller og vedligeholder kameraet, netværksoptageren eller kortlæseren.
| Regel | Stiller krav til | Gælder |
|---|---|---|
| NIS2 | Kunden | Siden juli 2025 |
| CER | Kunden (kritiske enheder) | Ti måneder efter udpegning |
| TV-overvågningsloven og GDPR | Alle organisationer med videoovervågning | Gældende allerede i dag |
| CRA | Producenten | Indrapportering nu, øvrige krav december 2027 |
| RED | Producenten (trådløse produkter) | Siden august 2025 |
| AI-forordningen | Producent og bruger | Delvist nu. Skærpede krav til fx ansigtsgenkendelse fra december 2027 |
Overblikket er forenklet, og de konkrete detaljer fremgår af de enkelte artikler samt af myndighedernes vejledninger.
Hvilke regler rammer kunden?
- NIS2: stiller omfattende krav til cybersikkerheden i mellemstore og store virksomheder inden for kritiske og vigtige sektorer, og eftersom kravene også omfatter det fysiske miljø omkring netværks- og informationssystemerne, er adgangskontrol, indbrudsalarmering og videoovervågning en integreret del af billedet, hvilket har været gældende i Danmark siden juli 2025. → Læs mere om NIS2
- CER: omhandler den fysiske modstandsdygtighed hos virksomheder, der er udpeget som kritiske enheder, eksempelvis inden for energiforsyning, transport og sundhedsvæsen, og eftersom udpegningen skulle være gennemført senest 17. juli 2026, har virksomhederne efterfølgende ti måneder til at implementere de lovpligtige foranstaltninger. → Læs mere om CER
- TV-overvågningsloven og GDPR: gælder samtlige organisationer, der anvender videoovervågning, og regulerer blandt andet, hvor der må optages, hvor længe optagelserne må opbevares, og hvordan overvågningen skal skiltes over for medarbejdere og besøgende. → Læs mere om TV-overvågningsloven og GDPR
Hvilke regler rammer produktet?
- CRA (Cyber Resilience Act): stiller cybersikkerhedskrav til samtlige produkter med digitale elementer, herunder IP-kameraer, netværksoptagere og adgangskontrolcentraler, og producenterne skal indrapportere aktivt udnyttede sårbarheder fra september 2026, mens de fulde produktkrav træder i kraft i december 2027. → Læs mere om CRA
- RED: stiller cybersikkerhedskrav til trådløse produkter, eksempelvis kameraer og kortlæsere med wifi- eller Bluetooth-funktionalitet, og kravene har været gældende for nye produkter på markedet siden august 2025. → Læs mere om RED
- AI-forordningen: regulerer anvendelsen af kunstig intelligens efter risikoniveau, således at genkendelse af personer på afstand, eksempelvis ansigtsgenkendelse i et kamerabillede, omfattes af skærpede krav, som dog er udskudt til december 2027, mens biometrisk verifikation ved et adgangspunkt ikke er omfattet af de skærpede krav. → Læs mere om AI-forordningen
Hvad betyder det for os i branchen?
Sikringsbranchen befinder sig strukturelt midt imellem de to kategorier, fordi kunden skal efterleve NIS2 og CER og derfor har behov for produkter, installationer og serviceydelser, der dokumenterbart overholder CRA og RED.
I praksis medfører udviklingen flere og væsentligt mere detaljerede krav i udbudsmateriale og tilbudsgivning, eksempelvis vedrørende enhedernes firmwareversioner, ansvarsfordelingen for sikkerhedsopdateringer og producentens dokumenterede sårbarhedshåndtering.
Det er dermed ikke længere tilstrækkeligt at levere et funktionsdygtigt anlæg, for installatøren skal i stigende grad kunne dokumentere og argumentere for, hvorfor installationen lever op til kundens samlede sikkerhedskrav.
Hvad betyder det for dig?
Betydningen afhænger primært af, hvor du befinder dig i værdikæden, og hvilke opgaver din organisation varetager:
- Slutkunder og sikkerhedsansvarlige: Begynd med NIS2 og CER, eftersom det er disse regelsæt, der afgør, om virksomheden har lovmæssige forpligtelser, og i givet fald hvilke foranstaltninger der kræves.
- Installatører og integratorer: Begynd med CRA og RED, eftersom disse regelsæt fremadrettet afgør, hvilke produkter du kan anbefale og levere med fagligt god samvittighed.
- Organisationer med biometri eller videoanalyse: Inddrag AI-forordningen i vurderingen, særligt hvis løsningen identificerer personer på afstand.
Regelsættene bliver næppe færre i de kommende år, men opdelt i kundekrav og produktkrav fremstår lovgivningen væsentligt mere overskuelig og håndterbar.
Kilder Styrelsen for Samfundssikkerhed (CER-loven) · NIS2-loven · EU-Kommissionen (Cyber Resilience Act og RED) · Dansk Standard (AI-forordningen) · Datatilsynet (tv-overvågning)