Kort svar
Miljøstyrelsen sendte den 21. september 2026 et udkast til bekendtgørelse om beredskab for almene vandforsyninger og spildevandsforsyningsselskaber i høring. Efter udkastet skal almene vandforsyninger og spildevandsselskaber, som ikke er CER-identificerede:
- registrere sig hos Miljøstyrelsen senest 1. juli 2027
- have en ledelsesgodkendt beredskabsplan, der også findes i fysisk form
- have fysisk sikring og – hvis OT-infrastrukturen er eksponeret mod internettet – opfylde minimumskrav til cybersikkerhed
- underrette Miljøstyrelsen om væsentlige hændelser uden unødigt ophold og senest inden for 72 timer
Høringsfristen er 19. oktober 2026. Udkastet foreslår ikrafttræden 1. januar 2027, registrering senest 1. juli 2027 og virkning af kravene i §§ 6–16 fra 1. juli 2027.
Er kravene endelige?
Nej. Der er tale om et høringsudkast, og teksten kan ændre sig. Udkastets hjemmelshenvisninger til vandforsyningsloven og miljøbeskyttelsesloven er endnu ikke færdigudfyldt (»lov nr. XX af XXXX«), og det tidligere lovforslag L 136 bortfaldt uden at blive vedtaget. Udkastet dokumenterer altså ikke i sig selv, at lovhjemlen er på plads.
To afgrænsninger er heller ikke entydige endnu:
- NIS2: Høringsbrevet beskriver målgruppen som forsyninger uden for NIS 2-loven og CER-loven, men udkastet undtager udtrykkeligt kun CER-identificerede forsyninger. Forholdet til forsyninger, der alene er omfattet af NIS2, bør afklares.
- Procedurer på niveau 0: § 13 stiller procedurekrav til niveau 1, men § 14, stk. 2, gentager procedurekravet under bestemmelsen, der også gælder niveau 0.
Retningen er dog tydelig: Miljøstyrelsen arbejder efter en tidsplan, hvor kravene gælder fra sommeren 2027. For en bestyrelse, der skal godkende en ny plan og indgå aftaler med kommune og naboforsyninger, er det ikke lang tid.
Tre niveauer
| Niveau | Hvem | Omfattet? |
|---|---|---|
| Niveau 0 | Almene vandforsyninger, der hverken er omfattet af vandsektorlovens § 2, stk. 1, eller er CER-identificerede – typisk mindre, forbrugerejede vandværker, men ejerformen afgør ikke niveauet | Ja |
| Niveau 1 | Vandforsyninger omfattet af vandsektorlovens § 2, stk. 1, samt spildevandsforsyningsselskaber, som ikke er CER-identificerede | Ja |
| Niveau 2 | Vand- og spildevandsforsyninger, der er identificeret som kritisk enhed efter CER-loven | Nej – reguleres af CER-loven |
Miljøstyrelsen kan flytte en vandforsyning til et højere eller lavere niveau, hvis særlige forhold gør sig gældende. Forsyninger i et samordnet beredskab beholder hver sit niveau.
Registreringen skal indeholde navn, CVR-nummer, adresse, et operationelt kontaktpunkt og niveau. Nyetablering og ændringer i oplysningerne skal meddeles Miljøstyrelsen senest tre måneder efter.
Beredskabsplanen: ni minimumselementer
Efter udkastets § 7 skal både niveau 0 og niveau 1 have en ledelsesgodkendt beredskabsplan. Den kan bestå af delplaner, procedurer og instrukser og skal mindst beskrive:
- intern ansvars- og rollefordeling, herunder vagtordning og krisestab
- mulighed for ekstra ressourcer og materiel, herunder støtte fra andre forsyninger efter aftale
- operationel ansvarsfordeling med samarbejdspartnere og leverandører
- kontaktoplysninger på relevante personer
- kriterier for aktivering af krisestaben
- planer for intern og ekstern kommunikation
- relationen til kommunens beredskabsplanlægning, herunder roller, ansvar og koordinering
- relationen til ledningsforbundne naboforsyningers beredskabsplanlægning
- samordningen med de spildevandsforsyninger, der håndterer spildevandet fra vandforsyningens område – og for spildevandsselskaber med vandforsyningerne i oplandet
Planen skal være tilgængelig i fysisk form – den skal altså kunne bruges, selv når it-systemerne er nede.
Niveau 1 skal desuden holde en procedureøvelse mindst hvert andet år med udgangspunkt i egne planer. Niveau 0 har ikke et øvelseskrav i udkastet.
Cybersikkerhed – hvis OT er på internettet
Cyberkravene i §§ 8–9 gælder, hvis forsyningens OT-infrastruktur (fx SRO/SCADA) er eksponeret mod det offentlige internet.
Niveau 0 skal mindst have stærke adgangskoder til alle systemer, sikker fjernadgang, overblik over de mest kritiske systemer og adgangen til dem, antivirus og firewall samt løbende sikkerhedsopdateringer.
Niveau 1 skal herudover have flerfaktor-autentifikation, implementere leverandørens anbefalinger, segmentere netværket, udarbejde en it-beredskabsplan og logge fjernadgange.
Fysisk sikring
Begge niveauer skal forebygge, opdage og reagere på forsøg på uautoriseret adgang til installationer. Minimumskravene er styret adgangskontrol og sikring, der forsinker og besværliggør indtrængen, på vandindvindingsanlæg eller spildevandsanlæg.
Niveau 1 skal også have elektronisk overvågning, der kan opdage og verificere indtrængen, samt procedurer for håndtering af alarmer om ulovlig indtrængen – og årligt kontrollere, at procedurerne gennemføres effektivt.
Underretning om væsentlige hændelser
Begge niveauer skal underrette Miljøstyrelsen uden unødigt ophold og senest 72 timer efter at have fået kendskab til en væsentlig hændelse. En hændelse er væsentlig, hvis den:
- har forårsaget eller kan forårsage alvorlige driftsforstyrrelser
- har forårsaget eller kan forårsage økonomisk tab – et tab over 1 mio. kr. nævnes som eksempel
- har påvirket eller kan påvirke andre ved at forårsage betydelig skade
- har givet begrundet mistanke om eller kendskab til indbrud, tyveri, sabotage eller spionage
Niveau 1 skal desuden have faste procedurer for underretning, der dokumenterer hændelsesforløbet og kommunikationen.
Tilsyn og sanktioner
Efter udkastets §§ 15–16 skal Miljøstyrelsen føre tilsyn og kunne meddele påbud. Manglende registrering, plan, øvelse, sikring eller underretning kan efter udkastet straffes med bøde, og selskaber kan pålægges strafansvar.
Hvad bør et vandværk gøre nu?
- Afklar jeres niveau – og om I allerede er omfattet af NIS2 eller CER.
- Lav en risikovurdering. Udkastet kræver “passende og forholdsmæssige” foranstaltninger. En vurdering af jeres egne risici er et godt grundlag for at vælge og begrunde dem. Se vores guide til risikovurdering for vandværker.
- Tjek OT-eksponeringen. Kan SRO-anlægget nås fra internettet, fx via leverandørens fjernadgang?
- Opdatér beredskabsplanen efter de ni elementer, og få den godkendt af bestyrelsen. Brug gerne vores skabelon til vandværker som udgangspunkt.
- Tænk kontinuitet, ikke kun krise. Hvor længe kan I levere uden strøm, kemikalier, SRO-leverandør eller nøglepersoner – og hvordan genopretter I forsyningen?
- Afstem med kommunen og naboforsyningerne, og aftal gensidig støtte skriftligt.
- Planlæg den første øvelse – også selvom I er på niveau 0. Se øvelser.
Brug primære kilder
Kravene ovenfor bygger på høringsudkastet. Kontrollér altid den endelige bekendtgørelse på Retsinformation og Miljøstyrelsens vejledning, når den foreligger. Se også vores statusside om vandsektorberedskab og den praktiske guide til beredskabsplan for vandværker.