I midten av oktober blei franske matvarekjeder utsette for hacking, og temperaturen i frysarar blei justert kraftig opp slik at tonnevis med mat måtte kastast. Dei siste dagane har også kjeder og butikkar i andre europeiske land blitt utsette for liknande angrep.

– Dette er noko Nkom følgjer tett gjennom arbeidet med cyberrobustheitsforordninga. Regelverket har enno ikkje tredd i kraft i Noreg, men vi kan ikkje vere naive og tru at slike hendingar ikkje også kan ramme norske brukarar og verksemder. Derfor er det viktig at aktørar i heile verdikjeda, frå produsentar og importørar til norske daglegvareaktørar, tek ansvar for tryggleiken i produkta ved å kartleggje systema sine, sørgje for løpande oppdateringar og lukke kjende sårbarheiter så raskt som mogleg, seier Espen Slette, avdelingsdirektør i Nkom.

Utviklinga innan kunstig intelligens gjer utfordringsbiletet meir krevjande. Stadig kraftigare KI-modellar kan bidra til at tryggleikshol blir oppdaga raskare, men også til at sårbarheiter kan utnyttast raskare og i større skala.

Det skjerpar krava til at både styresmakter og næringsliv følgjer utviklinga tett og arbeider systematisk med tryggleik gjennom heile levetida til produktet.

– Generelt viser desse hendingane risikoen ved å ha IoT-produkt kopla til internett. Dette inneber at produsentar og brukarar må ta eit større tryggleiksansvar. Verksemdene bør allereie no stille spørsmål til leverandørar om oppdateringar, sårbarheitshandtering og tryggleiksstøtte, uavhengig av om cyberrobustheitsforordninga har tredd i kraft i Noreg eller ikkje, seier Slette.

Espen Slette, avdelingsdirektør i Nkom

Info om CRA

Kva er Cyber Resilience Act? 

Cyber Resilience Act er forordning (EU) 2024/2847 om horisontale cybersikkerheitskrav for produkt med digitale element. Føremålet er å sikre at både maskinvare og programvare oppfyller grunnleggjande krav til cybersikkerheit gjennom heile livssyklusen til produktet. Forordninga stiller krav til design, utvikling, produksjon, sårbarheitshandtering, dokumentasjon, samsvarsvurdering og CE-merking.

CRA tredde i kraft i EU 10. desember 2024. Dei fleste krava gjeld frå 11. desember 2027. Men to delar gjeld før dette: Kapittel IV om tekniske kontrollorgan gjaldt frå 11. juni 2026, og artikkel 14 om rapporteringspliktene til produsentane frå 11. september 2026.

For Noreg er rettsakta markert som EØS-relevant og er under vurdering i EØS/EFTA-statane. Regjeringa har varsla at Nkom får tilsynsansvaret for CRA i Noreg.

Krava i CRA vil gjelde for alle norske produsentar som plasserer produkta sine på den europeiske marknaden. Nkom arbeider med å førebu seg på implementeringa av CRA i norsk lov og på rolla som tilsynsstyresmakt.

Rapporteringsplikter og varsling til styresmaktene (gjeld frå 11. september 2026) 

CRA artikkel 14 innfører rapporteringsplikter for produsentar ved aktivt utnytta sårbarheiter og alvorlege hendingar som påverkar tryggleiken til produkt med digitale element. Plikta gjeld formelt produsenten, men er viktig også for importørar. Importørar må sikre at dei har avtalar, varslingsrutinar og kontaktpunkt som gjer det mogleg å oppdage, eskalere og følgje opp slike forhold i verdikjeda.

Rapportering skal skje gjennom den felles europeiske rapporteringsplattforma, Single Reporting Platform (SRP), som ENISA skal etablere og drifte. Plattforma skal etter planen vere operativ frå 11. september 2026, samtidig som rapporteringspliktene etter artikkel 14 tek til å gjelde.

Produsentar skal rapportere to hovudtypar forhold:

  • aktivt utnytta sårbarheiter i produkt med digitale element
  • alvorlege hendingar som har innverknad på tryggleiken til produktet

Rapporteringa skjer i fleire trinn. Det skal givast eit tidleg varsel utan ugrunna opphald og seinast innan 24 timar etter at produsenten blei kjend med sårbarheita eller hendinga. Deretter skal det sendast ei meir utfyllande melding seinast innan 72 timar. For alvorlege hendingar skal endeleg rapport sendast innan éin månad etter den første meldinga. For aktivt utnytta sårbarheiter skal endeleg rapport sendast seinast 14 dagar etter at eit korrigerande tiltak, til dømes ei tryggleiksoppdatering, er tilgjengeleg.

Importørar bør sikre at leverandøravtalar regulerer kven som skal varsle, korleis informasjon skal delast, kva kontaktpunkt som skal brukast, og korleis importøren skal få tilgang til nødvendig informasjon om sårbarheiter, oppdateringar og hendingar.

CRA er per 11. september 2026 ikkje innlemma i EØS-avtalen. Norske styresmakter har derfor ikkje, utan særskilt norsk rettsgrunnlag, CRA-kompetanse til å føre tilsyn eller ileggje CRA-sanksjonar. Ein produsent etablert i Noreg kan likevel omfattast av artikkel 14 for produkt som blir gjorde tilgjengelege på EU-marknaden. Etter artikkel 14 nr. 7 skal rapporteringa i slike tilfelle kanaliserast til ein relevant EU-medlemsstat basert på den autoriserte representanten til produsenten, importøren, distributøren eller lokaliseringa til brukaren.

Kva produkt er omfatta?

CRA gjeld for «produkt med digitale element». Dette omfattar i hovudsak programvare- og maskinvareprodukt, inkludert fjernbehandlingsløysingar som er nødvendige for at produktet skal fungere. Typiske døme er PC-ar, rutarar, smart-TV-ar, smartklokker og anna utstyr som kan koplast til internett eller kommunisere med andre einingar eller nettverk.

For IoT-utstyr (fysiske gjenstandar som er kopla til internett og kan sende eller ta imot data) inneber dette at både sjølve den fysiske eininga, innebygd programvare, oppdateringsmekanismar og tilhøyrande digitale tenester kan vere relevante ved vurderinga av om produktet oppfyller CRA. Produkt som allereie er regulerte av særskilde EU-regelverk, til dømes visse medisinske produkt, luftfartsprodukt og køyretøy, kan vere unnatekne. Det er opp til produsentar, importørar og distributørar å kjenne til kva regelverk som omfattar produkta deira.

Kva betyr CRA for importørar?

Ein importør er ein aktør etablert i EU/EØS som bringar eit produkt med digitale element frå ein produsent både innanfor og utanfor EU/EØS i omsetning på marknaden. For norske importørar av IoT-utstyr betyr CRA at verksemda må kontrollere at produkta dei importerer, oppfyller regelverket før dei blir gjorde tilgjengelege på marknaden.

Importøren skal berre bringe produkt i omsetning dersom produktet oppfyller dei grunnleggjande cybersikkerheitskrava i anneks I, og dersom produsenten har etablert nødvendige prosessar for sårbarheitshandtering. Importøren må mellom anna kontrollere at produsenten har gjennomført samsvarsvurdering, utarbeidd teknisk dokumentasjon, merkt produktet korrekt med CE-merking og lagt ved nødvendig informasjon og bruksrettleiing.

Dersom importøren har grunn til å tru at eit produkt ikkje oppfyller krava, skal produktet ikkje bringast i omsetning før det er bringa i samsvar. Dersom produktet kan utgjere ein betydeleg cybersikkerheitsrisiko, må importøren informere produsenten og relevante marknadstilsynsstyresmakter.

Dette inneber at importøren ikkje kan basere seg på ei rein kommersiell vurdering av leverandøren. Importøren må ha rutinar for juridisk og teknisk kontroll av produktet, dokumentasjonen og oppfølgingspliktene til produsenten.