Skal sikre smartprodukter bedre – fra nå gjelder nye krav til rapportering

Cyber Resilience Act er forordning (EU) 2024/2847 om horisontale cybersikkerhetskrav for produkter med digitale elementer. Formålet er å sikre at både maskinvare og programvare oppfyller grunnleggende krav til cybersikkerhet gjennom hele produktets livssyklus. Forordningen stiller krav til design, utvikling, produksjon, sårbarhetshåndtering, dokumentasjon, samsvarsvurdering og CE-merking. 

CRA trådte i kraft i EU 10. desember 2024. De fleste kravene gjelder fra 11. desember 2027. Men to deler gjelder før dette: kapittel IV om tekniske kontrollorganer gjaldt fra 11. juni 2026, og artikkel 14 om produsentenes rapporteringsplikter fra 11. september 2026. 

For Norge er rettsakten markert som EØS-relevant og er under vurdering i EØS/EFTA-statene. Regjeringen har varslet at Nkom får tilsynsansvaret for CRA i Norge. 

Kravene i CRA vil gjelde for alle norske produsenter som plasserer sitt produkt på det Europeiske marked. Nkom jobber med å forberede seg for implementeringen av CRA i norsk lov og til rollen som tilsynsmyndighet.

CRA artikkel 14 innfører rapporteringsplikter for produsenter ved aktivt utnyttede sårbarheter og alvorlige hendelser som påvirker sikkerheten til produkter med digitale elementer. Plikten gjelder formelt produsenten, men er viktig også for importører. Importører må sikre at de har avtaler, varslingsrutiner og kontaktpunkter som gjør det mulig å oppdage, eskalere og følge opp slike forhold i verdikjeden. 

Rapportering skal skje gjennom den felles europeiske rapporteringsplattformen, Single Reporting Platform (SRP), som ENISA skal etablere og drifte. Plattformen skal etter planen være operativ fra 11. september 2026, samtidig som rapporteringspliktene etter artikkel 14 begynner å gjelde. 

Produsenter skal rapportere to hovedtyper forhold: 

• aktivt utnyttede sårbarheter i produkter med digitale elementer 

• alvorlige hendelser som har innvirkning på produktets sikkerhet 

Rapporteringen skjer i flere trinn. Det skal gis et tidlig varsel uten ugrunnet opphold og senest innen 24 timer etter at produsenten ble kjent med sårbarheten eller hendelsen. Deretter skal det sendes en mer utfyllende melding senest innen 72 timer. For alvorlige hendelser skal endelig rapport sendes innen én måned etter den første meldingen. For aktivt utnyttede sårbarheter skal endelig rapport sendes senest 14 dager etter at et korrigerende tiltak, for eksempel en sikkerhetsoppdatering, er tilgjengelig. 

 Importører bør sikre at leverandøravtaler regulerer hvem som skal varsle, hvordan informasjon skal deles, hvilke kontaktpunkter som skal brukes, og hvordan importøren skal få tilgang til nødvendig informasjon om sårbarheter, oppdateringer og hendelser. 

CRA er per 11. september 2026 ikke innlemmet i EØS-avtalen. Norske myndigheter har derfor ikke uten særskilt norsk rettsgrunnlag CRA-kompetanse til å føre tilsyn eller ilegge CRA-sanksjoner. En produsent etablert i Norge kan likevel omfattes av artikkel 14 for produkter som gjøres tilgjengelige på EU-markedet. Etter artikkel 14 nr. 7 skal rapporteringen i slike tilfeller kanaliseres til en relevant EU-medlemsstat basert på produsentens autoriserte representant, importør, distributør eller brukerlokalisering.

CRA gjelder for «produkter med digitale elementer». Dette omfatter i hovedsak programvare- og maskinvareprodukter, inkludert fjernbehandlingsløsninger som er nødvendige for at produktet skal fungere. Typiske eksempler er PC-er, rutere, smart-TV-er, smarte klokker og annet utstyr som kan kobles til internett eller kommunisere med andre enheter eller nettverk. 

For IoT-utstyr (fysiske gjenstander som er koblet til internett og kan sende eller motta data) innebærer dette at både selve den fysiske enheten, innebygd programvare, oppdateringsmekanismer og tilhørende digitale tjenester kan være relevante ved vurderingen av om produktet oppfyller CRA. Produkter som allerede er regulert av særskilte EU-regelverk, for eksempel visse medisinske produkter, luftfartsprodukter og kjøretøy, kan være unntatt. Det er opp til produsent, importør og distributør å være kjent med hvilket regelverk som omfatter deres produkt.

En importør er en aktør etablert i EU/EØS som bringer et produkt med digitale elementer fra en produsent både innenfor og utenfor EU/EØS i omsetning på markedet. For norske importører av IoT-utstyr betyr CRA at virksomheten må kontrollere at produktene de importerer, oppfyller regelverket før de gjøres tilgjengelige i markedet. 

Importøren skal bare bringe produkter i omsetning dersom produktet oppfyller de grunnleggende cybersikkerhetskravene i anneks I, og dersom produsenten har etablert nødvendige prosesser for sårbarhetshåndtering. Importøren må blant annet kontrollere at produsenten har gjennomført samsvarsvurdering, utarbeidet teknisk dokumentasjon, merket produktet korrekt med CE-merking og lagt ved nødvendig informasjon og bruksanvisning. 

Dersom importøren har grunn til å tro at et produkt ikke oppfyller kravene, skal produktet ikke bringes i omsetning før det er brakt i samsvar. Dersom produktet kan utgjøre en betydelig cybersikkerhetsrisiko, må importøren informere produsenten og relevante markedstilsynsmyndigheter. 

Dette innebærer at importøren ikke kan basere seg på en ren kommersiell vurdering av leverandøren. Importøren må ha rutiner for juridisk og teknisk kontroll av produktet, dokumentasjonen og produsentens oppfølgingsforpliktelser. 

Anneks I er sentralt for importører fordi det angir hvilke krav produktet og produsentens prosesser må oppfylle. Kravene er delt i to hoveddeler. 

Del I gjelder produktets egenskaper. Produkter med digitale elementer skal designes, utvikles og produseres slik at de gir et egnet cybersikkerhetsnivå basert på risiko. Produktene skal blant annet leveres uten kjente utnyttbare sårbarheter, ha sikker standardkonfigurasjon, beskytte mot uautorisert tilgang, beskytte konfidensialitet, integritet og tilgjengelighet, og kunne motta sikkerhetsoppdateringer. 

Del II gjelder sårbarhetshåndtering. Produsenten må ha prosesser for å identifisere, dokumentere og håndtere sårbarheter, inkludert sikkerhetsoppdateringer og offentliggjøring av informasjon der det er relevant. Dette er særlig viktig for IoT-utstyr, hvor produktet ofte er i bruk i mange år og kan være vanskelig å oppdatere dersom oppdateringsmekanismen ikke er planlagt fra start.

Anneks II stiller krav til informasjonen som skal følge produktet. Importøren bør kontrollere at nødvendig dokumentasjon faktisk følger produktet, og at brukere får informasjon som gjør det mulig å installere, bruke, oppdatere og avvikle produktet på en sikker måte. 

For IoT-utstyr kan dette for eksempel gjelde informasjon om sikker konfigurasjon, oppdateringer, supportperiode, kontaktpunkt for sårbarhetsrapportering og hvilke funksjoner som påvirker behandling av data eller nettverkstilkobling. 

Anneks III og IV lister produkter som anses som henholdsvis viktige og kritiske produkter med digitale elementer. Slike produkter kan være underlagt strengere samsvarsvurderingskrav enn ordinære produkter. 

Importører bør derfor avklare om produktet de importerer, faller inn under en av disse kategoriene. Klassifiseringen kan ha betydning for hvilken dokumentasjon produsenten må ha, om et teknisk kontrollorgan må involveres, og hvilken kontroll importøren bør gjøre før produktet bringes i omsetning. 

Anneks V angir innholdet i EU-samsvarserklæringen, mens anneks VI gjelder forenklet EU-samsvarserklæring. Importøren bør kontrollere at erklæringen finnes, at den viser til korrekt produkt, korrekt regelverk og relevante standarder eller samsvarsvurderingsmetoder. 

Dette er ikke bare et formkrav. Samsvarserklæringen er en sentral del av dokumentasjonen som viser at produsenten påtar seg ansvar for at produktet oppfyller CRA.

Anneks VII angir hva den tekniske dokumentasjonen skal inneholde. Dokumentasjonen skal blant annet beskrive produktet, design og utvikling, produksjon, sårbarhetshåndtering, relevante standarder, tester og samsvarsvurdering. Den skal også inneholde kopi av EU-samsvarserklæringen. 

Importøren trenger ikke nødvendigvis å oppbevare all teknisk dokumentasjon selv, men må kunne sikre at dokumentasjonen finnes og kan gjøres tilgjengelig for tilsynsmyndighetene ved behov. Dette bør reguleres i avtaler med produsenten. 

Anneks VIII beskriver samsvarsvurderingsprosedyrene. Hvilken prosedyre som gjelder, avhenger blant annet av produktkategori og risiko. For enkelte produkter kan produsenten bruke intern produksjonskontroll, mens andre produkter kan kreve involvering av teknisk kontrollorgan. 

For importører er hovedpoenget at samsvarsvurderingen må være gjennomført før produktet bringes i omsetning. Importøren bør ikke akseptere produkter der det er uklart hvilken prosedyre som er brukt, eller der dokumentasjonen ikke samsvarer med produktets faktiske funksjoner.

• etablere interne rutiner for CRA-kontroll før produkter tas inn i sortimentet 
• kreve dokumentasjon på samsvarsvurdering, CE-merking og EU-samsvarserklæring 
• kontrollere at brukerinformasjon og sikkerhetsinformasjon følger produktet 
• sikre avtaler med produsenten om sårbarhetshåndtering, sikkerhetsoppdateringer og supportperiode 
• etablere kontaktpunkter og eskaleringsrutiner for hendelser og sårbarheter 
• avklare hvordan produsenten vil oppfylle rapporteringspliktene fra 11. september 2026 
• dokumentere egne vurderinger i tilfelle markedstilsyn