Det er salget i EU som teller
CRA gjelder for produkter med digitale elementer som gjøres tilgjengelige på markedet, og markedet er EUs (artikkel 2(1) og 3(22)). Det er produktet som selges i EU, som utløser pliktene, ikke hvor produsenten holder til. Et norsk selskap som selger egne produkter under eget navn til kunder i Sverige, direkte eller gjennom en forhandler, er produsent etter forordningen for de produktene.
Nkom sier det samme: en produsent etablert i Norge kan omfattes av artikkel 14 for produkter som gjøres tilgjengelige i EU (Nkom, 11. september 2026).
Dette gjelder allerede
Artikkel 14 har gjeldt siden 11. september 2026. Blir dere kjent med en aktivt utnyttet sårbarhet i et produkt, eller en alvorlig hendelse som påvirker sikkerheten i det, skal dere sende:
- en tidlig varsling innen 24 timer
- en varsling om sårbarheten eller hendelsen innen 72 timer
- en sluttrapport: for en sårbarhet senest 14 dager etter at en rettelse eller et avbøtende tiltak er tilgjengelig, for en hendelse innen en måned etter varslingen
Dere skal også informere brukerne som er berørt (artikkel 14(8)). Varslene går samtidig til en CSIRT og til ENISA, gjennom ENISAs felles rapporteringsplattform (SRP), som har vært i drift siden samme dag. Hva hvert varsel skal inneholde, står i CRA-håndboken.
Også produkter fra før
Rapporteringsplikten gjelder ikke bare nye produkter. Etter artikkel 69(3) gjelder artikkel 14 for alle produkter innenfor forordningen som er brakt i omsetning før 11. desember 2027. En gateway dere solgte i Danmark i 2021, er omfattet hvis dere i dag blir kjent med at en sårbarhet i den utnyttes aktivt.
Hvem dere rapporterer til
Har selskapet ingen etablering i EU, avgjør artikkel 14(7) hvilket land varslene går til: der den autoriserte representanten for flest av produktene deres er etablert, ellers importøren som står for flest av dem, ellers distributøren som står for flest, ellers landet der flest av brukerne er. Har dere en etablering i EU, for eksempel en filial, går de til landet der beslutningene om produktenes cybersikkerhet i hovedsak tas, eller der dere har flest ansatte i EU.
Rapportering fra Norge går gjennom ruten steg for steg, og rutefinneren gir dere CSIRT-en for produktene deres.
Dette venter på EØS-avtalen
CRA er markert som EØS-relevant, men er ikke tatt inn i EØS-avtalen. Til det skjer:
- gjelder CRA ikke for produkter som bare selges i Norge
- kan Nkom ikke ta imot varsler, og norske myndigheter kan ikke føre tilsyn eller ilegge sanksjoner etter CRA
- går varslene om produktene dere selger i EU, til en CSIRT i et EU-land
Regjeringen har varslet at Nkom får tilsynsansvaret for CRA i Norge, og forslaget til statsbudsjett for 2027 har 3,9 millioner kroner ekstra til Nkoms oppfølging av CRA (Nkom, 7. oktober 2026). Når forordningen skal gjelde i Norge, er ikke bestemt. Fra den dagen gjelder den også for produkter som bare selges her, og varslene skal kunne gå til norske myndigheter.
Det bør dere gjøre nå
- List opp produktene dere selger i EU, også eldre modeller som fortsatt er i bruk.
- Finn rapporteringsruten: hvem som representerer, importerer og distribuerer flest av produktene deres i EU.
- Gi to personer tilgang til SRP, hver med en EU Login-konto og tofaktorautentisering.
- Bestem hvem som kan sende en tidlig varsling innen 24 timer, også i helger og ferier.
- Avklar hvordan dere når brukerne med råd om hva de bør gjøre.
