Hva unntaket sier
Brudd på artikkel 14 kan gi overtredelsesgebyr på opptil 15 millioner euro eller 2,5 prosent av den globale årsomsetningen, det som er høyest (artikkel 64(2)). Artikkel 64(10) gjør ett unntak: produsenter som er mikroforetak eller små foretak, får ikke overtredelsesgebyr for å bomme på 24-timersfristen for den tidlige varslingen, verken for en aktivt utnyttet sårbarhet eller en alvorlig hendelse.
Fortalepunkt 120 sier det rett ut, og legger til at medlemslandene heller ikke skal ilegge andre økonomiske sanksjoner for det.
Dette dekker det ikke
- Selve varslingen. Plikten til å sende den tidlige varslingen står ved lag. Unntaket gjelder gebyret for å være for sen, ikke retten til å la være.
- Varslingen etter 72 timer og sluttrapporten. Bommer dere på dem, kan det gi gebyr som vanlig.
- Mellomstore og større bedrifter. Bare mikroforetak og små foretak er omfattet.
- Resten av CRA. Fra 11. desember 2027 kan også mangler ved sikkerhetskravene og sårbarhetshåndteringen gi gebyr, uansett størrelse. Størrelsen teller da når gebyret fastsettes (artikkel 64(5)).
En detalj i ordlyden
Artikkel 64(10) er skrevet som et unntak fra nummer 3 til 9, mens gebyrene for brudd på artikkel 14 står i nummer 2. Leser man ordlyden bokstavelig, treffer henvisningen ikke det leddet som teller. Fortalepunkt 120 sier uten forbehold hva som er ment. Skulle det noen gang få betydning i en konkret sak, er det et spørsmål for en advokat.
Er dere et lite foretak?
CRA bruker EUs definisjon (rekommandasjon 2003/361/EF):
| Ansatte (årsverk) | Årlig omsetning eller balansesum | |
|---|---|---|
| Mikroforetak | Færre enn 10 | Høyst 2 millioner euro |
| Lite foretak | Færre enn 50 | Høyst 10 millioner euro |
| Mellomstort foretak | Færre enn 250 | Omsetning høyst 50 millioner euro, eller balansesum høyst 43 millioner euro |
Er selskapet del av et konsern, teller konsernets tall med. Et datterselskap av et stort konsern er ikke et lite foretak, uansett hvor lite det er alene. Og kategorien endres først når dere har ligget over eller under en grense i to regnskapsår på rad.
Norske produsenter
Gebyrene fastsettes etter reglene i hvert medlemsland og ilegges av markedstilsynet der (artikkel 64(1)). Til CRA er tatt inn i EØS-avtalen, kan norske myndigheter ikke ilegge sanksjoner etter CRA (gjelder CRA før EØS?). For produktene dere selger i EU, er håndhevingen en sak for myndighetene i medlemslandene det gjelder.
Hvorfor dere bør holde 24 timer likevel
- Varslingen etter 72 timer og sluttrapporten har egne frister, og de er ikke unntatt.
- CSIRT-ene og ENISA trenger varselet for å advare andre i tide. Det er derfor fristen er så kort.
- Kunder og partnere spør. En bommet frist er vanskelig å forklare i en sikkerhetsgjennomgang, med eller uten gebyr.
- Det finnes hjelp: CSIRT-ene som er utpekt som koordinatorer, skal gi brukerstøtte om rapporteringen, særlig til mikroforetak, små og mellomstore bedrifter (artikkel 17(6)).
Når fristen starter, står i artikkelen om aktivt utnyttede sårbarheter, og hva hvert varsel skal inneholde, i CRA-håndboken.
