Nye på ordene? CRA-ordlisten forklarer CSIRT, KEV, SBOM og resten på vanlig norsk.
Gjelder CRA for produktet deres?
Noen spørsmål om virkeområdet til forordning (EU) 2024/2847. Ingenting dere krysser av, sendes noe sted.
Resultatet vises her etter hvert som dere svarer.
Veiledning, ikke juridisk rådgivning. Delegerte rettsakter etter art. 2(5) kan begrense CRA for produkter som er omfattet av andre EU-regler.
Kort fortalt
- CRA er forordning (EU) 2024/2847. Den stiller cybersikkerhetskrav til produkter med digitale elementer som gjøres tilgjengelige på EU-markedet, fra design til siste sikkerhetsoppdatering.
- Plikten til å rapportere aktivt utnyttede sårbarheter og alvorlige hendelser har gjeldt siden 11. september 2026. Resten gjelder fra 11. desember 2027.
- Det er salget i EU som utløser pliktene, ikke hvor produsenten holder til. Norske produsenter er omfattet for produktene de selger i EU.
- CRA er ikke tatt inn i EØS-avtalen. Til det skjer, gjelder den ikke for produkter som bare selges i Norge.
- De fleste produkter er i standardklassen, der produsenten vurderer samsvar selv. Viktige og kritiske produkter har strengere samsvarsvurdering.
- Brudd på kravene kan gi overtredelsesgebyr på opptil 15 millioner euro eller 2,5 prosent av global årsomsetning.
Tidslinjen
- 10. desember 2024: CRA trådte i kraft.
- 11. juni 2026: Reglene om tekniske kontrollorganer (kapittel IV) gjelder. Medlemslandene kan melde inn organene som skal gjøre samsvarsvurderinger.
- 11. september 2026: Rapporteringsplikten i artikkel 14 gjelder, også for produkter som kom på markedet før denne datoen (artikkel 69(3)).
- 11. desember 2027: Resten av CRA gjelder: de grunnleggende kravene i vedlegg I, samsvarsvurdering, CE-merking, teknisk dokumentasjon og pliktene til importører og distributører. Det gjelder produkter som bringes i omsetning fra den datoen. Eldre produkter blir bare omfattet hvis de endres vesentlig etterpå (artikkel 69(2)).
- Norge: CRA gjelder når forordningen er tatt inn i EØS-avtalen og norsk rett. Målet er 11. desember 2027, men datoen er ikke vedtatt.
Gjelder CRA for dere?
CRA gjelder produkter med digitale elementer som gjøres tilgjengelige på markedet, når tiltenkt eller rimelig forutsigbar bruk omfatter en direkte eller indirekte dataforbindelse til en enhet eller et nettverk (artikkel 2(1)). Et produkt med digitale elementer er programvare eller maskinvare, med den fjerndatabehandlingen produktet trenger for å virke. Komponenter som selges hver for seg, er også produkter (artikkel 3 nr. 1–2).
«Gjøres tilgjengelig på markedet» betyr levert i EU som ledd i en kommersiell aktivitet, mot betaling eller gratis (artikkel 3 nr. 22). Programvare dere bare tilbyr som tjeneste, uten et produkt hos kunden, er utenfor CRA (fortalepunkt 12).
CRA gjelder ikke for:
- medisinsk utstyr og utstyr til in vitro-diagnostikk (forordning (EU) 2017/745 og 2017/746)
- produkter som er omfattet av typegodkjenningsreglene for motorvogner i forordning (EU) 2019/2144
- produkter som er sertifisert etter luftfartsreglene i forordning (EU) 2018/1139
- skipsutstyr etter direktiv 2014/90/EU
- reservedeler som erstatter identiske komponenter og er laget etter samme spesifikasjoner
- produkter som er utviklet eller endret utelukkende for nasjonal sikkerhet eller forsvar, eller laget for å behandle gradert informasjon
Fri og åpen kildekode er bare omfattet når den leveres som ledd i en kommersiell aktivitet (fortalepunkt 17–18). Sjekken øverst på siden går gjennom spørsmålene for ett produkt om gangen.
Hvem har plikter
De fleste pliktene ligger på produsenten: den som utvikler eller produserer et produkt, eller får det laget, og markedsfører det under eget navn eller varemerke (artikkel 3 nr. 13). Forordningen har fire andre roller:
- Autorisert representant: en person i EU som produsenten har gitt skriftlig fullmakt til å utføre bestemte oppgaver (artikkel 18).
- Importør: den i EU som bringer i omsetning et produkt fra en produsent utenfor EU (artikkel 19). Selger en norsk produsent gjennom en forhandler i EU, er det som regel forhandleren.
- Distributør: andre i leverandørkjeden som gjør produktet tilgjengelig uten å endre det (artikkel 20).
- Forvalter av åpen kildekode: en juridisk person som systematisk støtter utviklingen av fri og åpen kildekode beregnet for kommersiell bruk. Den har lettere plikter og setter ikke CE-merke (artikkel 24 og fortalepunkt 19).
En importør eller distributør som setter eget navn på produktet, eller endrer det vesentlig, blir selv produsent (artikkel 21). Rollene avgjør også hvilket land rapportene går til, se Gjelder CRA før EØS?.
Produktklassene
Klassen avgjør hvordan samsvaret skal vurderes, og den bestemmes av produktets kjernefunksjon (artikkel 7(1)):
- Standard: de fleste produkter. Produsenten vurderer samsvar selv (intern kontroll, modul A).
- Viktig, klasse I (vedlegg III): blant annet operativsystemer, rutere og svitsjer, passordbehandlere, VPN, nettlesere og smarthjemprodukter med sikkerhetsfunksjoner. Intern kontroll er bare mulig når harmoniserte standarder, felles spesifikasjoner eller en europeisk ordning for cybersikkerhetssertifisering er brukt fullt ut. Ellers trengs et teknisk kontrollorgan.
- Viktig, klasse II (vedlegg III): hypervisorer og kjøremiljøer for containere, brannmurer og systemer for å oppdage og hindre inntrenging, og manipulasjonssikre mikroprosessorer og mikrokontrollere. Alltid et teknisk kontrollorgan eller en europeisk sertifiseringsordning.
- Kritisk (vedlegg IV): maskinvare med sikkerhetsbokser, gatewayer i smarte målersystemer, og smartkort og lignende enheter, inkludert sikre elementer. Europeisk sertifisering der en delegert rettsakt krever det, ellers som klasse II.
Per 1. november 2026 er ingen harmonisert standard for CRA sitert i EU-tidende, og ingen tekniske kontrollorganer er meldt inn under CRA. Produkter i klasse I må derfor foreløpig regne med et teknisk kontrollorgan.
Rapporteringspliktene er de samme i alle klasser. Sjekk klassen til produktet.
Kravene til produktet
Vedlegg I del I inneholder de grunnleggende cybersikkerhetskravene. Produktet skal ha et sikkerhetsnivå som står i forhold til risikoen, og risikovurderingen avgjør hvordan hvert krav gjelder for produktet (artikkel 13(2)–(3)). Blant kravene:
- ingen kjente utnyttbare sårbarheter når produktet bringes i omsetning
- sikre standardinnstillinger, og mulighet til å tilbakestille produktet
- sikkerhetsoppdateringer, der det er aktuelt automatisk som standard, med en enkel måte å reservere seg på
- beskyttelse mot uautorisert tilgang, med autentisering og tilgangskontroll
- kryptering og vern av dataenes integritet
- dataminimering: bare de dataene produktet trenger
- tilgjengelighet for viktige funksjoner, også under og etter et angrep
- minst mulig angrepsflate, og begrenset skade når noe skjer
- registrering av sikkerhetsrelevant aktivitet, med mulighet for brukeren til å reservere seg
- en enkel måte å slette data og innstillinger varig
Sårbarhetshåndtering
Vedlegg I del II gjelder prosessene deres, i hele støtteperioden:
- en stykkliste for programvaren (SBOM) i et vanlig, maskinlesbart format
- vurdere og rette sårbarheter uten opphold, etter risiko
- teste og gjennomgå sikkerheten jevnlig
- publisere informasjon om rettede sårbarheter
- en policy for koordinert sårbarhetsavsløring, og en adresse der sårbarheter kan meldes
- distribuere oppdateringer sikkert, og levere sikkerhetsoppdateringer gratis med råd til brukerne
Støtteperioden skal være minst fem år, med mindre produktet ventes å være i bruk kortere. Hver sikkerhetsoppdatering skal være tilgjengelig i minst ti år, eller resten av støtteperioden hvis den er lengre (artikkel 13(8)–(9)).
Rapportering etter artikkel 14
Blir dere kjent med en aktivt utnyttet sårbarhet i et produkt, eller en alvorlig hendelse som påvirker sikkerheten i det, skal dere sende:
- en tidlig varsling innen 24 timer
- en varsling innen 72 timer
- en sluttrapport: for en sårbarhet senest 14 dager etter at en rettelse eller et avbøtende tiltak er tilgjengelig, for en hendelse innen en måned etter varslingen
Varslene går samtidig til CSIRT-en som er utpekt som koordinator, og til ENISA, gjennom ENISAs felles rapporteringsplattform (SRP). Dere skal også informere brukerne som er berørt (artikkel 14(8)). CRA-håndboken går gjennom fristene, hva hvert varsel skal inneholde, og hvem dere rapporterer til.
Samsvarsvurdering, CE-merking og dokumentasjon
Før et produkt bringes i omsetning fra 11. desember 2027, skal dere:
- Gjøre en risikovurdering og ta den med i den tekniske dokumentasjonen (artikkel 13(2)–(4)).
- Lage den tekniske dokumentasjonen etter vedlegg VII (artikkel 31).
- Gjennomføre samsvarsvurderingen klassen krever (artikkel 32).
- Utarbeide EU-samsvarserklæringen etter vedlegg V (artikkel 28).
- Sette på CE-merket. For programvare kan det stå i samsvarserklæringen eller på nettstedet som følger produktet (artikkel 30).
- Følge produktet med brukerinformasjonen i vedlegg II, blant annet kontaktpunktet for sårbarheter og når støtteperioden slutter.
Den tekniske dokumentasjonen og samsvarserklæringen skal oppbevares i minst ti år etter at produktet ble brakt i omsetning, eller i hele støtteperioden hvis den er lengre (artikkel 13(13)).
Bøtene
Medlemslandene fastsetter sanksjonene, innenfor tre øvre grenser for overtredelsesgebyr (artikkel 64):
- 15 millioner euro eller 2,5 prosent av global årsomsetning, det som er høyest: brudd på kravene i vedlegg I og pliktene i artikkel 13 og 14
- 10 millioner euro eller 2 prosent: brudd på blant annet pliktene til autoriserte representanter, importører og distributører, og reglene om samsvarserklæring og CE-merking
- 5 millioner euro eller 1 prosent: uriktige, ufullstendige eller villedende opplysninger til tekniske kontrollorganer og markedstilsynet
Mikroforetak og små foretak skal ikke få gebyr for å bomme på 24-timersfristen for tidlig varsling (artikkel 64(10) og fortalepunkt 120). Markedstilsynet kan dessuten kreve at et produkt rettes, trekkes fra markedet eller kalles tilbake (artikkel 54).
Slik står det i Norge
CRA er markert som EØS-relevant, men er ikke tatt inn i EØS-avtalen. Det betyr:
- For produkter dere selger i EU, gjelder CRA nå, og rapportene går til en CSIRT i et EU-land.
- For produkter som bare selges i Norge, gjelder CRA ikke ennå.
- Nkom skal føre tilsyn med CRA i Norge, men kan ikke ta imot varsler før forordningen er tatt inn i EØS-avtalen og norsk rett.
Målet er at CRA skal gjelde i Norge fra 11. desember 2027, men datoen er ikke vedtatt. For radioutstyr gjelder cybersikkerhetskravene i radioutstyrsdirektivet allerede, også i Norge. Rapportering fra Norge har ruten steg for steg.
Sjekkliste
- List opp produktene dere selger i EU, også eldre modeller som fortsatt er i bruk.
- Sjekk om hvert produkt er omfattet, og finn klassen.
- Ha rapporteringen klar nå: rapporteringsruten etter artikkel 14(7), tilgang til SRP for to personer og vakt som dekker hele døgnet.
- Publiser en policy for koordinert sårbarhetsavsløring og en kontaktadresse, for eksempel i security.txt.
- Lag en SBOM for hver versjon, generert av byggesystemet.
- Fastsett og begrunn støtteperioden for hvert produkt.
- Gjør en gapanalyse mot vedlegg I, og legg tiltakene inn i produktutviklingen.
- Velg samsvarsvurdering, og ta kontakt med et teknisk kontrollorgan tidlig hvis klassen krever det.
- Avklar rollene med importører og distributører i EU.
- Ha teknisk dokumentasjon, samsvarserklæring og CE-merke klart før produkter bringes i omsetning fra 11. desember 2027.
Maler
Maler i Word som dere kan tilpasse:
- Policy for koordinert sårbarhetsavsløring
- Rutine for sårbarhetshåndtering
- Begrunnelse for støtteperioden
Malene er et utgangspunkt, ikke juridisk rådgivning.
Kilder
Artikler om CRA
Pharus med Claude og andre AI-agenter: slik fungerer MCP-serveren
Med MCP-serveren til Pharus kan en AI-assistent som Claude lese arbeidsområdet deres, registrere en sårbarhet og skrive utkast til en CRA-rapport som dere går gjennom. Den kan ikke starte en klokke, avgjøre, sende inn eller sende noe: det gjør en person som er logget inn i Pharus. Her er hvordan den fungerer, hvordan dere kobler den til, og hvor dataene går.
Får små bedrifter bot for å bomme på 24-timersfristen i CRA?
Ikke for å bomme på fristen for tidlig varsling, hvis dere er et mikroforetak eller et lite foretak. Den tidlige varslingen må fortsatt sendes, og unntaket gjelder ikke varslingen etter 72 timer, sluttrapporten eller mellomstore bedrifter.
Tidlig varsling etter CRA, fylt ut: et eksempel
En tidlig varsling trenger bare det dere vet innen 24 timer: produktet, versjonene, hvor det selges og når dere ble kjent med forholdet. Her er en fylt ut, felt for felt, for en oppdiktet produsent av gatewayer, med det som kommer etterpå.
Når er en sårbarhet «aktivt utnyttet», og når starter 24-timersfristen?
Når dere etter en rask første vurdering er rimelig sikre på at en sårbarhet i produktet utnyttes av en ondsinnet aktør. Da starter 24-timersfristen, ikke når undersøkelsen er ferdig. En sårbarhet i en tredjepartskomponent er bare meldepliktig når den utnyttes i deres produkt.
Gjelder CRA for norske produsenter før den er en del av EØS-avtalen?
Ja, for alt dere selger i EU. Plikten til å varsle om aktivt utnyttede sårbarheter og alvorlige hendelser har gjeldt siden 11. september 2026, også for produkter som kom på markedet før det. Det som venter på EØS-avtalen, er norsk tilsyn og produkter som bare selges i Norge.
