CRA-håndbok for norske produsenter

Kort fortalt

• Selger dere produkter med digitale elementer i EU, har rapporteringsplikten i CRA artikkel 14 gjeldt siden 11. september 2026 — også når dere holder til i Norge.
• Aktivt utnyttede sårbarheter og alvorlige hendelser skal varsles innen 24 timer, med oppfølging innen 72 timer og en sluttrapport.
• Varslene går gjennom ENISAs felles rapporteringsplattform (SRP) til en EU-CSIRT. Hvilken avgjøres av kaskaden i artikkel 14(7).
• Nkom kan ikke ta imot CRA-rapporter før forordningen er tatt inn i EØS-avtalen.

Gjelder CRA for dere?

CRA gjelder produkter med digitale elementer som gjøres tilgjengelig på EU-markedet: maskinvare og programvare som kobler seg til en enhet eller et nettverk, inkludert databehandling i skyen som produktet trenger for å virke. Det er markedet som avgjør, ikke hvor produsenten holder til. Sjekken øverst i CRA-guiden går gjennom det, ett produkt om gangen.

Forordningen er EØS-relevant, men ennå ikke tatt inn i EØS-avtalen. For en norsk produsent betyr det to ting:

• Produkter dere selger i EU, må oppfylle artikkel 14 nå.
• I Norge gjelder CRA når forordningen er tatt inn i EØS-avtalen og norsk rett, med Nkom som tilsynsmyndighet. Målet er 11. desember 2027, men datoen er ikke vedtatt. Fram til da finnes det ingen norsk mottaker av CRA-varsler.

Rene SaaS-tjenester uten et produkt som gjøres tilgjengelig på markedet, faller i hovedsak utenfor CRA. De reguleres av NIS2 og, i Norge, digitalsikkerhetsloven.

De fleste produkter er i standardklassen. Noen er viktige (klasse I eller II) eller kritiske, og det endrer samsvarsvurderingen, ikke artikkel 14. Sjekk CRA-klassen til produktet deres.

To rapporteringsplikter, to sett med klokker

Artikkel 14 har to spor. Begge starter når dere blir kjent med forholdet — ikke når dere er ferdige med å undersøke det.

Aktivt utnyttet sårbarhet

• Innen 24 timer: tidlig varsling.
• Innen 72 timer: varsling om sårbarheten.
• Senest 14 dager etter at et korrigerende eller avbøtende tiltak er tilgjengelig: sluttrapport.

Alvorlig hendelse som påvirker produktets sikkerhet

• Innen 24 timer: tidlig varsling.
• Innen 72 timer: varsling om hendelsen.
• Innen én måned etter hendelsesvarslingen: sluttrapport.

En sårbarhet er aktivt utnyttet når det finnes pålitelige bevis for at en ondsinnet aktør har utnyttet den i et system uten eierens tillatelse (artikkel 3 nr. 42). Oppføring i CISA KEV eller EUVD er et sterkt signal, men avgjørelsen er deres — og den må kunne begrunnes i ettertid.

Hvem dere rapporterer til, gjennom ENISAs SRP

Varslene går samtidig til CSIRT-en som er utpekt som koordinator, og til ENISA, gjennom SRP. Har produsenten hovedsete i EU, er det CSIRT-en i det landet. Norske produsenter har ikke det, og følger kaskaden i artikkel 14(7). Første ledd som er etablert i en EU-stat, avgjør:

1. Medlemsstaten der den autoriserte representanten som handler for flest av produktene deres, er etablert.
2. Ellers medlemsstaten der importøren som bringer flest av produktene deres i omsetning, er etablert.
3. Ellers medlemsstaten der distributøren som gjør flest av produktene deres tilgjengelig, er etablert.
4. Ellers medlemsstaten med flest brukere av produktene deres.

Testen teller alle produktene deres, så den gir én CSIRT for selskapet, ikke én per produktfamilie. Kartlegg det nå: hvem som representerer, importerer og distribuerer hver produktfamilie, og hvor mange produkter hver av dem håndterer. Svaret endrer seg når dere bytter importør eller får en ny distributør, og en fredag kveld er dårlig tid å finne det ut. Finn ruten deres, og den koordinerende CSIRT-en i hvert EU-land.

Hva varslene skal inneholde

Tidlig varsling (24 timer)

• Hvilket produkt og hvilken sårbarhet eller hendelse det gjelder.
• Hvilke medlemsstater dere vet at produktet er gjort tilgjengelig i.
• For hendelser: om det er mistanke om at hendelsen skyldes ulovlige eller ondsinnede handlinger.

Varsling (72 timer)

• Generell informasjon om produktet.
• Hva slags sårbarhet og utnyttelse det er snakk om.
• Korrigerende eller avbøtende tiltak dere har gjort, og tiltak brukerne kan gjøre.
• Hvor sensitiv informasjonen er, etter deres vurdering.

Sluttrapport

• Beskrivelse av sårbarheten eller hendelsen, med alvorlighetsgrad og konsekvenser.
• Informasjon om den ondsinnede aktøren, der dere har det.
• Hvilken sikkerhetsoppdatering eller hvilke andre tiltak som er gjort tilgjengelig.

Brukerne skal også vite det

Etter artikkel 14(8) skal dere informere berørte brukere om den aktivt utnyttede sårbarheten eller den alvorlige hendelsen, og om tiltak de kan gjøre — der det passer, i et strukturert og maskinlesbart format. CSAF med VEX-status er formatet kundenes verktøy leser.

Samme hendelse, flere varsler

En CRA-hendelse kan samtidig utløse andre plikter, med egne frister, mottakere og språk:

• GDPR: brudd på personopplysningssikkerheten meldes til Datatilsynet innen 72 timer.
• Digitalsikkerhetsloven: leverer dere en samfunnsviktig tjeneste, varsles NSM innen 24 timer.
• DORA: gjelder finansforetak under tilsyn av Finanstilsynet.

Varsler til norske myndigheter skrives på norsk. SRP-varsler skrives på engelsk.

Sjekkliste før dere trenger den

• Publiser security.txt og en policy for koordinert avsløring, så forskere vet hvor de skal melde fra.
• Ha en oppdatert SBOM for hver produktfamilie, generert i byggepipelinen.
• Overvåk komponentene mot CISA KEV og EUVD, ikke bare mot CVE-lister.
• Bestem hvem som avgjør om noe er aktivt utnyttet, og hvem som godkjenner varselet.
• Kartlegg rapporteringsruten etter artikkel 14(7): hvem som representerer, importerer og distribuerer flest av produktene deres i EU.
• Gjør dere kjent med SRP og skjemaene før den første hendelsen.
• Sett opp vakt som dekker kvelder, helger og helligdager. Klokka stopper ikke.
• Øv minst én gang i året: en skrivebordsøvelse fra treff til innsendt sluttrapport.

Dette kommer i 2027

Fra 11. desember 2027 gjelder resten av CRA i EU: de grunnleggende sikkerhetskravene i vedlegg I, samsvarsvurdering, CE-merking og teknisk dokumentasjon etter vedlegg VII. Det er også målet for når CRA skal gjelde i Norge, men datoen er ikke vedtatt. Start med dokumentasjonen nå — den bygger på det samme sårbarhetsarbeidet som artikkel 14. CRA-guiden går gjennom alt, fra virkeområde til bøter.

Slik hjelper Pharus

Pharus matcher SBOM-ene deres mot KEV og EUVD, logger avgjørelsen med begrunnelse, finner riktig EU-CSIRT etter artikkel 14(7) og har SRP-teksten klar til innliming. Se hvordan det virker.