CRA-ordlisten, på vanlig norsk

EU-loven som setter krav til cybersikkerhet i produkter med digitale elementer: maskinvare og programvare som selges i EU.

Hvorfor det angår dere: Selger dere slike produkter i EU, har rapporteringsplikten gjeldt siden 11. september 2026, uansett hvor dere holder til. Resten av loven kommer 11. desember 2027.

Slik hjelper Pharus: Pharus er laget for rapporteringspliktene i CRA: fristene, avgjørelsen, mottakeren og teksten dere sender inn.

Delen av CRA som sier hva en produsent må rapportere, til hvem og hvor raskt: aktivt utnyttede sårbarheter og alvorlige hendelser.

Hvorfor det angår dere: Det er denne delen som gjelder allerede, og fristene måles i timer, også i helger og ferier.

Slik hjelper Pharus: Hver hendelse i Pharus går etter fristene i artikkel 14, fra tidlig varsling til sluttrapport.

Det CRA kaller det loven gjelder for: et maskin- eller programvareprodukt som kobler seg til en enhet eller et nettverk, inkludert databehandlingen i skyen som produktet trenger for å virke.

Hvorfor det angår dere: Smarte enheter, maskiner med programvare, apper og fastvare er med. Rene SaaS-tjenester uten et produkt på markedet er i hovedsak ikke det; de hører under NIS2.

Den som utvikler eller lager et produkt, eller får det laget, og selger det under eget navn eller varemerke.

Hvorfor det angår dere: Pliktene i CRA ligger hos produsenten, også når deler av produktet kommer fra leverandører eller åpen kildekode.

Et EU-direktiv med krav til sikkerhet og rapportering for virksomheter som leverer viktige tjenester, som energi, transport, helse og digital infrastruktur.

Hvorfor det angår dere: NIS2 handler om tjenesten dere leverer, CRA om produktet dere selger. En virksomhet kan omfattes av begge. NIS2 er ennå ikke tatt inn i EØS-avtalen eller norsk lov.

Slik hjelper Pharus: Pharus viser NIS2 som «fulgt» til det gjelder i Norge.

Norges gjennomføring av det første NIS-direktivet, i kraft fra 1. oktober 2025.

Hvorfor det angår dere: Leverer dere en tjeneste loven omfatter, skal hendelser som påvirker tjenesten vesentlig meldes til NSM, innen 24 timer for samfunnsviktige tjenester.

Slik hjelper Pharus: Når loven gjelder, skriver Pharus et utkast til meldingen til NSM, på norsk, fra den samme hendelsen.

EU-direktivet for radioutstyr. Siden 1. august 2025 har det hatt krav til cybersikkerhet i radioutstyr som kobler seg til internett, og i leker, barneutstyr og utstyr som bæres på kroppen.

Hvorfor det angår dere: Kravene håndheves allerede i Norge, av Nkom. De harmoniserte standardene er EN 18031-1, -2 og -3. Fra 11. desember 2027 tar CRA over.

EUs regler for digital motstandskraft i finanssektoren: banker, forsikringsselskaper og andre finansforetak.

Hvorfor det angår dere: Er dere et finansforetak under tilsyn av Finanstilsynet, kan en sikkerhetshendelse utløse en DORA-melding i tillegg til CRA.

Slik hjelper Pharus: Pharus kan vurdere hendelsen etter DORA og skrive utkast til meldingen til Finanstilsynet, på engelsk, som de foretrekker.

EUs cybersikkerhetsbyrå. Etter CRA driver det den felles rapporteringsplattformen og mottar alle varsler.

Hvorfor det angår dere: CRA-varslene deres når ENISA samtidig som CSIRT-en som behandler dem.

ENISAs nettside der CRA-varsler sendes inn. Den er bare på engelsk og har ikke noe API, så hvert varsel skrives eller limes inn for hånd.

Hvorfor det angår dere: Innsendingen skjer i et skjema, med en frist på 24 timer. Dere trenger folk med tilgang, med EU Login og tofaktorinnlogging, før noe skjer.

Slik hjelper Pharus: Pharus fyller ut feltene i SRP-skjemaet fra hendelsen, på engelsk, klare til å kopiere og lime inn. Kvitteringen registrerer dere i Pharus.

Et nasjonalt team som håndterer sikkerhetshendelser. Hvert EU-land har utpekt én CSIRT som koordinator for CRA-rapporter.

Hvorfor det angår dere: CRA-rapporten deres går til én bestemt CSIRT, og hvilken avhenger av ruten etter artikkel 14(7).

Slik hjelper Pharus: Pharus finner riktig CSIRT for hver produktfamilie.

Regelen som avgjør hvilket EU-lands CSIRT som får rapportene når produsenten ikke har hovedforetak i EU: landet der den autoriserte representanten holder til, ellers importøren, ellers distributøren, ellers der flest brukere er.

Hvorfor det angår dere: For en norsk produsent er det denne regelen som avgjør hvor rapportene går. Svaret endres når dere bytter importør eller får en ny distributør.

Slik hjelper Pharus: Pharus regner ut ruten for hver produktfamilie og navngir mottakeren.

Norges myndighet for elektronisk kommunikasjon. Regjeringen har varslet at Nkom skal føre tilsyn med CRA i Norge.

Hvorfor det angår dere: Nkom kan ikke ta imot CRA-rapporter før CRA er tatt inn i EØS-avtalen og norsk lov, med 11. desember 2027 som mål. Fram til da går rapportene til en EU-CSIRT. Nkom håndhever allerede sikkerhetskravene til radioutstyr.

Slik hjelper Pharus: Når en dato er bestemt, ruter Pharus norske virksomheter til Nkom fra den dagen.

Norges nasjonale sikkerhetsmyndighet. Den tar imot meldinger om hendelser etter digitalsikkerhetsloven.

Hvorfor det angår dere: Meldinger til NSM skrives på norsk, med egen frist, i tillegg til en eventuell CRA-rapport.

Slik hjelper Pharus: Pharus skriver utkastet på norsk, fra den samme hendelsen.

Norges personvernmyndighet, som tar imot meldinger om brudd på personopplysningssikkerheten etter GDPR.

Hvorfor det angår dere: Rammer en sikkerhetshendelse personopplysninger, skal Datatilsynet varsles innen 72 timer, i tillegg til en eventuell CRA-rapport.

Slik hjelper Pharus: Pharus skriver utkastet på norsk, fra den samme hendelsen.

En svakhet eller feil i et produkt som en angriper kan bruke til å gjøre skade.

Hvorfor det angår dere: Alle produkter har noen. CRA forventer at dere finner dem, retter dem og rapporterer dem som utnyttes aktivt.

Slik hjelper Pharus: Pharus sjekker komponentene i produktene deres mot CISA KEV og EUVD hvert 30. minutt.

En sårbarhet der det finnes pålitelige bevis for at noen har brukt den til å angripe et system uten eierens tillatelse (CRA artikkel 3 nr. 42).

Hvorfor det angår dere: Det er dette som starter 24-timersfristen. Det er dere som avgjør, og dere må kunne begrunne avgjørelsen i ettertid.

Slik hjelper Pharus: Pharus logger avgjørelsen med begrunnelse, bevis og godkjenninger: dokumentasjonen en tilsynsmyndighet vil be om.

En hendelse som skader, eller kan skade, produktets evne til å beskytte data eller funksjoner, eller som har sluppet ondsinnet kode inn i produktet eller i brukerens systemer.

Hvorfor det angår dere: Som en aktivt utnyttet sårbarhet skal den varsles innen 24 timer.

Slik hjelper Pharus: Hendelsen åpnes i Pharus med CRA-fristene allerede i gang.

En offentlig ID for en kjent sårbarhet, som CVE-2025-55182 (React2Shell). Den gjør at alle snakker om den samme feilen.

Hvorfor det angår dere: Sikkerhetsvarsler fra leverandører, skannere og myndigheter viser alle til sårbarheter med CVE-nummeret.

En poengsum fra 0 til 10 for hvor alvorlig en sårbarhet kan være.

Hvorfor det angår dere: En høy poengsum betyr ikke at noen utnytter sårbarheten, og en lav betyr ikke at ingen gjør det. Rapporteringsplikten i CRA avhenger av utnyttelse, ikke av poengsummen.

Slik hjelper Pharus: Pharus tar utgangspunkt i bevis for utnyttelse fra KEV og EUVD, som er det artikkel 14 spør om.

USAs føderale byrå for cybersikkerhet. Det publiserer KEV, den mest brukte listen over sårbarheter som utnyttes.

Hvorfor det angår dere: CISA er amerikansk, men KEV følges av sikkerhetsfolk over hele verden.

CISAs offentlige liste over sårbarheter med bevis for at de utnyttes i praksis.

Hvorfor det angår dere: At en sårbarhet står i KEV, er et sterkt tegn på at den er aktivt utnyttet etter CRA. Avgjørelsen er likevel deres.

Slik hjelper Pharus: Pharus sjekker SBOM-ene deres mot KEV hvert 30. minutt og åpner en hendelse når en komponent treffer.

ENISAs database over sårbarheter, med en egen liste over dem som er kjent utnyttet.

Hvorfor det angår dere: Det er EUs motstykke til de amerikanske listene, drevet av det samme byrået som driver SRP.

Slik hjelper Pharus: Pharus sjekker SBOM-ene deres mot EUVD i tillegg til KEV.

Et offentlig varsel fra en leverandør om en sårbarhet: hva som er berørt, hvor alvorlig det er og hvordan det rettes.

Hvorfor det angår dere: Kundene deres venter et fra dere når produktet deres er berørt.

Slik hjelper Pharus: Pharus skriver utkastet fra hendelsen, klart for dere å redigere og publisere.

Et standardformat for sikkerhetsvarsler som maskiner kan lese.

Hvorfor det angår dere: Sikkerhetsverktøyene til kundene deres kan lese CSAF automatisk og se hvilke av produktene deres som er berørt, uten at noen må lese en PDF.

Slik hjelper Pharus: Pharus skriver CSAF-varselet fra hendelsen.

En kort erklæring om et produkt faktisk er berørt av en sårbarhet: ikke berørt, berørt, rettet eller under undersøkelse.

Hvorfor det angår dere: De fleste sårbarhetene i komponentene deres kan ikke nås i produktet. VEX sier det, og sparer dere og kundene for falske alarmer.

Slik hjelper Pharus: Pharus leser VEX fra skannerne og leverandørene deres sammen med SBOM-ene.

Øyeblikket dere får vite om en aktivt utnyttet sårbarhet eller en alvorlig hendelse. Her starter fristene i CRA.

Hvorfor det angår dere: Fristene starter når dere blir kjent med forholdet, ikke når dere er ferdige med å undersøke det. Når det skjedde, kan en tilsynsmyndighet spørre om.

Slik hjelper Pharus: Pharus logger når dere ble kjent med forholdet, og hver rettelse av det.

Det første varselet, innen 24 timer etter at dere ble kjent med forholdet: hvilket produkt, hva som har skjedd og hvilke land produktet selges i.

Hvorfor det angår dere: Det er kort med vilje. Å sende det i tide er viktigere enn å ha alle svarene.

Slik hjelper Pharus: Pharus har teksten klar til å lime inn i SRP.

Det andre varselet, innen 72 timer: mer om produktet og sårbarheten eller hendelsen, og hva dere og brukerne kan gjøre.

Hvorfor det angår dere: Det bygger på den tidlige varslingen og skal ta med tiltakene dere har satt i verk.

Slik hjelper Pharus: Pharus fyller det ut fra det som er logget i hendelsen siden første varsel.

Det siste varselet: hva som skjedde, hvor alvorlig det var og hvordan det ble rettet. For en sårbarhet senest 14 dager etter at en rettelse er tilgjengelig, for en hendelse innen én måned etter varslingen.

Hvorfor det angår dere: Den forteller hvordan saken endte, så samle bevisene fra første dag.

Slik hjelper Pharus: Fristen for sluttrapporten fortsetter å gå i Pharus etter at det travleste er over.

Meldingen til brukerne av et berørt produkt om sårbarheten eller hendelsen, og hva de kan gjøre.

Hvorfor det angår dere: CRA krever det i tillegg til rapportene til myndighetene, der det passer i et format maskiner kan lese.

Slik hjelper Pharus: Pharus skriver utkastet fra hendelsen.

En liste over alle programvarekomponentene i et produkt, med versjoner, som en ingrediensliste.

Hvorfor det angår dere: Dere kan ikke vite om en ny sårbarhet treffer dere uten å vite hva som er inni. CRA krever en SBOM for hvert produkt.

Slik hjelper Pharus: Pharus sjekker SBOM-ene deres mot KEV og EUVD hvert 30. minutt, og kvaliteten deres mot kravene fra CRA, BSI og CISA.

En liten fil på nettstedet deres (/.well-known/security.txt) som forteller sikkerhetsforskere hvor de kan melde fra om en sårbarhet.

Hvorfor det angår dere: Det er det første stedet en forsker ser. Uten den kan en melding havne der ingen følger med.

Slik hjelper Pharus: Følger med Pharus Free, sammen med et meldingsskjema og en innboks.

Hvordan dere tar imot meldinger om sårbarheter utenfra, retter feilen og publiserer den etter avtale med den som fant den.

Hvorfor det angår dere: CRA krever at produsenter har og følger retningslinjer for dette.

Slik hjelper Pharus: Pharus publiserer retningslinjene deres og gir dere en innboks for meldinger, gratis.

Den første vurderingen av en melding eller et treff: er det ekte, treffer det oss, og hvor mye haster det?

Hvorfor det angår dere: Rask og dokumentert triage er det som gjør at dere rekker en frist på 24 timer.

Slik hjelper Pharus: Hver melding i innboksen i Pharus har en triagelogg.

Å fortelle dem som vedlikeholder en komponent, ofte et åpen kildekode-prosjekt, om en feil dere har funnet i den.

Hvorfor det angår dere: CRA krever det (artikkel 13(6)), så rettelsen når alle som bruker komponenten.

Slik hjelper Pharus: Pharus hjelper dere å sende det til dem som vedlikeholder komponenten.

Hvor lenge dere leverer sikkerhetsoppdateringer til et produkt. Etter CRA skal den være minst fem år, med mindre produktet ventes brukt kortere.

Hvorfor det angår dere: Dere må oppgi sluttdatoen til kjøperne og håndtere sårbarheter fram til da.

Slik hjelper Pharus: Pharus har en sluttdato per versjonslinje og minner dere på det 90 dager før den går ut.

Produkter som deler samme programvare eller fastvare og samme SBOM. De teller som én, også når de selges som ulike modeller.

Hvorfor det angår dere: Det er slik Pharus prises: per produktfamilie, aldri per bruker.

CRA deler produkter inn i standard, viktig (klasse I eller II) og kritisk, etter hva kjernefunksjonen er. De fleste produkter er i standardklassen.

Hvorfor det angår dere: Klassen avgjør hvordan dere må vise at produktet oppfyller kravene. Rapporteringspliktene er de samme i alle klasser.

Prosedyren som viser at et produkt oppfyller kravene i CRA, gjort av produsenten selv eller, for noen klasser, av et uavhengig organ.

Hvorfor det angår dere: Den må være gjort før et produkt gjøres tilgjengelig i EU fra 11. desember 2027.

Merket som viser at et produkt oppfyller EUs krav. Fra 11. desember 2027 dekker det også kravene til cybersikkerhet i CRA.

Hvorfor det angår dere: Uten det kan produktet ikke selges i EU.

Listen i CRA over hvordan produktet må være bygget for å være sikkert, og hvordan dere må håndtere sårbarheter gjennom hele levetiden.

Hvorfor det angår dere: Gjelder fra 11. desember 2027. Delen om sårbarhetshåndtering bygger på det samme arbeidet som artikkel 14.

Listen i CRA over hva den tekniske dokumentasjonen for et produkt skal inneholde, som utformingen, risikovurderingen og hvordan sårbarheter håndteres.

Hvorfor det angår dere: Den må være klar for produkter som gjøres tilgjengelig fra 11. desember 2027, og tas vare på i minst ti år.

Slik hjelper Pharus: Pharus bygger den tekniske dokumentasjonen for hver produktfamilie.