Nyhetsblink: En måned til nye cybervarsler

Nyhetsblink: Om én måned begynner rapporteringsplikten i EUs Cyber Resilience Act å gjelde. Nkom opplyser at produsenter av produkter med digitale elementer må være klare fra 11. september 2026.

Kravet gjelder ikke enhver bedrift som bruker IT. Det retter seg mot produsenter av maskinvare og programvare som inngår i produkter med direkte eller indirekte tilkobling til en enhet eller et nettverk. Nkom nevner blant annet sensorer, kameraer, rutere, industrielle kontrollsystemer, operativsystemer og programvarebiblioteker.

Når en produsent blir kjent med en aktivt utnyttet sårbarhet eller en alvorlig sikkerhetshendelse, skal en tidlig varsling sendes uten ugrunnet opphold og senest innen 24 timer. Mer utfyllende informasjon skal normalt følge innen 72 timer. Varslingen skal gå via en felles rapporteringsplattform til relevant CSIRT og ENISA. Berørte brukere skal også informeres om hendelsen og nødvendige risikoreduserende tiltak.

De øvrige hovedkravene i CRA gjelder først fullt ut fra 11. desember 2027. Rapporteringsplikten kommer altså tidligere.

Dette bør du gjøre nå

Kartlegg om virksomheten regnes som produsent, og hvilke produkter og programvarekomponenter som omfattes. Avklar hvem som vurderer alvorlighetsgrad, hvem som varsler, og hvordan 24-timersfristen håndteres utenfor ordinær arbeidstid. Sørg også for at kontaktinformasjon til kunder og brukere kan hentes raskt.

Kort fortalt

Produserer bedriften tilkoblede produkter eller programvare for markedet, bør varslingsrutinen være klar før 11. september. Importører og distributører bør i tillegg avklare ansvar og informasjonsflyt med produsenten.

Hovedkilde: Nkom – spørsmål og svar om RED og CRA.

Tilleggskilder: EU-forordning 2024/2847, artikkel 14 og 71 og Nkom – oversikt over Cyber Resilience Act.