Fire dager til nye EU-krav treffer smart-hjemmet: Slik endres sikkerheten på ruteren, babymonitoren og smart-TV-en

Datoen er den første store milepælen i EUs Cyber Resilience Act (CRA), regelverket som over tid skal snu opp ned på hvordan tilkoblede produkter sikres i det europeiske markedet. Selv om hovedparten av kravene først gjelder fra 11. desember 2027, er det fra denne uken produsentene får en helt konkret plikt: å melde fra når noen faktisk utnytter et sikkerhetshull i produktet deres.

Regelverket dekker praktisk talt alt digitalt utstyr med nettforbindelse. Europakommisjonen beskriver virkeområdet som «connectable hardware and software» og trekker eksplisitt fram babymonitorer og smartklokker sammen med applikasjoner og dataprogrammer. I praksis snakker vi om ruterne, smart-TV-ene, de smarte lyspærene, videodørklokkene og robotstøvsugerne som allerede står i norske hjem.

Tre frister produsentene må forholde seg til

Kjernen i den nye rapporteringsplikten ligger i artikkel 14 i forordning (EU) 2024/2847. Blir en produsent klar over at et sikkerhetshull i produktet blir aktivt utnyttet, eller at det har skjedd en alvorlig hendelse, trer en tredelt frist i kraft: en tidlig varsling innen 24 timer, en detaljert melding innen 72 timer, og en sluttrapport innen 14 dager for aktivt utnyttede sårbarheter eller innen én måned for alvorlige hendelser.

Et sikkerhetshull regnes som aktivt utnyttet «where there is reliable evidence that a malicious actor has exploited it in a system without the system owner's permission», heter det i regelverket. En hendelse er alvorlig hvis den kan ramme produktets evne til å beskytte data eller funksjoner, eller kan føre til at ondsinnet kode blir kjørt i produktet eller på brukerens system.

Les også: Halvparten av norske tenåringer bruker ChatGPT: Slik skrur du på foreldrekontrollen de fleste overser

Meldingene skal gå via en felles europeisk portal, «Single Reporting Platform», som driftes av EUs cybersikkerhetsbyrå ENISA. Portalen fungerer som ett inntakspunkt som fordeler varslene videre til nasjonale myndigheter og responsteamene (CSIRT), slik Europakommisjonen har beskrevet i sitt implementeringsarbeid.

Hva forbrukeren merker

For deg som eier utstyret, endres ingenting i det du bruker fra denne uken. Endringen ligger på produsentens side: de får en plikt til å oppdage, dokumentere og melde. Kombinert med kravene som slår inn for fullt i desember 2027, blant annet at produkter må ha sikkerhet innebygd fra design, og at det skal komme oppdateringer i produktets forventede levetid, skal regelverket over tid gjøre det tryggere å kjøpe en ruter eller en smart lyspære.

Går produsenten på tvers av reglene, kan boten bli merkbar. For brudd på de grunnleggende sikkerhetskravene ligger taket på 15 millioner euro eller 2,5 prosent av selskapets globale årsomsetning, det høyeste beløpet gjelder. Brudd på andre plikter i forordningen kan straffes med opptil 10 millioner euro eller 2 prosent av omsetningen. Nasjonale tilsyn kan i tillegg trekke produktene ut av markedet.

Norge følger med gjennom EØS-avtalen

Reglene gjelder også i Norge. Regjeringen besluttet i januar å innlemme Cyber Resilience Act i EØS-avtalen og har utpekt Nasjonal kommunikasjonsmyndighet (Nkom) som tilsyn.

Les også: Ford-sjefen innrømmer designfeil: Der Detroit bruker 12 dyre magneter, klarer kineserne seg med en limstripe

«Det å sikre at internettilkoblet utstyr er trygt og robust er et viktig samfunnsansvar», uttalte Nkom-direktør Espen Slette da regjeringen kunngjorde beslutningen. Digitaliseringsminister Karianne Tung understreket samtidig at regelverket «skal redusere sårbarheter og sikre at produsenter blir ansvarlige for cybersikkerheten».

Nkom har allerede tilsyn med radioutstyrsdirektivet, der nye cybersikkerhetskrav til nettilkoblet radioutstyr slo inn 1. august 2025. CRA bygger videre på den plattformen.

Neste konkrete milepæl er 11. desember 2026, når medlemslandene skal ha nok tekniske kontrollorganer på plass til at produsentene får testet produktene sine. Deretter gjelder hele forordningen fra 11. desember 2027.

Les også: Kjørte 1.800 km i ny Mercedes-elbil: Anmelder mener stasjonsvognen matcher diesel på langtur

Les også: Xiaomi lanserer vannrenser som fjerner 99 prosent av virus og mikroplast - og legger mineralene tilbake